Sizin gibi okuyucular MUO'yu desteklemeye yardımcı oluyor. Sitemizdeki bağlantıları kullanarak bir satın alma işlemi gerçekleştirdiğinizde, bir ortaklık komisyonu kazanabiliriz.

Çerçeve, bir yapının veya yöntemin kullanışlı bir iskeletidir. Alınacak aksiyonlara yön veren, daha iyi ve hızlı sonuç alınmasını sağlayan politika, prosedür, teorik bilgi ve pratik uygulamalardır.

Siber güvenlik çerçeveleri, bir kurumsal ortamın siber güvenlik stratejisini belirlemek için siber güvenlik kuruluşları tarafından tanımlanan çerçevelerdir. Siber güvenlik çerçeveleri, mevcut güvenlik protokollerini geliştirir ve mevcut değilse yeni güvenlik katmanları oluşturur. Kurumsal ağlarda meydana gelen bilinmeyen güvenlik açıklarını tespit eder ve yanlış yapılandırmaları azaltmaya çalışırlar. İşte endüstri genelinde bulabileceğiniz beş tane.

1. Ödeme Kartı Sektörü Veri Güvenliği Standartları

Payment Card Industry (PCI), bankacılık işlemlerinde kredi ve nakit kartlarından yapılan ödeme işlemlerinin güvenliğini artırmak için tasarlanmış bir siber güvenlik standardıdır. PCI, kredi ve nakit banka kartlarından yapılan işlemlerin işlenmesi, iletilmesi ve saklanması sırasında uyulması gereken mantıksal ve fiziksel veri güvenliği standartlarını içerir. Ödeme kartı sektörü, veri güvenliğini standartlaştırmayı, veri güvenliğine bağlı riskleri azaltmayı, güven ortamı yaratmayı ve kart hamilini korumayı hedefliyor. Bu standardın genel olarak aşağıdakileri sağlaması gerekir:

  • Kredi ve nakit kartı müşteri bilgileri güvenli bir ağda
  • Sistem parolalarını ve karmaşıklığı ayarlama
  • Kredi ve nakit kartı müşteri bilgilerinin şifreli bağlantılar üzerinden iletilmesi
  • Sistemde anti-virüs yazılımı kullanmak ve güncellemek
  • Kart bilgilerine erişimin sürekli izlenmesi ve kaydedilmesi
  • Veri merkezlerinin bilgi ile fiziksel olarak korunması

2. ISO 27001

ISO 27001, Uluslararası Standardizasyon Örgütü tarafından analitiği tanımlayan ve bilgi güvenliği risklerini ele alan bir yönetim çerçevesidir. İle ISO 27001 prosedürlerinin uygulanmasıkurumlar, dirençlilik için insanları, süreçleri ve teknolojiyi içeren politika prosedürleri ve kontrolleri sağlayabilir. siber saldırılar, değişen tehditlere uyum sağlama, bilgi güvenliği ile ilgili maliyetleri azaltma ve bilgi güvenliği maliyetlerini koruma ve tüm veriler.

3. Kritik Güvenlik Kontrolleri

Kritik güvenlik kontrolleri, kuruluşların etkili siber güvenlik stratejileri oluşturması için izlenmesi gereken bir dizi kural içerir. Bu güvenlik kontrolleri, kuruluşların uyması gereken üç grup kritik güvenlik kontrolü tanımlamıştır. Bunlar basit, temel ve organizasyonel kontrol setleridir. Bu üç farklı kontrol setinin ortak noktası, verileri korumak için önlem almak ve saldırı olasılığını en aza indirmektir. E-posta ve web tarayıcılarının korunmasından zafiyet tarama araçlarına ve hatta ağ cihazlarının güvenliğine kadar pek çok önlem bu kontrol setleri altındadır.

Bu tür sınır ve önlemlerin önceden belirlenmiş olması ve her şeyin belirli kurallara sahip olması bir organizasyonda hata yapma olasılığını en aza indirmektir. Fark edilmeyen herhangi bir güvenlik sorununun önemli sonuçları olabilir. Yani kontrol edilecek her şey önceden hazır. Bunları bir kuruluşun siber güvenlik önlem yasası gibi düşünebilirsiniz.

4. Ulusal Endüstri Standardı ve Teknolojisi

Amerika Birleşik Devletleri'ndeki özel sektör kuruluşlarının kullandığı NIST adlı bir siber güvenlik çerçevesi var. Bu çerçeve, siber saldırılar gerçekleşmeden önce nasıl önlem alınacağına dair bazı politikalar sağlar. Aynı zamanda bir saldırının nasıl tespit edileceği ve bir saldırıya nasıl yanıt verileceği konusunda da bir kılavuzdur. Sadece Amerika Birleşik Devletleri değil, Japonya ve İsrail gibi ülkelerin hükümetleri de NIST kullanıyor. Bu yol gösterici politikayı tam olarak anlamak için sağladığı beş temel işlevi incelemek gerekir.

  1. Tanımlamak: Siber güvenlik riskini yönetmek için kurumdaki sistemlerin, varlıkların, verilerin ve yeteneklerin kurumsal bir yaklaşımla yönetilebilir olması gerekir.
  2. Korumak: Kuruluşlar, olası bir siber güvenlik olayını veya etkisini sınırlamak için uygun öneriler geliştirmeli ve uygulamalıdır.
  3. Tespit etmek: Kuruluşlar, siber güvenlik olaylarını belirlemek için uygun önlemleri uygulamalıdır. Anormal faaliyetleri ve operasyonel sürekliliğe yönelik tehditleri tespit etmek ve izleme çözümlerini benimsemek gerekir.
  4. Yanıtlamak: Bir siber güvenlik olayı meydana gelirse, kuruluşların etkiyi kontrol altına alması gerekir. Bu, organizasyonun bir siber güvenlik için müdahale planı uygun taraflar arasındaki iletişim başarısızlıklarını belirleyin, olaylar hakkında bilgi toplayın ve bu bilgileri analiz edin.
  5. İyileşmek: Kuruluşların bir siber güvenlik olayından zarar gören hizmetler için kurtarma planları olmalıdır. Bu kurtarma planını hazırlarken saldırı sonrası öğrenilen tüm tecrübeleri göz önünde bulundurmak ve planı buna göre güncellemek gerekiyor.

5. MITRE ATT&CK Çerçevesi

MITRE ATT&CK çerçevesi, hem kırmızı hem de mavi ekipler tarafından kullanılan çok kapsamlı bir siber güvenlik çerçevesidir. Saldırı eylemlerinin bir bilgi tabanına ve sınıflandırmasına sahiptir. Rakipler tarafından kullanılan araçlara ve kötü amaçlı yazılımlara odaklanılmaz. Bir operasyon sırasında saldırıların sistemlerle nasıl etkileşime girdiğini inceler. ATT&CK çerçevesi, saldırı davranışını modellemek için oldukça geniş bir bilgi tabanıdır. Aşağıdaki kavramları bu çerçeve ile ilişkilendirmek mümkündür:

  • Saldırıları kötü niyetli gruplar gerçekleştiriyor.
  • Saldırganlar veya saldırgan gruplar tarafından hedef alınan kurumlar ve sektörler.
  • Saldırganlar tarafından kullanılan saldırı vektörleri ve saldırı türleri.
  • Kötü niyetli saldırganların saldırmak için izledikleri prosedürler.
  • Saldırı tespit yöntemleri. Örneğin ağ anormalliklerinin izlenmesi veya sistemde olmaması gereken bir izin yetkisinin olması gibi durumlar düşünebilirsiniz.
  • Saldırılara karşı alınacak önlemler. Örneğin, iki adımlı doğrulama, güvenlik duvarı, antivirüs kullanımı veya kod imzalama gibi önlemleri düşünebilirsiniz.

ATT&CK siber güvenlik çerçevesi, çok büyük bir veri havuzuna sahip olduğu için sürekli güncellenmektedir. Ayrıca sağladığı tüm bu önemli bilgiler ışığında sadece sunucuların ya da bilgisayar ağlarının güvenliği konusunda değil mobil güvenlik konusunda da oldukça önemli bilgiler vermektedir. Bu bilgilere bakarak olası bir saldırının nasıl gerçekleşeceğini tahmin edebilmek çok büyük bir artı olacaktır. Siber güvenlik dünyasında yeniyseniz ve her şeyin ön saflarında yer alıyorsanız, ATT&CK çerçevesi sizin için zengin bir bilgi kaynağı olacaktır.

Bu Çerçeveler Her Şeyi Çözer mi?

Hayır. Her gün, hatta her saat yüzlerce yeni türde saldırı ve kötü amaçlı yazılım ortaya çıkıyor. Ancak milyonlarca satır koddan oluşan bir proje yönetiyorsanız veya Yüzbinlerce kişinin banka bilgileri, sistemli ve siyasi bir takip etmeniz gerekiyor. işlem. Bu siber güvenlik çerçeveleri bu konuda büyük yardımcılardır.

Ancak bu çerçeveler sadece iskeletlerdir. Dış kısmı tamamlamak için daha fazlasına ihtiyacınız var. Nereden başlayacağınızdan emin değilseniz, NIST çerçevesini öğrenmek ve onunla ilgili ayrıntılara hakim olmak iyi bir adım olacaktır.