Įmonėms vis labiau pasikliaunant skaitmeninėmis sistemomis, patikimo saugumo poreikis yra akivaizdus. Kibernetinės atakos tampa vis dažnesnės ir sudėtingesnės, todėl aiškus ir visapusiškas kibernetinio saugumo rizikos valdymo metodas dabar yra didžiausias daugumos organizacijų prioritetas. Tačiau koks gi yra tas metodas?
Turinys:
Šiuo tikslu Nacionalinis technologijų ir standartų institutas (NSTI) parengė savo NSTI kibernetinio saugumo strategiją NSTI kibernetinio saugumo strategija. Giliau susipažinkite su pačia NSTI kibernetinio saugumo strategija, jos svarba ir tai, kokių veiksmų galite imtis, kad sumažintumėte organizacijai kylančias kibernetinio saugumo rizikas.
Kas yra NIST kibernetinio saugumo strategija?
NSTI kibernetinio saugumo strategija (KSS) yra Nacionalinio standartų ir technologijų instituto (NSTI) parengtas gairių, standartų ir geriausios praktikos pavyzdžių rinkinys, skirtas padėti organizacijoms suprasti kibernetinio saugumo riziką, ją valdyti ir mažinti. Įsivaizduokite tai kaip jūsų saugumo programos žemėlapį ir kompasą, jūsų komandai suteikiantį struktūrizuotą svarbiausių išteklių apsaugos metodą.
2024 m. vasario mėn. išleidus KSS 2.0 versiją, ši strategija buvo reikšmingiausiai atnaujinta 1.1 versijos požiūriu – pateiktos aiškesnės gairės ir platesnė taikymo sritis.
Turbūt reikšmingiausias KSS 2.0 pokytis yra tai, kad gerokai išsiplėtė jos taikymo sritis. 1.1 versija buvo skirta daugiausia ypatingos svarbos infrastruktūrų valdytojams. 2.0 versija buvo parengta visiems: mažoms ir vidutinėms įmonėms, didelėms įmonėms, ne pelno organizacijoms ir valstybės įstaigoms, nepriklausomai nuo jų kibernetinio saugumo brandos lygio. Ši atnaujinta versija buvo parengta atsižvelgiant į ilgametę bendruomenės ir visuomenės atsiliepimų patirtį, todėl ji tapo viena iš glaudžiausiai bendradarbiaujant sukurtų kibernetinio saugumo informacinių medžiagų, kokių tik yra šiais laikais.
Kodėl kibernetinio saugumo strategija yra svarbi?
NSTI kibernetinio saugumo strategija yra svarbi dėl kelių priežasčių:
Pirmiausia, ji padeda bendrai suprasti, kas yra kibernetinis saugumas ir kaip jį galima valdyti. Tai svarbu organizacijoms, kurios nori įvertinti savo kibernetinį saugumą ir identifikuoti tobulintinas sritis.
Antra, strategijoje numatytas struktūrizuotas ir lankstus kibernetinio saugumo metodas, kurį galima pritaikyti unikaliems organizacijos poreikiams ir kuris leidžia organizacijai nukreipti pastangas pagal prioritetus bei sutelkti dėmesį į svarbiausias rizikas.
Galiausiai, strategijoje nurodomi organizacijoms svarbūs patys pagrindiniai kibernetinio saugumo aspektai, kurie padeda laikytis reglamentų ir standartų, įskaitant susijusius su privatumu ir duomenų apsauga.
Šešios pagrindinės NSTI kibernetinio saugumo strategijos funkcijos
NSTI kibernetinio saugumo sistemos pagrindą sudaro 6 funkcijos, kurios, veikdamos kartu, padeda organizacijoms valdyti ir mažinti kibernetinio saugumo riziką. Išleidus KSS 2.0, prie penkių pirminių funkcijų pridėta šeštoji – „Vadovavimas“, – taip kibernetinio saugumo sprendimus įtraukiant į platesnį organizacijos vadovavimo ir strategijos kontekstą:
Vadovavimas. Ši funkcija yra strategijos pagrindas ir nulemia, kaip organizacija vykdo kitas 5 funkcijas. Ji nustato kibernetinį saugumą kaip prioritetą vadovybės lygmeniu, apibrėždama vaidmenis, pareigas ir atskaitomybę visoje organizacijoje. Vadovavimo funkcija apima saugumo rizikos valdymo strategiją, lūkesčius, susijusius su vadovybės priežiūra ir ataskaitų teikimu valdybos lygmeniu, organizacijos rizikos toleravimą ir kibernetinio saugumo teikimo grandinės rizikos valdymą (K-STGRV), kuriuo sprendžiamos su trečiosiomis šalimis ir teikėjais susijusios rizikos.
Identifikavimas. Pirmoji NSTI kibernetinio saugumo strategijos funkcija skirta žinioms, nes ji orientuota į nusimanymą apie organizacijos išteklius, sistemas ir duomenis bei jiems galinčias turėti įtakos grėsmes ir silpnąsias vietas. Tai apima rizikos vertinimų atlikimą, organizacijos kritinių išteklių ir sistemų struktūros sudarymą bei duomenų tipų, kuriuos reikia apsaugoti, identifikavimą.
Apsauga. Ši funkcija nustato saugumo valdymo priemonių ir kitų organizacijos išteklių, sistemų ir duomenų apsaugos priemonių nuo įvairių kibernetinių grėsmių įgyvendinimo gaires. Ši NSTI kibernetinio saugumo strategijos funkcija skirta užkardoms ir prieigos kontrolės priemonėms taikyti bei apsaugai nuo socialinės inžinerijos ir kitokių atakų užtikrinti.
Aptikimas. Funkcija „Aptikimas“ apibrėžia tinkamus metodus, kaip laiku identifikuoti kibernetines grėsmes ir incidentus bei į juos reaguoti. Tai apima įsilaužimų aptikimo sistemų įdiegimą.
Reagavimas. Ketvirtoji NSTI kibernetinio saugumo strategijos funkcija skirta reagavimui į kibernetines grėsmes ir incidentus užtikrinti. Ši funkcija nustato gaires, kaip kuo labiau sumažinti kibernetinio incidento padarinius ir užtikrinti, kad organizacija galėtų toliau vykdyti savo veiklą.
Atkūrimas. Paskutinė NSTI kibernetinio saugumo strategijos funkcija skirta sistemoms atkurti po kibernetinių grėsmių ir incidentų užtikrinant, kad organizacija galėtų kuo greičiau grįžti prie įprastos veiklos. Tai apima atsarginių ir atkūrimo planų parengimą, atkūrimo planų testavimą bei verslo tęstinumo planų parengimą ir palaikymą.
NSTI strategijos įgyvendinimo etapai
Kibernetinio saugumo strategijoje, kuri iš pradžių buvo apibrėžta NSTI KSS 1.1 versijoje, nurodyti 7 įgyvendinimo etapai, kuriais vadovaudamosi organizacijos gali pereiti nuo veiklos apimties nustatymo iki konkretaus veiksmų plano, skirto jų kibernetinio saugumo rizikos valdymui sustiprinti. KSS 2.0 versijoje įgyvendinimas pertvarkomas orientuojantis į profilius ir lygius, tačiau toliau nurodyti veiksmai tebėra praktinis atspirties taškas.
Prioritetų nustatymas ir aprėptis. Apibrėžkite verslo tikslus, identifikuokite į veiklos apimtį įtrauktas sistemas ir išteklius bei nuspręskite, kurioms organizacijos dalims strategija bus taikoma pirmiausia.
Orientavimasis. Identifikuokite susijusias grėsmes, silpnąsias vietas ir teisinius reikalavimus, taikomus sistemoms ir ištekliams, kuriuos esate įtraukę į veiklos apimtį.
Sukurkite dabartinį profilį. Palyginkite savo esamą kibernetinio saugumo praktiką su strategijoje apibrėžtais principais, kad nustatytumėte savo dabartinės padėties lygį.
Atlikite rizikos vertinimą. Atsižvelgdami į esamą grėsmių aplinką, įvertinkite kibernetinio saugumo incidentų tikimybę ir jų galimą poveikį jūsų sistemoms.
Sukurkite tikslinį profilį. Atsižvelgdami į verslo poreikius, priimtiną rizikos lygį ir sektoriaus reikalavimus, apibrėžkite, kokių kibernetinio saugumo rezultatų siekiate savo organizacijoje.
Nustatykite spragas ir suskirstykite jas pagal prioritetus. Palyginkite savo dabartinį profilį su tiksliniu profiliu, kad identifikuotumėte spragas, tada suskirstykite jas pagal prioritetus, atsižvelgdami į riziką, sąnaudas ir poveikį verslui.
Įgyvendinkite veiksmų planą. Parenkite konkretų, ištekliais pagrįstą planą, kad pašalintumėte pagal prioritetus suskirstytas spragas, priskirtumėte nuosavybę, nustatytumėte terminus ir laikui bėgant stebėtumėte pažangą.
Kas sako, kad apsaugoti įmonę turi būti sunku?
Apsaugokite savo įmonę nuo kibernetinių grėsmių neaukodami patogumo
Kokios yra NSTI slaptažodžių gairės?
NSTI kibernetinio saugumo strategija privačioms įmonėms nėra privaloma taikyti. JAV federalinėms agentūroms Vykdomuoju įsakymu Nr. 13800 (2017 m.) buvo nustatyta prievolė taikyti Kibernetinio saugumo strategiją, o atskiros prievolės pagal FISMA ir NIST SP 800-53 reglamentuoja platesnes federalines saugumo kontrolės priemones. Jos įtaka ir toliau plečiasi už vyriausybės institucijų ribų – kibernetinio draudimo bendrovės ir įmonėms paslaugas teikiantys subjektai atitiktį NIST CSF 2.0 laiko pagrindiniu lūkesčiu vertinant draudimo ir paslaugų teikėjų rizikas.
Viena iš sričių, kuriai ši strategija skirta tiesiogiai, yra slaptažodžių saugumas, ir tam yra rimta priežastis. Silpni arba pakartotinai naudojami slaptažodžiai tebėra vienas iš pagrindinių veiksnių, lemiančių sėkmingus įsilaužimus dėl duomenų saugumo pažeidimų. NSTI slaptažodžių tvarkymo gairės, paskelbtos kaip SP 800-63B-3 ir laikui bėgant atnaujinamos, plačiai laikomos vienu iš didžiausią įtaką turinčių standartų, nurodančių, kaip organizacijos turėtų tvarkyti slaptažodžių kūrimą, saugojimą ir naudojimą. Šios gairės apima kelias slaptažodžių tvarkymo sritis:
Slaptažodžių struktūra. NIST SP 800-63B 4-ojoje redakcijoje atsisakoma tradicinių slaptažodžių sudarymo taisyklių – neturėtų būti reikalaujama, kad slaptažodžiams sudaryti būtų naudojami didžiųjų ir mažųjų raidžių, skaičių bei specialiųjų simbolių deriniai. Priverstinai sukurti sudėtingi slaptažodžiai dažnai virsta nuspėjamais šablonais (pvz., „Slaptažodis1!“ tampa „Slaptažodis2!“) išties nepadidinant saugumo. Vietoj to NSTI teikia pirmenybę slaptažodžio ilgiui ir skatina naudoti ilgas slaptafrazes, kartu leidžiant naudoti visus spausdinamus simbolius, įskaitant tarpus ir „Unicode“, taip siekiant užtikrinti didesnį lankstumą.
Slaptažodžių ilgis. NSTI nustato, kad naudotojų pasirenkamus slaptažodžius turi sudaryti mažiausiai 8 simboliai, o kai slaptažodis yra vienintelis autentifikavimo veiksnys, jis turi būti sudarytas mažiausiai iš 15 simbolių. Sistemos turi leisti naudoti ne trumpesnius kaip 64 simbolių slaptažodžius, o NSTI aktyviai skatina naudoti ilgas slaptafrazes, kad apsauga būtų patikimesnė.
Slaptažodžių saugojimas. Slaptažodžiai turėtų būti saugomi užšifruoti maišos ir „druskavimo“ (šifruojant įterpiant atsitiktinį skaičių) formatu, siekiant sumažinti neteisėtos prieigos riziką. NSTI taip pat rekomenduoja saugomiems prisijungimo duomenims taikyti kelių veiksnių autentifikavimą, taip užtikrinant papildomą apsaugos sluoksnį.
Slaptažodžių senėjimas. Tai viena iš sričių, kurioje NSTI pakeitė savo poziciją. Atnaujintose gairėse patariama neversti žmonių reguliariai keisti slaptažodžių, nebent būtų įrodymų, kad jų saugumas buvo pažeistas. Privalomai keisdami slaptažodžius, naudotojai dažnai atlieka nedidelius, lengvai nuspėjamus pakeitimus (pvz., „Password1“ pakeičia į „Password2“), o tai silpnina saugumą, užuot jį stiprinus.
Pakartotinis slaptažodžių naudojimas. NSTI primygtinai rekomenduoja nenaudoti to paties slaptažodžio keliose paskyrose. Prisijungimo duomenų kaupimo atakos, kai įsilaužėliai paima per vieną duomenų saugumo pažeidimą pavogtus prisijungimo duomenis ir bando juos panaudoti kitose paskyrose, lemia tai, kad pakartotinai naudojami slaptažodžiai tampa viena dažniausių neteisėtos prieigos priemonių.
NSTI kibernetinio saugumo strategija 800-63b
NIST SP 800-63B, kurios naujausia 4 redakcija paskelbta 2025 m., pateikiama daugiau išsamesnių autentifikavimo bei skaitmeninių tapatybių tvarkymo gairių. Taip organizacijos gali saugiai ir veiksmingai tvarkyti skaitmenines tapatybes.
Siekdamos laikytis NIST 800-63B, organizacijos turėtų atlikti toliau nurodytus veiksmus.
Įgyvendinti patikimo autentifikavimo metodus, pvz., kelių veiksnių autentifikavimą, skaitmeninėms tapatybėms apsaugoti.
Reguliariai vertinti ir atnaujinti tapatybių tvarkymo procedūras, kad jos būtų veiksmingos ir nepasenusios.
Reguliariai mokyti darbuotojus tapatybių tvarkymo geriausių praktikų, įskaitant slaptažodžių saugumo ir socialinės inžinerijos taktikų.
NIST 800-53: apibrėžtis ir patarimai siekiant atitikties
Kitas NSTI strategijos dalį sudarantis kontrolės priemonių rinkinys yra SP 800-53 – išsamus katalogas, apimantis daugiau nei 1 000 saugumo ir privatumo kontrolės priemonių, suskirstytų į 20 grupių. Į jį įtrauktos visos kontrolės priemonės – nuo prieigos kontrolės ir reagavimo į incidentus iki privatumo užtikrinimo.
Siekdamos laikytis NIST 800-53, organizacijos turi įgyvendinti šiame dokumente numatytas saugumo ir privatumo kontrolės priemones bei nuolat atlikti vertinimus ir auditus, kad įsitikintų tų kontrolės priemonių veiksmingumu. Toliau pateikiame patarimus, kurie padės laikytis NIST 800-53.
Reguliariai vertinkite savo sistemas ir tinklus, siekdami identifikuoti silpnąsias vietas ir tobulintinas sritis.
Įgyvendinkite griežtas prieigos kontrolės priemones, pvz., kelių veiksnių autentifikavimą, kad apsaugotumėte konfidencialią informaciją ir sistemas.
Parenkite ir taikykite reagavimo į incidentus planą, jį reguliariai peržiūrėkite bei atnaujinkite, kad užtikrintumėte jo veiksmingumą.
Reguliariai mokykite darbuotojus kibernetinio saugumo geriausių praktikų, įskaitant slaptažodžių saugumo ir socialinės inžinerijos taktikų.
„NordPass Business“ ir atitiktis NSTI kibernetinio saugumo strategijai
Kai reikia vadovautis tokia daugybe gairių ir rekomendacijų, reikalavimų laikymosi užtikrinimas gali atrodyti tarsi nuolat besikeičiantis tikslas. Kalbant apie slaptažodžių tvarkymą, „NordPass Business“ gali padėti organizacijoms įgyvendinti šių gairių nuostatas, susijusias su slaptažodžiais.
Valdymo požiūriu NSTI KSS 2.0 tikimasi, kad organizacijos kibernetinį saugumą laikytų vadovybės lygio prioritetu (GV.RM / GV.PO), įskaitant ir prisijungimo duomenų tvarkymą visoje įmonėje. „NordPass Business“ suteikia galimybę IT administratoriams centralizuotai kontroliuoti slaptažodžių politiką – nuo minimalaus ilgio ir sudėtingumo taisyklių nustatymo iki jų taikymo visoje organizacijoje – ir visa tai daryti pasitelkus vieną valdymo sritį. Be to, veiklų žurnalus galima eksportuoti į SIEM platformas, pvz., „Splunk“ arba „Microsoft Sentinel“, taip suteikiant saugumo komandoms galimybę visapusiškai matyti su prisijungimo duomenimis susijusius įvykius ir vykdyti nuolatinę stebėseną, kurios reikalaujama pagal funkciją „Vadovavimas“.
NSTI KSS 2.0 funkcija „Apsauga“ (PR.AA / PR.DS) skirta praktiniam taikymui užtikrinti. „NordPass Business“ sukuria kelis gynybinius sluoksnius, skirtus prisijungimo duomenų kūrimo, saugojimo ir naudojimo apsaugai užtikrinti:
KVA taikymas. Administratoriai gali reikalauti, kad visoje įmonėje būtų taikomas kelių veiksnių autentifikavimas, taip laikantis NIST SP 800-63B rekomendacijos dėl daugiasluoksnės prieigos kontrolės užtikrinimo.
Prieigos raktų palaikymas. „NordPass“ palaiko prieigos raktus – duomenų viliojimui atsparų autentifikavimo metodą, kurį atnaujintose NSTI rekomendacijose siūloma taikyti vietoj tradicinių slaptažodžių.
Nulinėmis žiniomis grįstas šifravimas. Visi saugomi prisijungimo duomenys yra apsaugoti „xChaCha20“ šifravimu pagal nulinių žinių architektūrą. Niekas, įskaitant „NordPass“, negali gauti prieigos prie jūsų saugykloje laikomos informacijos.
Duomenų viliojimo atakoms atsparus automatinis užpildymas. Automatinis užpildymas įveda prisijungimo duomenis tik patvirtintuose domenuose, taip užkertant kelią darbuotojams atskleisti slaptažodžius suklastotoms ar kenkėjiškoms svetainėms.
Prisijungimo duomenų būklės stebėjimas. Slaptažodžių saugumo funkcija pažymi silpnus, pakartotinai naudojamus ir pasenusius prisijungimo duomenis visoje organizacijoje, kad silpnosios vietos būtų nustatytos, kol jomis nepasinaudojama.
Visa tai tiesiogiai atitinka atnaujintas NIST SP 800-63B gaires: ilgesnės slaptafrazės vietoj sutartinių sudėtingumo taisyklių, prieigos raktai kaip pageidautinas autentifikavimo metodas ir jokio privalomo slaptažodžių keitimo, jei neįtariamas saugumo pažeidimas. „NordPass Business“ sukurtas remiantis tais pačiais principais. Jis generuoja stiprius, didelės entropijos prisijungimo duomenis, integruotai palaiko prieigos raktus ir niekada neverčia be reikalo atlikti nustatymų iš naujo.
Be NSTI reikalavimų, „NordPass Business“ padeda organizacijoms laikytis įvairių saugumo ir atitikties sistemų reikalavimų. Galite daugiau sužinoti apie tai, kaip „NordPass“ atitinka tokius standartus kaip ISO 27001.