Постигнување на усогласеност со NIST во облакот: стратегии и размислувања
Навигацијата низ виртуелниот лавиринт на усогласеност во дигиталниот простор е вистински предизвик со кој се соочуваат современите организации, особено во однос на Рамка за сајбер-безбедност на Националниот институт за стандарди и технологија (NIST)..
Овој воведен водич ќе ви помогне да стекнете подобро разбирање за NIST Cybersecurity Рамка и како да се постигне усогласеност со NIST во облакот. Ајде да скокнеме.
Што е NIST Рамката за сајбер безбедност?
Рамката за сајбер безбедност NIST обезбедува преглед за организациите да ги развијат и подобрат своите програми за управување со ризик од сајбер-безбедност. Наменет е да биде флексибилен, кој се состои од широк спектар на апликации и пристапи за да се земат предвид уникатните потреби за сајбер-безбедност на секоја организација.
Рамката е составена од три дела - јадро, нивоа на имплементација и профили. Еве преглед на секоја од нив:
Рамковно јадро
Рамковното јадро вклучува пет основни функции за да се обезбеди ефективна структура за управување со ризиците од сајбер безбедноста:
- Идентификуваат: Вклучува развивање и спроведување a политика за сајбер безбедност кој го прикажува ризикот од сајбер безбедноста на организацијата, стратегиите за спречување и управување со сајбер напади и улогите и одговорностите на поединците со пристап до чувствителните податоци на организацијата.
- Заштитете: Вклучува развивање и редовно спроведување на сеопфатен план за заштита за да се намали ризикот од напади на сајбер безбедноста. Ова често вклучува обука за сајбер безбедност, строги контроли на пристап, шифрирање, тестирање на пенетрација, и ажурирање на софтверот.
- Откријте: Вклучува развивање и редовно спроведување на соодветни активности за да се препознае нападот на сајбер безбедноста што е можно побрзо.
- Одговори: Вклучува развој на сеопфатен план во кој се наведени чекорите што треба да се преземат во случај на напад на сајбер безбедноста.
- Вратете се: Вклучува развој и имплементација на соодветни активности за враќање на она што беше погодено од инцидентот, подобрување на безбедносните практики и продолжување на заштитата од напади на сајбер безбедноста.
Во рамките на тие функции се Категории кои ги специфицираат активностите за сајбер-безбедност, Поткатегории кои ги разложуваат активностите на прецизни резултати и Информативни референци кои даваат практични примери за секоја Поткатегорија.
Нивоа за имплементација на рамка
Нивоата за имплементација на рамката покажуваат како една организација гледа и управува со ризиците од сајбер безбедноста. Постојат четири нивоа:
- Ниво 1: Делумно: Мала свест и имплементира управување со ризикот од сајбер безбедноста од случај до случај.
- Ниво 2: Информирани за ризик: Свеста за ризикот од сајбер безбедноста и практиките за управување постојат, но не се стандардизирани.
- Ниво 3: Повторливо: Формални политики за управување со ризик ширум компанијата и редовно ги ажурира врз основа на промените во деловните барања и пејзажот на закани.
- Ниво 4: Адаптивно: Проактивно открива и предвидува закани и ги подобрува практиките за сајбер безбедност врз основа на минатите и сегашните активности на организацијата и развојните закани, технологии и практики за сајбер-безбедноста.
Рамковен профил
Рамковниот профил го прикажува усогласувањето на јадрото на рамката на организацијата со нејзините деловни цели, толеранцијата на ризик од сајбер-безбедност и ресурсите. Профилите може да се користат за да се опише моменталната и целната состојба на управување со сајбер безбедноста.
Тековниот профил илустрира како организацијата моментално се справува со ризиците од сајбер-безбедноста, додека Целниот профил ги детализира резултатите на организацијата за да ги постигне целите за управување со сајбер-безбедносните ризици.
Усогласеност со NIST во Cloud vs. On-Premise системи
Додека NIST Рамката за сајбер безбедност може да се примени на сите технологии, облак компјутери е единствен. Ајде да истражиме неколку причини зошто усогласеноста со NIST во облакот се разликува од традиционалната инфраструктура во просториите:
Одговорност за безбедност
Со традиционалните системи во просториите, корисникот е одговорен за целата безбедност. Во cloud computing, безбедносните одговорности се делат помеѓу давателот на облак услуги (CSP) и корисникот.
Значи, додека CSP е одговорен за безбедноста „на“ облакот (на пример, физички сервери, инфраструктура), корисникот е одговорен за безбедноста „во“ облакот (на пр. податоци, апликации, управување со пристап).
Ова ја менува структурата на NIST Framework, бидејќи бара план кој ги зема предвид двете страни и довербата во безбедносното управување и системот на CSP и неговата способност да одржува усогласеност со NIST.
Локација на податоци
Во традиционалните системи во просториите, организацијата има целосна контрола врз тоа каде се складирани нејзините податоци. Спротивно на тоа, податоците од облакот може да се складираат на различни локации на глобално ниво, што доведува до различни барања за усогласеност врз основа на локалните закони и прописи. Организациите мора да го земат предвид ова кога одржуваат усогласеност со NIST во облакот.
Приспособливост и еластичност
Облачните средини се дизајнирани да бидат многу скалабилни и еластични. Динамичната природа на облакот значи дека безбедносните контроли и политики, исто така, треба да бидат флексибилни и автоматизирани, со што усогласеноста со NIST во облакот е посложена задача.
Мултизакуп
Во облакот, CSP може да складира податоци од бројни организации (мултитенанси) на истиот сервер. Иако ова е вообичаена практика за јавните облак сервери, воведува дополнителни ризици и сложеност за одржување на безбедноста и усогласеноста.
Модели на услуги во облак
Поделбата на безбедносните одговорности се менува во зависност од видот на моделот на услугата облак што се користи - Инфраструктура како услуга (IaaS), Платформа како услуга (PaaS) или Софтвер како услуга (SaaS). Ова влијае на тоа како организацијата ја имплементира Рамката.
Стратегии за постигнување усогласеност со NIST во облакот
Со оглед на уникатноста на cloud computing, организациите треба да применат конкретни мерки за да постигнат усогласеност со NIST. Еве список на стратегии кои ќе и помогнат на вашата организација да достигне и одржува усогласеност со Рамката за сајбер безбедност NIST:
1. Разберете ја вашата одговорност
Разликувајте помеѓу одговорностите на CSP и вашите сопствени. Вообичаено, CSP се справува со безбедноста на облак инфраструктурата додека управувате со вашите податоци, кориснички пристап и апликации.
2. Спроведете редовни безбедносни проценки
Периодично проценувајте ја безбедноста на вашиот облак за да го идентификувате потенцијалот Слабости. Искористете го алатки обезбедени од вашиот CSP и размислете за ревизија од трета страна за непристрасна перспектива.
3. Обезбедете ги вашите податоци
Користете силни протоколи за шифрирање за податоци во мирување и во транзит. Правилното управување со клучеви е од суштинско значење за да се избегне неовластен пристап. Вие исто така треба да поставете VPN и заштитни ѕидови за да ја зголемите заштитата на вашата мрежа.
4. Спроведување на робусни протоколи за управување со идентитет и пристап (IAM).
Системите IAM, како што е автентикацијата со повеќе фактори (MFA), ви дозволуваат да дозволите пристап врз основа на потребата да се знае и да спречите неовластени корисници да влезат во вашиот софтвер и уреди.
5. Континуирано следете го вашиот ризик од сајбер-безбедност
Предност Системи за безбедност на информации и управување со настани (SIEM). и Системи за откривање на упад (IDS) за тековно следење. Овие алатки ви дозволуваат да реагирате навремено на какви било предупредувања или прекршувања.
6. Развијте план за одговор на инциденти
Развијте добро дефиниран план за одговор на инциденти и уверете се дека вашиот тим е запознаен со процесот. Редовно прегледувајте го и тестирајте го планот за да ја осигурате неговата ефикасност.
7. Вршете редовни ревизии и прегледи
Спроведе редовни безбедносни контроли против стандардите NIST и соодветно приспособете ги вашите политики и процедури. Ова ќе обезбеди дека вашите безбедносни мерки се актуелни и ефективни.
8. Обучете го вашиот персонал
Опремете го вашиот тим со потребните знаења и вештини за најдобрите практики за безбедност на облак и важноста на усогласеноста со NIST.
9. Редовно соработувајте со вашиот CSP
Редовно поврзувајте се со вашиот CSP за нивните безбедносни практики и разгледајте ги сите дополнителни безбедносни понуди што може да ги имаат.
10. Документирајте ги сите безбедносни записи во Cloud
Водете прецизна евиденција за сите политики, процеси и процедури поврзани со безбедноста на облакот. Ова може да помогне да се покаже усогласеноста со NIST за време на ревизиите.
Искористување на HailBytes за усогласеност со NIST во облакот
Додека придржувајќи се до NIST Рамката за сајбер безбедност е одличен начин за заштита од и управување со ризици од сајбер безбедноста, постигнувањето усогласеност со NIST во облакот може да биде сложено. За среќа, не треба сами да се справувате со комплексноста на облак сајбер-безбедноста и усогласеноста со NIST.
Како специјалисти за инфраструктура за безбедност на облак, HailBytes е тука да и помогне на вашата организација да постигне и одржува усогласеност со NIST. Ние обезбедуваме алатки, услуги и обука за зајакнување на вашето држење на сајбер безбедноста.
Нашата цел е да го направиме безбедносен софтвер со отворен код лесен за поставување и тежок за инфилтрирање. HailBytes нуди низа од производи за сајбер безбедност на AWS да и помогне на вашата организација да ја подобри безбедноста на облакот. Ние, исто така, обезбедуваме бесплатни образовни ресурси за сајбер-безбедност за да ви помогнеме вам и на вашиот тим да негувате силно разбирање за безбедносната инфраструктура и управувањето со ризикот.
автор
Зак Нортон е специјалист за дигитален маркетинг и експерт за пишување на Pentest-Tools.com, со неколкугодишно искуство во сајбер безбедноста, пишувањето и креирањето содржина.
