A helyreállításon túl: CISO-útmutató a valódi működési reziliencia kialakításához ISO 27001:2022 alapján

Maria, egy növekvő fintech vállalat CISO-ja, a harmadik negyedéves kockázati mutatókat mutatja be az igazgatóságnak. A prezentáció letisztult: csökkenő sérülékenységszámokat és sikeres adathalászati szimulációkat mutat. Hirtelen kitartóan rezegni kezd a telefonja. Kiemelt riasztás érkezik a SOC vezetőjétől: „Zsarolóvírus észlelve. Laterálisan terjed. Az alapvető banki szolgáltatások érintettek.”

A terem légköre magabiztosból feszültté válik. A vezérigazgató felteszi az elkerülhetetlen kérdést: „Milyen gyorsan tudunk visszaállni biztonsági mentésből?”

Maria tudja, hogy vannak biztonsági mentéseik. Negyedévente tesztelik is őket. De miközben a csapata az átkapcsoláson dolgozik, további kérdések tucatjai merülnek fel. Biztonságosak-e a helyreállítási környezetek, vagy csak újrafertőzik a visszaállított rendszereket? Működik-e még az incidensnaplózás a tartalék helyszínen, vagy vakon repülnek? Kinek van vészhelyzeti adminisztrátori hozzáférése, és naplózzák-e a műveleteiket? A szolgáltatások mielőbbi visszaállításának sürgetésében valaki éppen érzékeny ügyféladatokat készül elküldeni személyes fiókból?

Ez az a kritikus pillanat, amikor a hagyományos katasztrófa-helyreállítási terv elbukik, és a valódi működési reziliencia vizsgázik. Nem pusztán arról van szó, hogy vissza kell állni; arról van szó, hogy sértetlenséggel kell visszaállni. Ezt az alapvető szemléletváltást követeli meg az ISO/IEC 27001:2022: az egyszerű helyreállítástól a holisztikus, megszakítás nélküli kockázati helyzet fenntartása felé kell elmozdulni, még a káosz közepén is.

A reziliencia korszerű meghatározása: a biztonság soha nem áll le

Az üzletmenet-folytonossági tervezés éveken át erősen a helyreállítási időcélokra (RTO) és a helyreállításipont-célértékekre (RPO) összpontosított. Bár ezek alapvető mutatók, csak a történet egy részét mondják el. A sebességet és az adatvesztést mérik, de nem mérik a kockázati helyzetet magában a válságban.

Az ISO/IEC 27001:2022, különösen az A melléklet kontrolljain keresztül, magasabb szintre emeli a párbeszédet. Felismeri, hogy a zavarhelyzet nem jelent szünetet az információbiztonság számára. Valójában éppen a válság káoszában a legfontosabbak a biztonsági kontrollok. A támadók a bizonytalanságból élnek, és pontosan azokat a kerülőeljárásokat és vészhelyzeti folyamatokat használják ki, amelyeket a szolgáltatás helyreállítására terveztek.

Az ISO/IEC 27001:2022 szerinti reziliencia a zavarhelyzet alatti információbiztonság fenntartását (az A melléklet 5.29 kontrollja), az IKT-felkészültség üzletmenet-folytonossághoz biztosítását (5.30), valamint a megbízható információk biztonsági mentését (8.13) jelenti. A cél annak biztosítása, hogy a reagálás ne hozzon létre új, veszélyesebb sérülékenységeket. Ahogy a Clarysec Zenith Blueprint: Egy auditor 30 lépéses ütemterve Zenith Blueprint fogalmaz: „az auditorok nemcsak a szabályzattal, hanem a valósággal való összhangot fogják keresni.” Itt bukik el a legtöbb szervezet: a rendelkezésre állásra terveznek, de nem arra, hogyan tartsák fenn a megfelelést a káosz közben.

Az alap: miért nem a kontrollokkal, hanem a kontextussal kezdődik a reziliencia

Mielőtt konkrét rezilienciakontrollokat lehetne hatékonyan bevezetni, szilárd információbiztonság-irányítási rendszert (IBIR) kell kialakítani. Sok szervezet itt hibázik: közvetlenül az A melléklet kontrolljaira ugrik anélkül, hogy megteremtené a megfelelő alapokat.

A Zenith Blueprint hangsúlyozza, hogy a munka az IBIR alapvető pontjaival kezdődik, mert ez az alapozó munka a reziliencia fundamentuma. A folyamat a szervezet egyedi környezetének megértésével indul:

• 4. pont: A szervezet környezete: A szervezet kontextusának megértése, beleértve a belső és külső tényezőket, az érdekelt felek követelményeit, valamint az IBIR alkalmazási területének meghatározását.
• 5. pont: Vezetés: A felső vezetés elkötelezettségének biztosítása, az információbiztonsági szabályzat kialakítása, valamint a szervezeti szerepkörök és felelősségek meghatározása.
• 6. pont: Tervezés: Alapos kockázatértékelés és kockázatkezelési tervezés végrehajtása, valamint egyértelmű információbiztonsági célkitűzések meghatározása.

Maria fintech vállalatánál a 4. pont szerinti alapos elemzés a DORA és NIS2 szabályozói nyomását kulcsfontosságú külső tényezőként azonosította volna. A 6. pont szerinti kockázatértékelés pontosan azt a zsarolóvírus-forgatókönyvet modellezte volna, amellyel most szembesül, kiemelve a kompromittálódott helyreállítási környezetek és az incidens alatti elégtelen naplózás kockázatát. E kontextus nélkül bármely rezilienciaterv csak találgatás.

A működési reziliencia két pillére az ISO/IEC 27001:2022-ben

Az ISO/IEC 27001:2022 keretrendszerén belül két A melléklet szerinti kontroll emelkedik ki a működési reziliencia pilléreként: az információk biztonsági mentése (8.13) és az információbiztonság zavarhelyzetben (5.29).

8.13 kontroll: Információk biztonsági mentése – az alapvető biztonsági háló

Ez az a kontroll, amelyről mindenki azt gondolja, hogy már lefedte. Egy valóban hatékony biztonsági mentési stratégia azonban több mint fájlok másolása. A sértetlenségre és a rendelkezésre állásra összpontosító helyesbítő kontroll, amely számos más kontrollal szorosan összekapcsolódik.

Attribútumok: helyesbítő; sértetlenség, rendelkezésre állás; helyreállítás; folytonosság; védelem.
Működési képesség: folytonosság.
Biztonsági terület: védelem.

Audit szempont: Egy auditor számára nem elegendő az „igen” válasz arra a kérdésre, hogy „Vannak biztonsági mentéseik?”. Naplókat fog kérni annak igazolására, hogy rendelkezésre állnak friss biztonsági mentések, bizonyítékot a helyreállítási tesztek sikerességére, valamint igazolást arról, hogy a biztonsági mentési adathordozók titkosítottak, biztonságosan tároltak, és lefedik az eszköznyilvántartásban meghatározott valamennyi kritikus vagyonelemet.

Forgatókönyv: Egy rendszert zsarolóvírus vagy kritikus konfigurációs hiba töröl. A sértetlenséggel történő helyreállítás képessége érett biztonsági mentési stratégiától függ. Az auditorok ellenőrizni fogják, hogy ez a stratégia nem elszigetelt elem, hanem kapcsolódik más kritikus kontrollokhoz:

• 5.9 Az információk és egyéb kapcsolódó vagyonelemek leltára: Amiről nincs nyilvántartás, arról biztonsági mentés sem készíthető megbízhatóan. Az átfogó nyilvántartás nem alku tárgya.
• 8.7 Védelem kártékony kódok ellen: A biztonsági mentéseket el kell különíteni, és védeni kell attól a zsarolóvírustól, amelynek legyőzésére szolgálnak. Ide tartozik a módosíthatatlan tárolás vagy az air-gapped másolatok használata.
• 5.31 Jogi, törvényi, szabályozási és szerződéses követelmények: Megfelelnek-e a biztonsági mentések megőrzési ütemezései és tárolási helyei az adattárolás földrajzi helyére vonatkozó jogszabályoknak és a szerződéses kötelezettségeknek?
• 5.33 Nyilvántartások védelme: A biztonsági mentések megfelelnek-e a személyazonosításra alkalmas adatokra (PII), pénzügyi nyilvántartásokra vagy más szabályozott adatokra vonatkozó megőrzési és adatvédelmi követelményeknek?

5.29 kontroll: Információbiztonság zavarhelyzetben – a sértetlenség őre

Ez az a kontroll, amely elválasztja a megfelelő IBIR-t a reziliens IBIR-től. Közvetlenül azokra a kritikus kérdésekre ad választ, amelyek Maria válsághelyzetében felmerülnek: hogyan tartjuk fenn a biztonságot, amikor az elsődleges eszközeink és folyamataink nem érhetők el? Az 5.29 kontroll megköveteli, hogy a biztonsági intézkedések a zavaró esemény teljes időtartama alatt előzetesen megtervezettek legyenek, és hatékonyak maradjanak.

Attribútumok: megelőző, helyesbítő; védelem, reagálás; bizalmasság, sértetlenség, rendelkezésre állás.
Működési képesség: folytonosság.
Biztonsági terület: védelem, reziliencia.

Audit szempont: Az auditorok kifejezetten azért vizsgálják az üzletmenet-folytonossági és katasztrófa-helyreállítási terveket, hogy bizonyítékot találjanak a biztonsági szempontok figyelembevételére. Ellenőrzik az alternatív helyszínek biztonsági konfigurációit, meggyőződnek arról, hogy a naplózás és a hozzáférés-szabályozás fennmarad, és a tartalék folyamatokat nemcsak a szolgáltatás helyreállítási képessége, hanem a biztonsági gyengeségek szempontjából is vizsgálják.

Forgatókönyv: Az elsődleges adatközpont nem érhető el, és az üzemeltetés tartalék helyszínre kerül át. Az auditorok bizonyítékokat várnak – helyszíni bejárási jelentéseket, konfigurációs fájlokat, hozzáférési naplókat – arra, hogy a másodlagos helyszín megfelel az elsődleges biztonsági követelményeknek. A vészhelyzeti távmunkára való átállás kiterjesztette-e a végpontvédelmet és a biztonságos hozzáférést minden eszközre? Dokumentálták-e azokat a döntéseket, amelyek bizonyos kontrollok ideiglenes enyhítéséről, majd későbbi visszaállításáról szóltak?

A Zenith Blueprint pontosan ragadja meg a lényeget: „Az a lényeges, hogy a biztonság nem állhat le, miközben a rendszerek helyreállítása zajlik. A kontrollok formája változhat, de a cél ugyanaz marad: az információ védelme, még kényszerhelyzetben is.” Ez a kontroll arra kényszerít, hogy a válság rendezetlen valóságára tervezzünk, és szorosan összefonódik más kontrollokkal:

• 5.30 IKT-felkészültség üzletmenet-folytonossághoz: Biztosítja, hogy a műszaki helyreállítási terv ne hagyja figyelmen kívül a biztonsági tervet.
• 8.16 Megfigyelési tevékenységek: Előírja, hogy legyen mód a láthatóság fenntartására akkor is, ha az elsődleges megfigyelési eszközök nem működnek.
• 5.24 Információbiztonsági incidenskezelés tervezése és előkészítése: A válságkezelési és folytonossági csapatoknak párhuzamosan kell működniük, biztosítva, hogy az incidensreagálási tudatosság fennmaradjon a zavarhelyzet alatt.
• 5.28 Bizonyítékgyűjtés: Biztosítja, hogy a helyreállítás sürgetésében ne semmisüljenek meg a vizsgálathoz és a szabályozói jelentéstételhez szükséges kulcsfontosságú forenzikus bizonyítékok.

Gyakorlati útmutató az auditálható reziliencia bevezetéséhez

E kontrollok elméletből gyakorlatba ültetéséhez egyértelmű, végrehajtható szabályzatokra és eljárásokra van szükség. A Clarysec szabályzatsablonjai úgy készültek, hogy ezeket az elveket közvetlenül beépítsék az IBIR-be. Például a Biztonsági mentési és helyreállítási szabályzatunk Biztonsági mentési és helyreállítási szabályzat olyan keretrendszert ad, amely túlmutat az egyszerű biztonsági mentési ütemezéseken:

„A szabályzat érvényre juttatja az ISO/IEC 27001:2022 bizonyítékgyűjtéshez (5.28), zavarhelyzet alatti rezilienciához (5.29), operatív helyreállításhoz (8.13) és információtörléshez (8.10) kapcsolódó kontrolljait, és leképezi azokat az ISO/IEC 27002:2022, NIST SP 800-53 Rev.5, GDPR, DORA és NIS2 szerinti legjobb gyakorlatokra.”

Ez a holisztikus megközelítés a rezilienciát elvont fogalomból auditálható, operatív feladatok készletévé alakítja.

Végrehajtható ellenőrzőlista: a biztonsági mentési és rezilienciastratégia auditálása

Használja ezt az ellenőrzőlistát – átfogó szabályzat alapján – az auditor által kért bizonyítékok előkészítéséhez.

A keresztmegfelelési követelmény: a reziliencia leképezése DORA, NIS2 és más keretrendszerek szerint

A kritikus ágazatokban működő szervezetek számára a reziliencia nem csupán ISO/IEC 27001:2022 szerinti legjobb gyakorlat; jogszabályi követelmény. Az olyan szabályozások, mint a Digital Operational Resilience Act (DORA) és a NIS2 irányelv, kiemelten kezelik az IKT-zavarokkal szembeni ellenálló képességet és a helyreállítási képességet.

Szerencsére az ISO/IEC 27001:2022 érdekében végzett munka erős előnyt biztosít. A Clarysec Zenith Controls: Keresztmegfelelési útmutatója Zenith Controls kifejezett megfeleltetési táblák létrehozására készült, amelyek bemutatják ezt az összhangot az auditorok és szabályozó hatóságok számára. A proaktív dokumentálás bizonyítja, hogy a biztonságot teljes jogi kontextusában kezeli.

Szabályzataink ezt szem előtt tartva készültek. Az Adatvédelmi és magánszféra-védelmi szabályzat Adatvédelmi és magánszféra-védelmi szabályzat például kifejezetten rögzíti szerepét a DORA- és NIS2-megfelelés erősítésében az ISO/IEC 27001:2022 mellett.

Az alábbi megfeleltetési táblázat bemutatja, hogy az alapvető rezilienciakontrollok hogyan teljesítenek követelményeket több jelentős keretrendszerben.

Azáltal, hogy IBIR-ét az ISO/IEC 27001:2022 robusztus keretrendszerére építi, egyidejűleg igazolható pozíciót alakít ki e további szigorú szabályozásokkal szemben is.

Az auditor szemével: hogyan tesztelik majd a rezilienciát

Az auditorokat arra képzik, hogy a szabályzatokon túl a megvalósítás bizonyítékait keressék. A reziliencia esetében azt akarják látni, hogy nyomás alatt is fegyelmezett működés zajlik. A rezilienciaképességek auditja több szempontú lesz, különböző auditorok különböző típusú bizonyítékokra összpontosítanak.

Gyakori buktatók: ahol a rezilienciatervek a valóságban gyakran elbuknak

A Clarysec auditmegállapításai visszatérő gyengeségeket mutatnak, amelyek még a legjobban megírt terveket is aláássák. Kerülje el az alábbi gyakori buktatókat:

• A manuális tartalék folyamatokból hiányzik a biztonság. Amikor a rendszerek leállnak, a munkavállalók táblázatokhoz és e-mailekhez nyúlnak vissza. Ezek a manuális folyamatok gyakran nélkülözik az elsődleges rendszerek fizikai vagy logikai biztonságát.
  • Javítás: Építsen be fizikai védelmet (zárt szekrények, hozzáférési naplók) és logikai kontrollokat (titkosított fájlok, biztonságos kommunikációs csatornák) a manuális kerülőeljárásokra vonatkozó válságkezelési előírásokba.
• Az alternatív helyszínek nincsenek teljeskörűen konfigurálva. A tartalék adatközpont rendelkezik szerverekkel és adatokkal, de hiányozhatnak az egyenértékű tűzfalszabályok, naplózási ügynökök vagy hozzáférés-szabályozási integrációk.
  • Javítás: Dokumentálja a biztonsági kontrollok egyenértékűségét az elsődleges és másodlagos helyszínek között. Végezzen rendszeres műszaki auditokat a tartalék helyszínen, és vonjon be biztonsági képviselőket minden átkapcsolási gyakorlatba.
• A helyreállítási tesztek hiányosak vagy eseti jellegűek. A szervezetek azt tesztelik, hogy egy szerver visszaállítható-e, de azt már nem, hogy a helyreállított alkalmazás biztonságos-e, naplózott-e, és terhelés alatt megfelelően működik-e.
  • Javítás: Tegye kötelezővé az átfogó biztonsági mentésből történő helyreállítási teszteket – beleértve a biztonsági ellenőrzést is – az incidensgyakorlatok és az éves auditfelülvizsgálatok részeként.
• A biztonsági mentések adatvédelmi szempontjai háttérbe szorulnak. A biztonsági mentések megfelelőségi kötelezettséggé válhatnak, ha olyan adatokat őriznek, amelyeket a GDPR törléshez való joga alapján törölni kellett volna.
  • Javítás: Hangolja össze a biztonsági mentések megőrzési és törlési eljárásait az adatvédelmi szabályzatokkal. Biztosítsa, hogy dokumentált folyamat álljon rendelkezésre meghatározott adatok biztonsági mentési készletekből történő törlésére, amikor azt jogszabály előírja.

Megfelelőtől reziliensig: a folyamatos fejlesztés kultúrájának kialakítása

A reziliencia elérése nem egyszeri projekt, amely a tanúsítással véget ér. A folyamatos fejlesztés iránti állandó elkötelezettség, amelyet az ISO/IEC 27001:2022 10. pontja rögzít. Egy valóban reziliens szervezet minden incidensből, minden majdnem bekövetkezett eseményből és minden auditmegállapításból tanul.

Ehhez túl kell lépni a reaktív javításokon. A Zenith Blueprint azt javasolja, hogy a folyamatos fejlesztés épüljön be a szervezeti kultúrába: hozzanak létre csatornákat, ahol a munkavállalók biztonsági fejlesztéseket javasolhatnak, végezzenek proaktív kockázatértékeléseket jelentős változások esetén, és hajtsanak végre alapos incidens utáni felülvizsgálatokat a tanulságok rögzítésére.

Emellett az 5.35 kontroll (az információbiztonság független felülvizsgálata) kulcsszerepet játszik. Egy független fél bevonása az IBIR felülvizsgálatába elfogulatlan nézőpontot ad, amely feltárhatja azokat a vakfoltokat, amelyeket a belső csapat esetleg nem vesz észre. Ahogy a Zenith Blueprint erőteljesen megfogalmazza: „…ami elválasztja a megfelelő IBIR-t a valóban rezilienctől, az ez: a hajlandóság a nehéz kérdések feltevésére, és az, hogy akkor is meghalljuk a válaszokat, ha azok kényelmetlenek.”

Következő lépés: törhetetlen IBIR kialakítása

Maria válsága egyetemes igazságra mutat rá: a zavarhelyzet elkerülhetetlen. Legyen szó zsarolóvírusról, természeti katasztrófáról vagy kritikus beszállítói hibáról, szervezetét próbára fogják tenni. A kérdés nem az, hogy bekövetkezik-e, hanem az, hogyan fog reagálni. Egyszerűen helyreáll, vagy reziliensen válaszol?

Nyomás alatt is sértetlen IBIR kialakításához stratégiai, holisztikus megközelítés szükséges. Szilárd alapokkal kezdődik, mélyen összekapcsolt kontrollokra épül, és a folyamatos fejlesztés kultúrája tartja fenn. Ne várja meg, hogy egy valós zavarhelyzet fedje fel stratégiája hiányosságait.

Készen áll olyan IBIR kialakítására, amely nemcsak megfelelő, hanem valóban törhetetlen?

• Töltse le a Clarysec Zenith Blueprint: Egy auditor 30 lépéses ütemterve című anyagát, amely az elejétől a végéig végigvezeti a bevezetésen.
• Használja átfogó szabályzatsablonjainkat, például a Biztonsági mentési és helyreállítási szabályzatot, hogy a szabványokat konkrét, auditálható intézkedésekké alakítsa.
• Használja a Zenith Controls: Keresztmegfelelési útmutatót annak biztosítására, hogy erőfeszítései megfeleljenek az ISO/IEC 27001:2022, a DORA és a NIS2 szigorú elvárásainak.

Vegye fel velünk a kapcsolatot még ma egy ingyenes rezilienciaértékelésért, és engedje, hogy a Clarysec szakértői segítsenek olyan IBIR-t építeni, amely nyomás alatt is működőképes marad.