Нормативные стандарты

Соответствие требованиям означает выполнение требований безопасности, установленных законами, нормативными актами или отраслевыми стандартами. Модели соответствия дают организациям структурированный и признанный набор мер контроля, которые необходимо внедрить и подтвердить.

Соответствие требованиям — не то же самое, что безопасность, но хорошая модель способствует реальным улучшениям.

ISO/IEC 27001 — международный стандарт для ISMS (системы управления информационной безопасностью). Он основан на рисках: вы выявляете риски, выбираете меры контроля (из приложения A) и постоянно совершенствуете систему.

• Сертификацию выдают аккредитованные аудиторы.
• Основное внимание уделяется управленческим процессам, а не только технологиям.

SOC 2 (системные и организационные меры контроля) — это отчёт об аттестации, распространённый у поставщиков ПО как услуги и основанный на критериях AICPA для доверенных сервисов: безопасности, доступности, целостности обработки, конфиденциальности и защиты частной жизни.

• Тип I: меры контроля, спроектированные на определённый момент времени.
• Тип II: меры контроля, эффективно работающие в течение определённого периода.

PCI DSS (стандарт безопасности данных платёжных карт) применяется к любой организации, которая хранит, обрабатывает или передаёт данные держателей карт. Это предписывающий стандарт с конкретными требованиями.

• Шифруйте данные держателей карт и используйте сегментацию сети.
• Ограничивайте доступ по принципу необходимости знать.
• Регулярно проводите тестирование и мониторинг.

Вы также столкнётесь со следующими моделями:

• GDPR: защита данных и конфиденциальность в EU.
• HIPAA: данные здравоохранения в US.
• NIST CSF / 800-53: модель и каталог мер контроля в US.

Многие из них пересекаются, поэтому меры контроля можно сопоставлять между моделями.

Модели соответствия находятся на определённом спектре:

• Риск-ориентированный подход (ISO 27001): вы выбираете меры контроля пропорционально своим рискам.
• Предписывающий подход (PCI DSS): конкретные обязательные требования независимо от контекста.

Понимание типа модели показывает, насколько свободно вы можете адаптировать меры контроля.

Определение области охвата — первый практический шаг. Область охвата определяет, к каким системам, данным и процессам применяется модель.

В PCI DSS сегментация может уменьшить область охвата (и затраты), изолируя системы с данными держателей карт от остальной сети.

Модели группируют требования в меры контроля, которые часто объединяются в семейства, такие как контроль access, криптография, журналирование и реагирование на инциденты.

Для каждой меры контроля нужны ответственный, реализация и доказательства её работоспособности.

Результаты различаются в зависимости от модели:

• Сертификация (ISO 27001): сертификат с результатом «соответствует/не соответствует», выданный аккредитованным органом.
• Аттестация (SOC 2): заключение аудитора, предоставляемое в соответствии с NDA.
• Подтверждение соответствия (PCI DSS): AOC и/или ROC от QSA.

Соответствие требованиям — не разовое событие. Стандарты предусматривают постоянную работу, периодическую повторную оценку и совершенствование.

• ISO 27001 требует надзорных аудитов.
• SOC 2 типа II охватывает период в несколько месяцев.
• PCI DSS требует ежеквартального сканирования и ежегодной оценки.

Большинство организаций одновременно сталкиваются с несколькими моделями. Создайте сопоставление мер контроля, чтобы одна качественно реализованная мера контроля (например, MFA) одновременно выполняла соответствующее требование в ISO 27001, SOC 2 и PCI DSS, избегая дублирования работы.

Сопоставьте модель с её особенностями.

Модели соответствия структурируют и подтверждают безопасность:

• ISO 27001 = сертификация основанной на рисках ISMS.
• SOC 2 = аттестация по критериям доверенных сервисов для поставщиков услуг.
• PCI DSS = предписывающий стандарт для данных держателей карт.
• Определяйте область охвата, назначайте ответственных за меры контроля и сопоставляйте пересекающиеся меры для повышения эффективности.