CIS Control 20Acest control este un control organizațional

Testă puterea globală a apărării unei organizații (tehnologia, procesele și oamenii) prin simularea obiectivelor și acțiunilor unui atacator.

CIS RAM este o metodă de evaluare a riscurilor de securitate a informațiilor care ajută organizațiile să implementeze și să își evalueze poziția de securitate în raport cu Controalele CIS.Descărcați CIS RAM
De ce este critic acest Control CIS?

Atacatorii exploatează adesea decalajul dintre proiectele și intențiile bune de apărare și implementarea sau întreținerea acestora. Exemplele includ: fereastra de timp dintre anunțarea unei vulnerabilități, disponibilitatea unui patch al furnizorului și instalarea efectivă pe fiecare mașină. Alte exemple includ: politici bine intenționate care nu au niciun mecanism de aplicare (în special cele menite să restricționeze acțiunile umane riscante); eșecul de a aplica configurații bune la mașinile care intră și ies din rețea; și eșecul de a înțelege interacțiunea dintre mai multe instrumente defensive sau cu operațiunile normale ale sistemului care au implicații de securitate.

O postură defensivă de succes necesită un program cuprinzător de politici și guvernanță eficiente, apărări tehnice puternice și acțiuni adecvate din partea oamenilor. Într-un mediu complex în care tehnologia evoluează în mod constant, iar noi tehnici ale atacatorilor apar cu regularitate, organizațiile ar trebui să își testeze periodic apărarea pentru a identifica lacunele și pentru a-și evalua gradul de pregătire prin efectuarea de teste de penetrare.

Testarea de penetrare începe cu identificarea și evaluarea vulnerabilităților care pot fi identificate în întreprindere. Apoi, testele sunt concepute și executate pentru a demonstra în mod specific modul în care un adversar poate fie să submineze obiectivele de securitate ale organizației (de exemplu, protecția proprietății intelectuale specifice), fie să atingă obiective specifice ale adversarului (de exemplu, stabilirea unei infrastructuri secrete de comandă și control). Rezultatele oferă o perspectivă mai profundă, prin demonstrație, asupra riscurilor de afaceri ale diferitelor vulnerabilități.

Exercițiile Red Team adoptă o abordare cuprinzătoare la nivelul întregului spectru de politici, procese și apărări ale organizației pentru a îmbunătăți pregătirea organizației, pentru a îmbunătăți formarea practicienilor din domeniul apărării și pentru a inspecta nivelurile actuale de performanță. Echipele roșii independente pot oferi informații valoroase și obiective cu privire la existența vulnerabilităților și la eficacitatea mijloacelor de apărare și a controalelor de atenuare deja instituite și chiar a celor planificate pentru implementarea viitoare.

Puncte principale:
  • Stabiliți un program pentru testele de penetrare care să includă o gamă completă de atacuri mixte, cum ar fi atacurile fără fir, bazate pe client și pe aplicații web.
  • Creați un banc de testare care imită un mediu de producție pentru teste de penetrare specifice și atacuri Red Team împotriva elementelor care nu sunt testate în mod obișnuit în producție, cum ar fi atacurile împotriva sistemelor de control de supraveghere și achiziție de date și a altor sisteme de control.
Vreți să implementați acest control organizațional?

Descărcați Controale CIS pentru mai multe detalii privind implementarea acestui control și a celorlalte 19 controale.

.