Tālāk par atjaunošanu: CISO ceļvedis patiesas darbības noturības veidošanai ar ISO 27001:2022

Maria, augoša finanšu tehnoloģiju uzņēmuma informācijas drošības vadītāja (CISO), valdei prezentē 3. ceturkšņa riska rādītājus. Viņas slaidi ir precīzi: tajos redzams ievainojamību skaita samazinājums un sekmīgas pikšķerēšanas simulācijas. Pēkšņi tālrunis neatlaidīgi novibrē. Prioritārs brīdinājums no drošības operāciju centra (SOC) vadītāja: “Konstatēta izspiedējprogrammatūra. Izplatās laterāli. Ietekmēti pamatbanku pakalpojumi.”

Telpas noskaņojums no pārliecinoša kļūst saspringts. Izpilddirektors (CEO) uzdod neizbēgamo jautājumu: “Cik ātri varam atjaunot darbību no rezerves kopijas?”

Maria zina, ka rezerves kopijas ir. Tās tiek testētas reizi ceturksnī. Taču, kamēr komanda steidzami veic pārslēgšanos uz rezerves vidi, viņas prātā rodas vēl virkne jautājumu. Vai atjaunošanas vides ir drošas, vai arī tās tikai atkārtoti inficēs atjaunotās sistēmas? Vai incidentu žurnālfiksēšana joprojām darbojas rezerves vietā, vai arī mēs strādājam bez redzamības? Kam ir ārkārtas administratora piekļuve, un vai šo personu darbības tiek izsekotas? Vai steigā atjaunot pakalpojumus kāds tūlīt nesūtīs sensitīvus klientu datus no personīgā konta?

Šis ir kritiskais brīdis, kurā tradicionāls avārijas atjaunošanas plāns izrādās nepietiekams un tiek pārbaudīta patiesa darbības noturība. Runa nav tikai par darbības atjaunošanu; runa ir par darbības atjaunošanu, saglabājot integritāti. Tieši šādu fundamentālu domāšanas maiņu prasa ISO/IEC 27001:2022: pāreju no vienkāršas atjaunošanas uz holistiska, nepārtraukta drošības stāvokļa uzturēšanu pat haosa vidū.

Mūsdienu noturības definīcija: drošība nekad neapstājas

Daudzus gadus darbības nepārtrauktības plānošana lielā mērā koncentrējās uz atjaunošanas laika mērķiem (RTO) un atjaunošanas punkta mērķiem (RPO). Lai gan šie rādītāji ir būtiski, tie atspoguļo tikai daļu no kopainas. Tie mēra ātrumu un datu zudumu, bet nemēra drošības stāvokli pašas krīzes laikā.

ISO/IEC 27001:2022, jo īpaši ar A pielikuma kontroles pasākumiem, paceļ šo diskusiju citā līmenī. Standarts atzīst, ka darbības traucējums nav informācijas drošības pauzes poga. Tieši pretēji — krīzes haosā drošības kontroles pasākumi ir īpaši svarīgi. Uzbrucēji izmanto apjukumu, ekspluatējot tieši tos pagaidu risinājumus un ārkārtas procedūras, kas paredzētas pakalpojuma atjaunošanai.

Noturība ISO/IEC 27001:2022 izpratnē nozīmē uzturēt informācijas drošību darbības traucējumu laikā (A pielikuma kontroles pasākums 5.29), nodrošināt stabilu IKT gatavību darbības nepārtrauktībai (5.30) un uzticamu informācijas rezerves kopiju veidošanu (8.13). Mērķis ir panākt, lai reaģēšana neradītu jaunas un bīstamākas ievainojamības. Kā aprakstīts Clarysec Zenith Blueprint: auditora 30 soļu ceļvedī Zenith Blueprint, “auditori meklēs saskaņotību ne tikai ar politiku, bet arī ar realitāti.” Tieši šeit lielākā daļa organizāciju kļūdās — tās plāno darbības laiku, bet neplāno atbilstības uzturēšanu haosa apstākļos.

Pamats: kāpēc noturība sākas ar kontekstu, nevis kontroles pasākumiem

Pirms var efektīvi ieviest konkrētus noturības kontroles pasākumus, ir jāizveido stabila informācijas drošības pārvaldības sistēma (IDPS). Daudzas organizācijas kļūdās tieši šajā posmā, pārejot uzreiz pie A pielikuma, bet neizveidojot pienācīgu pamatu.

Zenith Blueprint uzsver, ka jāsāk ar IDPS pamatprasībām, jo šis pamatdarbs ir noturības balsts. Process sākas ar organizācijas unikālās vides izpratni:

• 4. punkts: organizācijas konteksts: organizācijas konteksta izpratne, tostarp iekšējo un ārējo jautājumu un ieinteresēto pušu prasību apzināšana, kā arī IDPS darbības jomas noteikšana.
• 5. punkts: līderība: augstākās vadības apņemšanās nodrošināšana, informācijas drošības politikas izveide un organizatorisko lomu un pienākumu definēšana.
• 6. punkts: plānošana: rūpīga risku izvērtēšana un risku apstrādes plānošana, kā arī skaidru informācijas drošības mērķu noteikšana.

Maria pārstāvētajā finanšu tehnoloģiju uzņēmumā rūpīga analīze saskaņā ar 4. punktu būtu identificējusi DORA un NIS2 radīto regulatīvo spiedienu kā būtiskus ārējos jautājumus. Risku izvērtēšana saskaņā ar 6. punktu būtu modelējusi tieši to izspiedējprogrammatūras scenāriju, ar kuru viņa pašlaik saskaras, uzsverot kompromitētas atjaunošanas vides un nepietiekamas žurnālfiksēšanas risku incidenta laikā. Bez šā konteksta jebkurš noturības plāns ir tikai pieņēmums.

Divi darbības noturības balsti ISO/IEC 27001:2022 ietvarā

ISO/IEC 27001:2022 ietvarā divi A pielikuma kontroles pasākumi īpaši izceļas kā darbības noturības balsti: informācijas rezerves kopijas (8.13) un informācijas drošība darbības traucējumu laikā (5.29).

Kontroles pasākums 8.13: informācijas rezerves kopijas — būtiskais drošības tīkls

Šis ir kontroles pasākums, par kuru visi domā, ka tas jau ir sakārtots. Taču patiesi efektīva rezerves kopiju stratēģija nozīmē vairāk nekā tikai datņu kopēšanu. Tas ir korektīvs kontroles pasākums, kas vērsts uz integritāti un pieejamību, un tas ir cieši saistīts ar daudziem citiem kontroles pasākumiem.

Atribūti: korektīvs; integritāte, pieejamība; atjaunošana; nepārtrauktība; aizsardzība.
Operatīvā spēja: nepārtrauktība.
Drošības joma: aizsardzība.

Audita ieskats: auditors prasīs vairāk nekā tikai atbildi “jā” uz jautājumu “Vai jums ir rezerves kopijas?”. Tiks pieprasīti žurnāli, kas pierāda nesenu rezerves kopiju esamību, pierādījumi par sekmīgiem atjaunošanas testiem un apliecinājums, ka rezerves kopiju datu nesēji ir šifrēti, droši glabāti un aptver visus kritiskos aktīvus, kas definēti jūsu aktīvu uzskaitē.

Scenārijs: sistēmu izdzēš izspiedējprogrammatūra vai kritiska konfigurācijas kļūda. Spēja atjaunot darbību, saglabājot integritāti, ir atkarīga no nobriedušas rezerves kopiju stratēģijas. Auditori pārbaudīs, vai šī stratēģija nav izolēta, bet ir saistīta ar citiem kritiskiem kontroles pasākumiem:

• 5.9 Informācijas un citu saistīto aktīvu uzskaite: nevar veidot rezerves kopijas tam, par ko nav zināms. Visaptveroša uzskaite ir obligāta.
• 8.7 Aizsardzība pret ļaunprogrammatūru: rezerves kopijām jābūt izolētām un aizsargātām pret tieši to izspiedējprogrammatūru, kuru tām paredzēts pārvarēt. Tas ietver nemaināmas glabātuves vai no tīkla atdalītu kopiju izmantošanu.
• 5.31 Juridiskās, normatīvās, regulatīvās un līgumiskās prasības: vai jūsu rezerves kopiju glabāšanas grafiki un glabāšanas vietas atbilst datu rezidences tiesību aktiem un līgumiskajiem pienākumiem?
• 5.33 Ierakstu aizsardzība: vai jūsu rezerves kopijas atbilst PII, finanšu ierakstu vai citu reglamentētu datu glabāšanas un privātuma prasībām?

Kontroles pasākums 5.29: informācijas drošība darbības traucējumu laikā — integritātes uzturētājs

Šis ir kontroles pasākums, kas nošķir atbilstošu IDPS no noturīgas IDPS. Tas tieši atbild uz kritiskajiem jautājumiem, kas krīzes laikā nodarbina Maria: kā uzturēt drošību, ja primārie rīki un procesi nav pieejami? Kontroles pasākums 5.29 prasa, lai drošības pasākumi būtu plānoti un saglabātu efektivitāti visā traucējošā notikuma laikā.

Atribūti: preventīvs, korektīvs; aizsargāt, reaģēt; konfidencialitāte, integritāte, pieejamība.
Operatīvā spēja: nepārtrauktība.
Drošības joma: aizsardzība, noturība.

Audita ieskats: auditori pārskata darbības nepārtrauktības un avārijas atjaunošanas plānus, īpaši meklējot pierādījumus par drošības apsvērumiem. Viņi pārbauda alternatīvo vietu drošības konfigurācijas, pārliecinās, ka tiek uzturēta žurnālfiksēšana un piekļuves kontrole, un rūpīgi izvērtē rezerves procesus, lai identificētu drošības vājās vietas, nevis tikai spēju atjaunot pakalpojumu.

Scenārijs: primārais datu centrs nav pieejams, un darbība tiek pārvietota uz rezerves vietu. Auditori sagaida pierādījumus — vietas apsekošanas ziņojumus, konfigurācijas datnes, piekļuves žurnālus —, ka sekundārā vieta atbilst primārajām drošības prasībām. Vai ārkārtas pāreja uz attālināto darbu paplašināja galiekārtu aizsardzību un drošu piekļuvi visām ierīcēm? Vai dokumentējāt lēmumus uz laiku mīkstināt kādus kontroles pasākumus un pēc tam tos atjaunot?

Zenith Blueprint precīzi formulē būtību: “Būtiski ir tas, ka drošība neapstājas, kamēr sistēmas tiek atjaunotas. Kontroles pasākumi var mainīt formu, bet mērķis paliek nemainīgs: aizsargāt informāciju arī piespiedu apstākļos.” Šis kontroles pasākums liek plānot krīzes nekārtīgo realitāti, un tas ir cieši saistīts ar citiem kontroles pasākumiem:

• 5.30 IKT gatavība darbības nepārtrauktībai: nodrošina, ka tehniskais atjaunošanas plāns neignorē drošības plānu.
• 8.16 Uzraudzības darbības: nosaka prasību saglabāt redzamību arī tad, ja primārie uzraudzības rīki nav pieejami.
• 5.24 Informācijas drošības incidentu pārvaldības plānošana un sagatavošanās: krīzes un nepārtrauktības komandām jāstrādā vienlaikus, nodrošinot, ka darbības traucējumu laikā tiek uzturēta gatavība reaģēšanai uz incidentiem.
• 5.28 Pierādījumu vākšana: nodrošina, ka atjaunošanas steigā netiek iznīcināti būtiski digitālās kriminālistikas pierādījumi, kas nepieciešami izmeklēšanai un regulatīvajai ziņošanai.

Praktisks ceļvedis auditējamas noturības ieviešanai

Lai šos kontroles pasākumus pārvērstu no teorijas praksē, nepieciešamas skaidras, īstenojamas politikas un procedūras. Clarysec politiku veidnes ir izstrādātas tā, lai šos principus tieši iestrādātu jūsu IDPS. Piemēram, mūsu Rezerves kopiju veidošanas un atjaunošanas politika Rezerves kopiju veidošanas un atjaunošanas politika nodrošina ietvaru, kas sniedzas tālāk par vienkāršiem rezerves kopiju grafikiem:

“Politika piemēro ISO/IEC 27001:2022 kontroles pasākumus, kas saistīti ar pierādījumu vākšanu (5.28), noturību darbības traucējumu laikā (5.29), operacionālo atjaunošanu (8.13) un informācijas dzēšanu (8.10), un sasaista tos ar labo praksi no ISO/IEC 27002:2022, NIST SP 800-53 Rev.5, GDPR, DORA un NIS2.”

Šāda holistiska pieeja pārvērš noturību no abstrakta jēdziena par auditējamu operacionālu uzdevumu kopumu.

Praktisks kontrolsaraksts: rezerves kopiju un noturības stratēģijas audits

Izmantojiet šo kontrolsarakstu, balstoties uz visaptverošu politiku, lai sagatavotu pierādījumus, ko auditors pieprasīs.

Savstarpējās atbilstības imperatīvs: noturības sasaistīšana ar DORA, NIS2 un plašāku regulējumu

Organizācijām kritiskajās nozarēs noturība nav tikai ISO/IEC 27001:2022 labā prakse; tā ir juridiska prasība. Tādi regulējumi kā Digitālās darbības noturības akts (DORA) un NIS2 direktīva īpaši uzsver spēju izturēt IKT darbības traucējumus un atjaunoties pēc tiem.

Par laimi, darbs, ko veicat ISO/IEC 27001:2022 vajadzībām, nodrošina spēcīgu sākuma pozīciju. Clarysec Zenith Controls: savstarpējās atbilstības ceļvedis Zenith Controls ir izstrādāts, lai veidotu skaidras atbilstības kartējuma tabulas, kas šo saskaņotību demonstrē auditoriem un regulatoriem. Proaktīva dokumentācija parāda, ka drošība tiek pārvaldīta tās pilnā juridiskajā kontekstā.

Mūsu politikas ir veidotas, ņemot to vērā. Piemēram, Datu aizsardzības un privātuma politika Datu aizsardzības un privātuma politika skaidri norāda savu lomu atbilstības stiprināšanā DORA un NIS2 prasībām līdzās ISO/IEC 27001:2022.

Šī kartējuma tabula parāda, kā pamatnoturības kontroles pasākumi izpilda prasības vairākos nozīmīgos ietvaros.

Veidojot IDPS uz stabila ISO/IEC 27001:2022 ietvara pamata, jūs vienlaikus veidojat aizstāvamu pozīciju attiecībā uz šiem citiem stingrajiem regulējumiem.

Auditoru skatījumā: kā tiks pārbaudīta jūsu noturība

Auditori ir apmācīti skatīties tālāk par politikām un meklēt ieviešanas pierādījumus. Runājot par noturību, viņi vēlas redzēt disciplinētu rīcību spiediena apstākļos. Jūsu noturības spēju audits būs daudzšķautņains, un dažādi auditori koncentrēsies uz dažādiem pierādījumu veidiem.

Biežākās kļūdas: kur noturības plāni realitātē bieži neiztur

Clarysec audita konstatējumi rāda atkārtotas vājās vietas, kas grauj pat vislabāk uzrakstītos plānus. Izvairieties no šīm biežākajām kļūdām:

• Manuālajiem rezerves procesiem trūkst drošības. Kad sistēmas nedarbojas, darbinieki atgriežas pie izklājlapām un e-pasta. Šiem manuālajiem procesiem bieži trūkst primāro sistēmu fiziskās vai loģiskās drošības.
  • Risinājums: krīzes protokolos manuāliem pagaidu risinājumiem iekļaujiet fizisko aizsardzību (slēdzami skapji, piekļuves žurnāli) un loģiskos kontroles pasākumus (šifrētas datnes, droši saziņas kanāli).
• Alternatīvās vietas nav pilnībā konfigurētas. Rezerves datu centrā ir serveri un dati, bet var nebūt līdzvērtīgu ugunsmūra noteikumu, žurnālfiksēšanas aģentu vai piekļuves kontroles integrāciju.
  • Risinājums: dokumentējiet drošības kontroles pasākumu līdzvērtību starp primāro un sekundāro vietu. Regulāri veiciet rezerves vietas tehniskos auditus un iesaistiet drošības pārstāvjus visos pārslēgšanās vingrinājumos.
• Atjaunošanas testi ir nepilnīgi vai ad hoc. Organizācijas pārbauda, vai serverus var atjaunot, bet nepārbauda, vai atjaunotā lietojumprogramma ir droša, tiek žurnalēta un darbojas pareizi slodzes apstākļos.
  • Risinājums: visaptverošus rezerves kopiju atjaunošanas testus, tostarp drošības validāciju, nosakiet par obligātu incidentu vingrinājumu un ikgadējo audita pārskatīšanu daļu.
• Datu privātums rezerves kopijās tiek ignorēts. Rezerves kopijas var kļūt par atbilstības risku, glabājot datus, kurus saskaņā ar GDPR tiesībām uz dzēšanu vajadzēja dzēst.
  • Risinājums: saskaņojiet rezerves kopiju glabāšanas un dzēšanas procedūras ar datu privātuma politikām. Nodrošiniet dokumentētu procesu konkrētu datu dzēšanai no rezerves kopiju kopām, kad tas ir juridiski nepieciešams.

No atbilstības uz noturību: nepārtrauktas pilnveides kultūras veicināšana

Noturības sasniegšana nav vienreizējs projekts, kas beidzas ar sertifikāciju. Tā ir pastāvīga apņemšanās pilnveidoties, kas nostiprināta ISO/IEC 27001:2022 10. punktā. Patiesi noturīga organizācija mācās no katra incidenta, katra gandrīz notikuša incidenta un katra audita konstatējuma.

Tas prasa pāriet tālāk par reaktīviem labojumiem. Zenith Blueprint iesaka iestrādāt nepārtrauktu pilnveidi organizācijas kultūrā, izveidojot kanālus, kuros darbinieki var ieteikt drošības uzlabojumus, veicot proaktīvu risku izvērtēšanu būtisku izmaiņu gadījumā un īstenojot rūpīgas pēcincidenta pārskatīšanas, lai fiksētu gūtās mācības.

Turklāt būtiska loma ir kontroles pasākumam 5.35 (neatkarīga informācijas drošības pārskatīšana). Neatkarīgas puses piesaiste IDPS pārskatīšanai sniedz objektīvu skatījumu, kas var atklāt aklās zonas, ko iekšējā komanda var nepamanīt. Kā spēcīgi formulē Zenith Blueprint: “…tas, kas nošķir atbilstošu IDPS no patiesi noturīgas IDPS, ir gatavība uzdot grūtus jautājumus un klausīties, kad atbildes ir neērtas.”

Nākamais solis: neievainojamas IDPS veidošana

Maria krīze izgaismo universālu patiesību: darbības traucējumi ir neizbēgami. Neatkarīgi no tā, vai tā ir izspiedējprogrammatūra, dabas katastrofa vai kritiska piegādātāja atteice, jūsu organizācija tiks pārbaudīta. Jautājums nav “vai”, bet “kā” jūs reaģēsiet. Vai jūs vienkārši atjaunosiet darbību, vai arī reaģēsiet ar noturību?

IDPS izveidei, kas spiediena apstākļos saglabā integritāti, nepieciešama stratēģiska, holistiska pieeja. Tā sākas ar stabilu pamatu, ietver cieši savstarpēji saistītus kontroles pasākumus un tiek uzturēta ar nepārtrauktas pilnveides kultūru. Negaidiet reālu darbības traucējumu, lai atklātu nepilnības savā stratēģijā.

Vai esat gatavi veidot IDPS, kas ir ne tikai atbilstoša, bet patiesi neievainojama?

• Lejupielādējiet Clarysec Zenith Blueprint: auditora 30 soļu ceļvedi, lai vadītu ieviešanu no sākuma līdz beigām.
• Izmantojiet mūsu visaptverošās politiku veidnes, piemēram, Rezerves kopiju veidošanas un atjaunošanas politiku, lai pārvērstu standartus konkrētās, auditējamās darbībās.
• Izmantojiet Zenith Controls: savstarpējās atbilstības ceļvedi, lai nodrošinātu, ka jūsu darbības atbilst stingrajām ISO/IEC 27001:2022, DORA un NIS2 prasībām.

Sazinieties ar mums jau šodien, lai saņemtu bezmaksas noturības izvērtējumu, un ļaujiet Clarysec ekspertiem palīdzēt izveidot IDPS, kas spēj darboties spiediena apstākļos.