प्रारंभिक साइबर सुरक्षा ढांचे की समीक्षा या ओबामा ने सूचना सुरक्षा जोखिमों का प्रबंधन करने के लिए कैसे वसीयत की

12 फरवरी 2013 को, अमेरिकी राष्ट्रपति बी। ओबामा ने कार्यकारी आदेश 13636 (कार्यकारी आदेश 13636: इम्प्रूवमेंट क्रिटिकल इन्फ्रास्ट्रक्चर साइबरस्पेस) पर हस्ताक्षर किए, जो कि सूचना सुरक्षा में सुधार के लिए समर्पित है (ऐसा अनुवाद महत्वपूर्ण संसाधनों के जटिल शब्द साइबर स्पेस की तुलना में आत्मा के करीब है)। यह आदेश, अन्य बातों के अलावा, साइबरस्पेस फ्रेमवर्क के विकास की आवश्यकता को इंगित करता है। आइए देखें कि ओबामा ने हमसे क्या पाया?

अगला, मुझे एक सरल शब्द के लिए साइबरस्पेस फ्रेमवर्क को छोटा करने दें, क्योंकि मुझे लगता है कि इस अमेरिकीवाद ने हमारे रोजमर्रा के जीवन में काफी मजबूती से प्रवेश किया है और हर कोई समझता है कि क्या दांव पर है।
यह विकास प्रसिद्ध NIST - राष्ट्रीय मानक और प्रौद्योगिकी संस्थान द्वारा किया गया था। संगठन गंभीर है और 10 महीने से कम समय में उन्होंने पहले ही एक दस्तावेज विकसित किया है जिसे आम जनता को दिखाने में शर्म नहीं है। फ्रेमवर्क का सार महत्वपूर्ण संसाधनों के लिए जिम्मेदार संगठनों को एक एकीकृत दृष्टिकोण के साथ प्राथमिकता सुरक्षा, लचीलेपन, प्रतिलिपि प्रस्तुत करने योग्यता, उत्पादकता और आर्थिक दक्षता के आधार पर सुरक्षा जोखिम प्रदान करना है।
यह ढांचा अभी अंतिम नहीं है। वर्तमान 5 वें संस्करण को 22 अक्टूबर, 2013 को जनता के सामने प्रस्तुत किया गया था। एक हफ्ते बाद, 45-दिन की खुली चर्चा शुरू की गई, जो क्रमशः 13 दिसंबर, 2013 तक चलेगी।
मैं इस फ्रेमवर्क के प्रारंभिक संस्करण का अवलोकन आपके साथ साझा करना चाहता हूं।

परिचय

बाह्य और आंतरिक दोनों प्रकार के सूचना सुरक्षा के विवरण, समझ और जोखिम प्रबंधन के लिए रूपरेखा अनिवार्य रूप से एक सामान्य भाषा होनी चाहिए। इसका उपयोग आईएस जोखिम क्षतिपूर्ति गतिविधियों की पहचान और प्राथमिकता को सुविधाजनक बनाने के लिए किया जा सकता है। रचनाकारों के अनुसार, इसका उपयोग विभिन्न प्रकार की संरचनात्मक इकाइयों में किया जा सकता है, विभागों से संगठनों और यहां तक ​​कि संघों तक।
सामान्य तौर पर, पूरे ढांचे को 3 मुख्य भागों में विभाजित किया जाता है:
1. कोर (फ्रेमवर्क कोर)
2. प्रोफाइल (फ्रेमवर्क प्रोफाइल)
3. कार्यान्वयन स्तरों
इसके अलावा, निम्नलिखित मुद्दों पर प्रकाश डाला गया है:
4. फ्रेमवर्क की कार्यान्वयन प्रक्रिया में सहभागिता
5. आवेदन उदाहरण

कर्नेल (फ्रेमवर्क कोर)

कोर सूचना सुरक्षा पर गतिविधियों और सूचनात्मक लिंक का एक सेट है जो महत्वपूर्ण संसाधनों के कुछ सेट के लिए सामान्य है। आसानी से तालिका के रूप में प्रदर्शित:

फ्रेमवर्क के मुख्य तत्व इस प्रकार हैं:
कार्य (रंग में हाइलाइट किया गया लेफ्ट कॉलम) एब्सट्रैक्शन के उच्चतम स्तर पर सूचना सुरक्षा की बुनियादी गतिविधियों को व्यवस्थित करता है। उदाहरण के लिए, जैसा कि आंकड़े में संकेत दिया गया है: पहचान, सुरक्षा, पता लगाना, प्रतिक्रिया और पुनर्प्राप्ति। फिलहाल, केवल इन बुनियादी कार्यों को परिभाषित किया गया है। अन्य महत्वपूर्ण विशेषताओं का समावेश फ्रेमवर्क विकास योजना में शामिल है।
श्रेणियां उन कार्यों के उपखंड हैं जो व्यावहारिक जरूरतों और वास्तविक घटनाओं से निकटता से संबंधित हैं। उदाहरण के लिए: परिसंपत्ति प्रबंधन, अभिगम नियंत्रण, घुसपैठ का पता लगाना।
उपश्रेणियाँ श्रेणियों का एक और विभाजन हैं, लेकिन इस श्रेणी की गतिविधियों का एक विस्तृत समूह नहीं हैं। उदाहरण के लिए: "संगठन की भौतिक संपत्ति इन्वेंट्री के अधीन है", "सभी प्रणालियों से अलर्ट का संग्रह एक ही सिस्टम में केंद्रीय रूप से किया जाता है।"
सूचनात्मक लिंक मैनुअल, प्रथाओं और मानकों के विशिष्ट वर्गों को इंगित करते हैं जो विशिष्ट गतिविधियों को करने के लिए तरीकों का वर्णन करते हैं। उदाहरण के लिए, NIST SP 800-53 Rev 4 या ISO / IEC 27001: 2013 से सुरक्षा नियंत्रण के संदर्भ।

प्रोफाइल (रूपरेखा प्रोफ़ाइल)

प्रोफाइल एक ऐसा उपकरण है जो किसी संगठन को कानून, नियामकों और सर्वोत्तम प्रथाओं की आवश्यकताओं को ध्यान में रखते हुए, साथ ही साथ जोखिम प्रबंधन प्रक्रिया की प्राथमिकताओं को ध्यान में रखते हुए पूरे संगठन और इसकी व्यक्तिगत संरचनात्मक इकाइयों के कार्यों के अनुसार सूचना सुरक्षा जोखिमों को समाप्त करने के अनुक्रम को निर्धारित करने की अनुमति देता है। सूचना सुरक्षा की वर्तमान और लक्ष्य स्थिति दोनों का वर्णन करने के लिए प्रोफाइल का उपयोग किया जा सकता है, जो आपको सूचना सुरक्षा जोखिमों के उन्मूलन के लिए कमियों का पता लगाने की अनुमति देता है। लक्ष्य प्रोफ़ाइल व्यवसाय के लिए आईएस की आवश्यकताओं को प्रतिबिंबित करने के लिए बनाई गई है, और आईएस मुद्दों पर संगठनों के बीच बातचीत में इस्तेमाल किया जा सकता है।
प्रोफाइल की तुलना करने और दोषों की पहचान करने का एक उदाहरण चित्र में दिखाया गया है।

कार्यान्वयन स्तरों

फ्रेमवर्क का कार्यान्वयन स्तर दिखाता है कि संगठन सूचना सुरक्षा के जोखिमों का प्रबंधन कैसे करता है। स्तर आंशिक (स्तर 1) के साथ शुरू होते हैं और अनुकूली (स्तर 4) के साथ समाप्त होते हैं और लागू आईएस जोखिम प्रबंधन प्रथाओं की कठोरता और जटिलता का वर्णन करते हैं और आईएस जोखिम प्रबंधन समग्र जोखिम प्रबंधन प्रक्रिया में किस हद तक एकीकृत होता है।

स्तर 1: आंशिक

जोखिम प्रबंधन प्रक्रिया को औपचारिक रूप नहीं दिया गया है और इसे आईएस की घटनाओं के जवाब देने के तरीके सहित स्थिति के अनुसार किया जाता है। सूचना सुरक्षा जोखिम प्रबंधन के लिए कोई संगठन-व्यापी दृष्टिकोण नहीं है। संगठन सूचना सुरक्षा मुद्दों पर अन्य संस्थाओं के साथ समन्वय या बातचीत में शामिल नहीं हो सकता है।

लेवल 2: रिस्क अवेयर

जोखिम प्रबंधन स्वीकृत है, लेकिन संगठन में लागू नहीं किया जा सकता है। IS जोखिम प्रबंधन पर ध्यान दिया जाता है, लेकिन संगठन में एक भी दृष्टिकोण नहीं है। संगठन सामान्य पारिस्थितिकी तंत्र में अपनी भूमिका से अवगत है, लेकिन सूचना सुरक्षा मुद्दों पर अन्य अभिनेताओं के साथ बातचीत की प्रक्रियाओं को औपचारिक नहीं करता है।

स्तर 3: जोखिम सूचित और दोहराने योग्य

जोखिम प्रबंधन को नीतियों के रूप में अनुमोदित और फंसाया जाता है, लागू प्रथाओं का नियमित विश्लेषण और संशोधन किया जाता है। संगठन में IS जोखिमों के प्रबंधन के लिए एक एकीकृत दृष्टिकोण लागू किया जाता है। संगठन अन्य संस्थाओं के साथ सूचनाओं का आदान-प्रदान करता है।

स्तर 4: उत्तरदायी

संगठन सूचना सुरक्षा में पिछली गतिविधियों के अनुभव के आधार पर सूचना सुरक्षा के अभ्यास को अद्यतन करता है, और, सूचना सुरक्षा जोखिमों के प्रबंधन की प्रक्रिया में लगातार सुधार करता है, सूचना सुरक्षा के क्षेत्र में स्थिति में बदलाव के लिए अनुकूल करता है। IS जोखिम प्रबंधन के लिए एक एकीकृत दृष्टिकोण पूरे संगठन में लागू होता है, इस प्रक्रिया को कॉर्पोरेट संस्कृति के हिस्से में बदल देता है। संगठन सक्रिय रूप से घटनाओं के घटने से पहले सूचना सुरक्षा में सुधार के लिए अन्य संस्थाओं के साथ सूचना का आदान-प्रदान करता है।

फ्रेमवर्क के कार्यान्वयन में सहभागिता

निम्नलिखित आंकड़ा नेतृत्व के स्तर, व्यावसायिक प्रक्रियाओं और कार्यान्वयन के बीच एक संगठन में सूचना और निर्णयों की आवाजाही के लिए आवश्यक दिशाओं का वर्णन करता है। नेतृत्व स्तर प्राथमिकता कार्यों, उपलब्ध संसाधनों और जोखिम स्वीकार्यता के सामान्य स्तर को निर्धारित करता है और इसे व्यावसायिक प्रक्रियाओं के स्तर तक निर्देशित करता है। व्यावसायिक प्रक्रियाओं के स्तर पर, इस जानकारी का उपयोग जोखिम प्रबंधन प्रक्रिया को निर्धारित करने के लिए किया जाता है और, कार्यान्वयन के स्तर के साथ, एक प्रोफ़ाइल बनाई जाती है। कार्यान्वयन स्तर प्रोफ़ाइल की आवश्यकताओं की पूर्ति के बारे में व्यावसायिक प्रक्रियाओं के स्तर को सूचित करता है। यह जानकारी व्यावसायिक प्रक्रियाओं के स्तर के लिए आवश्यक है ताकि संगठन में जोखिम प्रबंधन प्रक्रिया पर संभावित नुकसान और प्रबंधन स्तर को आगे की रिपोर्ट का आकलन किया जा सके।

आवेदन उदाहरण

1. लागू सूचना सुरक्षा प्रथाओं का एक मूल अवलोकन
एक संगठन मूल्यांकन कर सकता है कि फ्रेमवर्क कोर में परिभाषित पांच मुख्य कार्यों के कौन से उपाय लागू किए गए हैं। प्रत्येक संगठन को इन क्षेत्रों में कम से कम बुनियादी उपाय करने चाहिए।
2. आईएस सुरक्षा कार्यक्रम का निर्माण या सुधार
निम्नलिखित अनुशंसित पुनरावर्ती चरण बताते हैं कि कैसे एक संगठन नए सुरक्षा कार्यक्रम बनाने या मौजूदा एक को बेहतर बनाने के लिए फ्रेमवर्क का उपयोग कर सकता है।
चरण 1. पहचान
चरण 2. वर्तमान प्रोफ़ाइल बनाएं
चरण 3. एक जोखिम मूल्यांकन का संचालन करना
चरण 4. लक्ष्य प्रोफ़ाइल बनाएं
चरण 5. कमियों की पहचान, विश्लेषण और प्राथमिकता
चरण 6. कार्य योजना का कार्यान्वयन
3. सूचना सुरक्षा मुद्दों पर हितधारकों के साथ संचार
महत्वपूर्ण संसाधनों को प्रदान करने के लिए जिम्मेदार अन्योन्याश्रित भागीदारों के बीच आईएस की आवश्यकताओं के आदान-प्रदान के लिए रूपरेखा एक सामान्य भाषा प्रदान करती है।
4. नए सूचनात्मक लिंक को संशोधित करने या बनाने के अवसरों की पहचान
फ्रेमवर्क का उपयोग मानकों, दिशानिर्देशों या प्रथाओं को बनाने या संशोधित करने के अवसरों की पहचान करने के लिए किया जा सकता है, जहां उभरते हुए खतरों को दूर करने के लिए संगठनों के लिए अतिरिक्त जानकारीपूर्ण लिंक उपयोगी हो सकते हैं।

क्षुधा

1. सबसे विस्तृत रूप में फ्रेमवर्क का मूल। आकृति में एक उदाहरण।

2. आईबी गतिविधियों को लागू करने की प्रक्रिया में नागरिकों की गोपनीयता और स्वतंत्रता सुनिश्चित करने की पद्धति। FIPP (फेयर इंफॉर्मेशन प्रैक्टिस प्रिंसिपल्स) पर आधारित और फ्रेमवर्क की रूपरेखा संरचना के अनुसार लागू किया गया।

3. फ्रेमवर्क के और सुधार के लिए क्षेत्र। सबसे महत्वपूर्ण उच्च-स्तरीय फ़ंक्शंस का वर्णन किया गया है, पहले से ही वर्णित 5 के अलावा, जिनके फ्रेमवर्क में कार्यान्वयन पहले स्थान पर होना चाहिए। शामिल विषयों में शामिल हैं: प्रमाणीकरण, चेन जोखिम प्रबंधन, डेटा विश्लेषण और अन्य।

निष्कर्ष

NIST के सभी फलों की तरह, यह मानक मुख्य रूप से राज्य या विशेष रूप से महत्वपूर्ण संगठनों को संबोधित किया जाता है जिनकी सूचना सुरक्षा अमेरिकी सुरक्षा के लिए महत्वपूर्ण है। इसलिए, महत्वपूर्ण संसाधनों के लिए लगातार संदर्भ, जो ऊर्जा आपूर्ति बुनियादी ढांचे, राज्य संस्थानों के बुनियादी ढांचे, संचार बुनियादी ढांचे जैसी चीजों का मतलब है। इन क्षेत्रों को एक तरफ अत्यधिक विभेदित किया जाता है, लेकिन एक ही आईबी भाषा को दूसरी तरफ बोलना चाहिए। इसका मतलब एकल ढांचे की आवश्यकता है।
नागरिकों की गोपनीयता और व्यक्तिगत स्वतंत्रता पर भी बहुत ध्यान दिया जाता है, जो संयुक्त राज्य अमेरिका के लिए विशिष्ट है। यह देखा जा सकता है कि विशेषज्ञ दस्तावेज़ को अपने लिए नहीं, बल्कि सभी के लिए लिखते हैं, जो सामान्य नागरिकों की स्वतंत्रता की सुरक्षा पर ध्यान देते हैं। अमूर्तता के उच्च स्तर पर, इस तरह की आईबी गतिविधियां काफी संभव हैं, हालांकि, जब उन्हें संक्षिप्त किया जाता है, तो हम संभवतः स्थानीय कानून में भाग लेंगे।
जाहिरा तौर पर भविष्य में फ्रेमवर्क को सक्रिय रूप से विस्तारित किया जाएगा और इसमें कई और उच्च-स्तरीय आईबी फ़ंक्शन शामिल होंगे, लेकिन मुझे उम्मीद है कि NIST SP 800-53 Rev 4 में प्रस्तुत सुरक्षा नियंत्रणों की पूरी सूची नहीं होगी।
सामान्य तौर पर, आईएस के जोखिम प्रबंधन की प्रक्रिया में एक और दिलचस्प ईंट प्राप्त की जाती है, जिसका सक्षम उपयोग उस रूप पर भी निर्भर करेगा जिसमें इसे अंततः अपनाया जाएगा। खुली चर्चा की उपस्थिति और आधिकारिक संगठनों की भागीदारी व्यावहारिक रूप में एक पूर्ण और उपयोगी दस्तावेज के लिए आशा को प्रेरित करती है।

उन लोगों के लिए जो रुचि रखते हैं

IS जोखिम प्रबंधन प्रक्रियाओं को निम्नलिखित दस्तावेजों में भी वर्णित किया गया है:
- आईएसओ 31000: 2009
- आईएसओ / आईईसी 27005: 2008
- एनआईएसटी स्पेशल पब्लिकेशन 800-39
- विद्युत क्षेत्र साइबर सुरक्षा जोखिम प्रबंधन प्रक्रिया (आरएमपी) दिशानिर्देश ऑक्टेव