Cyber Security Framework od SAMA: Rozsah, účel a jak být v souladu

S tím, jak firmy silně spoléhají na technologie pro inovace a efektivitu, nelze přeceňovat důležitost robustních postupů kybernetické bezpečnosti. V uznání této nutnosti zavedla The Saudi Arabian Monetary Authority (SAMA) Cyber Security Framework navržený k posílení finančních systémů a kritických odvětví země proti kybernetickým hrozbám.

V tomto průvodci prozkoumáme klíčové komponenty, oblasti kontrol a úrovně zralosti SAMA frameworku a poskytneme tipy a poznatky o tom, jak dosáhnout souladu s jeho požadavky.

Co je SAMA Cyber Security Framework?

Cyber Security Framework, zavedený Saudi Arabia Monetary Authority v roce 2017, slouží jako komplexní směrnice pro finanční instituce působící v Saúdské Arábii k posílení jejich kybernetické odolnosti a efektivnímu zmírnění rizik kybernetické bezpečnosti. Tento framework popisuje principy, cíle a osvědčené postupy, kterých se členské organizace musí držet, aby zachovaly integritu finančního sektoru a chránily citlivá data, která tyto organizace uchovávají.

Toto jsou klíčové komponenty frameworku:

Úrovně zralosti: Framework kategorizuje zralost kybernetické bezpečnosti do šesti úrovní, od neexistující po adaptivní. Každá úroveň představuje fázi vývoje při implementaci kontrol kybernetické bezpečnosti, od základních ad-hoc postupů po proaktivní, adaptivní opatření. Projdeme je podrobněji níže.
Oblasti kontrol a principy: Framework definuje 4 kategorie oblastí kontrol. Základní principy a vysvětlující cíle slouží jako pilíře pro nastavení robustního postoje kybernetické bezpečnosti pro každou členskou organizaci SAMA. Oblasti kontrol s jejich principy a cíli jsou dále popsány níže.

SAMA Cyber Security Framework

Účel SAMA Cyber Security Framework

SAMA Cyber Security Framework slouží více účelům, včetně:

Vytvoření společného přístupu k řešení kybernetické bezpečnosti: V jádru je SAMA Cyber Security Framework o ochraně kritické infrastruktury a citlivých dat ve finanční oblasti a o zajištění, aby k tomu všichni členové přistupovali stejně. Je to jako postavit pevnost kybernetických bezpečnostních kontrol a postupů k odražení neoprávněného přístupu, úniků dat a dalších otravných kybernetických hrozeb, které by mohly kompromitovat integritu infrastruktury organizací a cenných informací.
Prevence ztráty dat a zmírnění kybernetických hrozeb: SAMA Cyber Security Framework přichází na řadu, aby zabránil tomu, aby data prosakovala mezerami, a aby odrazil kybernetické hrozby jako malware, phishing a ransomware. Dodržováním principů frameworku jsou organizace schopné lépe – a jednotně – identifikovat a opravit slabá místa ve svých kybernetických obranách, čímž snižují šance na úniky dat.
Posílení odolnosti proti kybernetickým útokům: Se strukturovaným přístupem ke kybernetické bezpečnosti budou organizace připraveny detekovat, reagovat a zotavit se z bezpečnostních incidentů. To znamená méně narušení operací a hladší plavbu skrze bouři kybernetických hrozeb.
Zůstat na správné straně zákona a v souladu s globálními standardy: SAMA framework zajišťuje, že organizace dodržují mezinárodní standardy a předpisy kybernetické bezpečnosti. Dodržováním směrnic a požadavků na kontroly frameworku organizace ukazují, že to s plněním oborových standardů a regulatorních pravidel myslí vážně, čímž se vyhýbají riziku sankcí a problémů se souladem.

Rozsah: Pro koho platí SAMA Cyber Security Framework?

SAMA Cyber Security Framework rozšiřuje svou síť na všechny finanční instituce působící v hranicích Saúdské Arábie. To zahrnuje banky, pojišťovny, investiční firmy a další subjekty po krk ve finančních aktivitách regulovaných SAMA. Vynucováním souladu se směrnicemi frameworku jsou tyto organizace pověřeny posílením svých kybernetických obran a efektivním omezením rizik.

Subjekty působící mimo hranice Saúdské Arábie nemusí pociťovat regulatorní sevření frameworku, pokud se neúčastní finančních aktivit v království.

How to comply with the SAMA

6 úrovní zralosti SAMA Cyber Security Framework

SAMA Cyber Security Framework funguje na základě přístupu založeného na riziku. To znamená, že popisuje klíčové principy a cíle kybernetické bezpečnosti, kterých mají členské organizace dosáhnout. Zatímco nabízí seznam povinných kontrolních úvah, organizace jsou povzbuzovány, aby tyto kontroly přizpůsobily svému specifickému kontextu.

Členské organizace musí provádět pravidelná sebehodnocení na základě dotazníku poskytnutého SAMA. Výsledky procházejí přezkumem a auditem ze strany SAMA k vyhodnocení souladu s frameworkem a posouzení úrovně zralosti kybernetické bezpečnosti organizace.

Úroveň zralosti členských organizací se měří pomocí předem definovaného modelu se šesti úrovněmi: 0 až 5. Tyto úrovně představují postup ve schopnostech kybernetické bezpečnosti, přičemž vyšší úrovně označují větší zralost a odolnost. SAMA zdůrazňuje důležitost dosažení alespoň úrovně 3 zralosti.

Souhrn úrovní zralosti SAMA

Úroveň 0: Neexistující

Žádná dokumentace nebo povědomí o kontrolách kybernetické bezpečnosti.

Úroveň 1: Ad-hoc

Částečně definované kontroly kybernetické bezpečnosti s nekonzistentním provedením.

Úroveň 2: Opakovatelné, ale neformální

Provádění standardizovaných kontrol kybernetické bezpečnosti, které nebyly formálně definovány nebo schváleny.

Úroveň 3: Strukturované a formalizované

Definovaná, schválená a strukturovaná implementace kontrol kybernetické bezpečnosti.
Monitorování souladu s dokumentací kybernetické bezpečnosti.
Zavedení zásad, standardů a postupů kybernetické bezpečnosti.

Úroveň 4: Spravované a měřitelné

Pravidelné posuzování a zlepšování kontrol kybernetické bezpečnosti.
Použití klíčových rizikových indikátorů (KRIs) pro měření efektivity.
Dokumentace výsledků měření a hodnocení pro průběžné zlepšování.

Úroveň 5: Adaptivní

Průběžné zlepšování kontrol kybernetické bezpečnosti.
Integrace s postupy řízení podnikových rizik.
Vyhodnocování výkonu kontrol kybernetické bezpečnosti pomocí dat ze srovnatelných organizací a sektoru.

Postup nad úroveň 3 vyžaduje nezlomné odhodlání k excelenci a proaktivní přístup ke kybernetické bezpečnosti. Přijetím spravovaných a měřitelných postupů kybernetické bezpečnosti a podporou kultury průběžného zlepšování mohou organizace zvýšit svou odolnost vůči kybernetickým hrozbám a ztrátě dat a přispět k celkové bezpečnosti finančního sektoru v Saúdské Arábii.

Oblasti kontrol v SAMA Cyber Security Framework

SAMA Cyber Security Framework vymezuje komplexní sadu oblastí kontrol, z nichž každá řeší specifické aspekty kybernetické bezpečnosti ve finančních institucích.

Pojďme se ponořit do hlavních oblastí kontrol popsaných ve frameworku:

Vedení a dohled nad kybernetickou bezpečností

Tato oblast se zaměřuje na zavedení efektivních governance struktur a dohledových mechanismů k zajištění sladění iniciativ kybernetické bezpečnosti s obchodními cíli a regulatorními požadavky. Klíčové komponenty zahrnují:

Dohled představenstva nad zásadami a strategiemi kybernetické bezpečnosti.
Stanovení jasných rolí, odpovědností a vyúčtovatelnosti pro kybernetickou bezpečnost.
Implementace governance frameworků k řízení rozhodování a procesů řízení rizik.
Definování a provádění povědomí a školení o kybernetické bezpečnosti pro personál, třetí strany a zákazníky. Další čtení: Jak vzdělávat zaměstnance o kybernetické bezpečnosti.

Řízení rizik a soulad v kybernetické bezpečnosti

Řízení rizik je průběžný proces identifikace, analýzy, reakce a monitorování rizik kybernetické bezpečnosti. Cílem je chránit důvěrnost, integritu a dostupnost informačních aktiv.

Tato oblast zahrnuje provozní aspekty kybernetické bezpečnosti, včetně reakce na incidenty, detekce hrozeb a bezpečnostního monitoringu. Klíčové komponenty zahrnují:

Vývoj plánů a postupů reakce na incidenty pro efektivní řešení incidentů kybernetické bezpečnosti.
Implementace nástrojů a technologií bezpečnostního monitoringu pro detekci a reakci na hrozby v reálném čase. Tip: Dedikovaný software pro prevenci ztráty dat s těmito schopnostmi, jako je Safetica, je převratným řešením v kybernetické bezpečnosti, které ušetří vaší organizaci čas a peníze.
Provádění pravidelných bezpečnostních hodnocení a auditů k vyhodnocení efektivity kontrol.
Zajištění souladu s povinnými oborovými standardy jako PCI-DSS, GDPR a HIPAA.

Provoz a zabezpečení kybernetické bezpečnosti

Řízení přístupu a správa identit jsou zásadní pro ochranu citlivých dat a zajištění, aby ke kritickým zdrojům měli přístup pouze oprávnění uživatelé. Klíčové komponenty zahrnují:

Implementace zásad a postupů řízení přístupu pro správu uživatelských privilegií a oprávnění, včetně po skončení zaměstnání. Další čtení: Co je Zero Trust přístup? | Odcházející zaměstnanci: Jak nastavit offboardingové procesy
Nasazení autentizačních mechanismů, jako je multi-factor authentication, k ověření identity uživatelů.
Monitorování aktivity uživatelů a vynucování zásad řízení přístupu k zabránění neoprávněnému přístupu.
Definování standardů pro používání osobních zařízení, pokrývajících odpovědnosti uživatelů, izolaci obchodních informací a mobile device management. Další čtení: Osvědčené postupy pro BYOD bezpečnostní zásady.

Kybernetická bezpečnost třetích stran

Když se členské organizace spoléhají na služby třetích stran, je zásadní zajistit stejnou úroveň ochrany kybernetické bezpečnosti. Třetí strany zahrnují poskytovatele informačních služeb, poskytovatele outsourcingu, poskytovatele cloud computingu, dodavatele, prodejce a vládní agentury. Specifické úvahy zahrnují:

Zajištění, že schválené kontroly kybernetické bezpečnosti jsou implementovány do smluv s třetími stranami a že jsou průběžně monitorovány a vyhodnocovány.
Definování, implementace a monitorování kontrol kybernetické bezpečnosti v outsourcingových zásadách a procesech.
Zásady a procesy cloud computingu pro hybridní a veřejné cloudové služby musí zahrnovat schválené kontroly kybernetické bezpečnosti. Další čtení: Cloud Data Security: Definice, rizika a osvědčené postupy.

Jak být v souladu se SAMA Cyber Security Framework

Při zahájení cesty k souladu se SAMA Cyber Security Framework je důležité přijmout metodický přístup. Framework popisuje řadu osvědčených postupů a opatření navržených k ochraně citlivých dat, zmírnění rizik ztráty dat a udržení zabezpečení dat. Níže se ponoříme do základních kroků, které by organizace měly zvážit při svém úsilí o soulad:

1. Provádějte hodnocení rizik

Začněte identifikací všech aktiv ve vaší organizaci, včetně hardwaru, softwaru, dat a personálu.
Posuďte potenciální hrozby pro tato aktiva s ohledem na faktory jako kybernetické útoky, přírodní katastrofy a zlomyslné a náhodné interní hrozby.

2. Implementujte bezpečnostní opatření

Využívejte síťové bezpečnostní protokoly a šifrovací techniky k ochraně dat v přenosu i v klidu. Zajistěte, aby šifrovací klíče byly bezpečně spravovány a pravidelně rotovány k zmírnění rizika kompromitace klíče.
Nasaďte DLP softwarová řešení k monitorování, detekci a prevenci neoprávněných přenosů dat nebo úniků (ať už zlomyslných, nebo lidskou chybou).
Implementujte řízení přístupu a systémy správy identit k zajištění, že k citlivým informacím mohou přistupovat pouze oprávněné osoby.
Konfigurujte zásady prevence ztráty dat k vynucení šifrování, řízení přístupu a klasifikace dat na základě úrovně citlivosti.
Segmentujte sítě na základě obchodních funkcí a úrovní citlivosti dat k omezení dopadu potenciálních úniků.
Vyvíjejte a dokumentujte plány reakce na incidenty a obnovy k efektivnímu zmírnění a obnovení z incidentů kybernetické bezpečnosti. Vytvořte vyhrazený tým reakce na incidenty s jasně definovanými rolemi a odpovědnostmi.
Zaveďte kampaně povědomí o bezpečnosti k vzdělávání zaměstnanců o důležitosti kybernetické bezpečnosti. Nabídněte pravidelná školení na témata jako povědomí o phishingu, zabezpečení hesel a prevenci sociálního inženýrství.

3. Monitorujte a pravidelně vyhodnocujte a aktualizujte bezpečnostní opatření

Vytvořte systém pro průběžné monitorování systémů a sítí k detekci a reakci na bezpečnostní incidenty v reálném čase.
Provádějte pravidelné penetrační testování a hodnocení zranitelností k identifikaci slabin ve vašich kybernetických obranách a proaktivně je řešte.

4. Hlášení a ověřování souladu

Udržujte důkladnou dokumentaci svých snah o soulad, včetně hodnocení rizik, bezpečnostních zásad a plánů reakce na incidenty.
Hlaste jakékoli incidenty kybernetické bezpečnosti nebo úniky regulatorním orgánům, jak vyžaduje SAMA Cyber Security Framework, čímž zajistíte transparentnost a vyúčtovatelnost ve svých bezpečnostních postupech.

Jak vám může Safetica pomoci na vaší cestě k souladu se SAMA

Uživatelsky přívětivé rozhraní Safetiky a přizpůsobitelné zásady umožňují organizacím přizpůsobit své DLP strategie tak, aby hladce odpovídaly požadavkům popsaným ve SAMA Cyber Security Framework.

Funkce Safetiky zahrnují:

Šifrování citlivých dat v klidu i v přenosu, čímž se zajišťuje, že i v případě neoprávněného přístupu zůstávají citlivá data chráněna.
Monitorování a auditování v reálném čase, což organizacím umožňuje sledovat chování uživatelů, detekovat anomální chování a interní hrozby a vynucovat bezpečnostní zásady k prevenci exfiltrace a zneužití dat.
Bezkonkurenční viditelnost a kontrolu nad citlivými informacemi dosaženou monitorováním a kontrolou toků dat.
Upozornění a notifikace v reálném čase, která organizacím umožňují rychle reagovat na potenciální bezpečnostní incidenty, čímž se zkracují reakční doby a minimalizuje dopad úniků dat.

Pro organizace, které hledají spolehlivého partnera na své cestě k souladu se SAMA, stojí Safetica jako důvěryhodný spojenec, který nabízí inovativní řešení a expertní podporu na každém kroku cesty.

Udělejte první krok k silné ochraně dat a regulatornímu souladu prozkoumáním DLP řešení Safetiky ještě dnes.