Συμμόρφωση στην Κυβερνοασφάλεια

Η συμμόρφωση στην κυβερνοασφάλεια σημαίνει ότι τα μέτρα ασφάλειας ενός οργανισμού αντιστοιχούν σε ένα σύνολο εξωτερικών απαιτήσεων και ότι ο οργανισμός μπορεί να το δείξει όταν του ζητηθεί. Οι απαιτήσεις μπορεί να προέρχονται από νόμο, από κλαδικό κανονισμό, από σύμβαση με πελάτη ή από δημοσιευμένο πρότυπο. Το ερώτημα είναι πάντα το ίδιο: κάνει ο οργανισμός ό,τι ορίζει ο κανόνας και μπορεί να το αποδείξει;

Συνδέεται στενά με την προστασία δεδομένων, επειδή οι περισσότεροι κανόνες υπάρχουν για να προστατεύουν προσωπικές, οικονομικές ή υγειονομικές πληροφορίες. Είναι επίσης διοικητικό καθήκον: οι υποχρεώσεις πρέπει να παρακολουθούνται, να ανατίθενται και να επανεξετάζονται, και αυτό είναι το αντικείμενο της διαχείρισης συμμόρφωσης.

Η σημαντικότερη λέξη είναι το τεκμήριο. Ένας έλεγχος που λειτουργεί αλλά δεν αφήνει ίχνος υπερασπίζεται δύσκολα σε έλεγχο ελεγκτών, και μια πολιτική που δεν τηρεί κανείς είναι κίνδυνος, όχι προστασία.

Λίγοι οργανισμοί λογοδοτούν σε ένα μόνο σύνολο κανόνων. Οι πηγές διαφέρουν ως προς το ποιος τις επιβάλλει και τι συμβαίνει όταν παραβιάζονται, γι' αυτό ένα καλό πρώτο βήμα είναι να ταξινομηθούν ανά προέλευση. Πολλά προγράμματα οργανώνονται γύρω από ένα πλαίσιο διαχείρισης, όπως ένα ISMS, και οι πελάτες ζητούν συχνά μια ανεξάρτητη αναφορά, όπως το SOC 2.

Όποιο κι αν είναι το σύνολο κανόνων, η εργασία ακολουθεί έναν κύκλο. Δεν τελειώνει με ένα πιστοποιητικό ή έναν επιτυχημένο έλεγχο, επειδή οι απαιτήσεις, τα συστήματα και οι απειλές αλλάζουν διαρκώς. Ο κύκλος επαναλαμβάνεται μέσω της παρακολούθησης συμμόρφωσης.

1. 1

   Οριοθέτηση υποχρεώσεων

   Καταγράψτε τους νόμους, τα πρότυπα και τις συμβάσεις που ισχύουν, καθώς και τα συστήματα και τα δεδομένα που καλύπτουν.

2. 2

   Αντιστοίχιση απαιτήσεων σε ελέγχους

   Μετατρέψτε κάθε απαίτηση σε συγκεκριμένο έλεγχο με ορισμένο υπεύθυνο, όπως η επανεξέταση πρόσβασης ή η διατήρηση αρχείων καταγραφής.

3. 3

   Εφαρμογή και τεκμηρίωση

   Εφαρμόστε τους ελέγχους και γράψτε πολιτικές και διαδικασίες που οι άνθρωποι μπορούν να ακολουθήσουν.

4. 4

   Συλλογή τεκμηρίων

   Φυλάξτε αρχεία καταγραφής, αναφορές και εγγραφές που δείχνουν κάθε έλεγχο να λειτουργεί με την πάροδο του χρόνου.

5. 5

   Επανεξέταση και βελτίωση

   Δοκιμάστε τους ελέγχους, καλύψτε τα κενά και επαναλάβετε τον κύκλο όταν αλλάζουν οι κανόνες ή τα συστήματα.

Τα τεκμήρια προέρχονται συνήθως από τα εργαλεία που παρακολουθούν δεδομένα και χρήστες. Στην κονσόλα της Anexet, οι κανόνες ασφάλειας καταγράφουν περιστατικά με επίπεδο κινδύνου, οι αναφορές περιστατικών μπορούν να δημιουργούνται ανά κανόνα και να αποστέλλονται με χρονοδιάγραμμα, και οι αναφορές ασφάλειας δίνουν στους ελεγκτές ένα αρχείο για να δουλέψουν αντί για στιγμιότυπα οθόνης που μαζεύτηκαν την εβδομάδα πριν από τον έλεγχο.

1 / 3

• 
• 
• 

Η συμμόρφωση αποτυγχάνει συχνότερα στις μεταβιβάσεις ευθυνών παρά στην τεχνολογία. Ένας σύντομος χάρτης ευθυνών συνδέει κάθε απαίτηση με κάποιον που μπορεί να δράσει.

Ένας επιτυχημένος έλεγχος δείχνει ότι οι απαιτούμενοι έλεγχοι υπήρχαν και λειτουργούσαν τη στιγμή της δοκιμής. Δεν αποδεικνύει ότι ο οργανισμός δεν μπορεί να παραβιαστεί. Οι κανόνες θέτουν ένα κατώτατο όριο, και οι επιτιθέμενοι δεν διαβάζουν αυτό το όριο, άρα μια συμμορφούμενη εταιρεία μπορεί και πάλι να πέσει θύμα παραβίασης δεδομένων.

Ισχύει και το αντίστροφο: ισχυρή αλλά αναπόδεικτη ασφάλεια μπορεί να αποτύχει σε έναν έλεγχο. Ο πρακτικός στόχος είναι να αντιμετωπίζουμε τους κανόνες ως βάση και να χτίζουμε την ασφάλεια πάνω της, χρησιμοποιώντας τον κίνδυνο μη συμμόρφωσης για να κρίνουμε πού τα κενά θα κόστιζαν περισσότερο.

Τα περισσότερα προγράμματα σκοντάφτουν στα ίδια σημεία:

• Αντιμετώπιση της συμμόρφωσης ως ετήσιου έργου αντί για διαρκούς διαδικασίας
• Συλλογή τεκμηρίων μόνο τις εβδομάδες πριν από τον έλεγχο
• Αγορά ενός εργαλείου με την υπόθεση ότι αυτό κάνει τον οργανισμό συμμορφούμενο
• Σύνταξη πολιτικών που κανείς δεν έχει διαβάσει ή δεν μπορεί να ακολουθήσει
• Παράβλεψη τρίτων, ενώ η πρόσβασή τους στα δεδομένα σας είναι δική σας ευθύνη

Ξεκινήστε μικρά και συγκεκριμένα. Καταγράψτε ποιοι κανόνες ισχύουν για εσάς, διαλέξτε τα δεδομένα που θα έβλαπταν περισσότερο αν εκτίθεντο και ελέγξτε ότι οι βασικοί έλεγχοι γι' αυτά υπάρχουν και αφήνουν ίχνος. Επεκτείνετε από εκεί, αντί να χτίσετε ένα πλαίσιο που κανείς δεν χρησιμοποιεί.