Контроль безопасности

Меры безопасности — это меры безопасности или контрмеры, позволяющие избежать, обнаружить, противодействовать или минимизировать риски безопасности для физической собственности, информации, компьютерных систем или других активов. ^{[ 1 ]} В сфере информационной безопасности такие меры контроля защищают конфиденциальность, целостность и доступность информации .

Системы контроля можно назвать рамками или стандартами. Платформы могут позволить организации согласованно управлять средствами безопасности для различных типов активов.

Виды контроля безопасности

Меры безопасности можно классифицировать по различным критериям. Например, средства контроля можно классифицировать по тому, как/когда/где они действуют относительно нарушения безопасности (иногда называемые типами средств контроля ):

Превентивные меры предназначены для предотвращения инцидентов, например, путем блокировки несанкционированных злоумышленников;
Детективные меры предназначены для идентификации, характеристики и регистрации инцидента , например, для изоляции подозрительного поведения злоумышленника в сети; ^{[ 2 ]}
Компенсирующие меры смягчают постоянный ущерб от активного инцидента, например, выключение системы при обнаружении вредоносного ПО .
После события корректирующие меры предназначены для восстановления ущерба, причиненного инцидентом, например, путем максимально эффективного восстановления организации до нормального рабочего состояния.

Меры безопасности также можно классифицировать в соответствии с реализацией мер безопасности (иногда называемыми категориями мер ), например:

Физический контроль – например, заборы, двери, замки и огнетушители;
Процедурный или административный контроль – например, процессы реагирования на инциденты , управленческий надзор, осведомленность о безопасности и обучение;
Технические или логические средства контроля – например, аутентификация пользователя (вход в систему) и контроль логического доступа , антивирусное программное обеспечение , брандмауэры ;
Правовой и нормативный контроль или контроль за соблюдением требований — например, законы , политики и положения о конфиденциальности.

Стандарты информационной безопасности и системы контроля

Многочисленные стандарты информационной безопасности продвигают передовые методы обеспечения безопасности и определяют структуры или системы для структурирования анализа и разработки средств управления информационной безопасностью. Ниже приведены некоторые из наиболее известных стандартов.

Международная организация по стандартизации

ISO/IEC 27001:2022 вышел в октябре 2022 года. Все организации, сертифицированные по ISO 27001:2013, обязаны перейти на новую версию стандарта в течение 3 лет (к октябрю 2025 года).

Версия Стандарта 2022 года определяет 93 элемента управления в 4 группах:

A.5: Организационный контроль
A.6: Управление людьми
A.7: Физический контроль
А.8: Технологический контроль

Он группирует эти элементы управления в оперативные возможности следующим образом:

Управление
Управление активами
Защита информации
Безопасность человеческих ресурсов
Физическая безопасность
Системная и сетевая безопасность
Безопасность приложений
Безопасная конфигурация
Управление идентификацией и доступом
Управление угрозами и уязвимостями
Непрерывность
Безопасность отношений с поставщиками
Законодательство и соблюдение требований
Управление событиями информационной безопасности; и
Информационная_безопасность_гарантия

Предыдущая версия стандарта ISO/IEC 27001 определяла 114 элементов управления в 14 группах:

A.5: Политика информационной безопасности
А.6: Как организована информационная безопасность
A.7: Безопасность человеческих ресурсов – меры контроля, которые применяются до, во время или после трудоустройства.
A.8: Управление активами
A.9: Контроль доступа и управление доступом пользователей
A.10: Криптографическая технология
A.11: Физическая безопасность объектов и оборудования организации
А.12: Эксплуатационная безопасность
A.13: Безопасная связь и передача данных
A.14: Безопасное приобретение, разработка и поддержка информационных систем
A.15: Безопасность поставщиков и третьих сторон
A.16: Управление инцидентами
A.17: Непрерывность бизнеса/аварийное восстановление (в той степени, в которой это влияет на информационную безопасность)
A.18: Соответствие – внутренним требованиям, например политикам, и внешним требованиям, например законам.

Стандарты информационной безопасности федерального правительства США

Федеральные стандарты обработки информации (FIPS) применяются ко всем правительственным учреждениям США. Однако некоторые системы национальной безопасности, находящиеся в ведении Комитета по системам национальной безопасности , управляются вне этих стандартов.

Федеральный стандарт обработки информации 200 (FIPS 200), «Минимальные требования безопасности для федеральной информации и информационных систем», определяет минимальные меры безопасности для федеральных информационных систем и процессы, с помощью которых происходит выбор мер безопасности с учетом рисков. Каталог минимальных мер безопасности можно найти в специальной публикации NIST SP 800-53.

FIPS 200 определяет 17 широких семейств средств контроля:

Контроль доступа переменного тока
Осведомленность и обучение AT
Аудит и подотчетность АС
Оценка безопасности и авторизация CA (историческое сокращение)
Управление конфигурацией CM
Планирование действий в чрезвычайных ситуациях CP
Идентификация и аутентификация IA
Реагирование на инциденты IR
МА Техническое обслуживание
МП Медиа Защита
PE Физическая защита и защита окружающей среды
Планирование ПЛ
ПС Кадровая безопасность
Оценка риска РА
Приобретение систем и услуг SA
Защита систем и коммуникаций SC
Система SI и целостность информации

Национальный институт стандартов и технологий

Структура кибербезопасности НИСТ

Система, основанная на зрелости, разделена на пять функциональных областей и примерно 100 отдельных элементов управления в ее «ядре».

НИСТ СП-800-53

База данных, содержащая около тысячи технических средств контроля, сгруппированных по семействам и перекрестным ссылкам.

Начиная с версии 3 документа 800-53, были определены средства контроля управления программой. Эти элементы управления не зависят от элементов управления системой, но необходимы для эффективной программы безопасности.
Начиная с 4-й редакции 800-53, было определено восемь семейств мер обеспечения конфиденциальности, чтобы привести меры безопасности в соответствие с ожиданиями федерального закона в отношении конфиденциальности.
Начиная с 5-й версии 800-53, элементы управления также обеспечивают конфиденциальность данных, как это определено структурой конфиденциальности данных NIST.

Коммерческие комплекты управления

КОБИТ5

Собственный набор элементов управления, опубликованный ISACA. ^{[ 3 ]}

Управление корпоративными ИТ
- Оценка, руководство и мониторинг (EDM) – 5 процессов
Управление корпоративными ИТ
- Выравнивание, планирование и организация (APO) – 13 процессов
- Сборка, приобретение и внедрение (BAI) – 10 процессов
- Доставка, обслуживание и поддержка (DSS) – 6 процессов
- Мониторинг, оценка и оценка (MEA) – 3 процесса

Контроль СНГ (СНГ 18)

Ранее известный как SANS Critical Security Controls, теперь официально называемый CIS Critical Security Controls (COS Controls). ^{[ 4 ]} Элементы управления CIS разделены на 18 элементов управления.

CIS Control 1: Инвентаризация и контроль активов предприятия
CIS Control 2: Инвентаризация и контроль программных активов
CIS Control 3: Защита данных
CIS Control 4: Безопасная настройка корпоративных активов и программного обеспечения
CIS Control 5: Управление учетными записями
CIS Control 6: Управление контролем доступа
CIS Control 7: Постоянное управление уязвимостями
CIS Control 8: Управление журналом аудита
CIS Control 9: Защита электронной почты и веб-браузера
CIS Control 10: Защита от вредоносных программ
CIS Control 11: Восстановление данных
CIS Control 12: Управление сетевой инфраструктурой
CIS Control 13: Мониторинг и защита сети
CIS Control 14: Осведомленность в вопросах безопасности и обучение навыкам
CIS Control 15: Управление поставщиками услуг
CIS Control 16: Безопасность прикладного программного обеспечения
CIS Control 17: Управление реагированием на инциденты
CIS Control 18: Тестирование на проникновение

Средства контроля далее подразделяются на группы реализации (IG), которые представляют собой рекомендуемое руководство для определения приоритетности внедрения средств контроля CIS. ^{[ 5 ]}

Телекоммуникации

В телекоммуникациях меры безопасности определяются как услуги безопасности как часть модели OSI :

Рекомендация МСЭ-Т X.800.
ИСО ИСО 7498-2

Они технически согласованы. ^{[ 6 ]}^{[ 7 ]} Эта модель широко известна. ^{[ 8 ]} ^{[ 9 ]}

Ответственность за данные (юридическая, нормативная, комплаенс)

Ответственность за данные определяется на пересечении рисков безопасности и законов, устанавливающих стандарты ухода. Появляется несколько баз данных, которые помогут риск-менеджерам исследовать законы, определяющие ответственность на уровне страны, провинции/штата и местного уровня. В этих наборах средств контроля соблюдение соответствующих законов является фактическим средством снижения рисков.

Таблица уведомлений о нарушениях безопасности Perkins Coie: набор статей (по одной на каждый штат), определяющих требования к уведомлению о нарушениях данных в штатах США. ^{[ 10 ]}
Законы NCSL об уведомлениях о нарушениях безопасности: список законодательных актов штатов США, определяющих требования к уведомлению о нарушениях данных. ^{[ 11 ]}
Юрисдикция ts: коммерческая исследовательская платформа в области кибербезопасности, охватывающая более 380 законов штатов и федеральных законов США, влияющих на кибербезопасность до и после нарушения. Его юрисдикция также соответствует системе кибербезопасности NIST. ^{[ 12 ]}

Системы контроля бизнеса

Существует широкий спектр рамок и стандартов, касающихся внутреннего бизнеса и межбизнесового контроля, в том числе:

САУЭ 16
ИСАЭ 3402
Стандарт безопасности данных индустрии платежных карт
Закон о переносимости и подотчетности медицинского страхования
КОБИТ 4/5
Топ-20 стран СНГ
Структура кибербезопасности НИСТ

См. также

Контроль доступа
Авиационная безопасность
Контрмера
Глубокоэшелонированная защита
Экологический дизайн
Информационная безопасность
Физическая безопасность
Риск
Безопасность
Инженерия безопасности
Управление безопасностью
Услуги безопасности
Модель Гордона – Леба для инвестиций в кибербезопасность

Ссылки

^ «Что такое меры безопасности?» . www.ibm.com . Проверено 31 октября 2020 г.
^ «Детективный контроль» . АВС . 12 декабря 2022 г.
^ «COBIT Framework | Риски и управление | Управление ИТ на предприятии — ISACA» . cobitonline.isaca.org . Проверено 18 марта 2020 г.
^ «18 элементов управления СНГ» . СНГ . Проверено 8 ноября 2022 г.
^ «Группы реализации критических мер безопасности в СНГ» . СНГ . Проверено 8 ноября 2022 г.
^ X.800: Архитектура безопасности для взаимодействия открытых систем для приложений CCITT
^ ISO 7498-2 (Системы обработки информации. Взаимосвязь открытых систем. Базовая эталонная модель. Часть 2: Архитектура безопасности)
^ Уильям Столлингс Криптография и сетевая безопасность Второе издание ISBN 88-386-6377-7 Итальянский перевод Луки Сальгарелли криптографии и сетевой безопасности, 4-е издание. Пирсон 2006 г.
^ Защита информационных и коммуникационных систем: принципы, технологии и приложения. Стивен Фернелл, Сократис Кацикас, Хавьер Лопес, Artech House, 2008 г. - 362 страницы.
^ «Таблица уведомлений о нарушениях безопасности» . Перкинс Кой . Проверено 18 марта 2020 г.
^ «Законы об уведомлениях о нарушениях безопасности» . www.ncsl.org . Проверено 18 марта 2020 г.
^ "ТС юрисдикция" . Эскиз угрозы . Проверено 18 марта 2020 г.

Внешние ссылки

[1] «Что такое меры безопасности?» . www.ibm.com . Проверено 31 октября 2020 г.

[2] «Детективный контроль» . АВС . 12 декабря 2022 г.

[3] «COBIT Framework | Риски и управление | Управление ИТ на предприятии — ISACA» . cobitonline.isaca.org . Проверено 18 марта 2020 г.

[4] «18 элементов управления СНГ» . СНГ . Проверено 8 ноября 2022 г.

[5] «Группы реализации критических мер безопасности в СНГ» . СНГ . Проверено 8 ноября 2022 г.

[x800-6] X.800: Архитектура безопасности для взаимодействия открытых систем для приложений CCITT

[7] ISO 7498-2 (Системы обработки информации. Взаимосвязь открытых систем. Базовая эталонная модель. Часть 2: Архитектура безопасности)

[Stal-8] Уильям Столлингс Криптография и сетевая безопасность Второе издание ISBN 88-386-6377-7 Итальянский перевод Луки Сальгарелли криптографии и сетевой безопасности, 4-е издание. Пирсон 2006 г.

[FURNELL-9] Защита информационных и коммуникационных систем: принципы, технологии и приложения. Стивен Фернелл, Сократис Кацикас, Хавьер Лопес, Artech House, 2008 г. - 362 страницы.

[10] «Таблица уведомлений о нарушениях безопасности» . Перкинс Кой . Проверено 18 марта 2020 г.

[11] «Законы об уведомлениях о нарушениях безопасности» . www.ncsl.org . Проверено 18 марта 2020 г.

[12] "ТС юрисдикция" . Эскиз угрозы . Проверено 18 марта 2020 г.

[ 1 ]

[ 2 ]

[ 3 ]

[ 4 ]

[ 5 ]

[ 6 ]

[ 7 ]

[ 8 ]

[ 9 ]

[ 10 ]

[ 11 ]

[ 12 ]