Ja datu šifrēšana glabāšanas laikā nav iespējama: CISO ceļvedis noturīgiem kompensējošiem kontroles pasākumiem

Auditora konstatējums ar pazīstamu nopietnību nonāca uz CISO Sarah Chen galda. Kritiska, ieņēmumus nodrošinoša mantotā datubāze — uzņēmuma ražošanas līnijas darbības kodols — neatbalstīja mūsdienīgu datu šifrēšanu glabāšanas laikā. Tās pamatā esošā arhitektūra bija desmit gadus veca, un piegādātājs jau sen bija pārtraucis drošības atjauninājumu nodrošināšanu. Auditors pamatoti to atzīmēja kā būtisku risku. Ieteikums: “Šifrēt visus sensitīvos datus glabāšanas laikā, izmantojot nozares standarta algoritmus.”

Sarah tas nebija tikai tehnisks jautājums; tā bija darbības nepārtrauktības krīze. Sistēmas modernizācija nozīmētu mēnešiem ilgu dīkstāvi un miljonu izmaksas — valdei nepieņemamu risinājumu. Taču atstāt lielu sensitīva intelektuālā īpašuma apjomu nešifrētu bija nepieņemams risks un skaidra atkāpe no uzņēmuma informācijas drošības pārvaldības sistēmas (ISMS).

Šis scenārijs atspoguļo kiberdrošības realitāti, kur ideāli risinājumi ir reti un atbilstības prasības nevar vienkārši apturēt. Tas notiek, kad kritiski rezerves kopiju faili tiek glabāti mantotās sistēmās, kad būtisks SaaS pakalpojumu sniedzējs atsaucas uz “tehniskiem ierobežojumiem” vai kad augstas veiktspējas lietojumprogrammas nespēj darboties šifrēšanas radītās slodzes dēļ. Mācību grāmatas atbilde “vienkārši šifrējiet” bieži saduras ar sarežģītu realitāti.

Kas notiek, ja primārais, paredzētais kontroles pasākums nav pieejams? Risks netiek vienkārši pieņemts. Tiek veidota pārdomātāka un noturīgāka aizsardzība, izmantojot kompensējošus kontroles pasākumus. Tas nav stāsts par attaisnojumiem; tas ir par nobriedušas, uz risku balstītas drošības pārvaldības pierādīšanu, kas iztur arī visstingrāko audita pārbaudi.

Kāpēc datu šifrēšana glabāšanas laikā ir augstas nozīmes prasība

Datu šifrēšana glabāšanas laikā ir pamata kontroles pasākums visos mūsdienu drošības ietvaros, tostarp ISO/IEC 27001:2022, GDPR Article 32, NIS2, DORA un NIST SP 800-53 SC-28. Tās mērķis ir vienkāršs, bet kritisks: padarīt glabātos datus nelasāmus, ja fiziskā vai loģiskā aizsardzība neizdodas. Nozaudēta rezerves kopiju lente vai nozagts serveris ar nešifrētiem datiem nav tikai tehniska kļūme; bieži tas ir juridiski paziņojams personas datu aizsardzības pārkāpums.

Riski ir skaidri un būtiski:

• Pārnēsājami datu nesēji, piemēram, USB diski un rezerves kopiju lentes, var tikt nozagti vai nozaudēti.
• Datu ekspozīcija var rasties no nepārvaldītām, aizmirstām vai mantotām ierīcēm.
• Noteiktos SaaS, mākoņpakalpojumu, OT vai mantoto sistēmu kontekstos nav iespējams piemērot iebūvētu diska vai datubāzes šifrēšanu.
• Datu atjaunošanas riski rodas, ja šifrēšanas atslēgas tiek pazaudētas vai neatbilstoši pārvaldītas.

Šīs prasības nav tikai tehniskas — tās ir juridiski noteikti pienākumi. GDPR Article 32 un DORA Articles 5 and 10 šifrēšanu tieši atzīst par “atbilstošu tehnisko pasākumu”. NIS2 to nosaka kā pamatprasību sistēmu un informācijas integritātes nodrošināšanai. Ja šī primārā aizsardzība nav īstenojama, pierādīšanas pienākums pāriet organizācijai: tai jāpierāda, ka alternatīvie pasākumi ir tikpat efektīvi.

Pāreja no vienas atzīmes kontrolsarakstā uz daudzslāņu aizsardzību

Tipiska reakcija uz tādu audita konstatējumu kā Sarah gadījumā bieži ir panika. Taču labi strukturēta ISMS šādas situācijas paredz. Sarah pirmais solis nebija zvans infrastruktūras komandai; viņa atvēra savas organizācijas Kriptogrāfisko kontroles pasākumu politiku, kas izstrādāta, izmantojot Clarysec uzņēmuma veidnes. Viņa uzreiz pārgāja uz punktu, kas nodrošināja pamatu viņas stratēģijai.

Saskaņā ar Kriptogrāfisko kontroles pasākumu politiku, 7.2.3. sadaļa tieši apraksta procesu, kā definēt:

“Konkrētus piemērojamos kompensējošos kontroles pasākumus”

Šis punkts ir CISO sabiedrotais. Tas atzīst, ka universāla pieeja drošībai ir nepilnīga, un nodrošina apstiprinātu ceļu riska mazināšanai. Politika nedarbojas izolēti. Kā noteikts 10.5. punktā, tā ir tieši sasaistīta ar Datu klasifikācijas un marķēšanas politiku, kas “definē klasifikācijas līmeņus (piemēram, konfidenciāls, reglamentēts), kuri aktivizē konkrētas šifrēšanas prasības”.

Šī sasaiste ir kritiska. Mantotajā datubāzē esošie dati bija klasificēti kā “konfidenciāli”, tāpēc šifrēšanas neesamība tika atzīmēta kā problēma. Tagad Sarah uzdevums bija skaidrs: izveidot tik spēcīgu kompensējošo kontroles pasākumu kopumu, lai ekspozīcijas risks tiktu samazināts līdz pieņemamam līmenim.

Aizstāvamas stratēģijas veidošana ar Zenith Blueprint

Šifrēšana ir mūsdienu drošības stūrakmens, taču, kā Clarysec Zenith Blueprint: auditora 30 soļu ceļvedis skaidro 21. solī, kontroles pasākums 8.24 “Kriptogrāfijas izmantošana” nav tikai par šifrēšanas “ieslēgšanu”. Tas ir par “kriptogrāfijas iestrādi organizācijas arhitektūrā, politikā un dzīves cikla pārvaldībā”.

Ja viena arhitektūras daļa (mantotā datubāze) nespēj izpildīt prasību, to jākompensē politikas un dzīves cikla aspektiem. Sarah komanda izmantoja šo ietvaru, lai izveidotu daudzslāņu aizsardzību, kuras pamatmērķis bija nepieļaut datu izkļūšanu no to drošā, lai arī nešifrētā, konteinera.

Kompensējošs kontroles pasākums Nr. 1: datu noplūdes novēršana (DLP)

Ja nevarat šifrēt datus tur, kur tie atrodas, jānodrošina, ka tie nevar šo vidi pamest. Sarah komanda ieviesa datu noplūdes novēršanas (DLP) risinājumu kā digitālu aizsargbarjeru. Tas nebija vienkāršs tīkla noteikums; tas bija izsmalcināts, saturu analizējošs kontroles pasākums.

Izmantojot Clarysec Zenith Controls: savstarpējās atbilstības ceļvedi, komanda konfigurēja DLP sistēmu, balstoties uz ISO/IEC 27001:2022 kontroles pasākuma 8.12 “Datu noplūdes novēršana” norādījumiem. Noteikumus tieši noteica 5.12 Classification of information. Jebkuri dati, kas atbilda mantotajā datubāzē esošās “konfidenciālās” informācijas shēmām, tika automātiski bloķēti, ja tos mēģināja pārsūtīt pa e-pastu, augšupielādēt tīmeklī vai pat kopēt un ielīmēt citās lietojumprogrammās.

Kā skaidro Zenith Controls:

“Datu noplūdes novēršana (DLP) pamatā ir atkarīga no precīzas datu klasifikācijas. Kontroles pasākums 5.12 nodrošina, ka dati tiek marķēti atbilstoši sensitivitātei… DLP ir specializēta nepārtrauktas uzraudzības forma, kas vērsta uz datu kustību… 8.12 var piemērot šifrēšanas politikas datiem, kas atstāj organizāciju, nodrošinot, ka pat datu neatļautas izneses gadījumā tie paliek nelasāmi nesankcionētām pusēm.”

Šis kontroles pasākums tiek atzīts vairākos ietvaros un sasaistīts ar GDPR Art. 32, NIS2 Art. 21, DORA Art. 10 un NIST SP 800-53 SI-4. To ieviešot, Sarah komanda izveidoja spēcīgu aizsardzības zonu, kas nodrošināja, ka nešifrētie dati paliek izolēti.

Kompensējošs kontroles pasākums Nr. 2: datu maskēšana neprodukcijas lietošanai

Viens no lielākajiem mantoto datu riskiem ir to izmantošana citās vidēs. Izstrādes komandai bieži bija nepieciešami ražošanas sistēmas dati jaunu lietojumprogrammas funkciju testēšanai. Vienkārša nešifrētu, konfidenciālu datu nodošana viņiem nebija pieļaujama.

Šeit Sarah pievērsās Zenith Blueprint 20. solim, kas aptver 8.11 Data masking. Ceļvedī norādīts, ka auditori tieši jautās: “Vai jūs jebkad izmantojat reālus personas datus testa sistēmās? Ja jā, kā tie tiek aizsargāti?”

Ievērojot šos norādījumus, Sarah komanda ieviesa stingru datu maskēšanas procedūru. Jebkuram datu izvilkumam, ko pieprasīja izstrādes komanda, bija jāiziet automatizēts process, kurā sensitīvie lauki tika pseidonimizēti vai anonimizēti. Klientu vārdi, īpašumā esošas formulas un ražošanas rādītāji tika aizstāti ar reālistiskiem, bet fiktīviem datiem. Šis viens kontroles pasākums novērsa plašu riska virsmu, nodrošinot, ka sensitīvie dati nekad neatstāj stingri kontrolēto ražošanas vidi sākotnējā formā.

Kompensējošs kontroles pasākums Nr. 3: pastiprināti fiziskās un loģiskās drošības kontroles pasākumi

Kad datu noplūdes un neprodukcijas lietošanas riski bija risināti, pēdējais aizsardzības slānis koncentrējās uz pašu sistēmu. Balstoties uz 7.10 Storage media principiem no Zenith Controls, Sarah komanda fizisko serveri apstrādāja kā augstas drošības aktīvu. Lai gan 7.10 bieži tiek saistīts ar noņemamiem datu nesējiem, tā dzīves cikla pārvaldības un fiziskās drošības principi ir pilnībā piemērojami arī šeit.

Kā Zenith Controls norāda par šo tēmu:

“ISO/IEC 27002:2022 7.10. punktā sniedz visaptverošus norādījumus drošai datu nesēju pārvaldībai visā to dzīves ciklā. Standarts organizācijām iesaka uzturēt visu noņemamo datu nesēju reģistru…”

Piemērojot šo loģiku, serveris tika pārvietots uz atsevišķu, slēdzamu statni datu centrā, kam piekļūt drīkstēja tikai divi vārdā norādīti vecākie inženieri. Fiziskajai piekļuvei bija nepieciešama reģistrēšanās, un tā tika uzraudzīta ar CCTV. Tīkla pusē serveris tika ievietots segmentētā “mantotā” VLAN. Ugunsmūra noteikumi tika konfigurēti pēc principa “liegt visu pēc noklusējuma”, atstājot vienu skaidru noteikumu, kas atļāva komunikāciju tikai no norīkotā lietojumprogrammu servera uz konkrētu portu. Šāda stingra izolācija būtiski samazināja uzbrukuma virsmu, padarot nešifrētos datus neredzamus un nepieejamus.

Audita pārbaude: aizstāvamas stratēģijas prezentēšana vairākās perspektīvās

Kad auditors atgriezās uz pēcpārbaudi, Sarah nepiedāvāja attaisnojumus. Viņa prezentēja visaptverošu riska apstrādes plānu ar dokumentāciju, žurnāliem un viņas komandas kompensējošo kontroles pasākumu demonstrācijām darbībā. Audits nav vienreizējs notikums; tā ir saruna, kas tiek vērtēta no dažādiem skatpunktiem, un CISO jābūt gatavam katram no tiem.

ISO/IEC 27001 auditora skatījums: Auditors vēlējās redzēt darbības efektivitāti. Sarah komanda demonstrēja, kā DLP sistēma bloķē nesankcionētu e-pastu, parādīja datu maskēšanas skripta izpildi un iesniedza fiziskās piekļuves žurnālus, kas sasaistīti ar darba pieteikumiem.

GDPR un privātuma skatījums: Auditors jautāja, kā tiek piemērota datu minimizēšana. Sarah parādīja automatizētus skriptus kešoto datu drošai dzēšanai un pseidonimizācijas procesu visiem datiem, kas atstāj ražošanas sistēmu, saskaņojot to ar GDPR Article 25 (datu aizsardzība pēc projektēšanas un pēc noklusējuma). Kriptogrāfisko kontroles pasākumu politika MVU DPO tieši piešķir pienākumu “nodrošināt, ka šifrēšanas kontroles pasākumi ir saskaņoti ar datu aizsardzības pienākumiem saskaņā ar GDPR Article 32”.

NIS2/DORA skatījums: Šī perspektīva koncentrējas uz darbības noturību. Sarah prezentēja izolētās sistēmas rezerves kopiju un atjaunošanas testu rezultātus un mantotās programmatūras piegādātāja drošības pielikumus, pierādot proaktīvu risku pārvaldību, kā to prasa NIS2 Article 21 un DORA Article 9.

NIST/COBIT skatījums: Auditors, kas izmanto šos ietvarus, meklē pārvaldību un metriku. Sarah prezentēja atjauninātu riska reģistru, kurā redzama formāla atlikušā riska pieņemšana (COBIT APO13). Viņa sasaistīja DLP ar NIST SP 800-53 SI-4 (sistēmas uzraudzība), tīkla segmentēšanu ar SC-7 (robežu aizsardzība) un piekļuves kontroli ar AC-3 un AC-4, pierādot, ka, lai gan SC-28 (informācijas aizsardzība glabāšanas laikā) tieši netika izpildīts, tika ieviests līdzvērtīgs kontroles pasākumu kopums.

Galvenie audita pierādījumi kompensējošiem kontroles pasākumiem

Lai efektīvi izskaidrotu stratēģiju, Sarah komanda sagatavoja pierādījumus, kas pielāgoti auditoru sagaidāmajam.

Paredzot šīs dažādās perspektīvas, Sarah iespējamu neatbilstību pārvērta par drošības brieduma pierādījumu.

Praktisks kopsavilkums nākamajam auditam

Lai stratēģija būtu skaidra un aizstāvama, Sarah komanda riska apstrādes plānā izveidoja kopsavilkuma tabulu. Šo pieeju var izmantot jebkura organizācija.

Savstarpējā atbilstība īsumā

Spēcīga kompensējošo kontroles pasākumu stratēģija ir aizstāvama visos būtiskākajos ietvaros. Clarysec Zenith Controls nodrošina savstarpējās atbilstības kartējumu, lai jūsu aizsardzības pasākumi būtu vienoti saprotami un pieņemami.

Secinājums: pārvērtiet vājāko posmu par stipro pusi

Stāsts par nešifrējamo mantoto datubāzi nav stāsts par neveiksmi. Tas ir stāsts par nobriedušu un saprātīgu risku pārvaldību. Neapmierinoties ar vienkāršu atbildi “to nevar izdarīt”, Sarah komanda būtisku ievainojamību pārvērta par daudzslāņu aizsardzības spēju demonstrāciju. Viņi pierādīja, ka drošība nav vienas rūtiņas “šifrēšana” atzīmēšana. Tā ir riska izpratne un pārdomātas, daudzslāņu un auditējamas aizsardzības izveide tā mazināšanai.

Jūsu organizācijai neizbēgami būs sava šīs mantotās datubāzes versija. Kad to atradīsiet, neuztveriet to kā šķērsli. Uztveriet to kā iespēju izveidot noturīgāku un aizstāvamāku drošības programmu.

Vai esat gatavi izveidot savu noturīgo, auditam gatavo kontroles pasākumu ietvaru? Sāciet ar pareizu pamatu.

• Pārskatiet savu politiku ekosistēmu, izmantojot Clarysec visaptverošos politiku rīkkopumus.
• Izpētiet The Zenith Blueprint: auditora 30 soļu ceļvedi, lai vadītu ieviešanu.
• Izmantojiet Zenith Controls: savstarpējās atbilstības ceļvedi, lai nodrošinātu, ka jūsu aizsardzība iztur pārbaudi no jebkura skatpunkta.

Sazinieties ar Clarysec, lai saņemtu pielāgotu darbnīcu vai pilnu savstarpējās atbilstības izvērtējumu. Jo mūsdienu regulatīvajā vidē sagatavotība ir vienīgais kontroles pasākums, kam patiešām ir nozīme.

Atsauces:

• Kriptogrāfisko kontroles pasākumu politika
• Kriptogrāfisko kontroles pasākumu politika MVU
• Datu klasifikācijas un marķēšanas politika
• Zenith Blueprint: auditora 30 soļu ceļvedis
• Zenith Controls: savstarpējās atbilstības ceļvedis