Postizanje usklađenosti sa NIST-om u oblaku: strategije i razmatranja
Kretanje virtuelnim labirintom usklađenosti u digitalnom prostoru pravi je izazov s kojim se susreću moderne organizacije, posebno u pogledu Okvir za kibernetičku sigurnost Nacionalnog instituta za standarde i tehnologiju (NIST)..
Ovaj uvodni vodič će vam pomoći da bolje razumijete NIST Cybersecurity Okvir i kako postići usklađenost sa NIST-om u oblaku. Hajdemo uskočiti.
Šta je NIST okvir za kibernetičku sigurnost?
NIST Okvir za kibernetičku sigurnost pruža pregled organizacijama da razviju i poboljšaju svoje programe upravljanja rizikom u vezi sa sajber-bezbednošću. Zamišljen je da bude fleksibilan, koji se sastoji od širokog spektra aplikacija i pristupa kako bi se odgovorilo na jedinstvene potrebe svake organizacije u vezi sa sajber-bezbednošću.
Okvir se sastoji od tri dijela – jezgra, nivoa implementacije i profila. Evo pregleda svakog od njih:
Framework Core
Jezgro okvira uključuje pet primarnih funkcija za pružanje efikasne strukture za upravljanje rizicima kibernetičke sigurnosti:
- identifikovati: Uključuje razvijanje i sprovođenje a politika kibernetičke sigurnosti koji opisuje rizik sajber-sigurnosti organizacije, strategije za sprečavanje i upravljanje sajber napadima, te uloge i odgovornosti pojedinaca koji imaju pristup osjetljivim podacima organizacije.
- Zaštitite: Uključuje razvoj i redovnu implementaciju sveobuhvatnog plana zaštite za smanjenje rizika od napada na sajber sigurnost. Ovo često uključuje obuku o sajber sigurnosti, stroge kontrole pristupa, šifriranje, testiranje penetracije, i ažuriranje softvera.
- Otkrivanje: Uključuje razvijanje i redovnu implementaciju odgovarajućih aktivnosti za prepoznavanje napada na sajber sigurnost što je brže moguće.
- Odgovori: Uključuje razvoj sveobuhvatnog plana koji navodi korake koje treba poduzeti u slučaju napada na sajber sigurnost.
- Oporavak: Uključuje razvoj i implementaciju odgovarajućih aktivnosti za obnavljanje onoga što je pogođeno incidentom, poboljšanje sigurnosnih praksi i nastavak zaštite od napada na sajber sigurnost.
Unutar tih funkcija nalaze se kategorije koje specificiraju aktivnosti kibernetičke sigurnosti, potkategorije koje rastavljaju aktivnosti na precizne ishode i Informativne reference koje pružaju praktične primjere za svaku podkategoriju.
Nivoi implementacije okvira
Nivoi implementacije okvira ukazuju na to kako organizacija gleda i upravlja rizicima kibernetičke sigurnosti. Postoje četiri nivoa:
- Nivo 1: Djelomičan: Mala svijest i implementira upravljanje rizikom kibernetičke sigurnosti od slučaja do slučaja.
- Nivo 2: Obaviješteni o riziku: Svijest o riziku kibernetičke sigurnosti i prakse upravljanja postoje, ali nisu standardizirane.
- Nivo 3: Ponovljivo: Formalne politike upravljanja rizicima u cijeloj kompaniji i redovno ih ažuriraju na osnovu promjena u poslovnim zahtjevima i okruženju prijetnji.
- Nivo 4: Prilagodljiv: Proaktivno otkriva i predviđa prijetnje i poboljšava prakse kibernetičke sigurnosti zasnovane na prošlim i sadašnjim aktivnostima organizacije i evoluirajućim prijetnjama, tehnologijama i praksama kibernetičke sigurnosti.
Framework Profil
Okvirni profil opisuje usklađenost Framework Core-a organizacije sa njenim poslovnim ciljevima, tolerancijom na rizik sajber-sigurnosti i resursima. Profili se mogu koristiti za opisivanje trenutnog i ciljanog stanja upravljanja sajber sigurnošću.
Trenutni profil ilustruje kako se organizacija trenutno nosi s rizicima kibernetičke sigurnosti, dok Ciljni profil detaljno opisuje rezultate koje organizacija treba da bi postigla ciljeve upravljanja rizikom kibernetičke sigurnosti.
Usklađenost sa NIST-om u oblaku naspram lokalnih sistema
Dok se NIST Cybersecurity Framework može primijeniti na sve tehnologije, cloud computing je jedinstven. Hajde da istražimo nekoliko razloga zašto se usklađenost NIST-a u oblaku razlikuje od tradicionalne lokalne infrastrukture:
Sigurnosna odgovornost
Kod tradicionalnih lokalnih sistema, korisnik je odgovoran za svu sigurnost. U računarstvu u oblaku, sigurnosne odgovornosti dijele dobavljač usluga u oblaku (CSP) i korisnik.
Dakle, dok je CSP odgovoran za sigurnost “oblaka” (npr. fizički serveri, infrastruktura), korisnik je odgovoran za sigurnost “u” oblaku (npr. podaci, aplikacije, upravljanje pristupom).
Ovo mijenja strukturu NIST okvira, jer zahtijeva plan koji uzima u obzir obje strane i povjerenje u CSP-ovo sigurnosno upravljanje i sistem i njegovu sposobnost da održi usklađenost sa NIST-om.
Lokacija podataka
U tradicionalnim lokalnim sistemima, organizacija ima potpunu kontrolu nad tim gdje se njeni podaci pohranjuju. Nasuprot tome, podaci u oblaku mogu se pohranjivati na različitim lokacijama globalno, što dovodi do različitih zahtjeva usklađenosti na osnovu lokalnih zakona i propisa. Organizacije to moraju uzeti u obzir kada održavaju usklađenost sa NIST-om u oblaku.
Skalabilnost i elastičnost
Okruženje u oblaku je dizajnirano da bude visoko skalabilno i elastično. Dinamična priroda oblaka znači da sigurnosne kontrole i politike također moraju biti fleksibilne i automatizirane, čineći usklađenost sa NIST-om u oblaku složenijim zadatkom.
Multitenancy
U oblaku, CSP može pohraniti podatke iz brojnih organizacija (multitenancy) na istom serveru. Iako je ovo uobičajena praksa za javne servere u oblaku, ona uvodi dodatne rizike i složenost za održavanje sigurnosti i usklađenosti.
Modeli usluga u oblaku
Podjela sigurnosnih odgovornosti mijenja se u zavisnosti od tipa korišćenog modela usluge u oblaku – Infrastruktura kao usluga (IaaS), Platforma kao usluga (PaaS) ili Softver kao usluga (SaaS). Ovo utiče na to kako organizacija implementira Okvir.
Strategije za postizanje usklađenosti sa NIST-om u oblaku
S obzirom na jedinstvenost računarstva u oblaku, organizacije moraju primijeniti posebne mjere kako bi postigle usklađenost sa NIST-om. Evo liste strategija koje će pomoći vašoj organizaciji da postigne i održi usklađenost sa NIST okvirom za kibernetičku sigurnost:
1. Shvatite svoju odgovornost
Pravite razliku između odgovornosti CSP-a i vaših vlastitih. Obično, CSP-ovi se bave bezbednošću infrastrukture oblaka dok vi upravljate svojim podacima, pristupom korisnika i aplikacijama.
2. Sprovedite redovne sigurnosne procjene
Povremeno procijenite sigurnost u oblaku kako biste identificirali potencijal ranjivosti. Iskoristite alat koje pruža vaš CSP i razmotrite reviziju treće strane iz nepristrasne perspektive.
3. Osigurajte svoje podatke
Upotrijebite snažne protokole za šifriranje za podatke u mirovanju i u prijenosu. Pravilno upravljanje ključevima je od suštinskog značaja za izbjegavanje neovlaštenog pristupa. I ti bi trebao postaviti VPN i zaštitne zidove za povećanje zaštite vaše mreže.
4. Implementirajte robusne protokole za upravljanje identitetom i pristupom (IAM).
IAM sistemi, kao što je višefaktorska autentikacija (MFA), omogućavaju vam da odobrite pristup na osnovu potrebnog znanja i spriječite neovlaštene korisnike da uđu u vaš softver i uređaje.
5. Kontinuirano nadgledajte svoj rizik za sajber sigurnost
moć Sistemi za upravljanje sigurnosnim informacijama i događajima (SIEM). i Sistemi za otkrivanje upada (IDS) za kontinuirano praćenje. Ovi alati vam omogućavaju da brzo odgovorite na sva upozorenja ili kršenja.
6. Razviti plan odgovora na incidente
Razvijte dobro definiran plan odgovora na incidente i osigurajte da je vaš tim upoznat s procesom. Redovno pregledajte i testirajte plan kako biste osigurali njegovu učinkovitost.
7. Sprovođenje redovnih revizija i pregleda
ponašanje redovne bezbednosne revizije u skladu sa NIST standardima i prilagodite svoje politike i procedure u skladu sa tim. Ovo će osigurati da su vaše sigurnosne mjere aktuelne i efikasne.
8. Obučite svoje osoblje
Opremite svoj tim potrebnim znanjem i vještinama o najboljim praksama sigurnosti u oblaku i važnosti usklađenosti s NIST-om.
9. Redovno sarađujte sa svojim CSP-om
Redovno se povezujte sa svojim CSP-om u vezi sa njihovim sigurnosnim praksama i razmotrite sve dodatne sigurnosne ponude koje mogu imati.
10. Dokumentirajte sve sigurnosne zapise u oblaku
Vodite preciznu evidenciju o svim politikama, procesima i procedurama vezanim za sigurnost u oblaku. Ovo može pomoći u demonstriranju usklađenosti sa NIST-om tokom revizija.
Iskoristite HailBytes za usklađenost sa NIST-om u oblaku
dok pridržavanje NIST-ovog okvira za kibernetičku sigurnost je odličan način za zaštitu od rizika kibernetičke sigurnosti i upravljanje njima, a postizanje usklađenosti sa NIST-om u oblaku može biti složeno. Srećom, ne morate se sami baviti složenostima kibernetičke sigurnosti u oblaku i usklađenosti s NIST-om.
Kao stručnjaci za sigurnosnu infrastrukturu u oblaku, HailBytes je tu da pomogne vašoj organizaciji da postigne i održi usklađenost sa NIST-om. Pružamo alate, usluge i obuku za jačanje vašeg položaja u vezi s sajber sigurnosti.
Naš cilj je da softver otvorenog koda učinimo lakim za postavljanje i teškim za infiltriranje. HailBytes nudi niz proizvodi za cyber sigurnost na AWS-u kako biste pomogli vašoj organizaciji da poboljša svoju sigurnost u oblaku. Takođe pružamo besplatne resurse za obrazovanje o sajber-bezbednosti kako bismo pomogli vama i vašem timu da razvijete snažno razumevanje bezbednosne infrastrukture i upravljanja rizicima.
autor
Zach Norton je stručnjak za digitalni marketing i stručni pisac na Pentest-Tools.com, s višegodišnjim iskustvom u sajber sigurnosti, pisanju i kreiranju sadržaja.
