მთავარი დასკვნა
ISMS მხოლოდ დოკუმენტაცია არ არის: ის კონტროლს აქტივებთან აკავშირებს, პასუხისმგებლებს ანაწილებს, მუშაობას ამოწმებს და გაუმჯობესებას წარმართავს.
განსაზღვრეთ რისკები, აქტივები და პასუხისმგებლობები
ინფორმაციული უსაფრთხოების მართვის სისტემა (ISMS) აკავშირებს რისკს, პოლიტიკას, პროცესსა და კონტროლს ინფორმაციისა და მისი დამმუშავებელი სისტემების დასაცავად. აღრიცხეთ აპარატურა, პროგრამები, ღრუბლოვანი ანგარიშები, მონაცემთა ბაზები და ფიზიკური ჩანაწერები პასუხისმგებლებით, ღირებულებითა და ზემოქმედებით. საფრთხეები და სისუსტეები შესაძლო ბიზნესშედეგებთან მიმართებით შეაფასეთ; პასუხისმგებელი აღრიცხავს, მიიღოს, შეამციროს, გადასცეს თუ აირიდოს თითოეული რისკი.
გამოიყენეთ დაცვის ფენები
ერთი ქსელთაშორისი ეკრანი ან ბოლო მოწყობილობის ხელსაწყო შეტევის ყველა გზას ვერ ხურავს. დამატებით ფენებად შეაერთეთ ქსელის სეგმენტაცია, განახლებები, უსაფრთხო კონფიგურაცია, მრავალფაქტორიანი ავთენტიფიკაცია, მინიმალური პრივილეგიები, მონაცემების დაშიფვრა, ბოლო მოწყობილობებზე აღმოჩენა და მონიტორინგი. მაღალი გავლენის აქტივებზე გამოიყენეთ წვდომის უფრო მკაცრი შეზღუდვები, სარეზერვო ასლები და მონიტორინგი. თითოეულ კონტროლს მიანიჭეთ პასუხისმგებელი, ფარგლები და განხილვის მტკიცებულება.
აკონტროლეთ საფრთხეები, გამოიძიეთ და უპასუხეთ
საფრთხეები მოიცავს მავნე პროგრამებს, გამოსასყიდის მომთხოვნ პროგრამებს, ფიშინგს, ინსაიდერულ ბოროტად გამოყენებას, სერვისის უარყოფას, APT‑ებს, ნულოვანი დღის სისუსტეებს, მიწოდების ჯაჭვის კომპრომეტირებასა და დაუცველ IoT‑ს. დააკავშირეთ ბოლო მოწყობილობის, იდენტობის, ელფოსტის, ქსელისა და ღრუბლის ჩანაწერები. გაფრთხილებისას ანალიტიკოსი ამოწმებს კონტექსტსა და ფარგლებს, შემდეგ შეზღუდვის, წვდომის გაუქმებისა და აღდგენის სცენარს იყენებს; ავტომატური დაბლოკვის გადაწყვეტილებები და უკუქცევა წინასწარ გამოცადეთ.
გაზომეთ და გააუმჯობესეთ ISMS
პოლიტიკა და კონტროლი გადაამოწმეთ აუდიტებით, მოწყვლადობების განხილვით, ფიშინგის სავარჯიშოებით, წვდომის აუდიტებითა და აღდგენის სწავლებებით. აღრიცხეთ აქტივი, თარიღი, მტკიცებულება, გამონაკლისი, პასუხისმგებელი და შემდეგი ნაბიჯი და ცრუ დადებითი შედეგებიც გამოიკვლიეთ. ჯერ განსაზღვრეთ, რომელი სამართლებრივი, სახელშეკრულებო და სტანდარტების მოთხოვნები ვრცელდება ორგანიზაციაზე, შემდეგ შეაფასეთ მათი შესრულება. ISO/IEC 27001 და PCI DSS სტანდარტებია, GDPR და HIPAA — კანონმდებლობა, NIST კი სხვადასხვა სტანდარტსა და მითითებას აქვეყნებს. კონტროლის ზოგადი სია სერტიფიკაცია ან შესაბამისობის მტკიცებულება არ არის. რისკებისა და ბიზნესგარემოს ცვლილებისას პროგრამა განაახლეთ.