NIST учел конфиденциальность в фреймворке управления киберрисками

NIST учел конфиденциальность в фреймворке управления киберрисками

NIST учел конфиденциальность в фреймворке управления киберрисками

С целью усиления защиты важнейших государственных активов от угроз кибербезопасности, а также защиты частной жизни, Национальный институт стандартов и технологий (National Institute of Standards and Technology (NIST) опубликовал проект обновления своей структуры управления рисками (Risk Management Framework (RMF) для того чтобы помочь организациям достичь своих целей.

Обновление RMF, формально озаглавленное  Draft NIST Special Publication (SP) 800-37 Revision 2 – документ, призванный помочь организациям оценить риски, связанные с их информацией. Предыдущие версии RMF в первую очередь касались защиты кибербезопасности от внешних угроз. Обновленная версия раскрывает общую проблему конфиденциальности частных лиц, что помогает организациям лучше выявлять и реагировать на эти риски, в том числе связанные с использованием персональной информации.

Обновление соединяет RMF с Cybersecurity Framework (CSF) NIST .

По заявлению одного из авторов публикации, Рональда Росса из NIST, до сих пор федеральные агентства использовали RMF и CSF отдельно. В свою очередь, обновление предоставляет перекрестные ссылки, чтобы организации, использующие RMF, могли видеть, где и как CSF выравнивается с текущими изменениями в RMF. И наоборот, если вы используете CSF, вы можете привлечь RMF и дать своей организации надежную методологию для управления рисками безопасности и конфиденциальности.

Кроме того, достижение соответствия RMF-CSF преследует несколько важных целей, в том числе:

  • Интеграция безопасности и конфиденциальности в развитие систем. Обеспечение безопасности и конфиденциальности в информационных системах на начальном этапе проектирования является серьезной проблемой. RMF также ссылается на рекомендации по проектированию систем безопасности NIST в соответствующих точках, включая SP 800-160 NIST, предназначенной для разработки надежных защищенных систем.
  • Подключение руководителей к операциям. RMF дает рекомендации о том, как руководители организации могут лучше подготовиться к выполнению RMF, а также как сообщить свои планы защиты и стратегии управления рисками для разработчиков и операторов систем.
  • Включение вопросов управления рисками цепи поставок. RMF обращает внимание на растущую обеспокоенность в отношении цепочки поставок в области контрафактных компонентов, фальсификацию, кражу, внедрение вредоносных программ и оборудования, плохую практику производства и разработки и другие потенциально опасные действия, которые могут повлиять на компоненты и системы организации.
  • Поддержка безопасности и конфиденциальности. Обновление RMF предоставит организациям дисциплинированный и структурированный процесс выбора элементов управления из недавно созданного объединенного каталога управления безопасностью и конфиденциальности в пакете SP 800-53 NIST , редакция 5.

Хотя соблюдение CSF является добровольным для частных компаний, его использование для федерального правительства является обязательным в соответствии с приказом 13800. Соблюдение RMF является обязательным для федеральных агентств в соответствии с Федеральным законом о модернизации информационной безопасности (FISMA).

Комментарии по проекту RMF принимаются до 22 июня 2018 года. Окончательная версия будет выпущена в октябре 2018 года.

 

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Контроль 24/7: Ростелеком и Солар обновили сервис мониторинга утечек данных

«Ростелеком» совместно с группой компаний «Солар» обновил сервис, который позволяет отслеживать утечки персональных данных. Теперь он работает круглосуточно и сразу сообщает абоненту, если его данные оказались в открытом доступе. Это помогает вовремя отреагировать и снизить риск мошенничества или других проблем.

Проверке можно подвергнуть не только информацию из личного кабинета, но и до пяти дополнительных номеров телефона или адресов электронной почты.

Если данные «всплывают» в сети, пользователь получает уведомление, а вместе с ним — рекомендации, например, поменять пароли или принять другие меры.

В отчёте, который формируется при срабатывании сервиса, указывается источник утечки, дата инцидента и тип скомпрометированной информации — при этом личные данные маскируются. Это помогает понять, что именно оказалось под угрозой и насколько серьёзна ситуация.

Скоро у абонентов «Ростелекома» появятся и дополнительные инструменты для онлайн-защиты.

По словам представителей компаний, с такими сервисами пользователи могут не только узнавать о потенциальных угрозах, но и вовремя принимать меры. В условиях, когда утечки данных стали обычным делом, это особенно важно — как для самих пользователей, так и для их близких.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru