Обзор киберустойчивости

Обзор киберустойчивости построен по сервисно-ориентированному принципу: одной из его ключевых идей считается то, что организация использует свои активы, такие как, персонал, информацию, технологии, инфраструктуру, для поддержки конкретных оперативных миссий или сервисов. Метод оценки предлагается в двух форматах: в виде фасилитируемого очного семинара и в виде самостоятельного прохождения с помощью специального пакета^[2]. Семинары проводятся фасилитаторами DHS на объектах критической инфраструктуры и обычно занимают 6–8 часов, вовлекая представителей различных подразделений организации. Вся информация, собираемая в ходе фасилитируемого обзора, защищена Законом о конфиденциальной информации критической инфраструктуры 2002 года, и не может быть раскрыта по запросу в соответствии с Законом о свободе информации, использована при гражданском судопроизводстве или в целях регулирования^[3]. Самостоятельный пакет обзора киберустойчивости позволяет организации провести оценку без прямого участия DHS и предоставляется для скачивания на сайте программы DHS по вопросам кибербезопасности критической инфраструктуры^[4].

Пакет включает инструмент автоматизированного сбора данных и генерации отчётов, руководство по проведению семинара, подробное описание всех вопросов, а также сопоставление практик обзора киберустойчивости с критериями Рамочного стандарта кибербезопасности Национального института стандартов и технологий^[5][6]. Набор и формулировки вопросов, а также итоговый отчёт идентичны во всех форматах прохождения оценки. Методика и внедрение обзора разрабатывались совместно DHS и отделом CERT Института программной инженерии при Университете Карнеги — Меллон. Основные цели и практики обзора основаны на «Модели управления устойчивостью» CERT (CERT-RMM) версии 1.0^[7]. Обзор был впервые предложен в 2009 году и существенно переработан в 2014 году^[8].

Обзор киберустойчивости включает 42 цели и 141 конкретную практику, заимствованные из CERT-RMM и объединённые в 10 доменов^[9]:

1. Управление активами
2. Управление контролями
3. Управление конфигурациями и изменениями
4. Управление уязвимостями
5. Управление инцидентами
6. Управление непрерывностью сервисов
7. Управление рисками
8. Управление внешней зависимостью
9. Обучение и осведомлённость
10. Ситуационная осведомлённость

Для каждого домена формулируется его назначение, составляется набор уникальных целей и соответствующих вопросов по практикам, а также применяется стандартный список вопросов для оценки Уровня индикатора зрелости. MIL-вопросы отражают степень институционализации практик в организации. Оценка организации производится по шкале MIL^[10], состоящей из пяти уровней: MIL1 — «Неполный», MIL2 — «Реализованный», MIL3 — «Управляемый», MIL4 — «Измеряемый», MIL5 — «Определённый».

Институционализация означает, что практики кибербезопасности становятся глубоко внедрённой, устойчивой частью организации, поскольку они надлежащим образом управляются и поддерживаются. Чем выше уровень институционализации, тем выше предсказуемость и надёжность реализуемых практик, а также вероятность их сохранения в условиях кризисов или стресса. Повышение зрелости также способствует более тесному соответствию между киберзащитой и деловыми целями организации: например, на высоких уровнях зрелости руководство осуществляет надзор за соответствующим доменом и оценивает эффективность реализуемых мер безопасности.

Число целей и вопросов по практикам для каждого домена индивидуальны, однако набор MIL-вопросов и соответствующих понятий универсален для всех областей. На каждый вопрос обзора участники могут дать один из трёх ответов: «Да», «Нет» или «Неполный». Оценка зрелости производится по практикам, целям, доменам и MIL-уровням, баллы рассчитываются для каждого элемента и в агрегированном виде. Методика оценки включает следующие принципы:

1. Практики могут находиться в одном из трёх состояний: реализована, не реализована, реализована неполностью.
2. Цель домена считается достигнутой только если выполнены все участвующие практики.
3. Домен считается полностью реализованным, если достигнуты все его цели.

Если данные условия выполнены, организация считается достигшей состояния «реализованный домен»: все практики домена исполнены, однако не даётся оценка их:

1. воспроизводимости при различных условиях,
2. последовательности применения,
3. возможности выдачи предсказуемых и приемлемых результатов,
4. устойчивости в стрессовых условиях.

Вышеперечисленные качества проверяются применением универсального блока из 13 MIL-вопросов, но только после достижения MIL1 в домене. MIL-уровни достигаются последовательно и нарастающе: чтобы получить MIL2 по домену, необходимо выполнить практики MIL1 и MIL2, и так далее.

Участники обзора получают детализированный отчёт с результатами по каждому вопросу во всех доменах, а также графическое представление достигнутых уровней зрелости на тепловой карте, по целям и в целом по доменам. Такой отчёт позволяет целенаправленно выявлять и прорабатывать слабые места оценки. Организации, проходящие фасилитируемую версию, дополнительно получают графики с сравнением результатов с агрегированными показателями всех прочих участников. В отчёте также представлены возможные пути для повышения зрелости практик, базирующиеся преимущественно на CERT-RMM и профильных публикациях NIST. Кроме того, организации могут соотносить результаты обзора с критериями Рамочного стандарта кибербезопасности NIST — эта возможность реализована с февраля 2014 года^[11].