Τι καλύπτει η παρακολούθηση συμμόρφωσης
Αντικείμενο της παρακολούθησης δεν είναι ο ίδιος ο κανονισμός, αλλά οι δεσμεύσεις του ίδιου του οργανισμού: εσωτερικές πολιτικές (χειρισμός δεδομένων, αποδεκτή χρήση, έλεγχος πρόσβασης), οι τεχνικοί έλεγχοι, όπως το Data Loss Prevention, που τις εφαρμόζουν και οι υποχρεώσεις που αντιστοιχούν σε πλαίσια όπως GDPR, HIPAA, PCI DSS ή ISO 27001. Ένας κανονισμός δεν παρατηρείται άμεσα. Παρατηρείται αν λειτουργούν οι κανόνες που γράφτηκαν για να τον τηρεί ο οργανισμός.
| Τομέας | Ερώτηση στην οποία απαντά |
|---|---|
| Τήρηση πολιτικών | Τηρούνται οι γραπτοί κανόνες στην πράξη, ανά τμήμα, σύστημα και κανάλι; |
| Αποτελεσματικότητα ελέγχων | Ενεργοποιούνται οι έλεγχοι όταν πρέπει, με αναλογική αντίδραση; |
| Παρακολούθηση υποχρεώσεων | Τηρούνται προθεσμίες, βεβαιώσεις, αναθεωρήσεις και ανανεώσεις; |
| Συμμόρφωση τρίτων | Οι προμηθευτές χειρίζονται δεδομένα εντός των ορίων των συμβάσεων; |
Η παρακολούθηση στηρίζεται στις πολιτικές
Γι' αυτό η παρακολούθηση είναι επικεντρωμένη στις πολιτικές. Κάθε πολιτική μεταφράζεται σε παρατηρήσιμα συμβάντα, όπως ένα αρχείο που φεύγει από μη εγκεκριμένο κανάλι, ένας λογαριασμός με προνόμια που χρησιμοποιείται εκτός παραθύρου αλλαγών ή μια προθεσμία αναθεώρησης που παρήλθε. Το πρόγραμμα παρακολουθεί αυτά τα συμβάντα συνεχώς, όχι μόνο την εποχή του ελέγχου. Η παρακολούθηση δραστηριότητας χρηστών παρέχει τα συμβάντα που αποδίδονται σε συγκεκριμένο πρόσωπο.
Πώς λειτουργεί ο κύκλος παρακολούθησης
Η παρακολούθηση συμμόρφωσης λειτουργεί ως επαναλαμβανόμενος κύκλος και όχι ως εφάπαξ άσκηση:
- 1
Ορισμός
Μεταφράστε κάθε πολιτική σε σαφείς, ελέγξιμους κανόνες, με ονομαστικό υπεύθυνο και κλίμακα σοβαρότητας.
- 2
Παρατήρηση
Συλλέξτε συμβάντα από σταθμούς εργασίας, συστήματα και εφαρμογές στα κανάλια που αφορούν οι πολιτικές.
- 3
Ανίχνευση
Συσχετίστε τα συμβάντα με τους κανόνες και ταξινομήστε κάθε απόκλιση κατά σοβαρότητα και κατηγορία κινδύνου.
- 4
Δράση
Ειδοποιήστε τον υπεύθυνο, αποκλείστε ή θέστε σε απομόνωση όπου το επιτρέπει ο έλεγχος και ανοίξτε διορθωτική ενέργεια.
- 5
Αναφορά
Συγκεντρώστε τα αποτελέσματα σε μετρήσεις και πακέτα τεκμηρίωσης για τη διοίκηση, τους ελεγκτές και τις αρχές.
Τεκμηρίωση για ελέγχους
Το δεύτερο αποτέλεσμα της παρακολούθησης είναι η τεκμηρίωση. Οι ελεγκτές και οι αρχές σπάνια δέχονται διαβεβαιώσεις. Ρωτούν τι συνέβη, πότε, ποιος εμπλεκόταν και τι έγινε γι' αυτό. Ένα πρόγραμμα παρακολούθησης απαντά με εγγραφές: συμβάντα με χρονοσήμανση συνδεδεμένα με χρήστη, τον κανόνα που ενεργοποιήθηκε, την ταξινόμηση του περιεχομένου και τη διεκπεραίωση κάθε υπόθεσης. Η Anexet συγκεντρώνει αυτές τις εγγραφές σε αναφορές συμμόρφωσης ασφαλείας.
Για να στηρίξει μια εγγραφή ένα συμπέρασμα, πρέπει να είναι πλήρης και αποδιδόμενη. Τα κενά σπάνε την αλυσίδα συλλογισμού, και οι ανώνυμες εγγραφές δεν αποδεικνύουν τίποτα. Σημασία έχει και η διατήρηση: η τεκμηρίωση πρέπει να επιβιώσει του κύκλου ελέγχου, επειδή η ίδια η εγγραφή παρακολούθησης είναι ευαίσθητη. Η διαχείρισή της εμπίπτει στους κανόνες προστασίας δεδομένων.
Μετρήσεις και KPI
Οι μετρήσεις μετατρέπουν τις ακατέργαστες παρατηρήσεις σε πληροφόρηση διοίκησης. Ένα χρηστικό σύνολο είναι μικρό, σταθερό και συνδεδεμένο με πολιτική. Οι πιο συνηθισμένοι δείκτες:
| Δείκτης | Τι δείχνει |
|---|---|
| Ποσοστό παραβιάσεων πολιτικής | Παραβιάσεις ανά εκατό χρήστες ή ανά χίλια συμβάντα, ανά πολιτική και κανάλι |
| Μέσος χρόνος ανίχνευσης (MTTD) | Πόσο διαρκεί μια απόκλιση πριν εμφανιστεί |
| Μέσος χρόνος αποκατάστασης (MTTR) | Από την ανίχνευση έως το κλείσιμο της διορθωτικής ενέργειας, ανά σοβαρότητα |
| Κάλυψη ελέγχου | Μερίδιο συστημάτων, χρηστών και καναλιών στο πεδίο που ο έλεγχος παρακολουθεί |
| Γήρανση εξαιρέσεων | Πόσο μένουν ανοιχτές οι εγκεκριμένες εξαιρέσεις, και οι παλιές γίνονται παραβιάσεις |
| Ποσοστό επαναλαμβανόμενων ευρημάτων | Αν η ίδια απόκλιση επανέρχεται μετά τη διόρθωση |
Παρακολούθηση συμμόρφωσης έναντι παρακολούθησης ασφαλείας
Οι δύο πειθαρχίες μοιράζονται εργαλεία και δεδομένα συμβάντων, αλλά απαντούν σε διαφορετικές ερωτήσεις. Η παρακολούθηση ασφαλείας ρωτά αν ο οργανισμός δέχεται επίθεση. Η μονάδα εργασίας της είναι το περιστατικό ασφαλείας και το ρολόι της μετράει λεπτά. Η παρακολούθηση συμμόρφωσης ρωτά αν ο οργανισμός συμπεριφέρθηκε όπως απαιτούν οι πολιτικές του. Η μονάδα εργασίας της είναι η απόκλιση ή η εξαίρεση και το ρολόι της ο κύκλος ελέγχου.
Στην πράξη αλληλεπικαλύπτονται: μια διαρροή δεδομένων είναι ταυτόχρονα περιστατικό ασφαλείας και παραβίαση πολιτικής. Πολλοί οργανισμοί τρέχουν και τα δύο στις ίδιες ροές συμβάντων. Η ασφάλεια αντιδρά γρήγορα, ενώ η συμμόρφωση κρατά την εγγραφή που εξακολουθεί να μετράει όταν έρθει ο ελεγκτής έναν χρόνο αργότερα. Το πρόγραμμα εσωτερικών απειλών είναι ένας από τους καταναλωτές αυτών των κοινών δεδομένων.
Περισσότερα: Χρήση του συστήματος Anexet Ultimate DLP για συμμόρφωση με τον GDPR; Τι είναι τα συστήματα SIEM για τη διαχείριση της ασφάλειας πληροφοριών;.
Μια πολιτική στο χαρτί είναι ισχυρισμός. Μια εγγραφή παρακολούθησης είναι η τεκμηρίωση.
Anexet TeamΠώς το αντιμετωπίζει η Anexet
Ένα εργαλείο παρακολούθησης δεν καθιστά τον οργανισμό σύμφωνο. Η υποχρέωση παραμένει στον οργανισμό. Η προσφορά του Anexet είναι το στρώμα παρατήρησης για τις πολιτικές που αφορούν τον χειρισμό ευαίσθητων δεδομένων. Παρακολουθεί σε πραγματικό χρόνο τα κανάλια που ρυθμίζουν αυτές οι πολιτικές και κρατά τις εγγραφές που τεκμηριώνουν τι έγινε.
Η αρχιτεκτονική on-premise ταιριάζει επίσης στον ρόλο της τεκμηρίωσης. Οι ίδιες οι εγγραφές παρακολούθησης, δηλαδή τα καταγεγραμμένα συμβάντα, το ιστορικό περιστατικών και τα αρχεία ελέγχου, μένουν στην υποδομή του οργανισμού, όπως συνήθως απαιτεί ένας φάκελος συμμόρφωσης.
Πολιτικές ασφαλείας ως κανόνες παρακολούθησης
Κανόνες βασισμένοι σε περιεχόμενο, όπως λεξικά ασφαλείας, τράπεζες κατακερματισμών, βιβλιοθήκες ψηφιακών αποτυπωμάτων και ετικέτες ευαισθησίας, αξιολογούν συνεχώς τις μεταφορές δεδομένων μέσω email, web, cloud αποθήκευσης, μηνυμάτων, αφαιρούμενων συσκευών, εκτύπωσης και πρόχειρου. Κάθε ταύτιση δημιουργεί καταγεγραμμένο περιστατικό και όχι σιωπηλή γραμμή καταγραφής.
Κατηγοριοποίηση κινδύνου των περιστατικών
Κάθε περιστατικό ταξινομείται σε προρυθμισμένες κατηγορίες κινδύνου, όπως Διαρροή δεδομένων ή Παράβαση νόμου, ή σε δικές σας κατηγορίες. Έτσι οι τάσεις αποκλίσεων μετρώνται ανά πολιτική και δεν εξετάζονται ως ενιαία ροή.
Επιβολή ως μέρος της εγγραφής
Ανάλογα με τη σοβαρότητα και την ταξινόμηση του περιεχομένου, μια πολιτική μπορεί να αποκλείσει τη μεταφορά, να την θέσει σε απομόνωση για έλεγχο, να την καταγράψει ή να στείλει ειδοποίηση. Η ίδια η αντίδραση του ελέγχου γίνεται παρακολουθούμενο και αποδιδόμενο συμβάν.
Πλήρες και αποδιδόμενο ίχνος ελέγχου
Κάθε συμβάν περιέχει τον χρήστη, τη χρονοσήμανση, το κανάλι, την ταξινόμηση του περιεχομένου και την ενέργεια που ελήφθη. Αυτά είναι τα πεδία που ζητά ο ελεγκτής όταν ανασυνθέτει τον χειρισμό ευαίσθητων δεδομένων.
Anexet DLP
Μάθετε περισσότερα