کنترل امنیتی را در اساسی ترین سطح، می توان گفت که امنیت فناوری اطلاعات در مورد محافظت از چیز هایی است که برای یک سازمان ارزش دارند.
کنترل امنیت پارامتر هایی هستند که برای حفاظت از اشکال مختلف داده ها و زیرساخت های مهم برای یک سازمان پیاده سازی می شوند. هر نوع حفاظت یا اقدام متقابلی که برای اجتناب، شناسایی، مقابله یا به حداقل رساندن خطرات امنیتی برای اموال فیزیکی، اطلاعات، سیستم‌های رایانه ای یا سایر دارایی ها استفاده می‌شود، یک کنترل امنیتی محسوب می‌شود.
کنترل های امنیتی برای کاهش خطر این دارایی ها وجود دارد.
آن ها شامل هر نوع خط مشی، روش، تکنیک، متد، راه حل، برنامه، عمل یا دستگاهی هستند که برای دستیابی به آن هدف طراحی شده اند که نمونه های قابل تشخیص شامل فایروال ها، سیستم های نظارتی و نرم افزار آنتی ویروس است.
با توجه به نرخ فزاینده ای که از انواع حملات سایبری شنیده ایم، امروزه کنترل امنیت داده ها بیش از هر زمان دیگری اهمیت دارد. بر اساس یک مطالعه مدرسه کلارک در دانشگاه مریلند، حملات امنیت سایبری در ایالات متحده در حال حاضر به طور متوسط هر 39 ثانیه رخ می دهد، که از هر سه آمریکایی یک نفر را تحت تاثیر قرار می دهد. 43 درصد از این حملات، مشاغل کوچک را هدف قرار می دهند. بین جولای 2018 و آوریل 2019، میانگین هزینه نقض داده در ایالات متحده 8.2 میلیون دلار بوده است.
در همان زمان، مقررات حفظ حریم خصوصی داده ها در حال رشد است و این امر را برای کسب و کار ها ضروری می کند که سیاست های حفاظت از داده های خود را تقویت کنند یا با جریمه های احتمالی روبرو شوند. اتحادیه اروپا قوانین سختگیرانه حفاظت از داده های عمومی (GDPR) را در سال گذشته اجرا کرد.
کنترل های امنیتی به طور خودسرانه انتخاب و اجرا نمی شوند، آن ها به طور معمول از فرایند مدیریت ریسک سازمان خارج می شوند که با تعریف استراتژی کلی امنیت IT و سپس اهداف آغاز می شود. این امر با تعریف اهداف کنترل خاص، در مورد چگونگی سازمان برای مدیریت مؤثر ریسک، دنبال می شود.
برای مثال، “کنترل های ما اطمینان معقولی را فراهم می کند که دسترسی فیزیکی و منطقی به پایگاه داده ها و سوابق داده به کاربران مجاز محدود شده است” این یک هدف کنترل است.
“کنترل های ما اطمینان منطقی را در مورد سیستم های مهم و زیرساخت های موجود در دسترس و کاملاً کارآمد طبق موارد برنامه ریزی شده” ارائه می دهد.
هنگامی که یک سازمان اهداف کنترل را تعیین می کند، می تواند خطر دسترسی به دارایی های فردی را ارزیابی کند و سپس مناسب ترین کنترل های امنیتی را برای ایجاد انتخاب کند.
یکی از ساده ترین و صریح ترین مدل ها برای طبقه بندی کنترل ها براساس نوع است:
انواع مختلفی از کنترل های امنیت وجود دارد که می توانند برای محافظت از سخت افزار، نرم افزار، شبکه ها و داده ها در برابر اقدامات و رویداد هایی که می توانند باعث از بین رفتن یا آسیب شوند، اجرا شوند. مثلا:
اقدامات امنیتی را که برای جلوگیری از وقوع فعالیت های ناخواسته یا غیر مجاز طراحی شده است، توصیف کنید.
اقدامات امنیتی یا راه حلی را که برای شناسایی و هشدار از فعالیت های ناخواسته یا غیرمجاز در حال انجام یا بعد از وقوع آن انجام شده است، توصیف می کند.
مثال های فیزیکی شامل هشدارها یا اعلان های مربوط به حسگر فیزیکی(آلارم درب ها، زنگ های آتش) است.
Honeypots و IDS نمونه هایی از کنترل های فنی شناسایی هستند.
شامل اقدامات انجام شده برای ترمیم خسارت یا بازگرداندن منابع و قابلیت های وضعیت قبلی آن ها به دنبال یک فعالیت غیرمجاز یا ناخواسته است.
نمونه هایی از کنترل های اصلاحی فنی شامل وصل کردن یک سیستم، قرنطینه سازی ویروس، خاتمه یک فرآیند و یا راه اندازی مجدد سیستم است.
سیستم های کنترل های امنیتی، شامل فرآیند ها و اسنادی که پیاده‌سازی و مدیریت مداوم این کنترل ها را تعریف می‌کنند، به عنوان چارچوب یا استاندارد نامیده می شوند.
چارچوب ها سازمان را قادر می سازد تا کنترل های امنیتی را در انواع مختلف دارایی ها بر اساس یک روش پذیرفته شده و آزمایش شده به طور مداوم مدیریت کند. برخی از شناخته شده ترین چارچوب ها و استاندارد ها عبارتند از:
مؤسسه ملی استاندارد و فناوری (NIST) در سال 2014 چارچوبی داوطلبانه ایجاد کرد تا به سازمان ها راهنمایی در مورد نحوه پیشگیری، شناسایی و پاسخ به حملات سایبری ارائه کند. روش ها و رویه های ارزیابی برای تعیین اینکه آیا کنترل های امنیتی یک سازمان به درستی اجرا می شوند، به عنوان مورد نظر عمل می کنند و نتیجه دلخواه را ایجاد می کنند (مطابق با الزامات امنیتی سازمان) استفاده می شوند. چارچوب NIST به طور مداوم به روز می شود تا با پیشرفت های امنیت سایبری همگام شود.
مرکز امنیت اینترنت (CIS) فهرستی از اقدامات دفاعی با اولویت بالا تهیه کرده است که نقطه شروعی را برای هر شرکتی که به دنبال جلوگیری از حملات سایبری است، “باید انجام شود، اول انجام شود” ارائه می دهد. به گفته مؤسسه SANS که کنترل های CIS را توسعه داده است، «کنترل‌های CIS مؤثر هستند زیرا از متداول ترین الگو های حمله که در گزارش های تهدید برجسته شده‌اند، مشتق شده‌اند و در جامعه بسیار گسترده ای از دولت و دست اندرکاران صنعت بررسی شده‌اند».
سازمان می تواند به این چارچوب ها و سایر چارچوب ها برای توسعه چارچوب امنیتی و سیاست های امنیتی فناوری اطلاعات خود مراجعه کند. یک چارچوب به خوبی توسعه یافته تضمین می کند که یک سازمان کار های زیر را انجام می دهد:
یک راه حل امنیتی تنها به اندازه ضعیف ترین حلقه آن قوی است. بنابراین، شما باید چندین لایه از کنترل های امنیتی (که به عنوان استراتژی دفاعی عمیق نیز شناخته می‌شود) را برای اجرای کنترل های امنیتی در مدیریت هویت و دسترسی، داده ها، برنامه‌ها، زیرساخت شبکه یا سرور، امنیت فیزیکی و اطلاعات امنیتی در نظر بگیرید.
ارزیابی کنترل‌های امنیتی اولین گام عالی برای تعیین هر گونه آسیب پذیری است. ارزیابی کنترل های امنیتی شما را قادر می‌سازد کنترل هایی را که در حال حاضر در اختیار دارید ارزیابی کنید و تعیین کنید که آیا آن ها به درستی اجرا شده‌اند، همانطور که در نظر گرفته شده عمل می کنند و نیاز های امنیتی شما را برآورده می‌کنند یا خیر.
انتشارات ویژه NIST 800-53 توسط NIST به عنوان معیاری برای ارزیابی موفقیت آمیز کنترل امنیتی ایجاد شد. دستورالعمل های NIST به عنوان بهترین رویکرد عملی عمل می کنند که در صورت اعمال، می تواند به کاهش خطر آسیب امنیتی برای سازمان شما کمک کند. از طرف دیگر، سازمان شما می تواند ارزیابی امنیتی خود را نیز ایجاد کند.
برخی از مراحل کلیدی برای ایجاد یک ارزیابی امنیتی شامل موارد زیر است: