Dosažení souladu s NIST v cloudu: Strategie a úvahy
Pohyb ve virtuálním bludišti dodržování předpisů v digitálním prostoru je skutečnou výzvou, které moderní organizace čelí, zejména pokud jde o Rámec kybernetické bezpečnosti Národního institutu pro standardy a technologie (NIST)..
Tato úvodní příručka vám pomůže lépe porozumět NIST Kybernetická bezpečnost Framework a jak dosáhnout souladu s NIST v cloudu. Pojďme do toho.
Co je rámec kybernetické bezpečnosti NIST?
Rámec kybernetické bezpečnosti NIST poskytuje organizacím přehled, jak rozvíjet a zlepšovat své programy řízení rizik v oblasti kybernetické bezpečnosti. Má být flexibilní, sestávat ze široké škály aplikací a přístupů, které zohledňují jedinečné potřeby každé organizace v oblasti kybernetické bezpečnosti.
Rámec se skládá ze tří částí – jádra, implementačních úrovní a profilů. Zde je přehled každého z nich:
Rámcové jádro
Framework Core zahrnuje pět primárních funkcí, které poskytují efektivní strukturu pro řízení rizik kybernetické bezpečnosti:
- Identifikovat: Zahrnuje vývoj a prosazování a politika kybernetické bezpečnosti který nastiňuje kybernetická bezpečnostní rizika organizace, strategie prevence a řízení kybernetických útoků a role a odpovědnosti jednotlivců s přístupem k citlivým datům organizace.
- Chránit: Zahrnuje vypracování a pravidelnou implementaci komplexního plánu ochrany pro snížení rizika kybernetických útoků. To často zahrnuje školení v oblasti kybernetické bezpečnosti, přísné kontroly přístupu, šifrování, penetrační zkouškya aktualizace softwaru.
- Zjistit: Zahrnuje vyvíjení a pravidelnou implementaci vhodných aktivit k co nejrychlejšímu rozpoznání kybernetického útoku.
- Reagovat: Zahrnuje vypracování komplexního plánu popisujícího kroky, které je třeba podniknout v případě kybernetického útoku.
- Uzdravit se: Zahrnuje vývoj a implementaci vhodných aktivit pro obnovení toho, co bylo ovlivněno incidentem, zlepšení bezpečnostních postupů a pokračování v ochraně před útoky kybernetické bezpečnosti.
V rámci těchto funkcí jsou kategorie, které specifikují aktivity kybernetické bezpečnosti, podkategorie, které rozdělují aktivity na přesné výsledky, a informativní reference, které poskytují praktické příklady pro každou podkategorii.
Úrovně implementace rámce
Úrovně implementace rámce ukazují, jak organizace pohlíží na rizika kybernetické bezpečnosti a jak je řídí. Existují čtyři úrovně:
- Úroveň 1: Částečná: Malá informovanost a zavádí řízení rizik kybernetické bezpečnosti případ od případu.
- Úroveň 2: Informování o riziku: Povědomí o kybernetickém riziku a postupy řízení existují, ale nejsou standardizovány.
- Úroveň 3: Opakovatelné: Formální zásady řízení rizik pro celou společnost a pravidelně je aktualizujte na základě změn v obchodních požadavcích a prostředí hrozeb.
- Úroveň 4: Adaptivní: Proaktivně zjišťuje a předpovídá hrozby a zlepšuje postupy kybernetické bezpečnosti na základě minulých a současných aktivit organizace a vyvíjejících se hrozeb, technologií a postupů v oblasti kybernetické bezpečnosti.
Rámcový profil
Rámcový profil nastiňuje soulad základního rámce organizace s obchodními cíli, tolerancí kybernetického zabezpečení a zdroji. Profily lze použít k popisu aktuálního a cílového stavu řízení kybernetické bezpečnosti.
Aktuální profil ukazuje, jak se organizace aktuálně vypořádává s riziky kybernetické bezpečnosti, zatímco cílový profil podrobně popisuje výsledky, které organizace potřebuje k dosažení cílů řízení kybernetických rizik.
Soulad s NIST v cloudu vs. On-Premise Systems
Zatímco NIST Cybersecurity Framework lze použít na všechny technologie, cloud computing je jedinečný. Pojďme prozkoumat několik důvodů, proč se soulad NIST v cloudu liší od tradiční místní infrastruktury:
Odpovědnost za bezpečnost
U tradičních on-premise systémů je za veškerou bezpečnost odpovědný uživatel. V cloud computingu jsou bezpečnostní odpovědnosti sdíleny mezi poskytovatelem cloudových služeb (CSP) a uživatelem.
Takže zatímco CSP je zodpovědný za bezpečnost „cloudu“ (např. fyzických serverů, infrastruktury), uživatel je zodpovědný za bezpečnost „v“ cloudu (např. data, aplikace, správa přístupu).
To mění strukturu rámce NIST, protože vyžaduje plán, který bere v úvahu obě strany a důvěřuje v řízení a systém zabezpečení CSP a jeho schopnost udržovat soulad s NIST.
Umístění dat
V tradičních on-premise systémech má organizace úplnou kontrolu nad tím, kde jsou její data uložena. Naproti tomu cloudová data mohou být uložena na různých místech po celém světě, což vede k různým požadavkům na shodu na základě místních zákonů a předpisů. Organizace to musí vzít v úvahu při udržování souladu s NIST v cloudu.
Škálovatelnost a elasticita
Cloudová prostředí jsou navržena tak, aby byla vysoce škálovatelná a elastická. Dynamická povaha cloudu znamená, že bezpečnostní kontroly a zásady musí být také flexibilní a automatizované, takže dodržování NIST v cloudu je složitější.
Vícenájem
V cloudu může CSP ukládat data z mnoha organizací (multitenance) na stejném serveru. I když je to běžná praxe u serverů veřejného cloudu, přináší další rizika a složitosti pro zachování zabezpečení a dodržování předpisů.
Modely cloudových služeb
Rozdělení odpovědností za zabezpečení se mění v závislosti na typu použitého modelu cloudové služby – Infrastruktura jako služba (IaaS), Platforma jako služba (PaaS) nebo Software jako služba (SaaS). To má vliv na to, jak organizace implementuje rámec.
Strategie pro dosažení souladu s NIST v cloudu
Vzhledem k jedinečnosti cloud computingu musí organizace uplatnit konkrétní opatření, aby dosáhly souladu s NIST. Zde je seznam strategií, které vaší organizaci pomohou dosáhnout a udržet soulad s NIST Cybersecurity Framework:
1. Pochopte svou odpovědnost
Rozlišujte mezi odpovědností CSP a svou vlastní. Poskytovatelé služeb obvykle zajišťují zabezpečení cloudové infrastruktury, zatímco vy spravujete svá data, uživatelský přístup a aplikace.
2. Provádějte pravidelná bezpečnostní hodnocení
Pravidelně vyhodnocujte zabezpečení svého cloudu, abyste identifikovali potenciál zranitelností. Využijte nástroje poskytuje váš CSP a zvažte audit třetí strany pro objektivní pohled.
3. Zabezpečte svá data
Používejte silné šifrovací protokoly pro data v klidu a při přenosu. Správná správa klíčů je nezbytná, aby se zabránilo neoprávněnému přístupu. Také byste měli nastavit VPN a firewally pro zvýšení ochrany vaší sítě.
4. Implementujte protokoly Robust Identity and Access Management (IAM).
Systémy IAM, jako je vícefaktorová autentizace (MFA), vám umožňují udělit přístup na základě potřeby vědět a zabránit neoprávněným uživatelům v přístupu k vašemu softwaru a zařízením.
5. Průběžně sledujte svá kybernetická bezpečnostní rizika
Vliv Systémy správy bezpečnostních informací a událostí (SIEM). a Intrusion Detection Systems (IDS) pro průběžné monitorování. Tyto nástroje vám umožňují rychle reagovat na jakákoli upozornění nebo porušení.
6. Vypracujte plán reakce na incidenty
Vypracujte dobře definovaný plán reakce na incidenty a ujistěte se, že váš tým je s procesem obeznámen. Plán pravidelně kontrolujte a testujte, abyste zajistili jeho účinnost.
7. Provádějte pravidelné audity a revize
Vedení pravidelné bezpečnostní audity proti standardům NIST a podle toho upravte své zásady a postupy. Tím zajistíte, že vaše bezpečnostní opatření budou aktuální a účinná.
8. Vyškolte své zaměstnance
Vybavte svůj tým nezbytnými znalostmi a dovednostmi v oblasti osvědčených postupů zabezpečení cloudu a důležitosti dodržování norem NIST.
9. Pravidelně spolupracujte se svým CSP
Pravidelně komunikujte se svým CSP o jeho bezpečnostních postupech a zvažte případné další nabídky zabezpečení.
10. Zdokumentujte všechny záznamy o zabezpečení cloudu
Uchovávejte pečlivé záznamy o všech zásadách, procesech a postupech souvisejících se zabezpečením cloudu. To může pomoci při prokazování souladu s NIST během auditů.
Využití HailBytes pro soulad s NIST v cloudu
Zatímco dodržování rámce kybernetické bezpečnosti NIST je vynikající způsob, jak chránit a řídit rizika kybernetické bezpečnosti, dosažení souladu s NIST v cloudu může být složité. Naštěstí nemusíte řešit složitosti cloudové kybernetické bezpečnosti a dodržování NIST sami.
Jako specialisté na cloudovou bezpečnostní infrastrukturu Hailbytes je zde, aby pomohl vaší organizaci dosáhnout a udržet soulad s NIST. Poskytujeme nástroje, služby a školení k posílení vaší pozice v oblasti kybernetické bezpečnosti.
Naším cílem je, aby se bezpečnostní software s otevřeným zdrojovým kódem snadno nastavil a aby bylo obtížné proniknout. HailBytes nabízí řadu produkty kybernetické bezpečnosti na AWS pomoci vaší organizaci zlepšit zabezpečení cloudu. Poskytujeme také bezplatné vzdělávací zdroje v oblasti kybernetické bezpečnosti, které vám a vašemu týmu pomohou rozvinout důkladné porozumění bezpečnostní infrastruktuře a řízení rizik.
Autor
Zach Norton je specialista na digitální marketing a odborný spisovatel na Pentest-Tools.com s několikaletými zkušenostmi v oblasti kybernetické bezpečnosti, psaní a tvorby obsahu.
