Засоби безпеки або заходи безпеки — це засоби захисту або контрзаходи, призначені для запобігання, виявлення, протидії або мінімізації ризиків безпеці для фізичної власності, інформації, комп'ютерних систем або інших активів. У галузі інформаційної безпеки такі засоби захищають конфіденційність, цілісність і доступність інформації (, тріада CIA).
Системи засобів безпеки можуть називатися каркасами або стандартами. Каркаси дають змогу організації послідовно керувати засобами безпеки для різних типів активів.
Засоби безпеки зменшують імовірність будь-яких наслідків інцидентів безпеки та захищають тріаду CIA для систем і даних. Такий захист допомагає організаціям виконувати свої обов'язки щодо послідовного управління ризиками систем, активів, даних, мереж та фізичної інфраструктури.
Типи засобів безпеки Засоби безпеки можна класифікувати за різними критеріями. Один із підходів полягає в класифікації засобів за тим, як/де/коли вони діють відносно порушення безпеки; іноді це називають типами засобів:
Запобіжні засоби призначені для запобігання виникненню інциденту, наприклад блокуванням доступу неавторизованих зловмисників; іноді до них відносять брандмауери або замкнені серверні приміщення, які обмежують фізичний доступ. Засоби виявлення призначені для виявлення, характеристики та реєстрації інциденту, наприклад ізоляції підозрілої поведінки зловмисника в мережі або використання засобів моніторингу мережі для виявлення підозрілої активності. Компенсаційні засоби пом'якшують поточні збитки від активного інциденту, наприклад вимкнення системи після виявлення шкідливого програмного забезпечення. Після події коригувальні засоби призначені для відновлення шкоди, завданої інцидентом, наприклад шляхом якомога ефективнішого повернення організації до нормального робочого стану.
Засоби безпеки також можна класифікувати відповідно до реалізації засобу (іноді це називають категоріями засобів), наприклад:
Фізичні засоби — охоплюють матеріальні об'єкти, такі як паркани, двері, замки, системи CCTV та вогнегасники; Процедурні або адміністративні засоби — наприклад, процеси реагування на інциденти, нагляд з боку керівництва, обізнаність про безпеку та навчання; Технічні або логічні засоби — наприклад, автентифікація користувачів (вхід до системи) та логічне керування доступом, антивірусне програмне забезпечення, брандмауери; Правові та регуляторні засоби або засоби забезпечення відповідності — охоплюють закони про приватність, політики, нормативні акти та положення, які допомагають організаціям поводитися з даними та захищати їх (наприклад, HIPAA, GDPR).
Ці класифікації допомагають організаціям створювати добре спроєктовану багаторівневу стратегію захисту, забезпечуючи рівні захисту, які допомагають контролювати та запобігати загрозам у момент їх виникнення.
Ефективність засобів та життєвий цикл
Засоби безпеки охоплюють як технічні засоби (такі як керування доступом і брандмауери), так і адміністративні засоби (зокрема політики та процедури).
Ефективний процес тестування та перевірки засобів дає змогу: Виявляти засоби захисту, які забезпечують конфіденційність, цілісність і доступність активів. Отримувати детальний огляд стану безпеки сервісу. Сприяти створенню планів пом'якшення наслідків, які можуть бути пріоритетними для зменшення ризиків, що виникають через слабкі місця або відмови засобів.
Етапи оцінювання:
Документування реалізації засобів безпеки: захист інфраструктури, налаштування компонентів, ідентифікація та керування доступом, політики безпеки.
Моніторинг і перевірка засобів безпеки: зазвичай ручне або автоматизоване тестування, яке включає тестування на проникнення, перевірку журналів, сканування вразливостей, проведення опитувань та інтерв'ю з персоналом тощо.
Звітування про результати тестування: створення звітів, показників, тенденцій.
Засоби є частиною стратегії оброблення ризиків, що застосовується після оцінювання ризиків, а їх проєктування, створення, експлуатація та зміна є частиною життєвого циклу.
Призначення в організаціях
ІТ політика зазначає: «Використання набору стандартизованих засобів дає змогу ІТ-службі забезпечити захист усіх підрозділів університету та медичного центру від загроз».
Засоби у чотирьох основних категоріях: засоби захисту комп'ютерів, захист даних, захист мережі, автентифікація користувачів
Засоби захисту комп'ютерів: організації можуть впроваджувати захист електронної пошти, виявлення та реагування на кінцевих пристроях, централізоване керування виправленнями та членство в домені.
Захист даних: для захисту даних організації можуть використовувати повне шифрування диска та знищення носіїв.
Захист мережі: захист мережі важливий для збереження інформації від небажаних користувачів. Організації можуть використовувати моніторинг потоків даних, ведення журналів мережевої та системної активності, захист мережевого периметра та заборону обходу брандмауера для зменшення ризику атаки.
Автентифікація користувачів: організації можуть використовувати двофакторну автентифікацію, можуть змушувати користувачів щорічно змінювати свої паролі, дозволяти керування обліковими записами лише авторизованим користувачам і використовувати Local Admin Password Solution (LAPS).
Стандарти інформаційної безпеки та каркаси засобів безпеки
Стандарти серії ISO/IEC 27000 сприяють застосуванню належних практик безпеки та визначають каркаси або системи для структурування аналізу та проєктування керування засобами інформаційної безпеки. Найновіша версія, ISO/IEC 27001:2022, випущена в жовтні 2022 року, визначає 93 засоби; деякі з найвідоміших стандартів наведено нижче.
Міжнародна організація зі стандартизації
ISO/IEC 27001:2022 було опубліковано в жовтні 2022 року. Усі організації, сертифіковані за ISO 27001:2013, зобов'язані перейти на нову версію стандарту протягом 3 років (до жовтня 2025 року).
Версія стандарту 2022 року визначає 93 засоби у 4 групах: A.5: Організаційні заходи A.6: Заходи для персоналу A.7: Фізичні засоби A.8: Технологічні засоби
Вона групує ці засоби за операційними можливостями таким чином:
Управління Керування активами Захист інформації Безпека людських ресурсів Фізична безпека Безпека систем і мереж Безпека застосунків Безпечне налаштування Керування ідентифікацією та доступом Керування загрозами та вразливостями Безперервність Безпека відносин із постачальниками Правові вимоги та відповідність Керування подіями інформаційної безпеки; та Забезпечення інформаційної безпеки
Попередня версія стандарту, ISO/IEC 27001, визначала 114 засобів у 14 групах: A.5: Політики інформаційної безпеки A.6: Організація інформаційної безпеки A.7: Безпека людських ресурсів — засоби, що застосовуються до, під час або після працевлаштування. A.8: Керування активами A.9: Засоби керування доступом та керування доступом користувачів A.10: Криптографічні технології A.11: Фізична безпека об'єктів та обладнання організації A.12: Операційна безпека A.13: Безпечні комунікації та передавання даних A.14: Безпечне придбання, розроблення та підтримка інформаційних систем A.15: Безпека постачальників і третіх сторін A.16: Керування інцидентами A.17: Безперервність діяльності / аварійне відновлення (тією мірою, якою це впливає на інформаційну безпеку) A.18: Відповідність — внутрішнім вимогам, таким як політики, та зовнішнім вимогам, таким як закони.
Стандарти інформаційної безпеки федерального уряду США Федеральні стандарти обробки інформації (FIPS) застосовуються до всіх державних установ США. Однак деякі системи національної безпеки, що перебувають у віданні Комітету із систем національної безпеки, управляються поза межами цих стандартів.
Федеральний стандарт обробки інформації 200 (FIPS 200), «Мінімальні вимоги безпеки для федеральної інформації та інформаційних систем», визначає мінімальні засоби безпеки для федеральних інформаційних систем і процеси, за допомогою яких здійснюється вибір засобів безпеки на основі ризиків. Каталог мінімальних засобів безпеки наведено у спеціальній публікації NIST SP 800-53.
FIPS 200 визначає 17 широких сімейств засобів:
AC — Керування доступом AT — Обізнаність і навчання AU — Аудит і підзвітність CA — Оцінювання та авторизація безпеки (історичне скорочення) CM — Керування конфігурацією CP — Планування на випадок непередбачених обставин IA — Ідентифікація та автентифікація IR — Реагування на інциденти MA — Технічне обслуговування MP — Захист носіїв PE — Фізичний та навколишній захист PL — Планування PS — Безпека персоналу RA — Оцінювання ризиків SA — Придбання систем і послуг SC — Захист систем і комунікацій SI — Цілісність систем і інформації
Національний інститут стандартів і технологій
NIST Cybersecurity Framework
Каркас на основі рівня зрілості, поділений на п'ять функціональних областей і приблизно 100 окремих засобів у його «ядрі», який широко використовується організаціями та державними установами США.
NIST SP-800-53
База даних майже з тисячі технічних засобів, згрупованих за сімействами та перехресно пов'язаних між собою.
Починаючи з редакції 3 документа 800-53, були визначені засоби керування програмами. Ці засоби не залежать від засобів керування системою, але необхідні для ефективної програми безпеки. Починаючи з редакції 4 документа 800-53, було визначено вісім сімейств засобів захисту приватності для узгодження засобів безпеки з вимогами щодо приватності, встановленими федеральним законодавством. Починаючи з редакції 5 документа 800-53, засоби також охоплюють приватність даних, визначену каркасом приватності даних NIST.
Комерційні набори засобів COBIT5
Пропрієтарний набір засобів, опублікований ISACA.
Управління корпоративними ІТ Оцінювання, спрямування та моніторинг (EDM) — 5 процесів Керування корпоративними ІТ Узгодження, планування та організація (APO) — 13 процесів Створення, придбання та впровадження (BAI) — 10 процесів Надання, обслуговування та підтримка (DSS) — 6 процесів Моніторинг, оцінювання та аналіз (MEA) — 3 процеси
Засоби CIS (CIS 18)
Раніше відомі як критичні засоби безпеки SANS, тепер офіційно називаються критичними засобами кібербезпеки CIS (засоби CIS). Засоби CIS поділені на 18 пріоритетних найкращих практик кібербезпеки, які захищають системи та дані від загроз.
Засіб CIS 1: Інвентаризація та керування корпоративними активами Засіб CIS 2: Інвентаризація та керування програмними активами Засіб CIS 3: Захист даних Засіб CIS 4: Безпечне налаштування корпоративних активів і програмного забезпечення Засіб CIS 5: Керування обліковими записами Засіб CIS 6: Керування доступом Засіб CIS 7: Безперервне керування вразливостями Засіб CIS 8: Керування журналами аудиту Засіб CIS 9: Захист електронної пошти та веббраузерів Засіб CIS 10: Захист від шкідливого програмного забезпечення Засіб CIS 11: Відновлення даних Засіб CIS 12: Керування мережевою інфраструктурою Засіб CIS 13: Моніторинг і захист мережі Засіб CIS 14: Обізнаність щодо безпеки та навчання навичок Засіб CIS 15: Керування постачальниками послуг Засіб CIS 16: Безпека прикладного програмного забезпечення Засіб CIS 17: Керування реагуванням на інциденти Засіб CIS 18: Тестування на проникнення
Засоби поділяються на групи впровадження (IG), які містять рекомендовані настанови щодо визначення пріоритетності впровадження засобів CIS.
Телекомунікації
У телекомунікаціях засоби безпеки визначаються як послуги безпеки як частина моделі OSI. Ці документи визначають такі механізми, як автентифікація, керування доступом та конфіденційність даних, для захисту мережевих комунікацій: Рекомендація ITU-T X.800. ISO 7498-2.
Технічно вони узгоджені.X.800 : Security architecture for Open Systems Interconnection for CCITT applicationsISO 7498-2 (Information processing systems — Open systems interconnection — Basic Reference Model — Part 2: Security architecture) Ця модель широко визнана.William Stallings Crittografia e sicurezza delle reti Seconda edizione
Traduzione Italiana a cura di Luca Salgarelli