Ramy zgodności

Zgodność oznacza spełnianie wymagań bezpieczeństwa określonych przez przepisy prawa, regulacje lub standardy branżowe. Ramy postępowania zapewniają organizacjom uporządkowany i uznany zestaw mechanizmów kontrolnych, które należy wdrożyć i których spełnienie należy udowodnić.

Zgodność nie jest tym samym co bezpieczeństwo, ale dobre ramy postępowania prowadzą do rzeczywistych usprawnień.

ISO/IEC 27001 to międzynarodowy standard dotyczący ISMS (systemu zarządzania bezpieczeństwem informacji). Opiera się na ryzyku: identyfikują Państwo ryzyka, wybierają mechanizmy kontrolne (z Załącznika A) i stale je usprawniają.

• Certyfikaty wydają akredytowani audytorzy.
• Nacisk kładzie się na proces zarządzania, a nie tylko na technologię.

SOC 2 (System and Organization Controls) to raport atestacyjny, często stosowany w przypadku dostawców SaaS, oparty na kryteriach AICPA Trust Services Criteria: bezpieczeństwie, dostępności, integralności przetwarzania, poufności i prywatności.

• Typ I: mechanizmy zaprojektowane w określonym momencie.
• Typ II: mechanizmy działające skutecznie przez określony czas.

Standard PCI DSS (Payment Card Industry Data Security Standard) dotyczy każdej organizacji, która przechowuje, przetwarza lub przesyła dane posiadaczy kart. Jest preskryptywny i zawiera konkretne wymagania.

• Szyfruj dane posiadaczy kart i stosuj segmentację sieci.
• Ograniczaj dostęp zgodnie z zasadą wiedzy koniecznej.
• Regularnie testuj i monitoruj środowisko.

Można się również spotkać z następującymi regulacjami i standardami:

• GDPR: ochrona danych i prywatności w UE.
• HIPAA: dane dotyczące opieki zdrowotnej w USA.
• NIST CSF / 800-53: amerykańskie ramy postępowania i katalog mechanizmów kontrolnych.

Wiele z nich się pokrywa, więc mechanizmy kontrolne można mapować między różnymi ramami postępowania.

Ramy postępowania mieszczą się na pewnym kontinuum:

• Oparte na ryzyku (ISO 27001): wybierają Państwo mechanizmy kontrolne proporcjonalne do ryzyka.
• Preskryptywne (PCI DSS): obowiązują konkretne wymagania niezależnie od kontekstu.

Znajomość tego typu informuje, ile swobody pozostaje przy dostosowywaniu mechanizmów kontrolnych.

Zdefiniowanie zakresu to pierwszy praktyczny krok. Zakres określa, których systemów, danych i procesów dotyczą dane ramy postępowania.

W przypadku PCI DSS segmentacja może zmniejszyć zakres (i koszty), izolując systemy zawierające dane posiadaczy kart od reszty sieci.

Ramy postępowania porządkują wymagania w postaci mechanizmów kontrolnych, często pogrupowanych w rodziny, takie jak kontrola dostępu, kryptografia, rejestrowanie i reagowanie na incydenty.

Każdy mechanizm kontrolny potrzebuje właściciela, wdrożenia i dowodów potwierdzających jego działanie.

Wyniki różnią się w zależności od ram postępowania:

• Certyfikacja (ISO 27001): certyfikat potwierdzający pozytywny lub negatywny wynik oceny, wydany przez akredytowaną jednostkę.
• Atestacja (SOC 2): raport z opinią audytora udostępniany na podstawie umowy NDA.
• Walidacja (PCI DSS): AOC i/lub ROC od QSA.

Zgodność nie jest jednorazowym wydarzeniem. Standardy wymagają ciągłego działania, okresowej ponownej oceny i usprawnień.

• ISO 27001 wymaga audytów nadzoru.
• SOC 2 typu II obejmuje okres trwający kilka miesięcy.
• PCI DSS wymaga kwartalnych skanów i corocznej oceny.

Większość organizacji musi jednocześnie spełniać wymagania kilku ram postępowania. Należy utworzyć mapowanie mechanizmów kontrolnych, aby jeden prawidłowo wdrożony mechanizm (np. MFA) spełniał odpowiednie wymaganie ISO 27001, SOC 2 i PCI DSS jednocześnie, bez powielania pracy.

Dopasuj ramy postępowania do ich charakteru.

Ramy zgodności porządkują bezpieczeństwo i pozwalają je udowodnić:

• ISO 27001 = certyfikacja ISMS oparta na ryzyku.
• SOC 2 = atestacja Trust Services dla dostawców usług.
• PCI DSS = preskryptywny standard dotyczący danych posiadaczy kart.
• Zdefiniuj zakres, wyznacz właścicieli mechanizmów kontrolnych i mapuj pokrywające się mechanizmy, aby działać efektywnie.