Onkraj obnovitve: vodnik za vodje informacijske varnosti (CISO) za vzpostavitev resnične operativne odpornosti z ISO 27001:2022

Maria, vodja informacijske varnosti (CISO) v rastočem fintech podjetju, upravnemu odboru predstavlja kazalnike tveganj za tretje četrtletje. Njene prosojnice so jasne: kažejo upad števila ranljivosti in uspešno izvedene simulacije spletnega ribarjenja. Nenadoma njen telefon vztrajno zavibrira. Prednostno opozorilo vodje SOC: “Zaznana izsiljevalska programska oprema. Širi se lateralno. Prizadete so ključne bančne storitve.”

Vzdušje v prostoru se iz samozavestnega spremeni v napeto. Generalni direktor zastavi neizogibno vprašanje: “Kako hitro lahko obnovimo iz varnostne kopije?”

Maria ve, da varnostne kopije imajo. Testirajo jih četrtletno. Toda ko njena ekipa hiti s preklopom na rezervno okolje, se ji poraja vrsta drugih vprašanj. Ali so obnovitvena okolja varna ali zgolj ponovno okužujejo obnovljene sisteme? Ali beleženje incidentov še vedno deluje na rezervni lokaciji ali smo ostali brez vidljivosti? Kdo ima nujni skrbniški dostop in ali se njegova dejanja spremljajo? Ali bo v naglici pri ponovni vzpostavitvi storitev kdo poslal občutljive podatke strank iz osebnega računa?

To je kritični trenutek, ko tradicionalni načrt obnovitve po nesreči odpove, resnična operativna odpornost pa je postavljena na preizkus. Ne gre le za vrnitev v delovanje; gre za vrnitev v delovanje z ohranjeno celovitostjo. To je temeljni miselni premik, ki ga zahteva ISO/IEC 27001:2022: premik od gole obnovitve k ohranjanju celovitega, neprekinjenega varnostnega profila tveganja tudi sredi kaosa.

Sodobna opredelitev odpornosti: varnost se nikoli ne ustavi

Načrtovanje neprekinjenega poslovanja se je vrsto let močno osredotočalo na ciljne čase obnovitve (RTO) in ciljne točke obnovitve (RPO). Čeprav so ti kazalniki ključni, povedo le del zgodbe. Merijo hitrost in izgubo podatkov, ne merijo pa varnostnega profila tveganja med samo krizo.

ISO/IEC 27001:2022, zlasti prek kontrol iz Priloge A, razpravo dvigne na višjo raven. Prepozna, da motnja ni gumb za premor pri informacijski varnosti. Prav nasprotno: kaos krize je trenutek, ko so varnostne kontrole najbolj nujne. Napadalci izkoriščajo zmedo ter nadomestne in nujne postopke, zasnovane za obnovitev storitev.

Odpornost v ISO/IEC 27001:2022 pomeni ohranjanje informacijske varnosti med motnjo (kontrola Priloge A 5.29), zanesljivo pripravljenost IKT za neprekinjeno poslovanje (5.30) in zanesljivo varnostno kopiranje informacij (8.13). Cilj je zagotoviti, da odziv ne ustvari novih, nevarnejših ranljivosti. Kot je opisano v Clarysec Zenith Blueprint: 30-koračni časovni načrt presojevalca Zenith Blueprint, “presojevalci bodo iskali usklajenost ne le s politiko, temveč tudi z dejanskim stanjem.” Tu večina organizacij zaostane: načrtujejo razpoložljivost, ne pa ohranjanja skladnosti skozi kaos.

Temelj: zakaj se odpornost začne s kontekstom, ne s kontrolami

Preden lahko učinkovito uvedete specifične kontrole odpornosti, morate vzpostaviti trden sistem upravljanja informacijske varnosti (ISMS). Mnoge organizacije se tu spotaknejo, ker preskočijo neposredno na Prilogo A, ne da bi najprej vzpostavile ustrezne temelje.

Zenith Blueprint poudarja začetek pri temeljnih klavzulah ISMS, saj je to osnovno delo podlaga odpornosti. Proces se začne z razumevanjem edinstvenega okolja organizacije:

• Klavzula 4: Kontekst organizacije: razumevanje konteksta organizacije, vključno z notranjimi in zunanjimi vprašanji ter zahtevami zainteresiranih strani, ter določitev obsega ISMS.
• Klavzula 5: Voditeljstvo: zagotovitev zavezanosti najvišjega vodstva, vzpostavitev politike informacijske varnosti ter opredelitev organizacijskih vlog in odgovornosti.
• Klavzula 6: Načrtovanje: izvedba temeljite ocene tveganj in načrtovanja obravnave tveganj ter določitev jasnih ciljev informacijske varnosti.

Pri Marijinem fintech podjetju bi temeljita analiza po Klavzuli 4 kot ključna zunanja vprašanja prepoznala regulativne pritiske DORA in NIS2. Ocena tveganj po Klavzuli 6 bi modelirala prav scenarij izsiljevalske programske opreme, s katerim se zdaj sooča, ter izpostavila tveganje kompromitiranih obnovitvenih okolij in neustreznega beleženja med incidentom. Brez tega konteksta je vsak načrt odpornosti zgolj strel v prazno.

Dva stebra operativne odpornosti v ISO/IEC 27001:2022

V okviru ISO/IEC 27001:2022 izstopata dve kontroli Priloge A kot stebra operativne odpornosti: varnostno kopiranje informacij (8.13) in informacijska varnost med motnjo (5.29).

Kontrola 8.13: varnostno kopiranje informacij – ključna varnostna mreža

To je kontrola, za katero vsi menijo, da jo imajo urejeno. Vendar je resnično učinkovita strategija varnostnega kopiranja več kot zgolj kopiranje datotek. Gre za korektivno kontrolo, osredotočeno na celovitost in razpoložljivost, ki je tesno povezana s številnimi drugimi kontrolami.

Atributi: korektivna; celovitost, razpoložljivost; obnovitev; neprekinjeno poslovanje; zaščita.
Operativna zmožnost: neprekinjeno poslovanje.
Varnostno področje: zaščita.

Vpogled presoje: Presojevalec bo zahteval več kot odgovor “da” na vprašanje “Ali imate varnostne kopije?” Zahteval bo dnevnike, ki dokazujejo obstoj nedavnih varnostnih kopij, dokazila o uspešnih testih obnovitve ter dokazila, da so bili mediji za varnostno kopiranje šifrirani, varno hranjeni in da so zajemali vsa kritična sredstva, opredeljena v vaši evidenci.

Scenarij: Sistem izbriše izsiljevalska programska oprema ali kritična konfiguracijska napaka. Vaša sposobnost obnovitve z ohranjeno celovitostjo je odvisna od zrele strategije varnostnega kopiranja. Presojevalci bodo preverili, da ta strategija ni izoliran otok, temveč je povezana z drugimi kritičnimi kontrolami:

• 5.9 Popis informacij in drugih povezanih sredstev: ne morete varnostno kopirati tistega, za kar ne veste, da obstaja. Celovit popis sredstev je obvezen.
• 8.7 Zaščita pred zlonamerno programsko opremo: varnostne kopije morajo biti izolirane in zaščitene pred isto izsiljevalsko programsko opremo, ki naj bi jo pomagale premagati. To vključuje uporabo nespremenljive hrambe ali fizično ločenih kopij.
• 5.31 Zakonske, statutarne, regulativne in pogodbene zahteve: ali so roki hrambe varnostnih kopij in lokacije hrambe skladni z zakonodajo o lokaciji hrambe podatkov in pogodbenimi obveznostmi?
• 5.33 Zaščita zapisov: ali vaše varnostne kopije izpolnjujejo zahteve glede hrambe in zasebnosti za osebno določljive podatke (PII), finančne evidence ali druge regulirane podatke?

Kontrola 5.29: informacijska varnost med motnjo – varuh celovitosti

To je kontrola, ki loči skladen ISMS od odpornega. Neposredno obravnava kritična vprašanja, ki Mario preganjajo med krizo: kako ohraniti varnost, ko primarna orodja in procesi niso na voljo? Kontrola 5.29 zahteva, da so varnostni ukrepi načrtovani in učinkoviti skozi celoten moteč dogodek.

Atributi: preventivna, korektivna; zaščita, odziv; zaupnost, celovitost, razpoložljivost.
Operativna zmožnost: neprekinjeno poslovanje.
Varnostno področje: zaščita, odpornost.

Vpogled presoje: Presojevalci pregledujejo načrte neprekinjenega poslovanja in obnovitve po nesreči posebej zato, da najdejo dokazila o upoštevanju varnosti. Preverjajo varnostne konfiguracije nadomestnih lokacij, potrjujejo, da se beleženje in nadzor dostopa ohranjata, ter preučujejo nadomestne postopke glede varnostnih pomanjkljivosti, ne le glede njihove zmožnosti obnovitve storitev.

Scenarij: Primarni podatkovni center je nedosegljiv, operacije pa premaknete na rezervno lokacijo. Presojevalci pričakujejo dokazila – poročila ogledov lokacije, konfiguracijske datoteke, dnevnike dostopa – da sekundarna lokacija izpolnjuje vaše primarne varnostne zahteve. Ali je nujni prehod na delo na daljavo razširil zaščito končnih točk in varen dostop na vse naprave? Ali ste dokumentirali odločitve o začasnem sproščanju kontrol in njihovem poznejšem ponovnem uveljavljanju?

Zenith Blueprint bistvo povzame odlično: “Ključno je, da se varnost ne ustavi, medtem ko se sistemi obnavljajo. Kontrole lahko spremenijo obliko, cilj pa ostane enak: informacije morajo ostati zaščitene tudi pod pritiskom.” Ta kontrola vas prisili k načrtovanju neurejene realnosti krize in je tesno povezana z drugimi kontrolami:

• 5.30 Pripravljenost IKT za neprekinjeno poslovanje: zagotavlja, da tehnični načrt obnovitve ne prezre varnostnega načrta.
• 8.16 Spremljanje dejavnosti: zahteva, da imate način ohranjanja vidljivosti tudi takrat, ko primarna orodja za spremljanje niso na voljo.
• 5.24 Načrtovanje in priprava upravljanja incidentov informacijske varnosti: krizne in kontinuitetne ekipe morajo delovati sočasno, da se med motnjo ohrani zavedanje o odzivu na incidente.
• 5.28 Zbiranje dokazov: zagotavlja, da v naglici obnovitve ne uničite ključnih forenzičnih dokazov, potrebnih za preiskavo in poročanje regulatorju.

Praktični vodnik za uvedbo preverljive odpornosti

Pretvorba teh kontrol iz teorije v prakso zahteva jasne, izvedljive politike in postopke. Clarysecove predloge politik so zasnovane tako, da ta načela neposredno vgradijo v vaš ISMS. Na primer, naša Politika varnostnega kopiranja in obnove Politika varnostnega kopiranja in obnove zagotavlja okvir, ki presega osnovne urnike varnostnega kopiranja:

“Politika uveljavlja kontrole ISO/IEC 27001:2022, povezane z zbiranjem dokazov (5.28), odpornostjo med motnjo (5.29), operativno obnovitvijo (8.13) in izbrisom informacij (8.10), ter se preslika na dobre prakse iz ISO/IEC 27002:2022, NIST SP 800-53 Rev.5, GDPR, DORA in NIS2.”

Ta celovit pristop odpornost iz abstraktnega koncepta spremeni v nabor preverljivih operativnih nalog.

Izvedljiv kontrolni seznam: presoja strategije varnostnega kopiranja in odpornosti

S tem kontrolnim seznamom, podprtim s celovito politiko, pripravite dokazila, ki jih bo zahteval presojevalec.

Nujnost večokvirne skladnosti: preslikava odpornosti na DORA, NIS2 in druge okvire

Za organizacije v kritičnih sektorjih odpornost ni le dobra praksa ISO/IEC 27001:2022; je zakonska zahteva. Predpisi, kot sta Digital Operational Resilience Act (DORA) in direktiva NIS2, močno poudarjajo sposobnost prenašanja motenj IKT in obnovitve po njih.

Delo, ki ga opravite za ISO/IEC 27001:2022, vam na srečo zagotovi pomembno prednost. Clarysecov Zenith Controls: vodnik za večokvirno skladnost Zenith Controls je zasnovan za pripravo izrecnih preslikovalnih tabel, ki presojevalcem in regulatorjem dokazujejo to usklajenost. Proaktivna dokumentacija kaže, da varnost upravljate v njenem celotnem pravnem kontekstu.

Naše politike so zasnovane s tem izhodiščem. Politika varstva podatkov in zasebnosti Politika varstva podatkov in zasebnosti na primer izrecno navaja svojo vlogo pri krepitvi skladnosti z DORA in NIS2 ob ISO/IEC 27001:2022.

Spodnja preslikovalna tabela prikazuje, kako ključne kontrole odpornosti izpolnjujejo zahteve v več pomembnih okvirih.

Z vzpostavitvijo ISMS na robustnem okviru ISO/IEC 27001:2022 hkrati gradite zagovorljiv položaj za te druge stroge predpise.

Skozi oči presojevalca: kako bo vaša odpornost preizkušena

Presojevalci so usposobljeni, da pogledajo onkraj politik in iščejo dokazila o izvedbi. Pri odpornosti želijo videti dokazila o disciplini pod pritiskom. Presoja vaših zmožnosti odpornosti bo večplastna, različni presojevalci pa se bodo osredotočali na različne vrste dokazil.

Pogoste pasti: kje načrti odpornosti v praksi pogosto odpovedo

Clarysecove presojevalske ugotovitve kažejo ponavljajoče se slabosti, ki spodkopljejo tudi najbolje napisane načrte. Izognite se tem pogostim pastem:

• Ročni nadomestni postopki nimajo ustrezne varnosti. Ko sistemi odpovejo, se zaposleni vrnejo k preglednicam in e-pošti. Ti ročni postopki pogosto nimajo fizične ali logične varnosti primarnih sistemov.
  • Popravek: V krizne protokole za ročne nadomestne postopke vključite fizično zaščito (zaklenjene omare, dnevniki dostopa) in logične kontrole (šifrirane datoteke, varni komunikacijski kanali).
• Nadomestne lokacije niso v celoti konfigurirane. Rezervni podatkovni center ima strežnike in podatke, vendar mu lahko manjkajo enakovredna pravila požarnega zidu, agenti za beleženje ali integracije nadzora dostopa.
  • Popravek: Dokumentirajte enakovrednost varnostnih kontrol med primarnimi in sekundarnimi lokacijami. Izvajajte redne tehnične presoje rezervne lokacije in v vse vaje preklopa na rezervno okolje vključite predstavnike za varnost.
• Testi obnovitve so nepopolni ali ad hoc. Organizacije preverijo, ali je strežnik mogoče obnoviti, ne preverijo pa, ali je obnovljena aplikacija varna, ustrezno beležena in pravilno deluje pod obremenitvijo.
  • Popravek: Celoviti testi obnovitve varnostnih kopij, vključno z varnostno validacijo, naj postanejo obvezen del vaj incidentov in letnih presoj.
• Zasebnost podatkov v varnostnih kopijah je spregledana. Varnostne kopije lahko postanejo tveganje skladnosti, saj hranijo podatke, ki bi morali biti izbrisani na podlagi pravice do izbrisa po GDPR.
  • Popravek: Postopke hrambe in brisanja varnostnih kopij uskladite s politikami zasebnosti podatkov. Zagotovite dokumentiran postopek za izbris specifičnih podatkov iz naborov varnostnih kopij, kadar to zahteva zakon.

Od skladnosti do odpornosti: krepitev kulture nenehnega izboljševanja

Doseganje odpornosti ni enkraten projekt, ki se konča s certifikacijo. Gre za trajno zavezanost izboljševanju, zapisano v Klavzuli 10 ISO/IEC 27001:2022. Resnično odporna organizacija se uči iz vsakega incidenta, vsakega skorajšnjega incidenta in vsake presojevalske ugotovitve.

To zahteva preseganje reaktivnih popravkov. Zenith Blueprint priporoča vgradnjo nenehnega izboljševanja v organizacijsko kulturo z vzpostavitvijo kanalov, prek katerih lahko zaposleni predlagajo varnostne izboljšave, z izvajanjem proaktivnih ocen tveganj ob pomembnih spremembah ter s strogimi pregledi po incidentu za zajem pridobljenih izkušenj.

Poleg tega ima kontrola 5.35 (neodvisni pregled informacijske varnosti) ključno vlogo. Povabilo neodvisne strani k pregledu vašega ISMS zagotovi nepristranski pogled, ki lahko razkrije slepe pege, ki jih notranja ekipa spregleda. Kot Zenith Blueprint prepričljivo poudari: “…to, kar loči skladen ISMS od resnično odpornega, je pripravljenost postavljati težka vprašanja in poslušati, ko so odgovori neprijetni.”

Vaš naslednji korak: vzpostavitev nezlomljivega ISMS

Marijina kriza izpostavlja univerzalno resnico: motnje so neizogibne. Ne glede na to, ali gre za izsiljevalsko programsko opremo, naravno nesrečo ali odpoved kritičnega dobavitelja, bo vaša organizacija preizkušena. Vprašanje ni, ali se bo to zgodilo, temveč kako se boste odzvali. Se boste zgolj obnovili ali se boste odzvali z odpornostjo?

Vzpostavitev ISMS, ki pod pritiskom ohranja celovitost, zahteva strateški, celovit pristop. Začne se s trdnimi temelji, vključuje tesno povezane kontrole in ga krepi kultura nenehnega izboljševanja. Ne čakajte na resnično motnjo, da razkrije vrzeli v vaši strategiji.

Ste pripravljeni vzpostaviti ISMS, ki ni le skladen, temveč resnično nezlomljiv?

• Prenesite Clarysecov Zenith Blueprint: 30-koračni časovni načrt presojevalca, ki vas vodi skozi izvedbo od začetka do konca.
• Uporabite naše celovite predloge politik, kot je Politika varnostnega kopiranja in obnove, da standarde pretvorite v konkretne, preverljive ukrepe.
• Uporabite Zenith Controls: vodnik za večokvirno skladnost, da zagotovite, da vaša prizadevanja izpolnjujejo stroge zahteve ISO/IEC 27001:2022, DORA in NIS2.

Stopite v stik z nami še danes za brezplačno oceno odpornosti in dovolite strokovnjakom Clarysec, da vam pomagajo vzpostaviti ISMS, ki uspešno deluje tudi pod pritiskom.