NIST учел конфиденциальность в фреймворке управления киберрисками

NIST учел конфиденциальность в фреймворке управления киберрисками

NIST учел конфиденциальность в фреймворке управления киберрисками

С целью усиления защиты важнейших государственных активов от угроз кибербезопасности, а также защиты частной жизни, Национальный институт стандартов и технологий (National Institute of Standards and Technology (NIST) опубликовал проект обновления своей структуры управления рисками (Risk Management Framework (RMF) для того чтобы помочь организациям достичь своих целей.

Обновление RMF, формально озаглавленное  Draft NIST Special Publication (SP) 800-37 Revision 2 – документ, призванный помочь организациям оценить риски, связанные с их информацией. Предыдущие версии RMF в первую очередь касались защиты кибербезопасности от внешних угроз. Обновленная версия раскрывает общую проблему конфиденциальности частных лиц, что помогает организациям лучше выявлять и реагировать на эти риски, в том числе связанные с использованием персональной информации.

Обновление соединяет RMF с Cybersecurity Framework (CSF) NIST .

По заявлению одного из авторов публикации, Рональда Росса из NIST, до сих пор федеральные агентства использовали RMF и CSF отдельно. В свою очередь, обновление предоставляет перекрестные ссылки, чтобы организации, использующие RMF, могли видеть, где и как CSF выравнивается с текущими изменениями в RMF. И наоборот, если вы используете CSF, вы можете привлечь RMF и дать своей организации надежную методологию для управления рисками безопасности и конфиденциальности.

Кроме того, достижение соответствия RMF-CSF преследует несколько важных целей, в том числе:

  • Интеграция безопасности и конфиденциальности в развитие систем. Обеспечение безопасности и конфиденциальности в информационных системах на начальном этапе проектирования является серьезной проблемой. RMF также ссылается на рекомендации по проектированию систем безопасности NIST в соответствующих точках, включая SP 800-160 NIST, предназначенной для разработки надежных защищенных систем.
  • Подключение руководителей к операциям. RMF дает рекомендации о том, как руководители организации могут лучше подготовиться к выполнению RMF, а также как сообщить свои планы защиты и стратегии управления рисками для разработчиков и операторов систем.
  • Включение вопросов управления рисками цепи поставок. RMF обращает внимание на растущую обеспокоенность в отношении цепочки поставок в области контрафактных компонентов, фальсификацию, кражу, внедрение вредоносных программ и оборудования, плохую практику производства и разработки и другие потенциально опасные действия, которые могут повлиять на компоненты и системы организации.
  • Поддержка безопасности и конфиденциальности. Обновление RMF предоставит организациям дисциплинированный и структурированный процесс выбора элементов управления из недавно созданного объединенного каталога управления безопасностью и конфиденциальности в пакете SP 800-53 NIST , редакция 5.

Хотя соблюдение CSF является добровольным для частных компаний, его использование для федерального правительства является обязательным в соответствии с приказом 13800. Соблюдение RMF является обязательным для федеральных агентств в соответствии с Федеральным законом о модернизации информационной безопасности (FISMA).

Комментарии по проекту RMF принимаются до 22 июня 2018 года. Окончательная версия будет выпущена в октябре 2018 года.

 

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Ограбление Лувра за восемь минут: система охраны имела пароль «Louvre»

В Париже расследуют одно из самых дерзких ограблений последних лет — из музея Лувр украли королевские украшения, которым несколько веков. Ценности до сих пор не найдены, а подробности случившегося больше напоминают сюжет фильма, чем реальную историю. Как выяснилось, пароль от системы видеонаблюдения музея был… «Louvre».

Об этом сообщает французская газета Libération со ссылкой на PCGamer. Ещё в 2014 году аудит, проведённый Национальным агентством кибербезопасности Франции, указал на эту уязвимость.

Позднейшие проверки выявили и другие проблемы — устаревшее программное обеспечение, которому уже больше 20 лет, и недостаточно защищённые входы на крышу во время строительных работ.

Само ограбление произошло утром в воскресенье, около 9:30 по местному времени, прямо во время работы музея. По данным полиции, четверо злоумышленников подъехали к зданию на небольшом грузовике с лестницей, прорезали стену на втором этаже и проникли в галерею.

Они угрожали охране и посетителям, но никто не пострадал. Через четыре минуты грабители покинули здание и скрылись в Париже. Вся операция заняла восемь минут.

Полиция уже задержала нескольких подозреваемых, четверым предъявлены обвинения. Однако похищенные украшения, стоимость которых оценивается в десятки миллионов долларов, пока не найдены.

Лувр, несмотря на свою репутацию одной из самых охраняемых галерей в мире, не впервые становится целью грабителей. Самый известный случай произошёл в 1911 году, когда украли «Мону Лизу». Последнее подобное ограбление случилось в 1998 году — и вот, спустя почти тридцать лет, история повторилась.

Эксперты отмечают, что трагикомичная деталь с паролем «Louvre» наглядно показывает: информационная безопасность может быть не менее важна, чем сигнализация и замки.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru