Duomenų šifravimas ramybės būsenoje neįmanomas? Informacijos saugumo vadovo (CISO) gidas patikimoms kompensuojančioms kontrolės priemonėms

Auditoriaus išvada ant informacijos saugumo vadovės Sarah Chen stalo nukrito su pažįstamu svoriu. Kritinė, pajamas generuojanti senoji duomenų bazė — įmonės gamybos linijos operacinė šerdis — nepalaikė šiuolaikinio duomenų šifravimo ramybės būsenoje. Jos bazinė architektūra buvo dešimtmečio senumo, o tiekėjas jau seniai buvo nutraukęs saugumo pataisų teikimą. Auditorius pagrįstai tai įvardijo kaip reikšmingą riziką. Rekomendacija: „Šifruoti visus jautrius duomenis ramybės būsenoje naudojant pramonės standartus atitinkančius algoritmus.“

Sarah tai nebuvo vien techninė problema — tai buvo veiklos tęstinumo krizė. Sistemos atnaujinimas reikštų mėnesius prastovos ir milijonines sąnaudas, todėl valdybai tai buvo nepriimtina. Tačiau palikti didelį kiekį jautrios intelektinės nuosavybės nešifruotą buvo nepriimtina rizika ir aiškus nukrypimas nuo organizacijos informacijos saugumo valdymo sistemos (ISVS).

Tai yra realus kibernetinio saugumo pasaulis, kuriame tobuli sprendimai pasitaiko retai, o atitikties negalima sustabdyti. Taip nutinka, kai kritinės atsarginės kopijos saugomos senosiose sistemose, kai svarbus SaaS teikėjas nurodo „techninius apribojimus“ arba kai didelio našumo taikomosios programos nebeatlaiko šifravimo režijos. Vadovėlinis atsakymas „tiesiog užšifruokite“ dažnai susiduria su netvarkinga realybe.

Kas vyksta tada, kai pagrindinė, numatyta kontrolės priemonė negali būti taikoma? Rizikos tiesiog nepriimate. Kuriate išmanesnę ir atsparesnę gynybą, naudodami kompensuojančias kontrolės priemones. Tai nėra pasiteisinimų paieška — tai brandus, rizika grindžiamas saugumo valdymas, galintis atlaikyti griežčiausią audito vertinimą.

Kodėl duomenų šifravimas ramybės būsenoje yra didelės svarbos reikalavimas

Duomenų šifravimas ramybės būsenoje yra pamatinė kontrolės priemonė visose šiuolaikinėse saugumo sistemose, įskaitant ISO/IEC 27001:2022, GDPR Article 32, NIS2, DORA ir NIST SP 800-53 SC-28. Jos tikslas paprastas, bet kritinis: padaryti saugomus duomenis neperskaitomus, jei fizinės ar loginės apsaugos priemonės nesuveikia. Pamesta atsarginių kopijų juosta arba pavogtas serveris su nešifruotais duomenimis nėra vien techninis apsirikimas; dažnai tai yra teisiškai praneštinas duomenų saugumo pažeidimas.

Rizikos yra aiškios ir reikšmingos:

• Nešiojamųjų laikmenų, pavyzdžiui, USB diskų ir atsarginių kopijų juostų, vagystė arba praradimas.
• Duomenų atskleidimas iš nevaldomų, pamirštų arba senųjų įrenginių.
• Negalėjimas taikyti vietinio disko arba duomenų bazės šifravimo konkrečiuose SaaS, debesijos, OT arba senųjų sistemų kontekstuose.
• Duomenų atkūrimo rizika, jei šifravimo raktai prarandami arba netinkamai valdomi.

Šie reikalavimai yra ne tik techniniai — jie taip pat yra teisiniai įpareigojimai. GDPR Article 32 ir DORA Articles 5 bei 10 aiškiai pripažįsta šifravimą kaip „tinkamą techninę priemonę“. NIS2 jį laiko baziniu reikalavimu sistemos ir informacijos vientisumui užtikrinti. Kai ši pagrindinė apsauga nėra įgyvendinama, įrodinėjimo pareiga pereina organizacijai: ji turi parodyti, kad alternatyvios priemonės yra lygiaverčiai veiksmingos.

Nuo vienos varnelės prie sluoksniuotos gynybos

Natūrali reakcija į tokią audito išvadą kaip Sarah atveju dažnai būna panika. Tačiau gerai struktūruota ISVS tokias situacijas numato. Pirmasis Sarah žingsnis buvo ne skambutis infrastruktūros komandai; ji atsivertė organizacijos Kriptografinių kontrolės priemonių politiką — dokumentą, parengtą pagal Clarysec įmonėms skirtus šablonus. Ji iš karto perėjo prie nuostatos, suteikiančios pagrindą jos strategijai.

Pagal Kriptografinių kontrolės priemonių politiką, 7.2.3 skyrius aiškiai apibrėžia procesą, skirtą nustatyti:

„Taikytinas konkrečias kompensuojančias kontrolės priemones“

Ši nuostata yra viena svarbiausių CISO atramų. Ji pripažįsta, kad vienodas saugumo modelis visiems atvejams yra ydingas, ir suteikia patvirtintą kelią rizikai valdyti. Politika neveikia izoliuotai. Kaip nurodyta 10.5 punkte, ji tiesiogiai susieta su Duomenų klasifikavimo ir ženklinimo politika, kuri „apibrėžia klasifikavimo lygius (pvz., Konfidencialus, reglamentuojami), sukeliančius konkrečius šifravimo reikalavimus.“

Ši sąsaja yra kritinė. Duomenys senojoje duomenų bazėje buvo suklasifikuoti kaip „Konfidencialus“, todėl šifravimo nebuvimas ir buvo pažymėtas. Dabar Sarah užduotis buvo aiški: sukurti tokią tvirtą kompensuojančių kontrolės priemonių gynybą, kuri sumažintų atskleidimo riziką iki priimtino lygio.

Pagrįstos strategijos kūrimas pagal Zenith Blueprint

Šifravimas yra šiuolaikinio saugumo kertinis akmuo, tačiau, kaip Clarysec Zenith Blueprint: 30 žingsnių auditoriaus veiksmų planas aiškina 21 žingsnyje, 8.24 kontrolės priemonė „Kriptografijos naudojimas“ nėra vien „šifravimo įjungimas“. Tai reiškia „kriptografijos įtvirtinimą organizacijos architektūroje, politikoje ir gyvavimo ciklo valdyme“.

Kai viena architektūros dalis (senoji duomenų bazė) nesuveikia, ją turi kompensuoti politikos ir gyvavimo ciklo aspektai. Sarah komanda pasinaudojo šia sistema, kad suprojektuotų daugiasluoksnę gynybą, kurios esmė — neleisti duomenims kada nors palikti saugaus, nors ir nešifruoto, konteinerio.

Kompensuojanti kontrolės priemonė 1: duomenų praradimo prevencija (DLP)

Jei negalite užšifruoti duomenų ten, kur jie yra, turite užtikrinti, kad jie negalėtų iš ten išeiti. Sarah komanda įdiegė duomenų praradimo prevencijos (DLP) sprendimą kaip skaitmeninę apsaugos užkardą. Tai nebuvo paprasta tinklo taisyklė; tai buvo pažangi, turinio kontekstą suprantanti kontrolės priemonė.

Naudodamiesi Clarysec Zenith Controls: kryžminės atitikties vadovu, jie sukonfigūravo DLP sistemą pagal ISO/IEC 27001:2022 kontrolės priemonės 8.12 „Duomenų nutekėjimo prevencija“ gaires. Taisyklės buvo tiesiogiai grindžiamos 5.12 Classification of information. Bet kokie duomenys, atitinkantys senojoje duomenų bazėje esančios „Konfidencialus“ informacijos schemas, buvo automatiškai blokuojami, jei juos bandyta perduoti el. paštu, įkelti per žiniatinklį ar net nukopijuoti ir įklijuoti į kitas taikomąsias programas.

Kaip aiškina Zenith Controls:

„Duomenų praradimo prevencija (DLP) iš esmės priklauso nuo tikslaus duomenų klasifikavimo. Kontrolės priemonė 5.12 užtikrina, kad duomenys būtų žymimi pagal jautrumą… DLP yra specializuota nuolatinės stebėsenos forma, orientuota į duomenų judėjimą… 8.12 gali taikyti šifravimo politikas duomenims, paliekantiems organizaciją, kad net duomenų iškėlimo atveju jie liktų neperskaitomi neautorizuotoms šalims.“

Ši kontrolės priemonė pripažįstama keliose sistemose ir siejama su GDPR Art. 32, NIS2 Art. 21, DORA Art. 10 ir NIST SP 800-53 SI-4. Ją įgyvendinusi Sarah komanda sukūrė stiprų apsauginį sluoksnį, užtikrinantį, kad nešifruoti duomenys išliktų izoliuoti.

Kompensuojanti kontrolės priemonė 2: duomenų maskavimas neprodukcinio naudojimo atvejais

Viena didžiausių senųjų sistemų duomenų rizikų yra jų naudojimas kitose aplinkose. Kūrimo komandai dažnai reikėjo duomenų iš gamybinės sistemos naujoms taikomųjų programų funkcijoms testuoti. Tiesiog perduoti jiems nešifruotus konfidencialius duomenis nebuvo priimtina.

Čia Sarah pasitelkė Zenith Blueprint 20 žingsnį, apimantį 8.11 Data masking. Vadove pažymima, kad auditoriai tiesiai paklaus: „Ar testavimo sistemose kada nors naudojate tikrus asmens duomenis? Jei taip, kaip jie apsaugomi?“

Vadovaudamasi šiomis gairėmis, Sarah komanda įgyvendino griežtą duomenų maskavimo procedūrą. Bet koks kūrimo komandos prašomas duomenų išrašas turėjo pereiti automatizuotą procesą, kurio metu jautrūs laukai buvo pseudonimizuojami arba anonimizuojami. Klientų vardai, nuosavybinės formulės ir gamybos rodikliai buvo pakeisti realistiškais, bet fiktyviais duomenimis. Ši viena kontrolės priemonė panaikino didžiulį rizikos paviršių ir užtikrino, kad jautrūs duomenys niekada nepaliktų griežtai kontroliuojamos gamybinės aplinkos savo pradine forma.

Kompensuojanti kontrolės priemonė 3: sustiprinta fizinė ir loginė kontrolė

Kai duomenų nutekėjimo ir neprodukcinio naudojimo rizikos buvo suvaldytos, galutinis gynybos sluoksnis buvo sutelktas į pačią sistemą. Remdamasi Zenith Controls pateiktais 7.10 Storage media principais, Sarah komanda fizinį serverį traktavo kaip aukšto saugumo turtą. Nors 7.10 dažnai siejama su keičiamomis laikmenomis, jos gyvavimo ciklo valdymo ir fizinio saugumo principai čia puikiai pritaikomi.

Kaip šia tema pažymi Zenith Controls:

„ISO/IEC 27002:2022 7.10 punkte pateikia išsamias gaires, kaip saugiai valdyti duomenų saugojimo laikmenas per visą jų gyvavimo ciklą. Standartas organizacijoms rekomenduoja tvarkyti visų keičiamų laikmenų registrą…“

Taikant šią logiką, serveris buvo perkeltas į atskirą, užrakintą stovą duomenų centre, prieinamą tik dviem įvardytiems vyresniesiems inžinieriams. Fizinei prieigai buvo privaloma registracija, o prieiga stebėta CCTV kameromis. Tinklo pusėje serveris buvo patalpintas į segmentuotą senųjų sistemų VLAN. Ugniasienės taisyklės buvo sukonfigūruotos pagal numatytąjį viso srauto draudimą, paliekant vieną aiškią taisyklę, leidžiančią ryšį tik iš paskirto taikomosios programos serverio per konkretų prievadą. Toks griežtas izoliavimas smarkiai sumažino atakos paviršių, todėl nešifruoti duomenys tapo nematomi ir nepasiekiami.

Audito akistata: pagrįstos daugiaperspektyvės strategijos pristatymas

Kai auditorius grįžo pakartotinei peržiūrai, Sarah nepateikė pasiteisinimų. Ji pristatė išsamų rizikos tvarkymo planą su dokumentacija, žurnalais ir gyvomis komandos kompensuojančių kontrolės priemonių demonstracijomis. Auditas nėra vienkartinis įvykis; tai pokalbis, vertinamas per skirtingas perspektyvas, ir CISO turi būti pasirengęs kiekvienai iš jų.

ISO/IEC 27001 auditoriaus perspektyva: Auditorius norėjo pamatyti operacinį veiksmingumą. Sarah komanda pademonstravo, kaip DLP sistema blokuoja neautorizuotą el. laišką, parodė veikiantį duomenų maskavimo scenarijų ir pateikė fizinės prieigos žurnalus, sulygintus su darbo užklausomis.

GDPR ir privatumo perspektyva: Auditorius paklausė, kaip užtikrinamas duomenų kiekio mažinimas. Sarah parodė automatizuotus laikino duomenų saugojimo vietų saugaus ištrynimo scenarijus ir pseudonimizavimo procesą visiems duomenims, paliekantiems gamybinę sistemą, suderindama tai su GDPR Article 25 (pritaikytąja ir standartizuotąja duomenų apsauga). MVĮ skirta Kriptografinių kontrolės priemonių politika aiškiai priskiria DAP atsakomybę „užtikrina, kad šifravimo kontrolės priemonės atitiktų duomenų apsaugos įpareigojimus pagal GDPR Article 32“.

NIS2/DORA perspektyva: Ši perspektyva orientuota į operacinį atsparumą. Sarah pateikė izoliuotos sistemos atsarginių kopijų ir atkūrimo testavimo rezultatus bei senosios programinės įrangos tiekėjo saugumo priedus, parodydama proaktyvų rizikos valdymą, kaip reikalaujama pagal NIS2 Article 21 ir DORA Article 9.

NIST/COBIT perspektyva: Auditorius, taikantis šias sistemas, ieško valdysenos ir rodiklių. Sarah pateikė atnaujintą rizikų registrą, kuriame matomas formalus liekamosios rizikos priėmimas (COBIT APO13). Ji susiejo DLP su NIST SP 800-53 SI-4 (System Monitoring), tinklo segmentavimą su SC-7 (Boundary Protection), o prieigos kontrolės priemones — su AC-3 ir AC-4, įrodydama, kad nors SC-28 (Protection of Information at Rest) nebuvo įvykdyta tiesiogiai, įgyvendintas lygiavertis kontrolės priemonių rinkinys.

Pagrindiniai audito įrodymai dėl kompensuojančių kontrolės priemonių

Kad veiksmingai perteiktų strategiją, Sarah komanda parengė įrodymus pagal tai, ko paprastai ieško auditoriai.

Numatydama šias skirtingas perspektyvas, Sarah potencialią neatitiktį pavertė saugumo brandos demonstravimu.

Praktinė santrauka kitam auditui

Kad strategija būtų aiški ir pagrįsta, Sarah komanda rizikos tvarkymo plane parengė santraukos lentelę. Tai metodas, kurį gali taikyti bet kuri organizacija.

Kryžminė atitiktis trumpai

Stipri kompensuojančių kontrolės priemonių strategija yra pagrindžiama visose svarbiausiose sistemose. Clarysec Zenith Controls pateikia kryžminį susiejimą, padedantį užtikrinti, kad jūsų gynybos priemonės būtų vienodai suprantamos ir priimamos.

Išvada: paverskite silpniausią grandį stiprybe

Neužšifruojamos senosios duomenų bazės istorija nėra nesėkmės istorija. Tai brandus ir apgalvotas rizikos valdymas. Atsisakiusi tenkintis paprastu atsakymu „to padaryti negalima“, Sarah komanda reikšmingą pažeidžiamumą pavertė savo daugiasluoksnės gynybos pajėgumų demonstravimu. Jie įrodė, kad saugumas nėra vien varnelės pažymėjimas laukelyje „šifravimas“. Saugumas reiškia rizikos supratimą ir apgalvotos, sluoksniuotos bei audituojamos gynybos sukūrimą jai sumažinti.

Jūsų organizacija neišvengiamai turės savą šios senosios duomenų bazės atitikmenį. Jį radę, nelaikykite to kliūtimi. Laikykite tai galimybe sukurti atsparesnę ir geriau pagrindžiamą saugumo programą.

Pasirengę sukurti savo patikimą, auditui tinkamą kontrolės priemonių sistemą? Pradėkite nuo tinkamo pagrindo.

• Peržiūrėkite savo politikų ekosistemą naudodamiesi išsamiais Clarysec politikų rinkiniais.
• Susipažinkite su Zenith Blueprint: 30 žingsnių auditoriaus veiksmų planu, kuris padės įgyvendinti sprendimus.
• Pasitelkite Zenith Controls: kryžminės atitikties vadovą, kad jūsų gynybos priemonės atlaikytų bet kokios perspektyvos vertinimą.

Susisiekite su Clarysec dėl pritaikytų dirbtuvių arba viso kryžminės atitikties vertinimo. Šiandieninėje reglamentavimo aplinkoje pasirengimas yra vienintelė tikrai svarbi kontrolės priemonė.

Nuorodos:

• Kriptografinių kontrolės priemonių politika
• MVĮ skirta Kriptografinių kontrolės priemonių politika
• Duomenų klasifikavimo ir ženklinimo politika
• Zenith Blueprint: 30 žingsnių auditoriaus veiksmų planas
• Zenith Controls: kryžminės atitikties vadovas