Podręcznik ENISA „Bezpieczeństwo od samego początku” i „Bezpieczeństwo domyślne”

Agencja Unii Europejskiej ds. Cyberbezpieczeństwa (ENISA) po raz kolejny opublikowała dokument, który zasługuje na uwagę każdego specjalisty ds. cyberbezpieczeństwa, właściciela produktu, architekta, audytora i dyrektora ds. cyberbezpieczeństwa (CISO).

Na pierwszy rzut oka wiele zaleceń zawartych w nowym podręczniku „Secure by Design and Secure by Default” może wydawać się znajomych. W końcu bezpieczne tworzenie oprogramowania, modelowanie zagrożeń, zasada minimalnych uprawnień, zarządzanie lukami w zabezpieczeniach oraz bezpieczna konfiguracja od lat stanowią część najlepszych praktyk branżowych. Jednak to, co wyróżnia tę publikację, to nie tylko to, co należy wdrożyć, ale także to, w jaki sposób organizacje mogą wykazać, że faktycznie zostało to wdrożone. Podręcznik przekłada zasady bezpieczeństwa na praktyczne działania inżynieryjne w całym cyklu życia produktu, dzięki czemu stają się one powtarzalne i mierzalne.

Foto magnific

Jako audytor szczególnie doceniam jeden aspekt. Coraz częściej dobre wytyczne dotyczące bezpieczeństwa nie ograniczają się już do stwierdzenia „wprowadźcie to zabezpieczenie”. Zamiast tego zachęcają one organizacje do zastanowienia się nad dowodami potwierdzającymi, że dane zabezpieczenie istnieje i działa.

Kolejną kwestią, która pozytywnie mnie zaskoczyła, jest wyraźny nacisk na bezpieczeństwo łańcucha dostaw. ENISA nadaje mu należną wagę, traktując ochronę łańcucha dostaw jako integralną część koncepcji „Secure by Design”. Biorąc pod uwagę dzisiejsze ekosystemy oprogramowania, ten nacisk nie mógłby być bardziej trafny.

Moim ulubionym elementem całego podręcznika jest silny nacisk na projektowanie zorientowane na użytkownika. Twierdziłem, że bezpieczeństwo powinno stać się niemal niewidoczne podczas codziennej działalności biznesowej.

➡️ Bezpieczeństwo nie powinno powodować niepotrzebnych utrudnień.

➡️ Nie powinno zmuszać użytkowników do wymyślania obejść.

➡️ Nie powinno stać się kolejnym obciążeniem administracyjnym.

➡️ Bezpieczeństwo powinno być naturalnie wbudowane w procesy biznesowe, tak aby bezpieczne zachowanie stało się najłatwiejszym zachowaniem.

Brawo dla ENISA za tak jasne sformułowanie tej zasady.

Na koniec szczególnie interesujący wydał mi się rozdział 5 – „Zaświadczenia nadające się do przetwarzania maszynowego”. Uważam, że właśnie tam już teraz zaczyna się kolejna znacząca transformacja w zarządzaniu cyberbezpieczeństwem. Dzisiaj, wraz z szybkim rozwojem sztucznej inteligencji, paradygmat ulega całkowitej zmianie. Odpowiednio skonfigurowane wieloagentowe systemy sztucznej inteligencji mogą już teraz wspierać organizacje jako wirtualni analitycy zagrożeń, specjaliści ds. klasyfikacji zdarzeń w centrach operacji bezpieczeństwa, asystenci ds. zarządzania podatnościami lub eksperci ds. TPRM.

Mogą one w sposób ciągły gromadzić, korelować i weryfikować dowody potwierdzające skuteczne działanie środków bezpieczeństwa. Potencjalnie w odniesieniu do 100% środowiska, w sposób ciągły i automatyczny.

Zasadniczo zmienia to sposób, w jaki w nadchodzących latach będą przeprowadzane działania związane z zapewnieniem bezpieczeństwa, zgodnością z przepisami i audytami.

Link

Autor: Sebastian Burgemejster