Brakuje znaku cyberbezpieczeństwa w przypadku niezbędnej ósemki

KOMENTARZ
W ostatnich latach Australia podjęła kilka kluczowych działań mających na celu poprawę stanu bezpieczeństwa kraju. W 2020 roku kraj zainwestował 1.67 miliarda dolarów australijskich (1.1 miliarda dolarów) w ramach Strategii Cyberbezpieczeństwa 2020.

Pomimo tych wysiłków „Raport o zagrożeniach cybernetycznych 2022–2023” zgłosiła 58 incydentów, które sklasyfikowała jako rozległe kompromisy i 195 incydentów, które sklasyfikowała jako izolowane kompromisy. Operator portu DP Świat Australia zawiesił działalność z powodu cyberataku w listopadzie. SA Zdrowie, Usługi Australia, Zdrowie NT to tylko niektórzy dostawcy usług opieki zdrowotnej, których naruszenia dotknęły w zeszłym roku, po naruszeniu w listopadzie 2022 r Medibank naruszenie, które dotknęło prawie 10 milionów ludzi.

W odpowiedzi Australia zaktualizowała poziomy w swoim Niezbędna ósemka Model Dojrzałości, kompleksowy przewodnik dla firm próbujących chronić się przed cyberatakami. Essential Eight, stworzony w 2010 r., aby pomóc przedsiębiorstwom przeciwstawić się zagrożeniom cyberbezpieczeństwa, był kilkakrotnie aktualizowany, w szczególności po dodaniu modelu dojrzałości, aby pomóc firmom różnej wielkości w określeniu odpowiednich działań w zakresie bezpieczeństwa, które należy podjąć, a ostatnio w listopadzie 2023 r.

Jednakże w obliczu szerzyjącej się cyberprzestępczości w Australii nadszedł czas, aby zadać sobie pytanie, czy „Essential Eight” wyznacza właściwy kierunek australijskim organizacjom i czy należy go wykorzystać jako model dla innych krajów.

Wewnątrz Essential Eight

Essential Eight pozostaje niezmieniony od czasu publikacji w 2010 roku. Zawiera wskazówki dotyczące instalowania poprawek, tworzenia kopii zapasowych i kontroli aplikacji. Aktualizacja z 2023 r. zaleca między innymi ograniczenie makr Microsoft i zawiera wytyczne dotyczące wzmacniania aplikacji użytkownika.

Chociaż wszystkie te kwestie są ważne, nie uwzględniają przejścia do chmury, a w szczególności korzystania z aplikacji typu oprogramowanie jako usługa (SaaS). Essential Eight zawiera sekcję dotyczącą ograniczania uprawnień administracyjnych, kluczowej zasady bezpieczeństwa SaaS.

Jednak po zapoznaniu się z poziomami dojrzałości jasne jest, że zawarte w nich wytyczne są nadal dostosowane do sieci lokalnych. Poziom dojrzałości 2 obejmuje wytyczne, takie jak „Wnioski o uprzywilejowany dostęp do systemów, aplikacji i repozytoriów danych są sprawdzane na podstawie pierwszego żądania” oraz „Uprzywilejowani użytkownicy korzystają z oddzielnych uprzywilejowanych i nieuprzywilejowanych środowisk operacyjnych”.

Spośród 29 zaleceń dotyczących uprawnień administratora na trzech poziomach dojrzałości odnoszących się do uprawnień administratora, tylko jedno dotyczy kont online („Konta uprzywilejowane wyraźnie upoważnione do dostępu do usług online są ściśle ograniczone tylko do tego, co jest wymagane, aby użytkownicy i usługi mogły wykonywać swoje obowiązki”).

Essential Eight obejmuje uwierzytelnianie wieloskładnikowe (MFA). Jest to kluczowy krok w zabezpieczaniu usług online. Jednak MFA to tylko jeden element chmury i bezpieczeństwa SaaS. Ograniczanie wytycznych wyłącznie do pomocy makrofinansowej wyrządza krzywdę przedsiębiorstwom i jednostkom rządowym, które polegają na Podstawowej Ósemce w zakresie wskazówek dotyczących zabezpieczenia całego swojego śladu cyfrowego.

Osiem niezbędnych błędów w dzisiejszym środowisku pracy

Niestety, Essential Eight i jej modele dojrzałości pomijają dzisiejsze środowisko komputerowe. Nie zawiera słów „chmura” ani „aplikacja SaaS”. Pomijając fakt, nie uwzględnia roli, jaką aplikacje SaaS odgrywają we współczesnym świecie biznesu i danych przechowywanych w chmurze.

Obecnie aplikacje SaaS obejmują 70% całego oprogramowania wykorzystywane przez firmy. Każda z tych aplikacji zawiera dane krytyczne dla biznesu lub odgrywa rolę w operacjach, które muszą być zabezpieczone. MFA jest ważnym narzędziem służącym do ograniczania dostępu uprawnionym użytkownikom, ale zdecydowanie odbiega od środków wymaganych do zabezpieczenia instancji SaaS i chmur.

Aktualizacja Essential Eight dla nowoczesnego miejsca pracy

W Essential Eight brakuje czterech kluczowych dyrektyw dotyczących bezpieczeństwa skupionych na chmurze: zarządzania konfiguracją, bezpieczeństwa tożsamości, zarządzania integracją aplikacji innych firm i kontroli zasobów.

Przygotowanie przedsiębiorstw na współczesne zagrożenia

Australia, a także organizacje zajmujące się cyberbezpieczeństwem na Bliskim Wschodzie i w Afryce, które zwracają się do Australii o wskazówki, muszą zaktualizować swoje ramy bezpieczeństwa, aby uwzględnić nowoczesną infrastrukturę sieciową.

Wprowadzenie zabezpieczeń związanych z zarządzaniem błędną konfiguracją, ISPM, aplikacjami innych firm oraz ochroną zasobów firmy przechowywanych w aplikacjach SaaS powinno być kolejnym krokiem dla Essential Eight.

• Dystrybucja treści i PR oparta na SEO. Uzyskaj wzmocnienie już dziś.
• PlatoData.Network Pionowe generatywne AI. Wzmocnij się. Dostęp tutaj.
• PlatoAiStream. Inteligencja Web3. Wiedza wzmocniona. Dostęp tutaj.
• PlatonESG. Węgiel Czysta technologia, Energia, Środowisko, Słoneczny, Gospodarowanie odpadami. Dostęp tutaj.
• Platon Zdrowie. Inteligencja w zakresie biotechnologii i badań klinicznych. Dostęp tutaj.
• Źródło: https://www.darkreading.com/cybersecurity-operations/missing-cybersecurity-mark-with-essential-eight