Политика безопасности: Она классифицируется как жизненно важная инфраструктура, незаменимая для будущего.

В банковском секторе и сфере коммунальных услуг регулирующие органы определяют определенные системы как критически важные. Критически важной считается система, отказ которой может нанести недопустимый вред клиентам, рынкам или общественной безопасности. Например, платежная платформа в клиринговом банке или сеть SCADA в энергораспределительной компании несут самые высокие обязательства по управлению, включая непрерывный мониторинг, документированное управление изменениями и демонстрируемую устойчивость.

Среда политик — набор правил, накопленных в рамках межсетевых экранов, облачных средств контроля и микросегментации, — определяет, какие системы могут взаимодействовать друг с другом, какие коммуникации блокируются, а какие исключения остаются в силе. Эти правила в совокупности составляют уровень управления политиками безопасности: уровень управления, который преобразует бизнес-цели в решения о доступе в распределенных точках выполнения.

Неправильно настроенное правило хеширования во время миграции в облако может привести к отключению платежного сервиса от платформы расчетов; аналогично, временное правило, предоставляющее широкий доступ из подсети разработки к производственной среде, может оставаться в силе в течение нескольких месяцев после фактической эксплуатации из-за отсутствия ответственного лица за его удаление.

Правила брандмауэра, политики сегментации и решения о доступе напрямую влияют на операционные риски, и когда система политик дает сбой, вместе с ней выходят из строя и жизненно важные сервисы, которые ею управляют.

Это делает политическую среду жизненно важной инфраструктурой сама по себе.

Они по-прежнему выполняются в рамках рутинных задач.

Несмотря на это, многие регулируемые организации по-прежнему управляют своей политической средой как сугубо операционными задачами. Правила добавляются посредством запросов на изменения, и совокупный эффект редко сравнивается с первоначальным замыслом. Ответственность становится фрагментированной по мере изменения ролей руководителей, и причину существования того или иного правила можно найти только в запросе на изменение, если таковой вообще существует.

Директор по информационной безопасности (CISO), который никогда не допустит работы платежной платформы без постоянного мониторинга или документированных зависимостей, может смириться с отсутствием и того, и другого в рамках политики, определяющей доступность платформы. Мы можем описать эту ситуацию как имеющую последствия масштаба инфраструктуры при управлении на рутинном уровне.

В банковском секторе сбой в работе системы, нарушающий обмен данными между расчетными системами, приведет к сбоям в работе критически важных бизнес-сервисов. Управление по финансовому регулированию и надзору (FCA) будет уделять пристальное внимание таким сбоям, поскольку потеря таких услуг может нанести значительный ущерб.

В секторах здравоохранения и энергетики последствия различаются, но механизм один и тот же: неправильная конфигурация, позволяющая получить доступ из корпоративной сети к клиническим системам учреждения Национальной службы здравоохранения Великобритании или к операционным технологиям энергораспределительной компании, создает уязвимости в предоставлении жизненно важных услуг. Это не гипотетические риски, а реальные оперативные последствия подхода к управлению критической инфраструктурой как к рутинной задаче. Для более глубокого понимания важности упреждающего планирования см. нашу статью «Прежде чем начать: вопросы, касающиеся критической инфраструктуры».

Прогнозы регулирующих органов подтверждают ту же тенденцию.

В Великобритании растут требования регулирующих органов, что подтверждает тот же вывод: политика безопасности, регулирующая доступ к критически важным услугам, должна управляться с уровнем дисциплины, соизмеримым с инфраструктурой. Схема операционной устойчивости Управления по финансовому регулированию и надзору (FCA) требует от регулируемых компаний выявлять критически важные бизнес-услуги и постоянно демонстрировать, что поддерживающая инфраструктура остается в пределах установленных допустимых значений воздействия.

Регулятор газового и электроэнергетического рынка (Ofgem) проводит оценку поставщиков основных услуг в соответствии с Рамочной программой оценки кибербезопасности Национального центра кибербезопасности (NCSC), задаваясь вопросом, достигаются ли конкретные результаты в области безопасности на постоянной основе. Законопроект о кибербезопасности и устойчивости, который, как ожидается, вступит в силу позднее в этом году, распространит аналогичные обязательства на центры обработки данных , поставщиков управляемых услуг и критически важных поставщиков.

Эти структуры не являются предписывающими и подробными; ни одна из них не определяет правила брандмауэра, которые должна иметь организация, или как настроить ее политики для розничной торговли. Они требуют доказательств: что то, что допускает среда политик, соответствует задуманному, и что организация может последовательно это демонстрировать, вместо того чтобы заново собирать доказательства для каждой оценки.

Почему существующая система не соответствует этому стандарту?

Большинство политических систем изначально не были созданы в соответствии с этим стандартом. На самом деле, большинство политических систем даже не создавались сознательно или намеренно. Вместо этого, политики, как правило, накапливаются как побочный продукт процессов внедрения. Каждый проект и миграция добавляют новые правила, и лишь немногие из них удаляются.

Со временем «поверхность политики» — то есть полный набор правил и решений о доступе на всех уровнях реализации — становится больше, чем может обработать группа людей, которые в ней разбираются, и система достигает точки, когда ею можно управлять, но объяснить ее уже невозможно.

В регулируемых отраслях, таких как банковское дело, энергетика и здравоохранение, это было устойчивым в рамках предыдущих нормативных актов: периодические оценки, аудиты, основанные на контроле, и системы соответствия, которые ставили под сомнение наличие контроля, а не его эффективность. Но этого уже недостаточно. Новый стандарт требует постоянного подтверждения того, что доступ является преднамеренным.

Результаты самооценки операционной устойчивости, проведенной Управлением по финансовому регулированию и надзору (FCA) по итогам года, иллюстрируют, как это выглядит на практике. В случаях, когда регулируемые фирмы сообщали о небольшом количестве или отсутствии каких-либо существенных уязвимостей в инфраструктуре, поддерживающей их критически важные бизнес-услуги, FCA часто считало имеющиеся доказательства недостаточными для определения того, существовали ли эти уязвимости на самом деле или просто не были обнаружены.

Этот урок напрямую применим к управлению политикой безопасности: ни одна организация не может с уверенностью утверждать, что уязвимости доступа контролируются, не предоставив доказательств того, что ее политики разрешают, как они были протестированы и были ли устранены эти уязвимости.

Требования к управлению на уровне инфраструктуры

Часто в ответ на это предлагается добиваться большей прозрачности и документального подтверждения. Но документация отражает лишь конкретный момент времени; она не может обеспечить постоянную гарантию, которую ожидают регулирующие органы.

Руководителю службы информационной безопасности в регулируемой компании нужно больше, чем просто знание того, что разрешает политика безопасности. Конфигурация и эффективный доступ — это не одно и то же. Командам безопасности необходимо понимать, как правила, пути, объекты и уровни реализации взаимодействуют, чтобы определить, что именно может взаимодействовать.

Соответствие этому стандарту означает согласование двух вещей: демонстрацию того, что окружающая среда фактически допускает то, что она должна допускать, и возможность доказать это без предварительного предупреждения.

Мы разделяем места определения и применения политики. Определение и поддержание намерений осуществляется централизованно, в то время как их применение распределено между межсетевыми экранами, облачными контроллерами и микросегментацией в гибридных, мультиоблачных и многовендорных средах.

Намерение постоянно проверяется, а не контролируется на этапах анализа: предлагаемые изменения тестируются на соответствие политике до внедрения в производство, а эффективный доступ постоянно оценивается для выявления ненужных рисков, несоответствий между уровнями реализации и отклонений от бизнес-целей. То, что было разрешено, и то, что было изменено, сохраняется в качестве доказательства.

Тот же специалист по информационной безопасности, который никогда бы не допустил работу платежной платформы без непрерывного мониторинга, проверенного контроля изменений и документированных зависимостей, должен применять этот стандарт к политике, определяющей доступность платформы.

Управление по финансовому регулированию и надзору (FCA), Рамочная программа оценки кибербезопасности Национального центра кибербезопасности (NCSC) и Законопроект о кибербезопасности и устойчивости указывают на один и тот же фундаментальный вопрос: может ли эта организация последовательно демонстрировать, что инфраструктура, поддерживающая ее критически важные услуги, управляется в соответствии со стандартами, требуемыми этими услугами?

Ответить на этот вопрос означает знать (по-настоящему знать, а не предполагать или восстанавливать на основе анализа), что допускает политическая обстановка в любой данный момент, и соответствует ли это тому, что предполагалось. Эти важнейшие вопросы об инфраструктуре являются решающей отправной точкой в ​​данном контексте.