Identyfikacja luk w zabezpieczeniach przy użyciu ram cyberbezpieczeństwa NIST

Witamy w pierwszej części pięcioczęściowego cyklu, w którym przedstawiamy wyniki badań Bitdefender dotyczące tego, w jaki sposób NIST Cybersecurity Framework (NIST CSF) 2.0 może pomóc zidentyfikować luki w zabezpieczeniach i ocenić, co powinno być obsługiwane wewnętrznie, a co zlecone zaufanemu partnerowi ds. bezpieczeństwa. W tym artykule przyjrzymy się składnikom ram cyberbezpieczeństwa, korzystając z NIST CSF 2.0, rozbijając jego sześć podstawowych funkcji i podkreślając, gdzie Bitdefender może wesprzeć zespoły ds. bezpieczeństwa.

Niedawne badanie przeprowadzone przez SANS Institute wykazało, że prawie 70% uczestników używało ram cyberbezpieczeństwa, aby pomóc zdefiniować i zmierzyć swój wewnętrzny zespół ds. bezpieczeństwa, a 74% z tych, którzy ich używają, używało NIST. Czym więc dokładnie jest NIST CSF 2.0?

Czym jest NIST CSF 2.0?

NIST CSF 2.0 składa się z sześciu funkcji wysokiego poziomu, które są opisowe w nazwie i zapewniają strukturę dla sposobu, w jaki organizacja koncentruje się i zaspokaja swoje potrzeby w zakresie cyberbezpieczeństwa. Są to: Govern (nowość w wersji 2.0), Identify, Protect, Detect, Respond i Recover. W ramach każdej funkcji istnieje szereg kategorii, które definiują konkretny wynik bezpieczeństwa. Kategorie te są następnie dzielone na podkategorie, które dodatkowo definiują bardziej szczegółowe wyniki działań technicznych i zarządczych.

Koło graficzne NIST CSF 2.0 jest reprezentatywne dla powiązań każdej z funkcji i logicznej kolejności, w jakiej należy tworzyć program cyberbezpieczeństwa i rozwiązywać potencjalne zagrożenia. Govern, niedawno wprowadzone w wersji 2.0 w zeszłym roku, znajduje się pośrodku, ponieważ nadzoruje wewnętrzne procesy dotyczące sposobu, w jaki organizacja zarządza i ustala priorytety każdej z pozostałych pięciu funkcji. Pozostałe funkcje są wykonywane w kolejności zgodnej z ruchem wskazówek zegara, zaczynając od Identyfikuj, gdzie organizacja kategoryzuje aktywa w swoim środowisku, a następnie Chroń te aktywa za pomocą systemów, procesów i narzędzi. Następnie monitorują te narzędzia i systemy w celu Wykrywania i Reagowania na zagrożenia. Na koniec tworzą plan Odzyskiwania po incydencie cyberbezpieczeństwa.

Każda funkcja jest niezbędna do wdrożenia i powodzenia programu cyberbezpieczeństwa, a często funkcje nakładają się na siebie lub nie mogą być rozpatrywane w izolacji bez uwzględnienia innej. Na przykład nie można utworzyć planu i wdrożyć zestawu narzędzi bezpieczeństwa w celu ochrony zasobów, które nie zostały zidentyfikowane, skategoryzowane, ocenione i uszeregowane priorytetowo w pierwszej kolejności. Jednak wiele organizacji nie ma możliwości poświęcenia równej uwagi i zasobów każdej funkcji, często z powodu braku siły roboczej, czasu, a nawet ogólnej wiedzy i doświadczenia w zakresie bezpieczeństwa.

Sześć funkcji NIST

Chociaż w kolejnych wpisach na blogu szczegółowo omówimy każdą z funkcji, chcemy poświęcić trochę czasu na omówienie każdej funkcji i jej najważniejszych kategorii, zanim przejdziemy do tego, jak używać tych ram do przeprowadzania oceny.

Zarządzanie

Jak wspomniano powyżej, Govern nadzoruje i ustala podstawy dla sposobu, w jaki organizacja postrzega, omawia, komunikuje, planuje i ustala priorytety dla pozostałych pięciu funkcji. Chodzi o stworzenie zespołu, który będzie nadzorował program, stworzenie i upowszechnianie planu, zdefiniowanie ról i obowiązków w całej organizacji oraz wdrożenie zasad, procesów i procedur. Istnieje sześć kategorii, które wchodzą w zakres Govern:

Kontekst organizacyjny: W jaki sposób organizacja rozumie swoje własne, unikalne środowisko, wielkość firmy, zależności, misję i oczekiwania itp. oraz w jaki sposób wpływa to na decyzje dotyczące zarządzania ryzykiem cyberbezpieczeństwa.

Strategia zarządzania ryzykiem: Sposób, w jaki organizacja ustala, komunikuje i wykorzystuje plan strategiczny uwzględniający jej priorytety, ograniczenia i tolerancję ryzyka przy podejmowaniu decyzji operacyjnych.

Role, obowiązki i uprawnienia: W jaki sposób organizacja definiuje role, obowiązki i uprawnienia w zakresie cyberbezpieczeństwa, aby zapewnić rozliczalność, ocenę wyników i ciągłe doskonalenie.

Polityka: Sposób, w jaki organizacja tworzy, komunikuje i egzekwuje swoje zasady cyberbezpieczeństwa.

Nadzór: Sposób, w jaki organizacja ocenia swoją strategię zarządzania ryzykiem, aby ją stale dostosowywać i udoskonalać.

Zarządzanie ryzykiem w łańcuchu dostaw cyberbezpieczeństwa: Sposób, w jaki organizacja planuje, wdraża i zarządza procesem i strategią służącą do nadzorowania ryzyka w łańcuchu dostaw.

Identyfikacja

Zaczynając od pierwszej z podstawowych funkcji, Identify odnosi się do sposobu, w jaki organizacja odkrywa, zarządza i ustala priorytety wszystkich swoich aktywów. W tym przypadku aktywa oznaczają wszystkie rzeczy, które mogą podlegać parasolowi cyberbezpieczeństwa lub wymagać jakiejś formy nadzoru nad bezpieczeństwem, takie jak dane, sprzęt, oprogramowanie, systemy, obiekty, usługi i ludzie. Obejmuje to również identyfikację obszarów poprawy w ramach polityk, planów, procesów, procedur i praktyk organizacji, które wspierają lub pokrywają się z planem zarządzania ryzykiem cyberbezpieczeństwa. Istnieją trzy kategorie w ramach funkcji Identify:

Zarządzanie aktywami: Celem jest utrzymanie kompleksowego spisu wszystkich aktywów organizacji — zarówno fizycznych (takich jak fizyczne pomieszczenia, komputery, serwery i sprzęt sieciowy), osób (takich jak konta użytkowników, tożsamości, e-maile i użytkownicy zewnętrzni lub firmy), jak i cyfrowych (takich jak oprogramowanie, dane i własność intelektualna). Prawidłowe zarządzanie aktywami zapewnia, że organizacja wie, co wymaga ochrony, gdzie mogą występować potencjalne luki w zabezpieczeniach i jak aktywa są ze sobą powiązane.

Ocena ryzyka: Celem jest systematyczna identyfikacja potencjalnych zagrożeń, luk i prawdopodobieństwa wystąpienia różnych zdarzeń cyberbezpieczeństwa. Rozumiejąc ryzyko, organizacje mogą podejmować świadome decyzje o tym, gdzie skupić swoje wysiłki w zakresie cyberbezpieczeństwa, jakie kontrole wdrożyć i jak zrównoważyć bezpieczeństwo z innymi potrzebami biznesowymi.

Ulepszanie: Celem jest ciągłe udoskonalanie i wzmacnianie praktyk cyberbezpieczeństwa organizacji. Ciągłe doskonalenie jest krytyczne dla zarządzania ryzykiem cyberbezpieczeństwa. Zapewnia, że organizacja nie popadnie w samozadowolenie i że jej środki obronne pozostaną skuteczne w czasie.

Ochrona

Następnie funkcja Protect to sposób, w jaki organizacja opracowuje i wdraża odpowiednie zabezpieczenia, które mogą chronić krytyczne aktywa, dane i systemy przed różnymi zagrożeniami lub lukami. W istocie są to wszystkie plany, procesy, narzędzia i systemy, które są wdrażane, aby pomóc organizacjom przygotować się na zagrożenia i zapobiegać im lub pomóc utrzymać czas sprawności, dostępność i wyeliminować inne przeszkody. Jest to niezbędne do zmniejszenia ryzyka naruszenia bezpieczeństwa i zapewnienia, że nawet jeśli incydent wystąpi, jego wpływ zostanie zminimalizowany.

Zarządzanie tożsamością, uwierzytelnianie i kontrola dostępu zarządza, kto ma dostęp do kluczowych danych w organizacji, zapewniając, że tylko autoryzowani użytkownicy, urządzenia i systemy mogą uzyskiwać dostęp do zasobów i wykonywać określone czynności. Prawidłowe zarządzanie tożsamością i kontrola dostępu są kluczowe dla zapobiegania nieautoryzowanemu dostępowi do poufnych danych i systemów, zmniejszając ryzyko zagrożeń wewnętrznych i zapewniając, że użytkownicy mogą uzyskiwać dostęp tylko do tego, czego potrzebują do wykonywania swoich zadań.

Uświadomienie i szkolenie. Edukowanie i motywowanie pracowników w zakresie ochrony zasobów organizacji, aby mieć pewność, że każdy w organizacji rozumie swoją wyjątkową rolę, zagrożenia związane z cyberbezpieczeństwem i wie, jak unikać typowych pułapek, takich jak ataki phishingowe, słabe hasła i inne luki w zabezpieczeniach.

Bezpieczeństwo danych, czyli ochrona danych przed nieautoryzowanym dostępem, zmianą lub zniszczeniem, niezależnie od tego, czy są w spoczynku, w transporcie czy w użyciu. Skuteczne środki bezpieczeństwa danych pomagają zapobiegać utracie, kradzieży i uszkodzeniu danych (cyfrowo i fizycznie).

Bezpieczeństwo platformy jest konieczne, aby chronić integralność, dostępność i poufność platform obsługujących krytyczne systemy i aplikacje. Jeśli platforma zostanie naruszona, może to podważyć bezpieczeństwo wszystkich aplikacji i danych na niej hostowanych.

Odporność infrastruktury technologicznej zapewnia utrzymanie ciągłej pracy krytycznych systemów i usług poprzez budowanie odporności w infrastrukturze technologicznej. Minimalizuje przestoje, chroni przed utratą danych i pomaga utrzymać zaufanie klientów i interesariuszy, zapewniając, że krytyczne usługi pozostają dostępne.

Wykrywanie

Funkcja wykrywania dotyczy ciągłego procesu monitorowania narzędzi i systemów wdrożonych w celu szybkiego wykrywania zagrożeń. Dotyczy sposobu, w jaki organizacja tworzy i zarządza członkami swojego zespołu, a także procesów i planów wdrożonych w celu zapewnienia monitorowania i badania zdarzeń i alertów w celu zapewnienia terminowego wykrywania zagrożeń.

Ciągły monitoring: Ta kategoria dotyczy ciągłej, bieżącej obserwacji środowiska IT organizacji w celu wykrywania zagrożeń cyberbezpieczeństwa i zapewnienia skuteczności środków ochronnych. Ciągły monitoring jest kluczowy dla wczesnego wykrywania zagrożeń cyberbezpieczeństwa, umożliwiając organizacji szybką i skuteczną reakcję. Dzięki utrzymywaniu świadomości w czasie rzeczywistym stanu bezpieczeństwa swojego środowiska IT organizacje mogą zminimalizować potencjalne szkody spowodowane incydentami i zapewnić, że kontrole bezpieczeństwa pozostaną skuteczne w czasie.

Analiza zdarzeń niepożądanych: Systematyczne badanie i ocena wykrytych zdarzeń bezpieczeństwa w celu określenia ich charakteru, wpływu i właściwej reakcji. Prawidłowa analiza zdarzeń niepożądanych jest niezbędna do odróżnienia prawdziwych incydentów bezpieczeństwa od łagodnych anomalii, umożliwiając organizacjom skuteczne ustalanie priorytetów działań reagowania.

Reagowanie

Zespoły ds. bezpieczeństwa są tak skuteczne, jak ich zdolność do prawidłowego i skutecznego reagowania na wykryte zagrożenia. Właściwy program reagowania ma kluczowe znaczenie dla zarządzania i minimalizowania skutków incydentu cyberbezpieczeństwa. Obejmuje on zestaw skoordynowanych działań mających na celu zajęcie się i złagodzenie bezpośrednich skutków incydentu, przywrócenie normalnych operacji i zapobieganie przyszłym incydentom.

Zarządzanie incydentami: Zapewnienie, że organizacja ma ustrukturyzowane podejście do zarządzania i koordynowania działań reagowania podczas incydentu cyberbezpieczeństwa. Obejmuje to definiowanie zasad, procedur i podręczników, które szczegółowo opisują role, obowiązki, na wszystkich etapach incydentu. Skuteczne zarządzanie incydentami zapewnia, że incydenty są obsługiwane w spójny i skoordynowany sposób, minimalizując zamieszanie, skracając czas reakcji i pomagając złagodzić wpływ incydentu na organizację.

Analiza incydentów: Dokładna analiza wykrytych incydentów w celu ustalenia ich przyczyny, wpływu i potencjalnych implikacji. Celem jest uzyskanie jasnego zrozumienia tego, co się wydarzyło, jak się wydarzyło i na co mogło to mieć wpływ. Analiza incydentów jest kluczowa dla określenia priorytetów i najlepszego sposobu działania podczas incydentu. Poprzez zrozumienie szczegółów incydentu organizacja może skutecznie powstrzymać zagrożenie, zapobiec dalszym szkodom i rozpocząć odzyskiwanie.

Raportowanie i komunikacja w zakresie reagowania na incydenty: Zapewnienie planu ustrukturyzowanego i terminowego udostępniania informacji o incydencie wszystkim odpowiednim interesariuszom. Podczas incydentu istnieje wiele poziomów interesariuszy, których należy poinformować, w tym pracowników, organy regulacyjne, klientów, udziałowców i inne strony dotknięte incydentem. Skuteczny plan komunikacji i raportowania zapewnia, że wszyscy zaangażowani są świadomi sytuacji i swojej roli w jej rozwiązywaniu w celu właściwej koordynacji działań reagowania. Prawidłowa komunikacja pomaga również utrzymać zaufanie zewnętrznych interesariuszy i klientów.

Łagodzenie incydentów: Skupia się na działaniach podejmowanych w celu ograniczenia wpływu incydentu cyberbezpieczeństwa i zapobiegania jego eskalacji. Działania łagodzące mają na celu powstrzymanie rozprzestrzeniania się incydentu i ochronę nienaruszonych systemów i danych. Szybkie i skuteczne działania łagodzące mogą zapobiec dalszym szkodom, skrócić czas odzyskiwania i pomóc chronić aktywa i reputację organizacji.

Odzyskiwanie

Funkcja odzyskiwania jest niezbędna do przywracania systemów, danych i operacji po incydencie oraz do wzmacniania zdolności organizacji do radzenia sobie z przyszłymi incydentami. Skupia się na planach i procesach (w tym rygorystycznych testach i scenariuszach stołowych), zapewniając, że organizacja może odzyskać i wrócić do działania po incydencie w odpowiednim czasie. Skuteczne odzyskiwanie jest krytyczne dla minimalizacji przestoju, zmniejszenia szkód finansowych i reputacyjnych oraz zapewnienia ciągłości operacji biznesowych. Pomaga również budować odporność organizacji poprzez włączanie wyciągniętych wniosków do przyszłego planowania i ulepszanie ogólnych praktyk bezpieczeństwa.

Wykonanie planu odzyskiwania po incydencie: Obejmuje wykonanie kroków określonych w planie odzyskiwania w celu przywrócenia systemów, danych i operacji biznesowych po incydencie cyberbezpieczeństwa. Celem jest zapewnienie, że organizacja może skutecznie i wydajnie przywrócić swoje operacje i usługi do normy po incydencie, minimalizując przestoje i zmniejszając finansowy i operacyjny wpływ incydentu.

Komunikacja odzyskiwania po incydencie: W przypadku incydentu informacje muszą być przekazywane sprawnie i pod odpowiednim nadzorem wszystkim odpowiednim interesariuszom, zarówno wewnętrznym, jak i zewnętrznym. Celem jest informowanie interesariuszy o stanie działań naprawczych, przewidywanych harmonogramach i wszelkich niezbędnych działaniach, które muszą podjąć. Skuteczna komunikacja podczas odzyskiwania pomaga zarządzać oczekiwaniami, zachować przejrzystość i wspierać skoordynowane działania w celu przywrócenia normalnych operacji.

Grupowanie kategorii

Gdy przyglądamy się ramom cyberbezpieczeństwa, a zwłaszcza NIST CSF 2.0, warto je upraszczać i grupować każdą z tych funkcji w 3 odrębne fazy powiązane z tym, co nazywamy cyklem życia zagrożenia:

Przygotowanie (przed zagrożeniem): Składa się z 3 funkcji: Govern (Zarządzanie), Identify (Identyfikacja) i Protect (Ochrona). Skupia się na wdrażanych narzędziach, wdrożonych procesach i sposobie wdrażania programu cyberbezpieczeństwa, aby pomóc zapobiegać zagrożeniom i je łagodzić.

Incydent (aktywne zagrożenie): Składa się z fazy wykrywania i reagowania, ta faza dotyczy aktywnego zagrożenia występującego w czasie rzeczywistym. W jaki sposób zespół monitoruje i analizuje zdarzenia, aby szybko wykrywać zagrożenia i jak reagują wydajnie i skutecznie, aby zapobiec wyrządzeniu szkód przez zagrożenie.
Naruszenie (po zagrożeniu): Naruszenie lub odzyskanie, skoncentrowane na odzyskiwaniu danych po awarii i ciągłości działania firmy w przypadku, gdy zagrożenie okaże się skuteczne.

Przygotowanie

Myśląc o cyklu życia zagrożenia lub ataku, wszystko zaczyna się od przygotowania (po obu stronach monety). Chodzi o to, w jaki sposób organizacje przygotowują swój zespół i środowisko, aby zmniejszyć prawdopodobieństwo powodzenia ataku. W jaki sposób budują i szkolą swój zespół ds. bezpieczeństwa, jak inwestują, wdrażają i wzmacniają swoje narzędzia bezpieczeństwa oraz jak planują, organizują i zarządzają wszystkimi swoimi zasobami i użytkownikami, z politykami oraz procedurami wprowadzonymi w celu zmniejszenia, a także złagodzenia ryzyka w jak największym stopniu.

Incydent

To jest moment, gdy strzelają ostre kule. Atak jest w toku, a zagrożenie jest realne. W jaki sposób organizacja radzi sobie z wykryciem zagrożenia, gdy atakujący używa różnych taktyk i technik, aby narazić użytkowników, systemy, aplikacje itp. W jaki sposób zespół ds. bezpieczeństwa monitoruje dzienniki zdarzeń, przeprowadza dochodzenia i identyfikuje złośliwą aktywność? Po wykryciu zagrożenia, jaka jest reakcja na wyrzucenie atakującego i upewnienie się, że systemy są czyste, a użytkownicy nie są już narażeni na szwank?

Naruszenie

Ostatni etap udanego ataku, którego każda organizacja chce uniknąć, obejmuje odzyskiwanie i ciągłość biznesową po udanym naruszeniu. W tej fazie po wystąpieniu zagrożenia atakujący uzyskali dostęp do danych, a uwaga skupia się na czyszczeniu, przywracaniu systemów do stanu używalności i wznawianiu działalności biznesowej. Niezbędna jest ocena, jak skutecznie odzyskiwać, przywracać normalne operacje i stosować wyciągnięte wnioski, aby wzmocnić obecne możliwości i stale ulepszać obronę.

Korzystanie z trzech faz NIST

Rozbijając ramy na te trzy odrębne fazy, organizacje mogą lepiej zrozumieć profil ryzyka każdej funkcji w kontekście łańcucha ataków. Ułatwi to priorytetyzację obszarów zainteresowania i skierowanie uwagi na obszary o najwyższym zwrocie z inwestycji poprzez najszybsze zmniejszenie największej ilości ryzyka i podatności bez narażania bezpieczeństwa lub innych obszarów. Powyższe umożliwia również łatwą artykulację obecnej postawy cyberbezpieczeństwa w łatwym do przyswojenia formacie dla nietechnicznych interesariuszy w zespole kierowniczym wyższego szczebla.

Jak wykorzystać NIST CSF 2.0?

Zrozumienie każdej z funkcji, które składają się na ramy cyberbezpieczeństwa, takie jak NIST CSF 2.0, może pomóc organizacjom zrozumieć szereg celów i zadań wymaganych do wdrożenia właściwego programu cyberbezpieczeństwa. Korzystanie z tych ram może pomóc organizacjom przeprowadzić pełną ocenę w celu zidentyfikowania tego, co mogą już robić, czego obecnie nie robią lub co pomijają, a także gdzie mogą być dobrze zabezpieczone lub mieć luki w zabezpieczeniach.

Ten blog obejmuje znaczną ilość informacji, a jest jeszcze wiele do odkrycia. W następnej części tej serii zagłębimy się w to, jak wykorzystać NIST CSF 2.0 do identyfikacji luk w zabezpieczeniach i wzmocnienia postawy cyberbezpieczeństwa Twojej organizacji.

Pamiętaj także o tym, aby zawsze dbać o cyberbezpieczeństwo swojej firmy. Jeśli chcesz dowiedzieć się, w jaki sposób zapewnisz niezbędną ochronę za pomocą systemów antywirusowych z linii Bitdefender GravityZone, to sprawdź tę stronę.