Strateġija ITDR għal ISO 27001, NIS2, DORA u GDPR

Fit-3:00 ta’ filgħodu nhar ta’ Tlieta, Sarah, is-CISO ta’ FinScale, qamet għal tip ta’ twissija li l-mexxejja moderni tas-sigurtà qegħdin jibżgħu dejjem aktar minnha. Sessjoni attiva ta’ żviluppatur anzjan, awtentikata permezz tal-MFA ftit sigħat qabel, kienet qed tintuża minn sors mhux tas-soltu biex jiġu enumerati skemi ta’ databases tal-produzzjoni.

Ma kienx hemm beacon ta’ malware. L-ebda nota ta’ ransomware. L-ebda exploit tal-firewall. Kienet biss l-identità.

Is-SOC qabad l-attività, iżda r-rispons kien imħawwad. Kien dan bypass tal-MFA, token tas-sessjoni misruq, jew kompromess tal-fornitur tal-identità nnifsu? Min kellu l-awtorità jwaqqaf is-sessjoni attiva? Kien biżżejjed li tiġi revokata l-password, jew it-tim kellu jinvalida refresh tokens, idawwar il-kredenzjali tal-API u jirrieżamina l-grants ta’ OAuth? Sakemm l-attività ġiet ikkontrollata, l-attakkant kien ilu attiv għal 47 minuta.

L-għada filgħodu, l-inċident tas-sigurtà sar problema ta’ governanza. Il-Bord ried spjegazzjoni b’lingwaġġ ċar dwar jekk l-iġjene ċibernetika ta’ FinScale kinitx falliet taħt NIS2. It-tim tal-konformità ried ikun jaf jekk l-avveniment setax jiġi kklassifikat bħala inċident maġġuri relatat mal-ICT taħt DORA. It-tim legali kellu bżonn tweġiba difensibbli dwar jekk kienx sar aċċess għal data personali taħt GDPR Article 32 u jekk kinitx meħtieġa valutazzjoni ta’ ksur ta’ data personali. L-awditur estern staqsa jekk il-kontrolli ta’ ISO/IEC 27001:2022 kinux qegħdin joperaw b’mod effettiv, mhux sempliċement dokumentati fil-politiki.

Il-problema ta’ Sarah ma kinitx nuqqas ta’ għodod. FinScale kellha fornitur tal-identità, MFA, SIEM, kontrolli tal-endpoint, reġistri tal-cloud u proċess ta’ rispons għall-inċidenti. Il-problema kienet li l-ġestjoni tal-identità, l-illoggjar, il-monitoraġġ, ir-rispons għall-inċidenti, il-valutazzjoni tal-privatezza u l-ġestjoni tal-evidenza kienu qegħdin joperaw f’silos.

Din hija l-problema tal-Identity Threat Detection and Response fl-2026. ITDR m’għadux biss kapaċità tal-operazzjonijiet tas-sigurtà. Huwa magna tal-evidenza għal konformità trasversali ma’ ISO/IEC 27001:2022, NIS2, DORA u GDPR Article 32.

Zenith Blueprint: An Auditor’s 30-Step Roadmap ta’ Clarysec Zenith Blueprint, is-sett ta’ politiki u Zenith Controls: The Cross-Compliance Guide Zenith Controls jgħinu lill-organizzazzjonijiet jibdlu l-attakki fuq l-identità minn investigazzjonijiet kaotiċi f’proċessi ta’ kontroll ripetibbli u li jistgħu jiġu awditjati.

Għaliex Identity Threat Detection and Response issa huwa kwistjoni fil-livell tal-Bord

L-attakki fuq l-identità jaħdmu għax jabbużaw minn mogħdijiet leġittimi ta’ aċċess. Attakkant li jisraq token tas-sessjoni, jirreġistra applikazzjoni OAuth malizzjuża, jikkomprometti kont ta’ servizz jew jipperswadi utent permezz ta’ għeja minn push tal-MFA jista’ jidher bħal utent validu għal sistemi li jiċċekkjaw biss jekk l-awtentikazzjoni rnexxietx.

Dan jagħmel l-ITDR differenti mid-difiża tradizzjonali tal-perimetru. Programm matur għandu jkun kapaċi jwieġeb:

• Liema identitajiet ta’ persuni, servizzi, fornituri u applikazzjonijiet jeżistu?
• Liema identitajiet huma privileġġjati, inattivi, kondiviżi jew federati esternament?
• Liema avvenimenti ta’ awtentikazzjoni huma normali, riskjużi jew impossibbli?
• Liema grants ta’ OAuth, tokens SaaS u kredenzjali tal-API jistgħu jaċċessaw data sensittiva?
• Liema twissijiet jattivaw il-klassifikazzjoni tal-inċidenti, il-preservazzjoni tal-evidenza u t-teħid ta’ deċiżjonijiet regolatorji?
• Liema kontrolli juru li l-aċċess għal data personali huwa protett b’miżuri tekniċi u organizzattivi xierqa?

NIS2 jagħmel dan kwistjoni ta’ governanza. Article 20 jeħtieġ li l-korpi ta’ tmexxija ta’ entitajiet essenzjali u importanti japprovaw miżuri ta’ ġestjoni tar-riskju taċ-ċibersigurtà, jissorveljaw l-implimentazzjoni tagħhom u jirċievu taħriġ. Article 21 jeħtieġ miżuri tekniċi, operattivi u organizzattivi xierqa u proporzjonati, inklużi analiżi tar-riskju, ġestjoni tal-inċidenti, kontinwità tan-negozju, sigurtà tal-katina tal-provvista, valutazzjoni tal-effettività tal-kontrolli, iġjene ċibernetika, taħriġ, kontroll tal-aċċess, ġestjoni tal-assi u awtentikazzjoni b’diversi fatturi jew awtentikazzjoni kontinwa fejn xieraq.

DORA jagħmel pressjoni simili fuq entitajiet finanzjarji. Jeħtieġ qafas dokumentat ta’ ġestjoni tar-riskju tal-ICT, responsabbiltà tal-korp ta’ tmexxija, mekkaniżmi ta’ skoperta, ġestjoni tal-inċidenti, klassifikazzjoni, rappurtar, ittestjar tar-reżiljenza u ġestjoni tar-riskju tal-ICT ta’ partijiet terzi. DORA japplika mis-17 ta’ Jannar 2025. Għal entitajiet finanzjarji identifikati wkoll taħt NIS2, DORA jiffunzjona bħala r-regolamentazzjoni speċifika għas-settur għall-obbligi sovrapposti ta’ riskju tal-ICT u ta’ rappurtar tal-inċidenti.

GDPR iżid is-saff tar-responsabbiltà tal-privatezza. Article 5 jeħtieġ integrità, kunfidenzjalità u responsabbiltà. Article 4 jiddefinixxi ksur ta’ data personali b’mod wiesa’, inkluż aċċess mhux awtorizzat għal data personali. Article 32 jeħtieġ miżuri tekniċi u organizzattivi xierqa biex jiġi żgurat livell ta’ sigurtà adattat għar-riskju. F’inċidenti tal-identità, reġistri, kontrolli tal-aċċess, reġistri tal-awtentikazzjoni u evidenza tal-inċidenti jsiru ċentrali biex jintwera jekk id-data personali kinitx protetta.

ISO/IEC 27001:2022 hija s-sistema ta’ ġestjoni li tista’ żżomm dawn l-obbligi flimkien. Klawżola 4 teħtieġ li l-organizzazzjoni tifhem il-kuntest tagħha, il-partijiet interessati u r-rekwiżiti legali, regolatorji u kuntrattwali. Klawżola 6 teħtieġ valutazzjoni tar-riskju, trattament tar-riskju, approvazzjoni mis-sid tar-riskju u evidenza miżmuma. Annex A jinkludi kontrolli għall-ġestjoni tal-identità, awtentikazzjoni sigura, illoggjar, monitoraġġ, ġestjoni tal-inċidenti, ġbir tal-evidenza, relazzjonijiet mal-fornituri, servizzi cloud u protezzjoni tal-privatezza.

ITDR għandu jkun fi ħdan l-ISMS għax ir-riskju tal-identità jsir adattat għall-awditjar biss meta jkun fil-kamp ta’ applikazzjoni, ikollu sid, jiġi evalwat, ittrattat, immonitorjat u mtejjeb.

Ix-xenarju ta’ attakk fuq l-identità li jinteressa lir-regolaturi

Ikkunsidra fornitur ta’ flussi tax-xogħol finanzjarji bbażat fil-cloud li jservi klijenti tal-UE. Juża Microsoft 365, pjattaforma SaaS ta’ appoġġ għall-klijenti, infrastruttura cloud, proċessur tal-pagamenti u diversi integrazzjonijiet ibbażati fuq APIs. Inġinier anzjan tal-appoġġ jirċievi prompt konvinċenti biex jerġa’ jgħaqqad applikazzjoni tal-produttività. L-iskrin tal-kunsens OAuth jitlob aċċess għall-qari tal-mailbox u aċċess offline. L-inġinier japprovah.

Fi ftit minuti, l-attakkant juża t-token biex ifittex identifikaturi tal-klijenti u fajls mehmuża tal-appoġġ. Jenumera s-sħubijiet fil-gruppi u jipprova jaċċessa portal amministrattiv. MFA kien attivat, iżda l-attakkant m’għandux bżonn il-password mill-ġdid għax it-token jagħti aċċess persistenti. Is-SOC jara aċċess mhux tas-soltu għall-mailbox, applikazzjoni OAuth ġdida, tentattivi falluti lejn il-portal amministrattiv u attività minn ġeografija mhux tas-soltu.

Dan ix-xenarju wieħed jaqsam diversi oqsma ta’ kontroll:

• Ċiklu tal-ħajja tal-identità, għax ir-rwol u l-permessi tal-utent jiddeterminaw ir-raġġ tal-impatt.
• Awtentikazzjoni sigura, għax MFA waħdu ma ppreveniex l-abbuż tat-token.
• Illoggjar u monitoraġġ, għax l-iskoperta tiddependi fuq ir-reġistri tal-fornitur tal-identità, tas-SaaS u tal-applikazzjonijiet.
• Rispons għall-inċidenti, għax kredenzjali, sessjonijiet, tokens u grants ta’ OAuth għandhom jiġu revokati malajr.
• Ġbir tal-evidenza, għax jista’ jsegwi esponiment ta’ data personali u rappurtar regolatorju.
• Governanza tal-fornituri u tal-cloud, għax reġistri SaaS u APIs tal-awditjar jagħmlu parti mill-katina tal-evidenza.
• Protezzjoni tal-privatezza, għax l-aċċess għal data personali għandu jiġi evalwat taħt GDPR.

Il-mistoqsija aħjar mhijiex “Liema għodda falliet?” Il-mistoqsija aħjar hija jekk l-organizzazzjoni kellhiex katina ta’ kontroll ITDR imfassla, ittestjata u li tista’ tiġi awditjata.

Il-katina ta’ kontroll ISO 27001:2022 wara ITDR effettiv

L-aktar programmi ITDR effettivi jgħaqqdu kontrolli preventivi, detettivi, korrettivi u evidenzjarji.

F’Zenith Controls, il-kontroll ISO/IEC 27001:2022 5.16 Ġestjoni tal-identità jiġi ttrattat bħala kontroll preventiv li jappoġġa l-kunfidenzjalità, l-integrità u d-disponibbiltà. Jikkonnettja direttament ma’ 5.15 Kontroll tal-aċċess, 5.17 Informazzjoni tal-awtentikazzjoni, 5.18 Drittijiet tal-aċċess, 5.19 Sigurtà tal-informazzjoni fir-relazzjonijiet mal-fornituri, 5.36 Konformità mal-politiki, regoli u standards għas-sigurtà tal-informazzjoni, u 8.2 Drittijiet ta’ aċċess privileġġjat.

Dan huwa importanti għax l-iskoperta tal-identità tfalli meta l-governanza tal-identità tkun dgħajfa. Jekk kont ta’ servizz mhuwiex dokumentat, identità ta’ fornitur mhijiex immaniġġjata jew rwol privileġġjat m’għandux sid, il-monitoraġġ jista’ jiskopri avveniment iżda dawk li jirrispondu ma jkunux jistgħu jinterpretawh malajr.

Il-kontroll 8.5 Awtentikazzjoni sigura huwa ankra oħra tal-ITDR. F’Zenith Controls, jikkonnettja ma’ ġestjoni tal-identità, informazzjoni tal-awtentikazzjoni, drittijiet ta’ aċċess privileġġjat, restrizzjoni tal-aċċess għall-informazzjoni, attivitajiet ta’ monitoraġġ, ġestjoni tal-inċidenti u protezzjoni tal-privatezza tal-PII. L-awtentikazzjoni ma tintemmx fil-login. Il-ġestjoni tas-sessjonijiet, il-ġestjoni tat-tokens, il-protezzjoni tal-kredenzjali u t-traċċabbiltà huma parti mill-istess storja tal-evidenza.

Il-kontroll 8.16 Attivitajiet ta’ monitoraġġ huwa ċ-ċappetta bejn il-ġbir tar-reġistri u t-teħid tad-deċiżjonijiet. Jiddependi fuq 8.15 Illoggjar u jappoġġa 5.25 Valutazzjoni u deċiżjoni dwar avvenimenti tas-sigurtà tal-informazzjoni, 5.26 Rispons għal inċidenti tas-sigurtà tal-informazzjoni u ġestjoni usa’ tal-inċidenti. Għall-ITDR, 8.16 huwa fejn imġiba suspettuża tal-identità ssir avveniment triaged, inċident iddikjarat jew pożittiv falz dokumentat.

It-tabella mhijiex immappjar teoretiku. Hija l-katina prattika tal-evidenza li awditur, membru tal-Bord jew regolatur se jistenna wara inċident tal-identità.

X’iżidu l-politiki ta’ Clarysec: sjieda, attivaturi u regoli tal-evidenza

L-għodod tal-identità ma joħolqux responsabbiltà awtomatikament. Waqt kriżi, dawk li jirrispondu jeħtieġu awtorità biex jirrevokaw sessjonijiet, jiddiżattivaw kontijiet, jesportaw reġistri, jippreservaw evidenza u jieħdu deċiżjonijiet ta’ eskalazzjoni. L-awdituri għandhom jaraw li dawn l-azzjonijiet ma kinux improvizzati.

Is-sett ta’ politiki ta’ Clarysec jipprovdi dak il-mudell operattiv.

Mill-politika tal-intrapriża User Account and Privilege Management Policy User Account and Privilege Management Policy, il-Klawżola 5.9 tar-Rekwiżiti ta’ governanza tgħid:

L-organizzazzjoni għandha żżomm inventarju dettaljat tal-kredenzjali attivi u inattivi kollha, tal-kontijiet privileġġjati u tal-kontijiet ta’ servizz fil-livell tas-sistema. Dan l-inventarju għandu jiġi aġġornat kontinwament u rieżaminat kull tliet xhur.

Dan jibdel l-inventarju tal-identitajiet f’obbligu espliċitu ta’ kontroll. Huwa partikolarment importanti għax kontijiet ta’ servizz, ċwievet tal-API u kredenzjali inattivi huma blind spots komuni tal-ITDR.

L-istess politika tgħid fil-Klawżola 5.8 tar-Rekwiżiti ta’ governanza:

L-attivitajiet amministrattivi kollha u l-azzjonijiet tal-kontijiet privileġġjati għandhom jiġu rreġistrati b’mod li juri t-tbagħbis u mmonitorjati għal anomaliji jew ksur tal-politika.

Dik il-klawżola tgħaqqad il-Ġestjoni tal-Aċċess Privileġġjat mal-iskoperta. Azzjoni privileġġjata mhijiex sempliċement permessa jew miċħuda. Għandha tiġi mmonitorjata għal imġiba li ma taqbilx mal-utent, ir-rwol, is-sors, il-ħin jew il-proċess tan-negozju.

Għal organizzazzjonijiet iżgħar, User Account and Privilege Management Policy - SME User Account and Privilege Management Policy - SME tagħti aspettattiva konċiża fil-Klawżola 8.1.1 tal-Applikazzjoni u konformità:

Il-IT Lead għandu jirrieżamina regolarment ir-reġistri tas-sistema għal tentattivi ta’ aċċess mhux awtorizzat, anomaliji fil-login jew bidliet mhux approvati fil-privileġġi.

Hawnhekk jibdew ħafna programmi ITDR tal-SMEs. Ma teħtieġx SOC kbir. Teħtieġ sjieda nominata u rieżami regolari tas-sinjali tal-identità t-tajbin.

Il-politika tal-illoggjar tipprovdi l-bażi tal-evidenza. Logging and Monitoring Policy - SME Logging and Monitoring Policy - SME tispeċifika fil-Klawżola 5.4.2 tar-Rekwiżiti ta’ governanza:

Reġistri tal-awtentikazzjoni: tentattivi ta’ login li rnexxew u li fallew, tul tas-sessjoni, użu tal-MFA

Dawk l-oqsma mhumiex fakultattivi. Jgħinu biex jintwera jekk l-avveniment suspettuż involviex awtentikazzjoni b’suċċess, fallimenti ripetuti, użu tal-MFA, persistenza tas-sessjoni jew tul anormali.

Il-politika tal-intrapriża Logging and Monitoring Policy Logging and Monitoring Policy tespandi l-kamp ta’ applikazzjoni tar-reġistri meħtieġa fil-Klawżola 6.1.1 tar-Rekwiżiti għall-implimentazzjoni tal-politika:

Is-sistemi koperti kollha għandhom jiġġeneraw reġistri li jaqbdu: 6.1.1.1 Awtentikazzjoni tal-utenti u tentattivi ta’ aċċess 6.1.1.2 Attivitajiet ta’ utenti privileġġjati 6.1.1.3 Bidliet fil-konfigurazzjoni 6.1.1.4 Tentattivi falluti ta’ aċċess jew avvenimenti tas-sistema 6.1.1.5 Sejbiet ta’ malware u twissijiet tas-sigurtà 6.1.1.6 Komunikazzjonijiet esterni u attivaturi tar-regoli tal-firewall

Il-bidliet fil-konfigurazzjoni huma partikolarment importanti f’attakki fuq l-identità. L-attakkanti spiss iżidu grants ta’ OAuth, joħolqu regoli ta’ tressiq, jirreġistraw apparati, jimmodifikaw metodi tal-MFA jew joħolqu mogħdijiet ta’ aċċess ta’ emerġenza.

Il-politika ta’ rispons għall-inċidenti mbagħad tagħti awtorità lil dawk li jirrispondu. Il-politika tal-intrapriża Incident Response Policy Incident Response Policy tgħid fil-Klawżola 6.2.1 tar-Rekwiżiti għall-implimentazzjoni tal-politika:

Is-SOC għandu minnufih jiżola s-sistemi affettwati, jirrevoka kredenzjali kompromessi jew jimblokka traffiku malizzjuż permezz ta’ firewall jew għodod ta’ sigurtà tal-endpoint.

Il-Incident Response Policy - SME Incident Response Policy - SME tgħid fil-Klawżola 4.2.2 tar-Rwoli u responsabbiltajiet:

Jimplimenta azzjonijiet ta’ trażżin u rkupru, pereżempju billi jiddiżattiva l-aċċess jew jirrestawra backups.

Għall-ITDR, ir-revoka ta’ password mhijiex biżżejjed. Ir-runbooks għandhom jinkludu diżattivazzjoni tal-kontijiet, revoka tas-sessjonijiet, invalidazzjoni tal-grants ta’ OAuth, rotazzjoni tas-sigrieti, reset tal-metodi tal-MFA u rieżami tal-permessi delegati.

Il-ġestjoni tal-evidenza hija d-differenza bejn li tirrispondi u li tipprova. Il-politika tal-intrapriża Evidence Collection and Forensics Policy Evidence Collection and Forensics Policy tgħid fil-Klawżola 5.5 tar-Rekwiżiti ta’ governanza:

L-evidenza kollha miġbura għandha tiġi identifikata b’mod uniku, ittikkettata u maħżuna f’repożitorju sigur b’: 5.5.1 Verifika tal-integrità, bħal valuri hash SHA-256 5.5.2 Reġistri tal-aċċess b’timestamp 5.5.3 Entrati tal-katina tal-kustodja ffirmati minn kull kustodju

Il-Evidence Collection and Forensics Policy - SME Evidence Collection and Forensics Policy - SME tgħid fil-Klawżola 6.1.1 tar-Rekwiżiti għall-implimentazzjoni tal-politika:

Dejjem għandha tinħoloq kopja forensika jew esportazzjoni; l-evidenza oriġinali qatt m’għandha tiġi editjata direttament.

Fix-xenarju ta’ FinScale, dan ifisser li s-SOC jesporta r-reġistri tal-fornitur tal-identità, ir-reġistri tal-awditjar SaaS, ir-reġistri tal-aċċess għall-mailbox, ir-reġistri tal-kunsens OAuth, ir-reġistri tar-revoka tas-sessjonijiet u t-twissijiet SIEM f’repożitorju tal-evidenza bi protezzjoni tal-integrità u katina tal-kustodja.

Il-bini tal-pjan direzzjonali tal-ITDR bi Zenith Blueprint

Zenith Blueprint jittraduċi l-katina tal-kontrolli f’passi ta’ implimentazzjoni.

Fil-fażi Controls in Action, Pass 19, Kontrolli teknoloġiċi I, il-Blueprint huwa dirett dwar l-awtentikazzjoni:

Fejn possibbli, għandha tiġi evitata awtentikazzjoni b’password biss, speċjalment għal kontijiet amministrattivi, consoles tal-cloud, għodod ta’ aċċess remot u kwalunkwe sistema esposta għall- internet. MFA, permezz ta’ fattur ieħor bħal hardware key, app mobbli jew bijometrija, issa huwa linja bażi, mhux lussu. Jimmitiga r-riskji ta’ serq ta’ kredenzjali, phishing u attakki ta’ brute-force.

L-istess pass imur lil hinn mill-passwords. Jeħtieġ ħażna u trażmissjoni siguri tad-data tal-awtentikazzjoni, ġestjoni sigura tat-tokens tal-API, IDs tas-sessjoni u kredenzjali OAuth, ġestjoni tas-sigrieti għal awtentikazzjoni machine-to-machine, rotazzjoni tat-tokens, kontrolli fuq il-ħajja tas-sessjoni, secure cookie flags u rieżami tar-reġistri tal-awtentikazzjoni.

Pass 22, Kontrolli organizzattivi, jifformalizza ċ-ċiklu tal-ħajja tal-aċċess. Jiggwida lit-timijiet biex jintegraw il-forniment tal-aċċess u d-deprovisioning mar-Riżorsi Umani, iwettqu rieżamijiet dokumentati tal-aċċess kull tliet xhur, jiddefinixxu tipi ta’ identitajiet bħal kontijiet individwali, kondiviżi u ta’ servizz, japplikaw MFA għal kontijiet privileġġjati, jeliminaw kontijiet inattivi u jdawru l-kredenzjali tas-servizz.

Pass 19 jipprovdi wkoll il-mogħdija għat-titjib tal-illoggjar: ittrasferixxi reġistri kritiċi lejn SIEM jew kollettur tar-reġistri, ivvalida ż-żamma, segwi avveniment reċenti bl-użu tar-reġistri, iddokumenta l-karatteristiċi tal-integrità tar-reġistri u kkonferma t-twissijiet għal logins falluti jew eskalazzjonijiet tal-privileġġi. Is-sinkronizzazzjoni tal-ħin hija importanti għax ir-rikostruzzjoni tal-inċidenti tfalli meta l-fornitur tal-identità, SaaS, endpoint u reġistri tal-cloud ma jaqblux fuq timestamps.

Pass 23, Kontrolli organizzattivi għal 5.19 sa 5.37, jivvalida l-kapaċitajiet tal-ġestjoni tal-inċidenti. Jeħtieġ pjan ta’ rispons għall-inċidenti aġġornat, avvenimenti definiti li għandhom jiġu rrappurtati, eżerċizzji tabletop, deċiżjonijiet dokumentati, reġistri tal-komunikazzjoni, lessons learned u preservazzjoni tal-evidenza forensika bħal snapshots tar-reġistri, backups u iżolament sigur.

Sekwenza pragmatika ITDR ta’ Clarysec tidher hekk:

1. Iddefinixxi t-tipi ta’ identitajiet u s-sidien.
2. Assigura l-awtentikazzjoni, it-tokens u s-sessjonijiet.
3. Iġbor reġistri tal-awtentikazzjoni, tal-privileġġi u tas-SaaS.
4. Immonitorja għal imġiba riskjuża.
5. Iddefinixxi regoli ta’ deċiżjoni minn avveniment għal inċident.
6. Ippreserva l-evidenza.
7. Irrapporta, irkupra u tejjeb.

Pakkett ta’ evidenza ITDR f’ġimgħa

“Pakkett ta’ evidenza għal inċident tal-identità” iffukat huwa wieħed mill-aktar modi mgħaġġla biex jiġu esposti lakuni. Agħżel xenarju ta’ riskju għoli, bħal: “Utent SaaS privileġġjat jagħti kunsens lil applikazzjoni OAuth mhux awtorizzata u t-token jintuża biex jaċċessa data tal-klijenti.”

Imbagħad ibni l-pakkett tal-evidenza f’ġimgħa.

Inkludi mill-inqas traċċa reali waħda. Ħu anomalija reċenti u beninna fil-login u uri kif it-tim jimxi minn twissija għal identità tal-utent, apparat, IP tas-sors, metodu tal-MFA, tul tas-sessjoni, riżorsi SaaS aċċessati, data milħuqa u deċiżjoni ta’ trażżin. Jekk l-organizzazzjoni ma tistax tirrikostruwixxi dik il-katina f’eżerċizzju tabletop, se ssib diffikultà waqt inċident reali.

L-output isir evidenza li tista’ terġa’ tintuża għal awditi interni ISO/IEC 27001:2022, ittestjar tal-proċess ta’ inċidenti tal-ICT taħt DORA, sorveljanza tal-iġjene ċibernetika taħt NIS2 u responsabbiltà taħt GDPR.

Immappjar tal-ITDR ma’ NIS2, DORA u GDPR Article 32

Is-saħħa ta’ mudell ITDR unifikat hija li l-istess evidenza tissodisfa diversi obbligi, filwaqt li xorta tirrispetta l-lingwaġġ ta’ kull qafas.

NIS2 Article 21 jistenna miżuri tekniċi, operattivi u organizzattivi bbażati fuq ir-riskju u proporzjonati. Għall-ITDR, dan ifisser kontroll tal-aċċess, ġestjoni tal-assi, iġjene ċibernetika, taħriġ, ġestjoni tal-inċidenti, valutazzjoni tal-effettività tal-kontrolli u MFA jew awtentikazzjoni kontinwa fejn xieraq. Article 23 joħloq rappurtar f’fażijiet għal inċidenti sinifikanti, inkluża twissija bikrija fi żmien 24 siegħa, notifika tal-inċident fi żmien 72 siegħa u rapport finali fi żmien xahar.

DORA Articles 8 sa 14 jeħtieġu identifikazzjoni tal-assi u d-dipendenzi tal-ICT, protezzjoni u prevenzjoni, mekkaniżmi ta’ skoperta, kontinwità u rkupru, tagħlim u komunikazzjoni. Articles 17 sa 19 jeħtieġu ġestjoni tal-inċidenti, identifikazzjoni tal-kawża ewlenija, indikaturi ta’ twissija bikrija, klassifikazzjoni skont is-severità u l-kritiċità tas-servizz, eskalazzjoni, notifika lill-korp ta’ tmexxija, rappurtar lill-awtorità kompetenti u notifika lill-klijent meta l-interessi finanzjarji jkunu affettwati.

GDPR jeħtieġ miżuri tekniċi u organizzattivi xierqa u responsabbiltà li tista’ tintwera. F’attakki fuq l-identità, il-mistoqsijiet ta’ GDPR jinkludu jekk seħħx aċċess mhux awtorizzat, liema data personali kienet involuta, jekk is-salvagwardji kinux qegħdin joperaw u jekk ġewx attivati l-limiti għan-notifika ta’ ksur.

Għal ditti fintech, ir-relazzjoni bejn NIS2 u DORA hija importanti. DORA jiġi ttrattat bħala l-qafas speċifiku għas-settur għal entitajiet finanzjarji fil-kamp ta’ applikazzjoni fejn jeżistu obbligi sovrapposti ta’ riskju tal-ICT u ta’ rappurtar tal-inċidenti. Fil-prattika, l-organizzazzjonijiet għandhom jibnu mudell wieħed ta’ evidenza ITDR u jimmappjaw id-deċiżjonijiet tar-rappurtar mar-rotta legali applikabbli.

Għal organizzazzjonijiet SaaS, cloud, servizzi ġestiti, sigurtà ġestita u pjattaformi diġitali, il-kamp ta’ applikazzjoni ta’ NIS2 għandu jiġi ċċekkjat bir-reqqa. NIS2 ikopri ħafna setturi ta’ Annex I u Annex II, inklużi infrastruttura diġitali, fornituri tal-cloud computing, ċentri tad-data, servizzi ta’ fiduċja, DNS, reġistri TLD, fornituri ta’ servizzi ġestiti, fornituri ta’ servizzi ta’ sigurtà ġestiti, swieq online, magni tat-tiftix u pjattaformi ta’ netwerking soċjali. Għalhekk, l-iskoping ta’ ISO/IEC 27001:2022 Klawżola 4 u l-analiżi tal-partijiet interessati mhumiex burokrazija. Jiddefinixxu liema obbligi għandu jindirizza l-ISMS.

Riskju tal-identità tal-fornituri u tas-SaaS

Inċidenti tal-identità spiss jiddependu fuq evidenza tal-fornituri. Il-fornitur SaaS jista’ jesporta reġistri tal-awditjar? Juri avvenimenti ta’ kunsens OAuth? Jappoġġa kontrolli tal-aċċess siguri, illoggjar u kapaċitajiet ta’ protezzjoni tad-data? L-assistenza għall-inċidenti, il-post tad-data, is-subkuntrattar, id-drittijiet tal-aċċess u d-dispożizzjonijiet tal-ħruġ huma koperti kuntrattwalment?

Cloud Usage Policy - SME ta’ Clarysec Cloud Usage Policy - SME tinkludi rekwiżit dirett mill-Klawżola 5.2.4 tar-Rekwiżiti ta’ governanza:

Is-servizz jipprovdi kontrolli tal-aċċess siguri, logging u kapaċitajiet ta’ protezzjoni tad-data

Dik is-sentenza sempliċi hija kontroll tal-akkwist. Jekk pjattaforma SaaS ma tistax tipproduċi r-reġistri tal-identità meħtieġa għar-rispons għall-inċidenti, toħloq riskju ta’ konformità.

DORA jagħmel dan espliċitu permezz ta’ obbligi dwar ir-riskju tal-ICT ta’ partijiet terzi. Entitajiet finanzjarji jibqgħu responsabbli għall-konformità, għandhom iżommu reġistri tal-kuntratti tas-servizzi tal-ICT, jiddistingwu funzjonijiet kritiċi jew importanti, iwettqu diliġenza dovuta, jevalwaw riskju ta’ konċentrazzjoni, jinkludu drittijiet ta’ awditjar u aċċess, jiddefinixxu assistenza għall-inċidenti u jiżguraw strateġiji ta’ ħruġ.

F’Zenith Controls, il-kontroll ISO/IEC 27001:2022 8.16 Attivitajiet ta’ monitoraġġ jikkonnettja ma’ 5.22 Monitoraġġ, rieżami u ġestjoni tat-tibdil tas-servizzi tal-fornituri. Dan jirrifletti r-realtà operattiva. Twissijiet tal-fornitur tal-identità, reġistri tal-awditjar SaaS, attività tal-amministratur tal-cloud u kontijiet ta’ fornituri ta’ servizzi ġestiti kollha jagħmlu parti mis-superfiċje tal-ITDR.

Kif l-awdituri jevalwaw l-ITDR

Programm ITDR b’saħħtu għandu jiflaħ diversi perspettivi ta’ awditjar. Kull udjenza tistaqsi mistoqsijiet differenti, iżda l-evidenza għandha tiġi mill-istess sistema ta’ kontroll.

Awditur ta’ ISO/IEC 27001:2022 jistaqsi jekk it-theddid għall-identità huwiex inkluż fil-valutazzjoni tar-riskju, jekk is-sidien tar-riskju approvawx it-trattament, jekk id-Dikjarazzjoni ta’ Applikabbiltà tinkludix il-kontrolli rilevanti ta’ Annex A, jekk il-politiki humiex implimentati u jekk l-evidenza turix li l-kontrolli qegħdin joperaw. Jista’ jieħu kampjun ta’ kont privileġġjat u jsegwi l-approvazzjoni, is-setting tal-MFA, l-attività fir-reġistru, ir-rieżami tal-aċċess u d-deprovisioning.

Valutatur ta’ NIST CSF 2.0 jeżamina r-riżultati GOVERN, IDENTIFY, PROTECT, DETECT, RESPOND u RECOVER. ITDR jidħol b’mod naturali fi profil bil-kamp ta’ applikazzjoni ta’ kompromess tal-identità, abbuż tat-token SaaS jew użu ħażin ta’ aċċess privileġġjat.

Eżaminatur DORA ifittex responsabbiltà tal-korp ta’ tmexxija, funzjonijiet tan-negozju appoġġati mill-ICT, mekkaniżmi ta’ skoperta, kriterji ta’ klassifikazzjoni tal-inċidenti, eskalazzjoni, regoli ta’ komunikazzjoni mal-klijenti, analiżi tal-kawża ewlenija u dipendenzi fuq l-ICT ta’ partijiet terzi.

Rieżaminatur GDPR jistaqsi jekk l-organizzazzjoni tistax turi sigurtà xierqa tad-data personali. Jeżamina restrizzjoni tal-aċċess, skoperta ta’ aċċess mhux awtorizzat, reġistri li juru liema data setgħet ġiet aċċessata, valutazzjoni tal-ksur u evidenza tar-responsabbiltà.

Awditur bi stil COBIT 2019 jew ISACA jeżamina governanza, objettivi ta’ kontroll, sjieda, monitoraġġ tal-prestazzjoni u assigurazzjoni.

Zenith Controls huwa utli hawnhekk għax jaġixxi bħala gwida ta’ konformità trasversali. Ma joħloqx “kontrolli Zenith” separati. Jimmappa oqsma ta’ kontroll ISO/IEC 27001:2022 ma’ kontrolli ISO relatati, standards oħra, aspettattivi tal-awditjar u relazzjonijiet ta’ implimentazzjoni.

Metriċi li juru li ITDR qed jopera

Il-Bordijiet u l-awdituri m’għandhomx bżonn storbju mhux ipproċessat mis-SIEM. Jeħtieġu evidenza li l-kontrolli tal-identità jaħdmu u jitjiebu. Metriċi utli tal-ITDR jinkludu:

• Perċentwal ta’ kontijiet privileġġjati b’MFA reżistenti għall-phishing.
• Numru ta’ kontijiet inattivi eqdem mil-limitu tal-politika.
• Numru ta’ kontijiet ta’ servizz mingħajr sid jew data ta’ rotazzjoni.
• Perċentwal ta’ pjattaformi SaaS kritiċi li jibagħtu reġistri tal-awtentikazzjoni lis-SIEM.
• Mean Time to Detect ta’ attività suspettuża tal-identità.
• Mean Time to revoke għal sessjonijiet u tokens kompromessi.
• Numru ta’ applikazzjonijiet OAuth approvati, miċħuda jew imneħħija.
• Perċentwal ta’ inċidenti tal-identità b’pakketti kompluti tal-evidenza.
• Numru ta’ sejbiet ta’ rieżami tal-aċċess li qabżu d-data ta’ skadenza.
• Numru ta’ pjattaformi tal-fornituri li m’għandhomx ir-reġistri tal-identità meħtieġa.

Dawn il-metriċi għandhom jidħlu fir-rieżami tal-maniġment ISO/IEC 27001:2022, fis-sorveljanza tal-governanza NIS2, fir-rappurtar tar-riskju tal-ICT taħt DORA u fid-diskussjonijiet dwar ir-responsabbiltà taħt GDPR.

Sejbiet komuni tal-awditjar ITDR u rimedji

Clarysec spiss tara ħames sejbiet rikorrenti.

L-ewwel, l-organizzazzjonijiet jattivaw MFA iżda ma jimmonitorjawx l-imġiba tal-MFA. Irranġa dan billi tirreġistra bidliet fil-metodi tal-MFA, challenges falluti, impossible travel, reġistrazzjoni ta’ apparat ġdid u tentattivi ripetuti ta’ push.

It-tieni, kontijiet ta’ servizz jiġu esklużi mill-governanza tal-identità. Irranġa dan billi tagħmel inventarju tal-kontijiet fil-livell tas-sistema, tassenja sidien, iddawwar is-sigrieti, tneħħi kredenzjali inkorporati u timmonitorja mġiba API anomala.

It-tielet, il-kunsens SaaS mhuwiex immaniġġjat. Irranġa dan billi tirrestrinġi l-kunsens tal-utenti, tirrieżamina applikazzjonijiet OAuth, timmonitorja grants ġodda, tiddokumenta integrazzjonijiet approvati u tneħħi apps mhux użati.

Ir-raba’, l-evidenza tinbidel waqt l-investigazzjoni. Irranġa dan billi ssegwi r-regola tal-Evidence Collection and Forensics Policy: oħloq kopji jew esportazzjonijiet forensiċi, qatt teditja l-oriġinali direttament, u aħżen l-evidenza b’hashes u reġistri tal-katina tal-kustodja.

Il-ħames, il-klassifikazzjoni tal-inċident tkun bil-mod wisq. Irranġa dan billi tiddefinixxi minn qabel limiti għall-avvenimenti tal-identità, inklużi kompromess ta’ kont privileġġjat, aċċess għal data personali, abbuż ta’ token SaaS b’impatt fuq il-klijent, tfixkil ta’ servizz kritiku u kompromess tal-identità ta’ fornitur.

Kull sejba għandha rispons ta’ kontroll, politika u evidenza. Dak huwa l-valur prattiku ta’ programm ITDR unifikat: jiddefinixxi x’għandu jkollu sid, x’għandu jiġi mmonitorjat, ittestjat, evidenzjat u mtejjeb.

Ibdel ir-riskju tal-identità f’evidenza lesta għall-awditjar

Jekk l-inċident tal-identità li jmiss tiegħek iseħħ għada, tista’ tipprova min aċċessa xiex, kif ġie awtentikat, liema token jew sessjoni ntużat, liema data ntmesset, min iddeċieda l-klassifikazzjoni regolatorja u liema azzjonijiet korrettivi tlestew?

Jekk it-tweġiba mhijiex ċerta, ibda bi sprint iffukat ta’ tħejjija ITDR.

Uża Zenith Blueprint biex tistruttura l-mogħdija tal-implimentazzjoni madwar l-awtentikazzjoni, iċ-ċiklu tal-ħajja tal-aċċess, l-illoggjar, il-monitoraġġ, ir-rispons għall-inċidenti u l-ġestjoni tal-evidenza. Uża l-politiki ta’ Clarysec dwar kontroll tal-aċċess, illoggjar, cloud, rispons għall-inċidenti u forensika biex tassenja sjieda u awtorità ta’ rispons. Uża Zenith Controls biex timmappa ġestjoni tal-identità, awtentikazzjoni sigura u attivitajiet ta’ monitoraġġ ma’ ISO/IEC 27001:2022, NIS2, DORA, GDPR, NIST CSF 2.0 u aspettattivi tal-awditjar.

L-għan huwa sempliċi: agħmel l-attakki fuq l-identità skopribbli, kontrollabbli, rappurtabbli u difensibbli.

Clarysec tista’ tgħinek tibni pakkett ta’ evidenza ITDR, tittestjah permezz ta’ xenarju tabletop u tikkonverti s-sejbiet fi pjan ta’ trattament tar-riskju li l-Bord, ir-regolatur u l-awditur tiegħek jistgħu jifhmu. Ibda billi tirrieżamina l-Logging and Monitoring Policy, il-User Account and Privilege Management Policy - SME, Zenith Blueprint u Zenith Controls, imbagħad skeda valutazzjoni tat-tħejjija ITDR biex tibdel ir-riskju tal-identità f’evidenza lesta għall-awditjar.