Puudub küberturvalisuse märk koos olulise kaheksaga

Puudub küberturvalisuse märk koos olulise kaheksaga

Ajatempel: 19. jaanuar 2024 12:00
Allikasõlm: 3074240

MÄRKUSED
Viimastel aastatel on Austraalia teinud mõned olulised sammud riigi turvalisuse parandamiseks. 2020. aastal riik investeeris 1.67 miljardit Austraalia dollarit (1.1 miljardit USA dollarit) osana küberjulgeoleku strateegiast 2020.

Vaatamata nendele jõupingutustele on Austraalia valitsuseKüberohtude aruanne 2022–2023” teatas 58 intsidendist, mille ta klassifitseeris ulatuslikeks kompromissideks, ja 195 juhtumist, mille ta klassifitseeris isoleeritud kompromissideks. Sadama operaator DP World Australia peatas tegevuse novembris toimunud küberrünnaku tõttu. SA Tervis, Teenused Austraaliaja NT tervis olid vaid mõned tervishoiuteenuste osutajatest, kelle rikkumist eelmisel aastal, pärast 2022. aasta novembrit Medibank rikkumine, mis mõjutas peaaegu 10 miljonit inimest.

Vastuseks Austraalia värskendas oma tasemeid Oluline kaheksa Maturity Model, riigi põhjalik juhend ettevõtetele, kes üritavad end küberrünnakute eest kaitsta. 2010. aastal loodud raamistikku, et aidata ettevõtetel küberjulgeolekuohtudele vastu seista, on Essential Eighti mitu korda värskendatud, eriti siis, kui see lisas oma küpsusmudeli, et aidata erineva suurusega ettevõtetel määrata sobivaid turbemeetmeid, ja viimati 2023. aasta novembris.

Kuna aga Austraalias lokkab küberkuritegevus, on aeg küsida, kas Essential Eight annab Austraalia organisatsioonidele õige suuna ja kas seda tuleks kasutada eeskujuna teistele riikidele.

Essential Eight sees

Essential Eight on jäänud puutumatuks alates avaldamisest 2010. aastal. See annab juhiseid paikamise, varundamise ja rakenduste juhtimise kohta. Muuhulgas soovitab 2023. aasta värskendus Microsofti makrosid piirata ja sisaldab direktiive kasutajarakenduste kõvenemise kohta.

Kuigi kõik need probleemid on olulised, ei suuda nad tuvastada pilvele üleminekut ja eriti tarkvara-teenusena (SaaS) rakenduste kasutamist. Essential Eight sisaldab jaotist administraatoriõiguste piiramise kohta, mis on peamine SaaS-i turvapõhimõte.

Küpsustasemeid lugedes on aga selge, et selle juhised on kohandatud kohapealsetele võrkudele. Küpsusaste 2 sisaldab juhiseid, nagu „Süsteemidele, rakendustele ja andmehoidlatele privilegeeritud juurdepääsu taotlused kinnitatakse esmakordsel taotlemisel” ja „Privilegeeritud kasutajad kasutavad eraldi privilegeeritud ja privilegeerimata töökeskkondi”.

29 administraatoriõiguste soovitusest kolmel küpsusastmel, mis on seotud administraatoriõigustega, puudutab ainult üks veebikontosid (“Privilegeeritud kontod, millel on selgesõnaline luba võrguteenustele juurde pääseda, on rangelt piiratud ainult sellega, mis on vajalik kasutajatele ja teenustele nende kohustuste täitmiseks”).

Essential Eight sisaldab mitmefaktorilist autentimist (MFA). See on oluline samm võrguteenuste kindlustamisel. MFA on aga vaid üks osa pilve- ja SaaS-turvalisusest. Suuniste piiramine ainult MFA-ga teeb karuteene ettevõtetele ja valitsusasutustele, kes tuginevad olulisele kaheksale juhisele kogu oma digitaalse jalajälje kindlustamisel.

Kaheksa olulist möödalaskmist tänases töökeskkonnas

Kahjuks jäävad Essential Eight ja selle küpsusmudelid tänapäeva arvutikeskkonnast ilma. See ei sisalda sõnu "pilv" ega "SaaS-i rakendus". Tähelepanuta ei suuda see tuvastada SaaS-i rakenduste rolli tänapäeva ärimaailmas ja pilves talletatavaid andmeid.

Täna hõlmavad SaaS-i rakendused 70% kogu tarkvarast mida kasutavad ettevõtted. Kõik need rakendused sisaldavad ärikriitilisi andmeid või mängivad rolli toimingutes, mida tuleb kaitsta. MFA on oluline tööriist, mida kasutatakse juurdepääsu piiramiseks volitatud kasutajatele, kuid see ei vasta kaugeltki SaaS-i ja pilveeksemplaride kaitsmiseks vajalikele meetmetele.

Kaasaegse töökoha jaoks olulise kaheksa värskendamine

Essential Eightil puudub neli peamist pilvekeskset turbedirektiivi: konfiguratsioonihaldus, identiteediturve, kolmanda osapoole rakenduste integreerimise haldus ja ressursside juhtimine.

  • Konfiguratsiooni juhtimine: Turvaraamistikul, mis ei käsitle väärkonfiguratsioone, puudub oluline turvajuhis. A Vastupidav uurimine Aruandes leiti, et 800. aastal paljastati valede konfiguratsioonide tõttu 2022 miljonit kirjet. See on tõsine probleem, mis nõuab automaatset jälgimist, et rakenduste ja pilveadministraatorid ei kohandaks kogemata seadet, mis avaldab andmed avalikkusele.

  • Identiteedi turvalisus: Identiteediturbe asendihaldus (ISPM) on Essential Eighti veel üks silmatorkav väljajätmine. SaaS ja pilv on traditsioonilise võrgu perimeetri hävitanud. Identiteet seisab omal kohal, ainus barjäär rakenduse ja ohus osalejate vahel. Kuigi MFA käsitleb kasutajate autentimist, ei suuda see lahendada probleeme, mis on seotud eraldatud kasutajate, väliskasutajate, kasutajaõiguste, administraatoririski ja muude kasutajapõhiste riskidega.

  • Kolmanda osapoole rakenduste integreerimise haldus: Kolmanda osapoole rakendused aitavad parandada rakenduste põhifunktsioone ja lihtsustavad töövooge. Samuti tutvustavad nad uusi riskiteid. Lihtne OAuthi integreerimine nõuab sageli pealetükkivaid ulatuseid, mis annavad rakendusele kirjutamisõigused, mis hõlmavad võimalust kustutada kaustu, faile ja terveid draive ning hallata meiliõigusi.

  • Ressursi juhtimine: SaaS ja pilverakendused salvestavad miljoneid ettevõtte varasid ja ressursse. Nende hulka kuuluvad failid, kaustad, planeerimistahvlid, patenteeritud tarkvarakood ja tooteplaanid. Need varad peavad olema kaitstud tugevate turvameetmetega, mitte kõigile, kellel on link, või Interneti-brauseri kaudu otsitavad.

Ettevõtete ettevalmistamine tänasteks ohtudeks

Austraalia, aga ka Lähis-Ida ja Aafrika küberjulgeolekuorganisatsioonid, kes otsivad Austraaliast juhiseid, peavad uuendama oma turberaamistikku, et käsitleda kaasaegseid võrguinfrastruktuure.

Vale konfiguratsiooni haldamise, ISPM-i, kolmandate osapoolte rakenduste ja SaaS-i rakendustesse salvestatud ettevõtte varade kaitsmise turvameetmete kasutuselevõtt peaks olema Essential Eighti järgmine samm.

Ajatempel:

Veel alates Tume lugemine