Polityka bezpieczeństwa: Jest to infrastruktura niezbędna, niezbędna dla przyszłości.

W sektorze bankowym i użyteczności publicznej organy regulacyjne definiują określone systemy jako krytyczne. System krytyczny to taki, którego awaria mogłaby spowodować niedopuszczalne szkody dla klientów, rynków lub bezpieczeństwa publicznego. Na przykład platforma płatnicza w banku rozliczeniowym lub sieć SCADA w przedsiębiorstwie dystrybucyjnym energii elektrycznej podlegają najwyższym obowiązkom w zakresie zarządzania, w tym ciągłemu monitorowaniu, udokumentowanemu zarządzaniu zmianami i udowodnionej odporności.

Środowisko polityki – zestaw reguł zgromadzonych w zaporach sieciowych, mechanizmach kontroli chmury i mikrosegmentacji – określa, które systemy mogą uzyskiwać do siebie dostęp, które komunikaty są blokowane i które wyjątki pozostają aktywne. Reguły te łącznie tworzą warstwę kontroli polityki bezpieczeństwa: warstwę zarządzania, która przekłada cele biznesowe na decyzje dotyczące dostępu w rozproszonych punktach wykonania.

Nieprawidłowo skonfigurowana reguła haszująca podczas migracji do chmury może spowodować rozłączenie usługi płatniczej z platformą rozliczeniową; podobnie tymczasowa reguła przyznająca szeroki dostęp z podsieci programistycznej do środowiska produkcyjnego może pozostać w mocy przez wiele miesięcy po faktycznym uruchomieniu, jeśli nie ma osoby odpowiedzialnej za jej usunięcie.

Reguły zapór sieciowych, zasady segmentacji i decyzje dotyczące dostępu mają bezpośredni wpływ na ryzyko operacyjne. Gdy środowisko zasad zawodzi, wówczas zawodzą również kluczowe usługi, które nim zarządzają.

Dzięki temu środowisko polityczne samo w sobie staje się istotną infrastrukturą.

Nadal traktuje się je jak zadania rutynowe.

Mimo to wiele organizacji objętych regulacjami nadal zarządza swoimi środowiskami polityki, traktując je jako zadania czysto operacyjne. Reguły są dodawane poprzez wnioski o zmianę, a skumulowany efekt rzadko jest sprawdzany w kontekście pierwotnego zamierzenia. Własność ulega rozdrobnieniu wraz ze zmianą ról liderów, a przyczynę istnienia danej reguły można znaleźć jedynie we wniosku o zmianę, o ile w ogóle taki wniosek istnieje.

Dyrektor ds. Bezpieczeństwa Informacji (CISO), który nigdy nie pozwoliłby platformie płatniczej działać bez ciągłego monitorowania i udokumentowanych zależności, mógłby zaakceptować brak obu tych elementów w środowisku politycznym, które decyduje o dostępności platformy. Sytuację tę można opisać jako mającą konsekwencje na skalę infrastruktury, z uwzględnieniem zarządzania na poziomie rutynowym.

W sektorze bankowym, błąd w polityce, który zakłóca komunikację między systemami rozliczeniowymi, spowodowałby zakłócenia w świadczeniu kluczowych usług biznesowych. Urząd Nadzoru Finansowego (FCA) będzie zwracał szczególną uwagę na takie uchybienia, ponieważ utrata takiej usługi mogłaby prowadzić do znacznych szkód.

W sektorze opieki zdrowotnej i energetycznym konsekwencje są różne, ale mechanizm jest ten sam: błędna konfiguracja umożliwiająca dostęp z sieci korporacyjnej do systemów klinicznych instytucji NHS lub do technologii operacyjnej dystrybutora energii stwarza luki w świadczeniu podstawowych usług. Nie są to hipotetyczne zagrożenia, lecz realne konsekwencje operacyjne traktowania zarządzania infrastrukturą krytyczną jako rutynowego zadania. Aby lepiej zrozumieć znaczenie proaktywnego planowania, zapoznaj się z naszym artykułem „Zanim zaczniesz: Pytania dotyczące infrastruktury krytycznej”.

Prognozy regulacyjne potwierdzają tę samą tendencję.

Rosną oczekiwania regulacyjne w Wielkiej Brytanii, co potwierdza ten sam wniosek: polityki bezpieczeństwa regulujące dostęp do usług krytycznych muszą być zarządzane z dyscypliną adekwatną do infrastruktury. Program odporności operacyjnej Urzędu Nadzoru Finansowego (FCA) wymaga od firm objętych regulacjami identyfikowania usług krytycznych i ciągłego wykazywania, że ​​infrastruktura wspierająca pozostaje w ustalonych granicach tolerancji na zakłócenia.

Regulator Rynku Gazu i Energii Elektrycznej (Ofgem) ocenia dostawców usług kluczowych w kontekście Ram Oceny Cybernetycznej Narodowego Centrum Bezpieczeństwa Cybernetycznego (NCSC), kwestionując, czy konkretne rezultaty w zakresie bezpieczeństwa są stale osiągane. Ustawa o bezpieczeństwie cybernetycznym i odporności, która ma wejść w życie jeszcze w tym roku, rozszerzy podobne obowiązki na centra danych , dostawców usług zarządzanych i dostawców usług kluczowych.

Te ramy nie są restrykcyjne i szczegółowe; żadna z nich nie definiuje reguł zapory sieciowej, które organizacja musi mieć, ani sposobu konfiguracji polityk sprzedaży detalicznej. Wymagają one dowodu: że środowisko polityki pozwala na to, co było zamierzone, oraz że organizacja może to konsekwentnie wykazać, zamiast odbudowywać dowody dla każdej oceny.

Dlaczego obecny system nie jest w stanie spełnić tego standardu?

Większość środowisk polityki nigdy nie została stworzona z myślą o spełnieniu tego standardu. W rzeczywistości większość środowisk polityki nie została w ogóle stworzona świadomie ani celowo. Zamiast tego, polityki mają tendencję do gromadzenia się jako produkt uboczny procesów implementacji. Każdy projekt i migracja dodaje nowe reguły, a bardzo niewiele z nich jest usuwanych.

Z czasem „powierzchnia polityki” – czyli kompletny zestaw reguł i decyzji dotyczących dostępu na wszystkich poziomach wdrażania – staje się większa, niż jest w stanie obsłużyć grupa osób ją rozumiejących, a system osiąga punkt, w którym da się nim zarządzać, ale nie da się go wyjaśnić.

W regulowanych branżach, takich jak bankowość, energetyka i opieka zdrowotna, było to możliwe w ramach poprzednich ram regulacyjnych: okresowych ocen, audytów opartych na kontrolach oraz ram zgodności, które kwestionowały istnienie kontroli, a nie ich skuteczność. To jednak już nie wystarcza. Nowy standard wymaga ciągłego dowodzenia, że ​​dostęp jest celowy.

Wyniki Urzędu Nadzoru Finansowego (FCA), przeprowadzone po roku samooceny odporności operacyjnej, ilustrują, jak to wygląda w praktyce. W przypadkach, gdy firmy podlegające regulacjom zgłaszały niewiele lub wcale nieistniejących luk w zabezpieczeniach infrastruktury obsługującej ich kluczowe usługi biznesowe, FCA często uznawała dowody za niewystarczające do ustalenia, czy luki faktycznie nie istniały, czy też po prostu nie zostały wykryte.

Ta lekcja odnosi się bezpośrednio do zarządzania polityką bezpieczeństwa: Żadna organizacja nie może wiarygodnie twierdzić, że luki w zabezpieczeniach dostępu są kontrolowane, nie przedstawiając dowodów na to, na co pozwalają jej zasady, w jaki sposób zostały przetestowane i czy luki zostały wyeliminowane.

Wymagania dotyczące zarządzania na poziomie infrastruktury

Często odpowiedzią jest dążenie do większej przejrzystości i dokumentacji. Jednak dokumentacja obejmuje tylko konkretny moment w czasie i nie może zapewnić ciągłego bezpieczeństwa, jakiego oczekują organy regulacyjne.

CISO w firmie regulowanej potrzebuje czegoś więcej niż tylko zapisu tego, co dopuszcza środowisko polityki. Konfiguracja i efektywny dostęp to nie to samo. Zespoły ds. bezpieczeństwa muszą zrozumieć, jak reguły, ścieżki, obiekty i warstwy implementacji współdziałają, aby określić, co faktycznie może się komunikować.

Spełnienie tego standardu oznacza pogodzenie dwóch rzeczy: wykazania, że ​​to, co środowisko faktycznie pozwala, jest tym, na co miało pozwalać, oraz możliwości udowodnienia tego bez wcześniejszego ostrzeżenia.

Oddzielamy miejsce definiowania intencji polityki od miejsca jej egzekwowania. Intencja jest przechowywana i utrzymywana centralnie, podczas gdy egzekwowanie pozostaje rozproszone w zaporach sieciowych, mechanizmach kontroli w chmurze i mikrosegmentach w środowiskach hybrydowych, wielochmurowych i wielodostawców.

Intencja ta jest stale weryfikowana, a nie sprawdzana w punktach kontroli: proponowane zmiany są testowane pod kątem zgodności z polityką przed wdrożeniem, a skuteczny dostęp jest stale oceniany w celu wykrycia niepotrzebnego narażenia, niespójności między poziomami wdrożenia oraz odstępstw od intencji biznesowej. To, co było dozwolone, a co zostało zmienione, jest przechowywane jako dowód.

Ten sam inspektor bezpieczeństwa informacji, który nigdy nie zaakceptowałby platformy płatniczej działającej bez ciągłego monitorowania, sprawdzonej kontroli zmian i udokumentowanych zależności, powinien zastosować tę normę do środowiska polityki, które określa, czy platforma jest dostępna, czy nie.

Urząd ds. Postępowania Finansowego (FCA), ramy oceny cyberbezpieczeństwa Narodowego Centrum Bezpieczeństwa Cybernetycznego (NCSC) oraz ustawa o bezpieczeństwie cybernetycznym i odporności wskazują na to samo podstawowe pytanie: czy ta organizacja jest w stanie konsekwentnie wykazać, że infrastruktura obsługująca jej kluczowe usługi jest zarządzana zgodnie ze standardami wymaganymi przez te usługi?

Odpowiedź na to pytanie oznacza poznanie (prawdziwej wiedzy – a nie założeń ani rekonstrukcji na podstawie analizy), na co pozwala otoczenie polityczne w danym momencie i czy to, co pozwala, jest zgodne z zamierzeniami. Te niezbędne pytania dotyczące infrastruktury stanowią kluczowy punkt wyjścia w tym kontekście.