Rialachas DNS crochta le haghaidh NIS2, DORA agus GDPR

Faigheann an CISO an teachtaireacht ag 07:12 maidin Luain.

Tá taighdeoir slándála tar éis promo.company.com a aimsiú agus é ag díriú ar aip néalbhunaithe thréigthe. Tá an taifead DNS fós beo. Tá an acmhainn néalríomhaireachta imithe. Scriosadh an tionónta SaaS a d’fhreastail ar an bhfeachtas sé mhí ó shin, go gairid tar éis don Mhargaíocht aistriú chuig ardán eile. Níor bhain aon duine an CNAME.

Faoi 08:30, ní hé an cheist a thuilleadh, “An féidir le duine an fofhearann a fhorghabháil?” Is í an cheist anois, “Cén fáth nach raibh a fhios ag aon duine go raibh an tsócmhainn seo ann?”

Faoi 09:15, tá an fhoireann Dlí rannpháirteach toisc gur bhailigh an fofhearann seoltaí ríomhphoist tráth do liosta feithimh táirge. Tá Soláthar rannpháirteach toisc gur bhainistigh gníomhaireacht ardán an fheachtais. Tá Comhlíonadh rannpháirteach toisc go bhfuil an chuideachta ag ullmhú d’iniúchadh faireachais ISO/IEC 27001:2022, d’ullmhacht NIS2 agus do cheistneoirí dearbhaithe custaiméirí. Fiafraíonn an DPO an bhféadfadh an nochtadh a bheith ina shárú sonraí pearsanta faoi GDPR dá n-úsáidfí an fofhearann mar arm. Fiafraíonn an CFO an bhféadfadh an laige chéanna dul i bhfeidhm ar thairseach íocaíochtaí laistigh de thimpeallacht seirbhísí airgeadais rialáilte an ghrúpa.

D’fhéadfaí an ceartúchán teicniúil a dhéanamh i gceann cúpla nóiméad. D’fhéadfadh míonna a bheith ag teastáil chun an fhadhb rialachais a réiteach mura féidir leis an eagraíocht a chruthú go bhfuil gach sócmhainn atá ar aghaidh an idirlín ar eolas, faoi úinéireacht, faoi athbhreithniú, faoi fhaireachán agus díchoimisiúnaithe trí phróiseas rialaithe.

Sin é an fáth nach ceart DNS crochta agus cosc ar fhorghabháil fofhearainn a láimhseáil mar thasc cúng glantacháin DNS. Is minic gur comhartha infheicthe é taifead DNS as dáta ar theipeanna rialaithe níos doimhne: fardal sócmhainní neamhiomlán, úinéireacht lag, fianaise díchoimisiúnaithe in easnamh, rialú athruithe lag, bainistíocht neamhleor ar fhoirceannadh soláthraithe, faireachán neamhleor ar an dromchla ionsaithe seachtrach agus aicmiú teagmhais neamhshoiléir.

Do chliaint Clarysec, is tástáil ar an gcóras bainistíochta é DNS crochta. Léiríonn sé an oibríonn beartais, rialuithe, cláir, fianaise agus cuntasacht i ndáiríre nuair a iompaíonn spleáchas néalríomhaireachta dearmadta ina dheis d’ionsaitheoir.

Cad is brí i ndáiríre le DNS crochta

Éiríonn forghabháil fofhearainn indéanta nuair a dhíríonn taifead DNS, CNAME go minic, ar acmhainn nach bhfuil ann a thuilleadh nó nach bhfuil faoi rialú na heagraíochta a thuilleadh. Más féidir le hionsaitheoir an acmhainn sprice a éileamh nó a athchruthú ar an ardán néalríomhaireachta nó SaaS, d’fhéadfadh sé a bheith in ann inneachar a sheirbheáil faoi fhofhearann iontaofa na heagraíochta.

I measc samplaí coitianta tá:

• CNAME a dhíríonn ar sheirbhís aip néalbhunaithe neamhéilithe.
• Óstainm saincheaptha SaaS fágtha in DNS tar éis an síntiús a chealú.
• Dáileadh CDN bainte de chonsól an tsoláthraí ach fós tagartha in DNS poiblí.
• Micreashuíomh margaíochta díchoimisiúnaithe ag gníomhaireacht gan DNS a bhaint.
• Críochphointe stórála nó mapáil suíomh gréasáin statach is féidir a athchumrú.
• Fofhearann forbartha nochtaithe trí thionscadal platform-as-a-service a ndearnadh dearmad air.

D’fhéadfadh tionchar gnó tromchúiseach a bheith aige seo. D’fhéadfadh ionsaitheoirí leathanaigh fhioscaireachta a óstáil, dintiúir a ghabháil, bogearraí mailíseacha a dháileadh, mí-úsáid a bhaint as cáil an fhearainn, sonraí seisiúin a idircheapadh nó damáiste a dhéanamh do mhuinín sa bhranda. I gcás inar phróiseáil an fofhearann sonraí pearsanta roimhe seo, d’fhéadfadh fiú forghabháil ghearrthéarmach anailís sáraithe GDPR a ghníomhachtú. I gcás ina dtacaíonn an tseirbhís lena mbaineann le hoibríochtaí airgeadais rialáilte, d’fhéadfadh sé a bheith riachtanach an teagmhas a mheas faoi DORA nó faoi chreataí inmheánacha riosca TFC freisin.

Feiceann iniúchóirí DNS crochta níos minice anois mar fhianaise ar aibíocht rialaithe. D’fhéadfadh taifead as dáta amháin a léiriú nach bhfuil a fhios ag an eagraíocht cad atá aici, cé leis é, conas a dhéantar athbhreithniú ar athruithe, conas a scoirtear seirbhísí néalríomhaireachta nó conas a dhéantar faireachán ar shócmhainní atá ar aghaidh an idirlín.

Sin é an fáth a mapálann Clarysec an tsaincheist seo ar fud ISO/IEC 27001:2022 ISO/IEC 27001:2022, ISO/IEC 27002:2022 ISO/IEC 27002:2022, NIS2, DORA, GDPR, NIST CSF 2.0 agus ionchais iniúchta COBIT 2019.

Cén fáth gurb é ISO 27001:2022 an cnámh droma praiticiúil

Ní hé an bealach is láidre chun DNS crochta a rialú ná cláir ar leith a chruthú do NIS2, DORA agus GDPR. Is é ISO/IEC 27001:2022 a úsáid mar chnámh droma an chórais bainistíochta agus fianaise a ghiniúint uair amháin do go leor riachtanas dearbhaithe.

Tosaíonn na ceanglais ábhartha roimh Iarscríbhinn A. Éilíonn clásail 4.1 go 4.4 ar an eagraíocht a comhthéacs, ceanglais páirtithe leasmhara, raon feidhme an ISMS agus spleáchais le heagraíochtaí eile a thuiscint. Maidir le rialachas DNS crochta, ba cheart DNS seachtrach, fearainn, cláraitheoirí, seirbhísí néalríomhaireachta, ardáin SaaS, gníomhaireachtaí, óstáil bhainistithe, CDNanna agus aon tríú páirtí atá in ann seirbhísí atá ar aghaidh an idirlín a chruthú nó a scor a chur san áireamh sa raon feidhme.

Déanann clásail 5.1 go 5.3 ceist cheannaireachta agus chuntasachta de seo. Ní mór don bhainistíocht an ISMS a ailíniú le treo an ghnó, acmhainní a chur ar fáil, tábhacht na slándála faisnéise a chur in iúl agus freagrachtaí a shannadh. Más féidir leis an Margaíocht micreashuíomh a sheoladh, más féidir leis an Innealtóireacht críochphointí néalríomhaireachta a chruthú agus más féidir le Soláthar conarthaí SaaS a fhoirceannadh, teastaíonn samhail rialachais ón eagraíocht a shannann úinéireacht shoiléir DNS agus seirbhíse thar na páirtithe sin go léir.

Soláthraíonn clásail 6.1.1 go 6.1.3 an loighic maidir le measúnú riosca, cóireáil riosca agus Ráiteas Infheidhmeachta. Ba cheart DNS crochta a thaifeadadh mar chás riosca réalaíoch, ní mar aschur scanóra amháin. Bíonn tionchar aige ar rúndacht, sláine agus infhaighteacht, agus is minic a mhapálann sé chuig oibleagáidí dlíthiúla, rialála agus conarthacha.

Déanann clásail 7.5, 8.1, 8.2 agus 8.3 fianaise den rialachas. Éilíonn siad faisnéis dhoiciméadaithe rialaithe, próisis oibríochtúla phleanáilte agus rialaithe, breithniú ar athruithe neamhbheartaithe, rialú ar phróisis arna soláthar go seachtrach, measúnuithe riosca tréimhsiúla agus torthaí cóireála doiciméadaithe.

Tugann Iarscríbhinn A an chatalóg rialuithe ansin. I dtionscadail Clarysec, is gnách go mbíonn na caidrimh lárnacha ISO/IEC 27002:2022 mar seo:

Tá an pointe simplí. Ní iarrann ISO/IEC 27001:2022 glantachán aonuaire laochúil. Iarrann sé samhail oibriúcháin rialaithe a choisceann filleadh na faidhbe.

Dearcadh Zenith Controls: riosca amháin, trí ancaire rialaithe

In Zenith Controls: The Cross-Compliance Guide Zenith Controls, úsáideann Clarysec rialuithe ábhartha ISO/IEC 27002:2022 mar ancairí tras-chomhlíonta. Maidir le rialachas DNS crochta agus forghabháil fofhearainn, tá trí rialú lárnach.

Rangaítear Rialú 5.9, Fardal faisnéise agus sócmhainní gaolmhara eile, mar rialú coisctheach; tacaíonn sé le rúndacht, sláine agus infhaighteacht; ailíníonn sé leis an gcoincheap cibearshlándála Identify; agus tá sé suite faoi bhainistíocht sócmhainní mar an cumas oibríochtúil, agus rialachas, éiceachóras agus cosaint mar fhearainn slándála.

Rangaítear Rialú 5.23, Slándáil faisnéise maidir le húsáid seirbhísí néalríomhaireachta, mar rialú coisctheach; tacaíonn sé le rúndacht, sláine agus infhaighteacht; ailíníonn sé le Protect; agus tá sé suite faoi shlándáil chaidrimh soláthraithe mar an cumas oibríochtúil, agus rialachas, éiceachóras agus cosaint mar fhearainn slándála.

Rangaítear Rialú 8.8, Bainistíocht leochaileachtaí teicniúla, mar rialú coisctheach; tacaíonn sé le rúndacht, sláine agus infhaighteacht; ailíníonn sé le Identify agus Protect; agus tá sé suite faoi bhainistíocht bagairtí agus leochaileachtaí mar an cumas oibríochtúil, agus rialachas, éiceachóras, cosaint agus cosaint ghníomhach mar fhearainn slándála.

Tá tábhacht leis seo toisc nach teip rialaithe sócmhainní amháin é DNS crochta, nach teip rialaithe néalríomhaireachta amháin é agus nach leochaileacht amháin é. Is iad na trí rud é. Ní mór don eagraíocht a léiriú go neartaíonn fardal sócmhainní, rialachas úsáide néalríomhaireachta agus bainistíocht leochaileachtaí a chéile.

Is minic a chuireann Clarysec cleachtais tacaíochta leis na hancairí sin: ISO/IEC 27005 le haghaidh disciplín i measúnú agus cóireáil riosca, ISO/IEC 27017 le haghaidh rialachas slándála seirbhísí néalríomhaireachta, ISO/IEC 27018 i gcás ina bpróiseálann seirbhísí néalríomhaireachta PII, ISO/IEC 27701 le haghaidh bainistíocht faisnéise príobháideachais, agus ISO 22301 i gcás ina mbaineann leanúnachas agus freagairt ghéarchéime leis.

An fhianaise bheartais a éilíonn rialú saolré DNS cheana féin

Tá beartais ag go leor eagraíochtaí cheana féin a chuirfeadh cosc ar DNS crochta dá gcuirfí chun feidhme i gceart iad. Is í an bhearna ná nach bhfuil rialú saolré DNS ceangailte go sainráite leis na beartais sin.

Deir Asset Management Policy-sme Clarysec Asset Management Policy-sme - SME, Ceanglais chun an beartas a chur chun feidhme, clásal 6.6.1:

Ní mór sócmhainní néalbhunaithe (m.sh., cuntais stórála, ardáin SaaS, fearainn ghréasáin) a áireamh sa fhardal freisin.

Cuireann an beartas céanna leis i gclásal 6.6.2:

Ní mór úinéireacht, cuspóir, pribhléidí rochtana agus amlínte athnuachana a dhoiciméadú.

Maidir le rialachas DNS crochta, ciallaíonn sé seo gur cheart úinéir ainmnithe, cuspóir gnó, seirbhís nasctha, samhail rochtana agus dáta athbhreithnithe a bheith ag gach fofhearann táirgthe agus ag gach fofhearann neamhtháirgthe ábhartha.

Is tábhachtaí fós, deir clásal 6.6.3:

Ní mór seirbhísí atá imithe in éag nó nach bhfuil in úsáid a dhíghníomhachtú agus a bhaint den fhardal.

Maidir le DNS, ní mór é seo a léirmhíniú go cúramach. Ní leor an tseirbhís a bhaint den fhardal. Ní mór an taifead DNS, an nasc néalríomhaireachta, éileamh fearainn shaincheaptha SaaS, an teastas, an riail WAF, cumraíocht CDN agus an iontráil faireacháin a athbhreithniú freisin.

Neartaíonn an leagan fiontair an coincheap sócmhainní níos leithne seo. Deir Asset Management Policy Clarysec Asset Management Policy, Raon feidhme, clásal 2.2.5:

Sócmhainní loighciúla: ainmneacha fearainn, ceadúnais, cuntais úsáideora, bonnlínte cumraíochta

Ní mionsonraí riaracháin iad ainmneacha fearainn agus cumraíochtaí. Is sócmhainní iad a iompraíonn iontaoibh agus d’fhéadfadh siad a bheith ina gconairí ionsaithe.

Tá an nasc le rialú athruithe chomh tábhachtach céanna. Deir Change Management Policy Clarysec Change Management Policy, Cuspóir, clásal 1.1:

Bunaíonn an beartas seo creat foirmiúil chun athruithe ar chórais faisnéise, bonneagar, feidhmchláir agus próisis ghaolmhara na heagraíochta a thionscnamh, a mheasúnú, a fhaomhadh, a chur chun feidhme agus a athbhreithniú.

Dá bhrí sin, ba cheart do bhaint DNS, foirceannadh SaaS, scriosadh aip néalbhunaithe, imirce CDN nó scor micreashuímh margaíochta fianaise athraithe a ghiniúint. Is minic gurb é easpa ticéid athraithe an chéad chomhartha rabhaidh iniúchta.

Ní mór rialachas néalríomhaireachta a nascadh freisin. Deir Cloud Usage Policy Clarysec Cloud Usage Policy, Ceanglais rialachais, clásal 5.5:

Ní mór don Fhoireann Slándála Faisnéise trácht líonra, gníomhaíocht DNS agus logaí a mheasúnú go rialta chun úsáid neamhúdaraithe néalríomhaireachta (scáth-TF) a bhrath. Ní mór sáruithe braite a imscrúdú go pras.

Maidir le cosc ar fhorghabháil fofhearainn, ní bhaineann faireachán ar ghníomhaíocht DNS le scáth-TF amháin. Baineann sé freisin le sean-TF, is é sin sócmhainní a bhí údaraithe tráth ach nach bhfuil faoi rialú a thuilleadh.

Sreabhadh oibre praiticiúil Clarysec do rialachas DNS crochta

Ní gá go mbeadh clár láidir DNS crochta casta. Ní mór dó a bheith disciplínithe, in-athdhéanta agus nasctha leis an ISMS, bainistíocht leochaileachtaí, bainistíocht athruithe agus saolré soláthraithe.

Do FBManna, d’fhéadfadh sé seo tosú mar chlár éadrom. I bhfiontair, is gnách go gcomhtháthaíonn sé easpórtálacha DNS, bainistíocht dromchla ionsaithe seachtrach, fardail sócmhainní néalríomhaireachta, taifid CMDB, scanóirí leochaileachta, foláirimh SIEM agus córais ticéadaithe.

Fanann an cheist rialachais mar an gcéanna: an féidir leat a chruthú go bhfuil gach fofhearann atá inrochtana go seachtrach ar eolas, faoi úinéireacht, faoi fhaireachán agus inbhainte trí phróiseas rialaithe?

Fofhearann feachtais tréigthe, láimhseáilte mar is ceart

Fillimis ar theagmhas an Luain. Tá promo.company.com ag díriú ar shuíomh feachtais SaaS tréigthe.

Ar dtús, cruthaíonn an ceannaire slándála taifead leochaileachta toisc go bhfuil an tsócmhainn ar aghaidh an idirlín. Deir Vulnerability and Patch Management Policy Clarysec Vulnerability and Patch Management Policy, Ceanglais chun an beartas a chur chun feidhme, clásal 6.1.1:

Ní mór gach córas a scanadh ar a laghad go míosúil; ní mór sócmhainní ardriosca nó sócmhainní atá nochtaithe go seachtrach a scanadh go seachtainiúil.

Do FBManna, neartaíonn an beartas coibhéiseach an tosaíochtú. Deir Vulnerability and Patch Management Policy-sme Vulnerability and Patch Management Policy-sme - SME, Ceanglais chun an beartas a chur chun feidhme, clásal 6.5.1:

Ní mór córais a phróiseálann sonraí pearsanta, a sholáthraíonn rochtain chianda nó atá ar aghaidh an idirlín a chur in ord tosaíochta le haghaidh scanadh agus nuashonruithe

Sa dara háit, sainaithnítear an t-úinéir tríd an gClár sócmhainní. Mura bhfuil an t-úinéir ar eolas, is teip rialaithe é sin i gcoinne rialachas sócmhainní. Nuashonraítear an clár chun ainm DNS, soláthraí sprice, úinéir gnó bunaidh, aicmiú sonraí, soláthraí agus stádas a chur san áireamh.

Sa tríú háit, seiceálann TF an t-ardán néalríomhaireachta nó SaaS. Má scriosadh an cuntas néalríomhaireachta, tá Cloud Usage Policy-sme Clarysec Cloud Usage Policy-sme - SME, Ceanglais chun an beartas a chur chun feidhme, clásal 6.3.6 ábhartha go díreach:

Ní mór don Soláthraí TF nó don Bhainisteoir Ginearálta cuntais néalríomhaireachta scriosta a athbhreithniú le haghaidh rochtain iarmharach, sonraí dílleachtaithe nó inneachar a fágadh gan aire.

Sa cheathrú háit, ardaíonn úinéir an athraithe ticéad athraithe éigeandála nó brostaithe chun an taifead DNS a bhaint nó an acmhainn a athéileamh go sealadach roimh an mbain. Áirítear sa ticéad measúnú tionchair, plean aisiompaithe, formheasanna, fianaise cur chun feidhme agus bailíochtú iar-athraithe.

Sa chúigiú háit, measann an ceannaire príobháideachais ar phróiseáil an fofhearann sonraí pearsanta nó arbh fhéidir dó sonraí pearsanta a nochtadh. Deir PII Security and Access Control Policy Clarysec PII Security and Access Control Policy, Cumraíocht shlán agus bainistíocht leochaileachtaí, clásal 4.7.4:

[An dá cheann] NÍ MÓR don Úinéir Córais / Úinéir Feidhmchláir clúdach measúnaithe leochaileachta do chórais a phróiseálann PII a thaifeadadh in REG12 ar a laghad go ráithiúil agus tar éis athrú teicniúil ábhartha.

Cuireann clásal 4.7.5 leis:

[An dá cheann] NÍ MÓR don Cheannaire Slándála Faisnéise leochaileachtaí ardriosca gan réiteach a théann i bhfeidhm ar PII a thaifeadadh in REG12 laistigh de chúig lá gnó ó bhailíochtú.

Baineann na clásail seo leis cibé acu a ghníomhaíonn an eagraíocht mar rialaitheoir nó mar phróiseálaí, toisc go bhfuil siad clibeáilte [An dá cheann]. Maidir le saincheist DNS crochta a bhaineann le PII, níor cheart don fhianaise fanacht i dticéad teicniúil amháin. Ní mór í a léiriú sa chlár fianaise leochaileachtaí PII.

Sa séú háit, má d’óstáil gníomhaireacht nó soláthraí SaaS an feachtas, seiceálann Soláthar taifid tríú páirtí. Deir Processor, Subprocessor and Third-Party Privacy Management Policy Clarysec Processor, Subprocessor and Third-Party Privacy Management Policy, Sainaithint agus aicmiú caidrimh, clásal 4.1.2:

[Gach ceann] NÍ MÓR don Úinéir Próisis / Úinéir Gnó gach caidreamh tríú páirtí molta a phróiseálfaidh, a rochtainfidh, a gheobhaidh, a stórálfaidh, a tharchuirfidh, a thacóidh nó a rachaidh i bhfeidhm ar PII ar bhealach eile a shainaithint in REG08 roimh sholáthar, ionduchtú, athnuachan nó athrú príobháideachais ábhartha tríú páirtí.

Éilíonn clásal 4.5.5:

[An dá cheann] NÍ MÓR don Díoltóir / Úinéir Soláthair suíomhanna próiseála, suíomhanna óstála agus táscairí aistrithe idirnáisiúnta a thaifeadadh in REG08 agus fianaise aistrithe infheidhme a nascadh le REG09 sula bhformheastar próiseálaí, fophhróiseálaí, athrú suímh nó athrú seirbhíse a bhaineann le haistriú.

Ar deireadh, pacálann an ceannaire comhlíonta an fhianaise. Deir Audit and Compliance Monitoring Policy Clarysec Audit and Compliance Monitoring Policy, Cuspóirí, clásal 3.4 gurb é ceann de na cuspóirí:

Fianaise inchosanta agus rian iniúchta a ghiniúint mar thaca le fiosrúcháin rialála, imeachtaí dlí nó iarratais dearbhaithe ó chustaiméirí.

Sin é an toradh atá de dhíth ar an CISO nuair a fhiafraíonn custaiméir, rialálaí nó iniúchóir, “Conas atá a fhios agaibh nach dtarlóidh sé seo arís?”

Cá luíonn Zenith Blueprint

Tiontaíonn Zenith Blueprint: An Auditor’s 30-Step Roadmap Clarysec Zenith Blueprint rialuithe ina gcleachtais oibriúcháin atá réidh don iniúchadh. Mapálann DNS crochta go láidir chuig ceithre réimse.

Sa chéim Controls in Action, clúdaíonn Céim 22 rialuithe eagraíochtúla 5.1 go 5.18, lena n-áirítear rialú 5.9 de ISO/IEC 27002:2022. Deir Zenith Blueprint:

Ní féidir le haon eagraíocht rud nach bhfuil a fhios aici go bhfuil aici a chosaint. Déanann Rialú 5.9 an prionsabal bunúsach seo foirmiúil, agus é ag éileamh fardal cothrom le dáta de gach faisnéis agus sócmhainn ghaolmhar atá ábhartha don ISMS a bhunú agus a chothabháil.

Leanann sé:

Ina fhoirm is straitéisí, feidhmíonn fardal sócmhainní mar lárchóras néarógach don ISMS.

Ní liosta taobhach é fardal fofhearainn. Cothaíonn sé cinntí rochtana, scanadh leochaileachtaí, logáil, bainistíocht soláthraithe, mapáil príobháideachais agus freagairt do theagmhais.

I gCéim 20, clúdaíonn Zenith Blueprint rialuithe teicneolaíochta 8.18 go 8.26. Maidir le rialú 8.21, Slándáil seirbhísí líonra, treoraíonn sé d’eagraíochtaí slándáil seirbhísí líonra a bhailíochtú:

Liostaigh gach seirbhís líonra inmheánach agus seachtrach (DNS, VPN, SMTP, DHCP, tairseacha API, etc.).

Sin é an fáth go mbaineann soláthraithe DNS, cláraitheoirí, DNS néalbhunaithe, ardáin CDN agus gnéithe fearainn shaincheaptha SaaS leis an gclár seirbhísí.

I gCéim 19, clúdaíonn Zenith Blueprint rialuithe teicneolaíochta 8.1 go 8.17. Maidir le rialú 8.8, deir sé:

Tá bainistíocht leochaileachtaí ar cheann de na réimsí is criticiúla de shláinteachas cibear nua-aimseartha. Cé go soláthraíonn ballaí dóiteáin agus uirlisí frithvíris cosaint, féadfar iad a lagú má fhágtar córais neamhphaistithe nó seirbhísí míchumraithe nochtaithe.

Is conair seirbhíse sheachtrach mhíchumraithe é taifead DNS crochta. Fiú nuair nach bhfuil CVE ann, ba cheart é a láimhseáil trí bhainistíocht leochaileachtaí: bailíochtaigh, scóráil, sann, leigheas, atástáil agus dún.

I gCéim 23, pléann Zenith Blueprint rialuithe eagraíochtúla 5.19 go 5.37. Maidir le rialú 5.23, molann sé:

Liostaigh gach seirbhís néalríomhaireachta atá in úsáid faoi láthair (5.23), lena n-áirítear scáth-TF nuair is eol é. Sainaithin cé a d’fhaomh iad agus cibé acu a rinneadh dícheall cuí. Forbair seicliosta éadrom meastóireachta a chlúdaíonn suíomh sonraí, samhail rochtana, logáil agus criptiú.

Maidir le cosc ar fhorghabháil fofhearainn, cuir fearainn shaincheaptha, spleáchais DNS, úinéir díchoimisiúnaithe agus fianaise scoir leis an seicliosta meastóireachta seirbhísí néalríomhaireachta sin.

Mapáil NIS2, DORA agus GDPR

Déanann NIS2 ceist ar leibhéal an Bhoird de rialachas DNS crochta do go leor eintiteas riachtanach agus tábhachtach. Éilíonn Article 20 ar chomhlachtaí bainistíochta bearta bainistíochta riosca cibearshlándála a fhaomhadh, maoirseacht a dhéanamh ar chur chun feidhme agus oiliúint chibearshlándála a dhéanamh. Éilíonn Article 21 bearta teicniúla, oibríochtúla agus eagraíochtúla atá cuí agus comhréireach, agus cur chuige uileghuaise á úsáid. Áirítear ina réimsí íosta anailís riosca, láimhseáil teagmhas, leanúnachas gnó, slándáil slabhra soláthair, fáil, forbairt agus cothabháil shlán, láimhseáil leochaileachtaí, measúnú éifeachtachta, sláinteachas cibear, oiliúint, rialú rochtana agus bainistíocht sócmhainní.

Mapálann clár DNS crochta go soiléir chuig na réimsí sin. Éilíonn Article 21(3) freisin go ndéanfaidh slándáil slabhra soláthair leochaileachtaí atá sonrach do gach soláthraí díreach nó soláthraí seirbhíse a mheas. Má bhainistíonn gníomhaireacht mhargaíochta, díoltóir SaaS, soláthraí óstála bainistithe nó ardán néalríomhaireachta fearainn shaincheaptha, ba cheart do rialuithe soláthraí-shonracha úinéireacht DNS, scor seirbhíse, tacaíocht teagmhais agus aistriú fianaise a chlúdach.

Tá tábhacht le Article 23 má tharlaíonn forghabháil nó má tá sí in ann cur isteach tromchúiseach oibríochtúil, caillteanas airgeadais nó damáiste suntasach ábhartha nó neamhábhartha a chur faoi deara. Úsáideann NIS2 tuairisciú céimnithe: luathrabhadh laistigh de 24 uair an chloig ó bheith ar an eolas faoi theagmhas suntasach, fógra laistigh de 72 uair an chloig, tuarascálacha idirmheánacha nuair a iarrtar iad agus tuarascáil deiridh laistigh de mhí amháin ón bhfógra teagmhais.

Maidir le heintitis airgeadais, is é DORA an córas earnáilshonrach athléimneachta oibríochtúla digití. Éilíonn Articles 5 agus 6 creat inmheánach rialachais agus rialaithe do bhainistíocht riosca TFC, le freagracht deiridh ar an gcomhlacht bainistíochta, róil shoiléire TFC, beartais maidir le hinfhaighteacht, barántúlacht, sláine agus rúndacht sonraí, pleananna iniúchta, acmhainní, beartas seirbhíse tríú páirtí agus creat doiciméadaithe bainistíochta riosca TFC.

Is iad Articles 8 go 14 an croí oibríochtúil. Éilíonn Article 8 sainaithint, aicmiú agus doiciméadú feidhmeanna gnó a fhaigheann tacaíocht ó TFC, sócmhainní faisnéise, sócmhainní TFC, spleáchais, idirnaisc tríú páirtí TFC, fardail, cásanna riosca agus córais oidhreachta. Is minic gur spleáchas caillte é CNAME crochta. Éilíonn Article 9 cosaint agus cosc. Éilíonn Article 10 gníomhaíocht neamhghnách, teagmhais TFC agus pointí aonair teipe féideartha a bhrath. Pléann Articles 11 agus 12 leanúnachas, téarnamh, cúltaca agus athshlánú. Éilíonn Article 13 foghlaim ó leochaileachtaí, bagairtí, teagmhais agus tástálacha.

Déanann Articles 17 go 19 bainistíocht, aicmiú agus tuairisciú teagmhas a fhoirmiú. Déanann Articles 28 go 30 riosca tríú páirtí TFC a bhainistiú ar bhonn saolré. Fanann eintitis airgeadais freagrach go hiomlán nuair a úsáideann siad soláthraithe seirbhíse TFC. Maidir le hullmhacht DORA, molann Clarysec ceithre réimse a chur le gach clár DNS agus seirbhísí néalríomhaireachta: tacaíocht d’fheidhm chriticiúil nó thábhachtach, soláthraí seirbhíse TFC tríú páirtí, tagairt chonartha nó chláir, agus stádas tástála scoir.

Baineann GDPR leis nuair a bhaineann an tsaincheist le sonraí pearsanta. Ní shárú sonraí pearsanta go huathoibríoch í forghabháil fofhearainn, ach d’fhéadfadh sí a bheith amhlaidh má bhailíonn an fofhearann lena mbaineann dintiúir, má ghabhann sé sonraí foirme, má dhéanann sé pearsanú ar sheirbhís, má nochtann sé aitheantóirí úsáideoirí nó má chumasaíonn sé rochtain neamhúdaraithe ar shonraí pearsanta. Éilíonn GDPR Article 5 sláine, rúndacht agus cuntasacht. Éilíonn Article 32 slándáil chuí na próiseála. D’fhéadfadh Article 33 fógra don údarás maoirseachta a éileamh más dócha go mbeidh riosca do chearta agus saoirsí daoine nádúrtha mar thoradh ar shárú sonraí pearsanta.

Tacaíonn PII Incident and Breach Management Policy Clarysec PII Incident and Breach Management Policy, Aicmiú agus measúnú sáraithe, clásal 4.2.6 leis an anailís truicear ilréimis seo:

[Coinníollach] NÍ MÓR don Cheannaire Príobháideachais / Bainisteoir PIMS truiceanna tuairiscithe dlíthiúla, earnálacha, earnála airgeadais, cibearshlándála, conarthacha, custaiméara agus faighteora seirbhíse is infheidhme a mheas le haghaidh gach teagmhas PII ardtionchair agus toradh na hinfheidhmeachta a thaifeadadh in REG01, REG08 agus REG10.

Is é an taifead cinntí sin go díreach atá de dhíth nuair a d’fhéadfadh forghabháil fofhearainn GDPR, NIS2, DORA, conarthaí agus fógra custaiméara a bheith i gceist.

Conas a thástálfaidh iniúchóirí d’fhianaise

Ba cheart go gceadódh ISMS comhtháite duit iniúchóirí éagsúla a fhreagairt leis an mbonn fianaise céanna. Athraíonn foclaíocht na ceiste, ach is minic gurb ionann an fhianaise.

Is minic a chuimsíonn lionsa dearbhaithe níos leithne NIST CSF 2.0 agus COBIT 2019. Cuidíonn NIST CSF 2.0 leis an spriocstaid a chur in iúl trí thorthaí GOVERN, IDENTIFY, PROTECT, DETECT, RESPOND agus RECOVER. D’fhéadfadh Próifíl Reatha athbhreithnithe DNS ráithiúla de láimh agus díchoimisiúnú SaaS neamh-chomhsheasmhach a léiriú. D’fhéadfadh Próifíl Spriocdhírithe seiceálacha uathoibrithe seachtainiúla ar fhorghabháil, sannadh úinéara éigeantach, fianaise scoir soláthraí agus comhtháthú le bainistíocht athruithe a éileamh.

Is iondúil go bhfiafróidh iniúchóir atá dírithe ar COBIT 2019 nó ISACA cé leis an bpróiseas, conas a dhéantar riosca a mheas agus a threorú, cibé acu a rialaítear athruithe, cibé acu a bhainistítear soláthraithe, cibé acu atá cumraíocht agus sócmhainní iontaofa, agus cibé acu a thacaíonn fianaise dearbhaithe le tuairisciú bainistíochta. B’fhéidir nach n-iarrfaidh siad liosta CNAMEanna ar dtús. D’fhéadfaidís fiafraí conas atá a fhios ag an mbainistíocht go bhfuil seirbhísí digiteacha seachtracha rialaithe ar feadh a saolré.

Cén chuma atá ar fhianaise mhaith iniúchta

Ba cheart go mbeadh pacáiste iniúchta DNS crochta beag go leor le cothabháil ach iomlán go leor le cosaint. De ghnáth molann Clarysec an tacar fianaise seo a leanas:

• Fardal criosanna DNS le foinse, dáta, cineál taifid, sprioc agus úinéir.
• Torthaí scanadh dromchla ionsaithe seachtrach a léiríonn seiceálacha forghabhála.
• Iontrálacha sa Chlár sócmhainní le haghaidh fearainn, fofhearainn, seirbhísí néalríomhaireachta, feidhmchláir SaaS agus CDNanna.
• Clár seirbhísí a léiríonn freagracht inmheánach nó freagracht soláthraí.
• Ticéid athraithe le haghaidh cruthú, modhnú agus scriosadh taifead DNS.
• Seicliostaí ionduchtaithe néalríomhaireachta agus SaaS lena n-áirítear athbhreithniú ar fhearann saincheaptha agus DNS.
• Conarthaí soláthraithe nó clásail slándála a chlúdaíonn DNS, óstáil, tacaíocht teagmhais agus scor.
• Ticéid leochaileachta le déine, úinéir, dáta leigheasa agus fianaise atástála.
• Measúnú PII i gcás ina bpróiseálann an fofhearann, nó inar phróiseáil sé roimhe seo, sonraí pearsanta.
• Taifid aicmithe teagmhais le haghaidh forghabhálacha amhrasta nó deimhnithe.
• Ceachtanna foghlamtha agus nósanna imeachta nuashonraithe tar éis fionnachtana.

Tá tábhacht ag baint le méadrachtaí freisin. Ba cheart don bhainistíocht líon na bhfofhearann seachtrach, an céatadán a bhfuil úinéirí sannta acu, líon na bhfionnachtana DNS crochta, an meán-am le leigheas, fionnachtana ardriosca thar téarma, fofhearainn óstáilte ag soláthraí gan tagairt chonartha reatha agus céatadán na scoir néalríomhaireachta le fianaise ar bhaint DNS a fheiceáil.

Tiontaíonn na méadrachtaí seo sláinteachas teicniúil ina fhianaise ar mhaoirseacht bainistíochta.

Patrúin teipe choitianta a aimsíonn Clarysec

Ar fud cliant SaaS, fintech, teicneolaíocht sláinte, seirbhísí bainistithe agus ríomhthráchtála, tagann na patrúin chéanna chun cinn arís agus arís eile.

Ar dtús, roinntear úinéireacht DNS idir foirne. Is leis an Innealtóireacht an néalríomhaireacht. Is leis an Margaíocht feachtais. Is le TF rochtain ar an soláthraí DNS. Is le Soláthar foirceannadh SaaS. Ní le haon duine an saolré iomlán.

Sa dara háit, caitear le scriosadh néalríomhaireachta mar dheireadh na seirbhíse. I ndáiríre, d’fhéadfadh DNS, teastais, rialacha WAF, faireachán, rúin, doiciméadacht agus taifid soláthraithe fanacht.

Sa tríú háit, díríonn scanóirí leochaileachta ar óstaigh bheo ach cailltear coinníollacha forghabhála atá sonrach do sholáthraí. Teastaíonn seiceálacha dromchla ionsaithe seachtrach ó eagraíochtaí a thuigeann stáit earráide choitianta SaaS agus néalríomhaireachta.

Sa cheathrú háit, díríonn nósanna imeachta scoir soláthraithe ar shonraisc agus ar fhilleadh sonraí ach ní ar fhearainn shaincheaptha, taifid DNS ná athruithe fophhróiseálaithe.

Sa chúigiú háit, cuirtear foirne príobháideachais ar an eolas ró-dhéanach. Má phróiseáil fofhearann PII, ba cheart don DPO nó don cheannaire príobháideachais a bheith páirteach san aicmiú sula ndéantar toimhdí.

Sa séú háit, tá fianaise ann ach tá sí scaipthe. Tá easpórtáil DNS in uirlis amháin, ticéid athraithe in uirlis eile, conarthaí soláthraithe i Soláthar, tuarascálacha leochaileachta i scanóirí agus anailís phríobháideachais i ríomhphost. Feiceann iniúchóirí ilroinnt mar laige.

Réitíonn uirlisí Clarysec é seo trí bheartais, cláir, rialuithe agus sreafaí oibre fianaise a nascadh.

Plean gníomhaíochta 30 lá do rialachas DNS

Má d’aimsigh tú taifead DNS crochta amháin, glac leis go bhfuil cinn eile ann. Mura bhfuair tú ceann ar bith, cinntigh gur féidir leat a chruthú cén fáth.

Tosaigh leis an bplean 30 lá seo:

1. Easpórtáil gach crios DNS údarásach.
2. Sainaithin taifid CNAME, ALIAS, A agus AAAA a dhíríonn ar sheirbhísí néalríomhaireachta, SaaS, CDN agus seirbhísí arna mbainistiú ag gníomhaireachtaí.
3. Sann úinéirí agus cuspóirí gnó.
4. Rith seiceálacha forghabhála agus bailíochtaigh taifid amhrasacha de láimh.
5. Cruthaigh ticéid leochaileachta do rioscaí deimhnithe.
6. Bain nó athéiligh taifid nochta trí rialú athruithe.
7. Nuashonraigh an Clár sócmhainní, an clár néalríomhaireachta agus an clár soláthraithe.
8. Déan athbhreithniú ar cé acu ar phróiseáil aon fhoofhearann lena mbaineann PII.
9. Cuir seiceálacha saolré DNS le hionduchtú néalríomhaireachta, soláthar SaaS agus scor soláthraithe.
10. Tuairiscigh méadrachtaí don bhainistíocht.

Is minic a bhíonn an ceartúchán teicniúil do DNS crochta simplí. Is é an ceartúchán rialachais a choisceann an chéad fhorghabháil eile.

Is féidir le Clarysec cabhrú leat é seo a oibríochtú trí Zenith Blueprint Zenith Blueprint, Zenith Controls Zenith Controls, agus ár n-uirlisí beartais le haghaidh bainistíocht sócmhainní, úsáid néalríomhaireachta, bainistíocht leochaileachtaí, rialachas soláthraithe, slándáil PII, freagairt do theagmhais agus fianaise iniúchta.

Má tá cur chuige atá réidh don iniúchadh uait, is féidir le Clarysec cabhrú leat pacáiste fianaise nochta DNS agus néalríomhaireachta a thógáil, é a mhapáil chuig ISO/IEC 27001:2022, NIS2, DORA agus GDPR, agus fofhearainn dhearmadta a iompú ina sócmhainní rialaithe, faoi úinéireacht agus faoi fhaireachán. Íoslódáil an fhoireann uirlisí ábhartha Clarysec, iarr taispeántas nó sceidealaigh measúnú rialachais DNS sula n-aimsíonn tástálaí treáite, iniúchóir nó ionsaitheoir an chéad phointeoir dearmadta eile.