Kuinka ISO 27001 A.8.21 suojaa peliverkkoja ja pelaajien luottamusta

Viivepiikeistä menetettyihin pelaajiin: miksi peliverkot ovat piirityksen kohteena

Kun verkkopalvelusi pettävät, pelaajat tuntevat sen välittömästi ja yrityksesi kantaa pitkän aikavälin kustannukset. Pelialustojen osalta ISO 27001 A.8.21 -standardin tarkoituksena on varmistaa, että jokaisen kirjautumisen, peliaulan ja ottelun taustalla olevat verkkopalvelut on selkeästi määritelty, suojattu asianmukaisesti ja niitä valvotaan jatkuvasti, jotta suorituskyky, reiluus ja luottamus kestävät todellisen maailman paineen. Kun verkkoa käsitellään osana tuotetta, ei vain "isännöintinä", estät pienten teknisten ongelmien muuttumisen näkyviksi vikoiksi.

Verkon turvallisuus ja vakaus ratkaisevat nyt suoraan, pitävätkö pelisi pelaajat, suojaavatko ne tuloja ja välttävätkö ne sääntelyongelmia.

Kun pelaajat eivät pysty kirjautumaan sisään, heidän yhteytensä peleihin katkeaa tai he kokevat kohtuutonta viivettä, he lähtevät, valittavat julkisesti ja usein eivät palaa. ISO 27001 -standardin liite A.8.21 on olemassa, koska jokainen verkkopeli on nykyään riippuvainen sisäisten ja kolmansien osapuolten verkkopalveluiden verkosta. Pelien suojaamiseksi sinun on käsiteltävä näitä palveluita määriteltyinä, suojattuina ja valvottuina resursseina sen sijaan, että se olisi epämääräinen "hosting"-kerros, jota vain insinöörit ajattelevat. Tiimit, jotka ovat läpikäyneet useita ISO 27001 -auditointeja, huomaavat jatkuvasti, että vakaimmat pelit ovat niitä, jotka käsittelevät verkkopalveluita ensiluokkaisina resursseina.

Pelaajat tuntevat verkostosi jokaisen kirjautumisen, aulan ja ottelun aikana, vaikka he eivät koskaan näkisikään kaavioitasi.

Miten hauraat verkot vahingoittavat pelaajakokemusta ja -pysyvyyttä

Hauraat verkkopalvelut muuttavat pienet tekniset häiriöt hetkiksi, jotka tuntuvat pelaajillesi rikkinäisiltä tai epäreiluilta peleiltä. Kun yhteys katkeaa, viivepiikit kasvavat tai aulat eivät täyty, pelaajat syyttävät alustaasi sen sijaan, että ajattelisivat reititystaulukoita tai alueellista kapasiteettia, ja heidän luottamuksensa laskee jokaisen huonon istunnon myötä. Tämä turhautuminen korostuu aina verkossa olevissa, reaaliaikaisissa palveluympäristöissä, joissa jokainen vuorovaikutus riippuu verkon ennustettavasta toiminnasta, joten hauraat mallit näkyvät nopeasti asiakasvaihtuvuutena ja negatiivisena mielipiteenä.

Aina verkossa toimivat, live-palvelupelit ovat tehneet verkkopalveluista osan itse tuotekokemusta. Oikean rahan talous, esports-tapahtumat ja cross-play ovat kaikki riippuvaisia seuraavista:

Vähäviiveinen ja ennustettava yhteys pelaajien ja pelipalvelimien välillä
Vankka suojaus palvelunestohyökkäyksiä ja haitallista liikennettä vastaan
Vakaat integraatiot identiteetin, maksujen ja alustan API-rajapintojen kanssa

Nämä riippuvuudet tarkoittavat, että pelaajat kokevat verkkosuunnittelusi heikkoudet kaatumisina, palautumisina tai epäreiluina etuina, vaikka pelisi ydinkoodi olisikin vakaa.

Yleisiä verkkoon liittyviä vikoja ovat:

Julkaisupäivän jonot muuttuvat aikakatkaisuiksi, koska kirjautumis- tai matchmaking-päätepisteet eivät pysty käsittelemään ruuhkaliikennettä.
Turnaukset keskeytyvät, jos alueelliset verkko-ongelmat tai kohdennetut hyökkäykset osuvat turnausalueisiin tai välityspalvelimiin
Tilin haltuunottoaallot, joita aiheuttavat tunnistetietojen täyttö huonosti suojatuissa todennuspäätepisteissä

Kaikki nämä ongelmat heikentävät luottamusta. Ne aiheuttavat myös suoria kustannuksia: hyvityksiä, tukikuormitusta, tietoturvaloukkauksiin reagointia ja joissakin lainkäyttöalueissa virallista sääntelyviranomaisten kanssakäymistä.

Miksi verkkohäiriöistä tulee nopeasti liiketoiminta- ja sääntelyongelma

Verkkohäiriöistä tulee nopeasti liiketoiminta- ja sääntelyongelmia, koska käyttökatkokset paljastavat aukkoja siinä, miten liikennettä kuljettavia palveluita määritetään, suojataan ja valvotaan. Jokaisen näkyvän ongelman takana on heikkouksien ketju, johon usein kuuluu väärin konfiguroituja sisäisiä komponentteja ja huonosti hallinnoituja kolmansia osapuolia. Tilintarkastaja tai sääntelyviranomainen voi kohtuudella pyytää selitystä. Kun selitys puuttuu tai on epäjohdonmukainen, menetät paitsi toimijoita, myös uskottavuutta kumppaneiden ja valvontaelinten silmissä. ISO 27001 A.8.21 -standardin tarkoituksena on pakottaa organisaatiot tekemään näistä palveluista selkeitä, määrittämään vastuut ja osoittamaan, miten ne on suojattu ajan myötä.

Kysymys ei ole enää siitä, ovatko verkkopalvelut tärkeitä liiketoiminnan suorituskyvylle, vaan siitä, kuinka järjestelmällisesti niitä määritetään, suojataan ja valvotaan. ISO 27001:2022 -standardin liite A.8.21, Verkkopalveluiden turvallisuus, tarjoaa jäsennellyn tavan käsitellä pelien perustana olevaa verkkorakennetta ensiluokkaisena tietoturva- ja vikasietoisuusnäkökulmana, ei ylläpitoon liittyvänä jälkikäteen huomioitavana asiana. Pelialustoille tämä tarkoittaa samaa selkeyttä pelien välisen haun, maksujen, äänen, ristiinpelin ja järjestelmänvalvojan pääsyn osalta kuin mitä jo odotat sovelluskoodilta ja tietokannoista.

Nämä tiedot ovat luonteeltaan yleisiä eivätkä ne ole oikeudellisia, sääntelyyn liittyviä tai sertifiointiin liittyviä neuvoja. Sinun tulee hakea asianmukaista ammatillista tukea omaa ympäristöäsi koskeviin päätöksiin.

Varaa demo

Mitä ISO 27001:2022 A.8.21 oikeastaan vaatii

ISO 27001 A.8.21 -standardi edellyttää, että käsittelet jokaista verkkopalvelua, johon pelisi ovat riippuvaisia, määriteltynä, suojattuna ja valvottuna omaisuutena. Sinun odotetaan tietävän, mitä sisäisiä ja ulkoisia palveluita käytät, päättävän, mitä "turvallinen ja luotettava" tarkoittaa kunkin kohdalla, toteuttavan nämä vaatimukset suunnittelussa, kokoonpanoissa ja sopimuksissa ja valvovan sitten, että palvelut täyttävät edelleen nämä odotukset tosielämän toiminnassa. A.8.21 käsittelee vähemmän tiettyjä teknologioita ja enemmän verkkopalveluiden suunnittelun, ostamisen ja ylläpidon taustalla olevia periaatteita.

A.8.21:n kolme keskeistä odotusta

Liite A.8.21 tiivistää kolmeen odotukseen, jotka voit selittää selkeästi sekä teknisille että ei-teknisille sidosryhmille. Sinun on tiedettävä, mitä verkkopalveluita käytät, määriteltävä, miltä "turvallinen ja luotettava" näyttää kunkin kohdalla, ja osoitettava, että näitä odotuksia toteutetaan käytännössä ja seurataan ajan kuluessa. Kun nämä kolme ajatusta otetaan käyttöön, verkkosi lakkaa olemasta musta laatikko ja siitä tulee auditoitava osa tietoturvakerrostasi. Käytännössä A.8.21 pyytää sinulta käytännössä kolmea asiaa:

Tiedä, mihin verkkopalveluihin luotat
Se sisältää molemmat sisäinen palvelut (virtuaaliverkot, palomuurit, VPN:t, peliyhdyskäytävät, järjestelmänvalvojan hyppyisännät, DNS) ja kolmannen osapuolen palvelut (pilviverkot, CDN:t, DDoS-skannaus, ääni-/chat-yhteydet, alusta- ja maksuyhteydet).
Päätä, mitä kunkin palvelun on tehtävä turvallisuuden ja vikasietoisuuden varmistamiseksi
Jokaiselle palveluntarjoajalle määritetään luottamuksellisuuden, eheyden ja saatavuuden kannalta tärkeät odotukset, kuten:

Salausvaatimukset (protokollat, vähimmäisversiot)
Todennus ja pääsynhallinta (kuka voi käyttää mitä ja mistä)
Segmentointi (mitkä vyöhykkeet voivat kommunikoida minkäkin kanssa)
Kapasiteetti- ja vikasietoisuusodotukset (esimerkiksi mitä DDoS-palveluntarjoajan on siedettävä)
Lokikirjaus- ja valvontavaatimukset (minkä on oltava näkyvissä ja kenelle)

Tee odotuksista todellisia – ja todista, että ne pysyvät todellisina
ISO 27001 edellyttää sinulta:

Vaatimukset tallennetaan käytännöt, standardit ja mallit
Heijasta niitä tekniset kokoonpanot (suojausryhmät, palomuurisäännöt, WAF- ja DDoS-profiilit, VPN-asetukset)
Koodaa ne sisään sopimukset ja palvelutasosopimukset ulkopuolisille palveluntarjoajille
Monitor: että palvelut toimivat vaaditulla tavalla ja tarkistavat ne säännöllisesti

Liite A.8.21 ei määrää tiettyä teknologiapinoa tai topologiaa. Sen sijaan siinä testataan, onko lähestymistapasi verkkopalveluihin:

Tahallinen: (vaatimukset ovat pikemminkin eksplisiittisiä kuin sattumanvaraisia)
Toteutettu: (kokoonpanot vastaavat ilmoitettua tarkoitusta)
Havaittavissa: (näet, milloin suojaukset heikkenevät tai palvelut heikkenevät)

Rakenteinen tietoturvan hallintajärjestelmä (ISMS), kuten ISMS.online, voi helpottaa näiden odotusten hallintaa tarjoamalla sinulle yhden paikan, jossa voit kartoittaa palvelut, riskit, kontrollit ja valvonnan kaikissa nimikkeissäsi.

Missä A.8.21:tä sovelletaan pelialustalla

A.8.21-standardia sovelletaan kaikkialla, missä pelisi lähettävät tai vastaanottavat dataa, pelaajalaitteista taustatoimintojen työkaluihin, koska jokainen yhteys on mahdollinen tietoturva- ja vikasietoisuusriski. Peliorganisaatiossa tämä tarkoittaa jokaista alustan osaa, jossa peli-, pelaaja- tai operatiivinen liikenne kulkee, mukaan lukien ilmeiset pelaajiin kohdistuvat palvelut ja vähemmän näkyvät operatiiviset ja integraatiokerrokset, jotka silti vaikuttavat käyttöaikaan ja luottamukseen. Kun dokumentoit nämä alueet yhdessä, verkostosi kerroksesta tulee paljon selkeämpi sekä insinööreille että auditoijille.

Pelialustalla ohjaus koskee kaikkia paikkoja, joissa peli käyttää verkkoa:

Pelaajille suunnatut päätepisteet (peliportaalit, matchmaking, tulostaulut, sosiaaliset ominaisuudet)
Back-office- ja tukijärjestelmät (laskutus, CRM, analytiikka, live-ops-työkalut)
Toiminnallinen yhteys (prosessien rakentaminen, järjestelmänvalvojan käyttöoikeudet, valvonta)
Integraatiot alustoihin, maksupalveluntarjoajiin, huijauksenesto- ja viestintäpalveluihin

A.8.21:n käsittelystä tulee helpointa, kun sitä ei käsitellä niinkään erillisenä tarkistuslistana kuin osana kokonaisuutta. selkä joka yhdistää arkkitehtuurin, toimittajien hallinnan, valvonnan ja häiriötilanteisiin reagoinnin. Monet studiot huomaavat, että kun tämä selkäranka on paikoillaan, myöhemmistä ISO 27001 -auditoinneista tulee ennustettavampia, koska verkostokysymyksillä on selkeä osoite.

ISMS.online antaa sinulle 81 %:n etumatkan heti sisäänkirjautumisestasi lähtien.

ISO 27001 helposti

Olemme tehneet kovan työn puolestasi ja antavat sinulle 81 % etumatkan kirjautuessasi sisään. Sinun tarvitsee vain täyttää tyhjät kohdat.

Aloita

Nykyaikainen peliverkoston pinta: peli, matchmaking, chat, maksut

A.8.21-kohdassa pelaamiseen tarkoitettu "verkkopinta" tarkoittaa kaikkia sisäisiä ja ulkoisia palveluita, jotka siirtävät pelaaja-, peli- tai operatiivista liikennettä, ei vain niitä palvelimia, jotka ensin tulevat mieleen. Pelialustojen osalta tähän kuuluvat matchmaking-API:t, peliyhdyskäytävät, chat, maksut, analytiikka ja niitä tukevat palveluntarjoajat matchmaking-API:eista äänikeskusteluun ja maksuvirtoihin. Kaikkien näiden on oltava näkyvissä varastossasi, jotta voit päättää, mitkä niistä ovat tärkeimpiä suojata. Kun näet tämän pinnan selvästi, hallintalaitteiden priorisointi lakkaa olemasta arvailua.

Mikä lasketaan verkkopalveluksi pelialustalla

Pelialustalla verkkopalvelu on mikä tahansa sisäinen tai ulkoinen komponentti, joka siirtää pelaaja-, peli- tai operatiivista liikennettä ympäristöösi tai siitä pois. Se voi olla jotain, jota isännöit suoraan, kuten matchmaking-klusteri, tai jotain, jota ostat, kuten ääni-SDK tai DDoS-pyyhkäisypalvelu, mutta se silti muokkaa pelaajakokemusta ja riskiä. Pelialustasi koostuu monista erillisistä verkkopalveluista, vaikka pelaajat näkisivätkin vain yhden peliohjelman, ja ISO 27001 -standardi edellyttää, että ymmärrät ja kuvailet nämä komponentit selkeästi sen sijaan, että puhuisit epämääräisesti "taustajärjestelmästä" tai "palvelimista".

Tyypillinen verkkoalusta kattaa ainakin seuraavat kategoriat:

Pelaajille suunnatut palvelut:
DNS ja liikenteenhallinta reitittävät pelaajat alueille
Verkkosivujen käyttöliittymät tilille, kaupalle ja tuelle
Parinhaku- ja aulapalvelut
Peliyhdyskäytävät ja välityspalvelimet
Tulostaulujen, tilastojen ja edistymisen API:t

Ohjaustaso- ja identiteettipalvelut:
Todennus- ja valtuutusrajapinnat
Istunnonhallinta ja token-palvelut
Konfiguraatio ja ominaisuuslippujen jakauma
Orkestrointi ja pelipalvelimen skaalauslogiikka

Sosiaalinen media ja viestintä:
Tekstikeskustelu ja läsnäolo
Äänikeskustelu (ensimmäisen osapuolen tai upotettu SDK)
Puolue-, kilta- ja ystäväjärjestelmät

Kaupalliset virrat:
Maksuyhdyskäytävät ja lompakot
Pelin sisäiset kaupat ja oikeuksien tarkistukset
Integrointi alustalaskutukseen (konsolit, PC-myymälät, mobiilimyymälät)

Suojaus ja havaittavuus:
Palomuurit, WAF- ja API-yhdyskäytävät
DDoS-tunnistus ja puhdistus
Huijaus- ja bottien havaitsemiseen perustuva telemetria
Lokitiedot, mittarit, jäljitykset ja kuntotarkastukset

Monet näistä puolestaan perustuvat kolmannen osapuolen palveluntarjoajat kuten pilviverkot, globaalit CDN-verkot, erikoistuneet DDoS-palvelut, äänialustat, analytiikka- ja viestipalveluntarjoajat. Ne ovat silti "verkkopalveluita" A.8.21:n mukaisesti, vaikka ne sijaitsisivatkin omien infrastruktuuritiliesi ulkopuolella.

Verkkopalveluiden inventaarion käyttäminen A.8.21:n keskittämiseen

Verkkopalveluiden jäsennelty luettelo antaa sinulle mahdollisuuden päättää, missä sovelletaan vahvimpia suojaustoimia ja missä kevyemmät toimenpiteet riittävät. Siitä tulee myös yksi hyödyllisimmistä toistuvista todisteista ISO 27001 -auditoinneissa, koska se osoittaa, että ymmärrät hyökkäyspintasi ja olet tehnyt tietoisia valintoja suojauksesta. Kun tuot tämän luettelon keskitettyyn tietoturvanhallintajärjestelmään, sitä voidaan käyttää uudelleen eri nimikkeiden ja alueiden välillä sen sijaan, että se luotaisiin uudelleen jokaista auditointia varten.

Se auttaa tekemään tästä maisemasta konkreettisen. Pieni taulukko voi jäsentää ajatteluasi ydinpelin ja yhteyspolkujen osalta:

Verkkopalvelu	Esimerkki riskistä	A.8.21 tarkennus
Matchmaking-API	DDoS, hakuparametrien väärinkäyttö	Nopeusrajoitukset, DDoS-profiili, WAF-säännöt, lokinkirjoitus
Peliyhdyskäytävät / välityssolmut	Kohdennetut hyökkäykset, huijaus, huijaus	Segmentointi, suodatus, keskinäinen todennus
Todennuksen päätepisteet	Valtakirjojen täyttö, raaka voima	API-yhdyskäytävä, rajoitusten rajoittaminen, IP-maine, valvonta

Toinen näkymä auttaa sinua kattamaan tukevat toimitus- ja kaupalliset pinnat:

Verkkopalvelu	Esimerkki riskistä	A.8.21 tarkennus
CDN resursseille/korjauksille	Peukalointi, alkuperän paljastaminen	TLS, allekirjoitetut URL-osoitteet, alkuperäsuojaus, välimuistin hallinta
Ääni-/chat-palvelu	Häirintä, tietojen paljastuminen	Salaus, pääsynhallinta, väärinkäytöksistä ilmoittaminen
Maksu- ja alustarajapinnat	Petos, tietovuoto, käyttökatkokset	Suojatut tunnelit, tiukat sallittujen listat, palvelutasosopimukset ja hälytykset

Kun olet a verkkopalveluiden inventaario näin jokaiselle nimikkeelle ja alueelle, voit:

Tag-palvelut kohteelle kriittisyys (pelaajiin vaikuttava, sääntelyyn vaikuttava, vain sisäiseen käyttöön)
Tunnistaa yksittäisiä epäonnistumispisteitä ja jaetut riippuvuudet
Priorisoi A.8.21-kohdan mukaisia kontrollien vahvimpia kohteita

Tästä inventaariosta tulee keskeinen artefakti sekä toiminnalle että ISO 27001 -todisteille. Tiimit, jotka tarkistavat sen säännöllisesti, eivätkä vain ennen auditointeja, havaitsevat yleensä kehittyvät riskit ja teknisen velan paljon aikaisemmin.

Vähälatenssisen, ISO 27001 -standardin mukaisen verkkoarkkitehtuurin suunnittelu

Voit suunnitella matalan latenssin arkkitehtuurin, joka täyttää silti A.8.21-vaatimukset, erottamalla reaaliaikaisen liikenteen taustajärjestelmistä, asettamalla vahvat kontrollit alueellisille reunoille, suunnittelemalla virheet ja koodaamalla nämä päätökset auditoitaviin suunnitelmiin. Kun teet tämän tarkoituksella, tietoturva tukee suorituskykyä sen sijaan, että se heikentäisi sitä, ja auditoijat voivat nähdä, miten arkkitehtuurisi käsittelee sekä jokapäiväiset kuormat että väärinkäytökset.

Monet pelitiimit pelkäävät, että "yhteensopivuus" rikkoo pelien reagointikyvyn. Huonosti tehtynä raskaat turvatoimet kuumalla polulla voivat todellakin aiheuttaa kohtuutonta viivettä. Hyvin tehtynä A.8.21 yksinkertaisesti kodifioi sellaisen... puhdas, kerrostettu arkkitehtuuri joka jo yleensä toimii paremmin.

Segmentin latenssikriittiset polut

Latenssin kannalta kriittisten polkujen segmentointi antaa sinun pitää reaaliaikaisen pelaamisen nopeana ja samalla valvoa sitä tehokkaasti. Eristämällä reagointikykyisen liikenteen hitaammista tai monimutkaisemmista järjestelmistä pienennät sekä hyökkäysten laajuutta että kunkin paketin käsittelymäärää, joka vaikuttaa hetkelliseen pelikokemukseen. Vähennät riskejä ja viiveitä, kun pidät reaaliaikaisen peliliikenteen erillisissä verkkosegmenteissä, joissa on tiukasti valvotut aloituspisteet, ja eristät kyseisen liikenteen taustajärjestelmistä ja hallintatyökaluista, jotta voit valvoa tiukkoja sääntöjä pelaajien yhteydenpitoon ilman, että sinun tarvitsee vetää hitaampia tai monimutkaisempia osia ympäristöstäsi jokaiseen otteluun.

Reaaliaikaisen liikenteen, kuten matchmakingin, pelitilan ja pelin sisäisen äänen, tulisi:

Asuu erillisissä verkkosegmenteissä tai virtuaaliverkoissa
Olla tavoitettavissa vain selkeästi määriteltyjen sisäänpääsypisteiden, kuten yhdyskäytävien tai välityssolmujen, kautta
Pysy eristyksissä taustajärjestelmistä, rakenna projekteja ja hallintatyökaluja palomuurien tai suojausryhmien avulla

Näin voit hakea tiukat säännöt verkon tärkeimpiin osiin ilman, että kaikkea muuta monimutkaistaa.

Aseta oikeat säätimet oikeaan reunaan

Oikeiden hallintalaitteiden sijoittaminen oikeille reunoille tarkoittaa suojauksen tuomista lähemmäs pelaajia, jotta väärinkäytökset suodatetaan varhaisessa vaiheessa ja samalla laillinen liikenne pysyy nopeana. Sen sijaan, että jokainen paketti vedettäisiin takaisin keskitettyyn pisteeseen, käytetään alueellisia reunoja salauksen lopettamiseen, käytäntöjen valvomiseen ja hyökkäysten vaimentamiseen, minkä jälkeen ytimeen lähetetään vain puhtaat, tarvittavat tietovirrat. Tätä mallia käytetään laajalti muilla suuren läpimenon toimialoilla, koska se skaalautuu ja siitä on helppo päätellä.

Sen sijaan, että kaikki liikenne ohjattaisiin takaisin yhteen datakeskukseen, voit:

Käytä alueellisia läsnäolopisteitä tai pelaajien lähellä olevia pilvialueita
Lopeta TLS ja ota käyttöön WAF- ja API-yhdyskäytäväkäytännöt sekä DDoS-lieventäminen kyseisillä reunoilla
Pidä reaaliaikainen peliliikenne lyhimmällä mahdollisella reitillä näiden tarkistusten jälkeen

Tämä heijastaa muissa suuren läpimenon ympäristöissä käytettyjä suojattuja reunaehtoja: virtaviivaiset mutta tarkasti määritellyt reunat, ei syvällistä tarkastusta jokaisella sisäisellä hypyllä.

Suunnittele epäonnistumisia ja väärinkäytöksiä varten, älä vain onnellista polkua

Virheiden ja väärinkäytösten suunnittelu tarkoittaa sitä, että päätetään etukäteen, miten verkon tulisi käyttäytyä, kun palvelut hidastuvat, vikaantuvat tai niitä hyökätään. Sen sijaan, että käyttäytyminen jätettäisiin sattuman varaan, valitaan heikentymispolkuja ja suojakaiteita, jotka sitten toteutetaan reitityksessä, käytännöissä ja automaatiossa. ISO 27001 -auditoijat etsivät usein tätä ajattelutapaa arvioidessaan, onko A.8.21 todella integroitu arkkitehtuuriprosessiin.

Kysy kunkin palveluluokan osalta:

Mitä pelaajille tapahtuu, jos tämä palvelu hidastuu tai lakkaa toimimasta?
Kuinka hyökkääjä voisi väärinkäyttää tätä verkkopolkua (tulvittaminen, injektointi, huijaus, kaavinta)?
Mitä turvamekanismeja on oltava tällä polulla tai sen ympärillä, jotta nämä riskit voidaan hillitä suorituskykyä heikentämättä?

Esimerkkejä ovat:

Kirjautumispäätepisteet API-yhdyskäytävän takana nopeusrajoituksilla, IP- ja laitetason tunnistuksella sekä automaattisella integroinnilla DDoS-suojaukseen
Omistetut yhdyskäytävät järjestelmänvalvojan ja operatiivisen toiminnan käyttöön, joihin pääsee vain VPN:n tai nollaluottamustyylisten välityspalvelimien kautta, tiukalla lokinlokinnolla ja monivaiheisella todennuksella
Erilliset polut huijausvastaisille telemetrioille, jotta niihin kohdistuvat manipulointiyritykset on helpompi havaita

Tee suunnittelusta auditoitavaa

Suunnitelmien auditoitavuus tarkoittaa, että verkkoarkkitehtuurisi, standardisi ja käyttöönottosi voidaan selittää ja todistaa ilman arvailua. Jos tiimiin liittyy uusi henkilö tai auditoija tarkastelee ympäristöäsi, heidän pitäisi pystyä näkemään, miten liikenne virtaa, missä kontrollit sijaitsevat ja mitkä standardit ohjasivat näitä valintoja. Kun pidät tämän materiaalin ajan tasalla, vahvistat sekä tietoturvaasi että auditointivalmiuttasi.

ISO 27001 -standardin näkökulmasta arkkitehtuurityö ei ole valmis ennen kuin:

Nykyisistä kaavioista käy ilmi tietovirrat, luottamusrajat ja keskeiset verkon hallintalaitteet.
Nuo kaaviot tallennetaan paikkaan, johon sekä insinöörit että tilintarkastajat pääsevät käsiksi.
Suunnitteluvalintoja tukevat standardit, kuten ”kaikkien ulkoisten verkko- tai API-päätepisteiden on käytettävä vähintään TLS 1.2:ta; järjestelmänvalvojan käyttöoikeus on sallittu vain tämän aliverkon hyppyisäntien kautta”.

Jos näitä standardeja käsitellään elävinä dokumentteina ja sidotaan ne infrastruktuuriin koodina mahdollisuuksien mukaan, A.8.21-vaatimustenmukaisuudesta tulee pitkälti kysymys siitä, että osoitetaan yhdenmukaisuus seuraavien välillä:

Suunnittelu → Vakio → Käyttöönotto → Valvonta

sen sijaan, että koottaisiin kertaluonteisia perusteluja kutakin tarkastusta varten.

Ota käyttöön, laajenna ja skaalaa vaatimustenmukaisuus ilman sotkua. Io antaa sinulle joustavuutta ja luottamusta kasvaa turvallisesti.

Varaa esittelysi

Kolmannen osapuolen verkkopalveluiden hallinta: CDN, DDoS, ääni, matchmaking

A.8.21:n mukaan kolmannen osapuolen palveluntarjoajat, kuten CDN:t, DDoS-pyyhkäisykeskukset, äänialustat ja maksuverkot, lasketaan soveltamisalaan kuuluviksi verkkopalveluiksi, joiden on täytettävä selkeät turvallisuus- ja suorituskykyvaatimukset. Olet edelleen vastuussa siitä, että päätät, mitä tarvitset heiltä, koodaat sen sopimuksiin ja kokoonpanoihin sekä valvot, että ne toimivat edelleen luvatulla tavalla. A.8.21 edellyttää, että kohtelet ulkoisia verkkopalveluntarjoajia, kuten näitä, soveltamisalaan kuuluvina palveluina, joilla on määritellyt turvallisuusvaatimukset, sopimukset ja valvonta. Näiden suhteiden käsitteleminen osana tietoturvanhallintajärjestelmääsi, ei erillään siitä, on olennaista nykyaikaisilla pelialustoilla.

Pelialustat ovat erittäin riippuvaisia ulkoisista palveluntarjoajista verkkopainotteisten toimintojen osalta. A.8.21:n mukaan nämä eivät ole "jonkun muun ongelma". Sinun odotetaan hallinnoivan niitä osana palveluntarjoajan verkkopalveluita, joilla on sekä tekninen ja sopimukseen valvontaa.

Määritä lähtötasot palvelutyypin mukaan

Palvelutyypin mukaisten lähtötasojen määrittäminen antaa sinulle mahdollisuuden ottaa palveluntarjoajat mukaan ja arvioida niitä johdonmukaisesti sen sijaan, että kirjoittaisit vaatimukset tyhjästä joka kerta. Kun hankinta, tietoturva ja suunnittelu tunnistavat kaikki saman lähtötason, sopimukset etenevät nopeammin ja arviointeja on helpompi puolustaa auditoinneissa. Nämä lähtötasot auttavat sinua vertailemaan palveluntarjoajia myös muun kuin hinnan perusteella.

Määrittele kullekin ulkoiselle luokalle – esimerkiksi CDN:t, DDoS-pyyhkäisyt, äänikeskustelut ja matchmaking-alustat – vähintään:

Salausodotukset, kuten protokollaversiot ja salausstandardit
Alkuperälähteiden suojaaminen, mukaan lukien sallittujen luetteloiden tai yksityisen yhteyden suojaus
Lokikirjaus- ja telemetriavaatimukset, mukaan lukien tarvittavat tapahtumat ja tarkkuus
Miten tapauksia havaitaan, niistä tiedotetaan ja niitä lievennetään molemmissa organisaatioissa

Esimerkiksi peliresursseja palvelevan CDN:n tulisi käyttää modernia TLS-salausta, piilottaa alkuperä sallittujen listojen tai yksityisten linkkien taakse ja tarjota reunalokeja, joiden avulla voit tutkia peukalointia tai väärinkäyttöä.

Lisää turvallisuus sopimuksiin ja palvelutasosopimuksiin

Turvallisuuden sisällyttäminen sopimuksiin ja palvelutasosopimuksiin muuttaa sisäiset standardisi toimittajille täytäntöönpanokelpoisiksi sitoumuksiksi. Ilman tätä luotat hyvän tahdon ja markkinointilupausten varaan, jotka harvoin tyydyttävät tilintarkastajia tai kestävät paineen alla mahdollisten häiriöiden sattuessa. Selkeä sanamuoto auttaa myös liiketoiminnan sidosryhmiä ymmärtämään, mitä he ostavat läpimenon ja hinnan lisäksi.

Sopimusasiakirjojen tulisi sisältää:

Sinun ja palveluntarjoajan väliset turvallisuusvastuut
Saatavuus- ja suorituskykytavoitteet, joilla on merkitystä peleillesi
Tapahtumailmoitusten aikataulut ja yhteistyöodotukset
Oikeus testata tai arvioida integraatioita tarvittaessa
Pelaaja- ja maksutietojen käsittely- ja sijaintisäännöt

Esimerkiksi DDoS-palveluntarjoajasopimuksen tulisi tehdä selväksi, kuinka nopeasti he sitoutuvat aloittamaan lieventämistoimet live-turnauksissa ja mitä liikennemalleja he käsittelevät laajuushyökkäyksinä.

Tässä kohtaa liite A.8.21 liittyy toimittajien turvallisuusvalvontaan: ostamasi verkkopalvelut on määriteltävä ja valvottava yhtä huolellisesti kuin rakentamasi palvelut.

Toimittajien arvioinnin ja tarkastelun standardointi

Toimittajien arvioinnin ja tarkastelun standardointi auttaa osoittamaan, että A.8.21-standardia sovelletaan johdonmukaisesti koko portfoliossasi, ei vain muutamaan korkean profiilin kumppaniin. Se myös helpottaa säännönmukaisuuksien, kuten saman tyyppiseen palveluntarjoajaan tai integraatiomalliin liittyvien toistuvien tapausten, havaitsemista ja sopimusmuutosten perustelemista tarvittaessa.

Sen sijaan, että jokaista uutta toimittajaa kohdeltaisiin tyhjänä tauluna:

Suorita strukturoitu arviointi, jossa yhdistyvät tietoturvakyselyt, tekninen validointi ja valvotut pilottihankkeet
Tarkista tärkeimmät palveluntarjoajat määritellyllä tahdilla suorituskyvyn ja tietoturvatilanteen perusteella
Seuraa tapauksia, joissa palveluntarjoajan verkkopalvelu vaikutti katkokseen, tietomurtoon tai peliongelmaan, ja syötä tiedot sopimuksiin ja riskirekistereihin

Ajan myötä haluat yksi näkymä jossa kunkin palveluntarjoajan kohdalla näet:

Mitä palveluita he tarjoavat verkoissasi
Mitkä A.8.21-kohdan asiaankuuluvat vaatimukset soveltuvat
Mitä todisteita sinulla on siitä, että nuo vaatimukset täyttyvät?

Tämä helpottaa huomattavasti vastaamista tilintarkastajille, kumppaneille tai sääntelyviranomaisille, jotka kysyvät "mistä tiedätte, että ulkoiset verkkopalvelunne ovat turvallisia?".

DDoS-hyökkäysten, huijausten ja tilin kaappausten valvonta, lokinnoitus ja tapauksiin reagointi

Toteutat A.8.21-vaatimukset päivittäisessä toiminnassasi valvomalla verkkopalveluitasi DDoS-hyökkäysten, huijausten ja tilien kaappausten varalta, kirjaamalla tärkeät tapahtumat ja suorittamalla harjoiteltuja toimintaohjeita häiriötilanteiden sattuessa. Nämä käytännöt muuttavat suunnittelut ja sopimukset todellista suojaa pelaajille ja tuloille, koska ne osoittavat, että voit havaita ongelmat nopeasti ja reagoida niihin hallitusti. Ilman niitä jopa hyvin suunniteltu arkkitehtuuri voi kaatua paineen alla. A.8.21 ei koske pelkästään suunnittelua ja sopimuksia, vaan myös sitä, miten sinä... käyttää verkkopalvelut. Pelaamisessa tämä tarkoittaa kykyä nähdä ja reagoida erityisesti kolmeen uhkaryhmään:

Palvelunestohyökkäys ja häiriöllinen liikenne: suunnattu kirjautumiseen, matchmakingiin, peliyhdyskäytäviin ja äänipuheluun
Huijaus ja bottiliikenne: yrittää manipuloida parinmuodostusta, taloutta tai tuloksia
Tilin haltuunotto: kampanjoita todennus- ja tilinhallinta-alustojasi vastaan

ISO 27001 -standardin noudattaminen pelaajien turvallisuuden takaamiseksi sisältää yleensä seuraavat rakennuspalikat.

Korreloi verkon ja sovelluksen signaaleja

Verkko- ja sovellussignaalien korrelointi auttaa erottamaan aidot pelaaja-aaltojen lisääntymisen hyökkäyksistä tai väärinkäytöksistä ja pitää turvallisuuden ja live-operaatiot linjassa häiriötilanteiden aikana. Kun tiimit jakavat yhden näkymän, joka yhdistää liikennemallit pelin sisäiseen käyttäytymiseen, he voivat tehdä parempia päätöksiä rajoituksista, viestinnästä ja hillitsemisestä arvailematta. Tämä on erityisen tärkeää julkaisujen ja tapahtumien aikana, jolloin sekä volyymi että riski ovat huipussaan. Saat parempia tuloksia, kun voit korreloida verkkotapahtumat pelin tapahtumiin sen sijaan, että tuijottaisit liikennekaavioita erikseen, mikä tyypillisesti tarkoittaa seuraavien yhdistämistä:

IP-osoite, autonomisen järjestelmän tiedot ja aluetiedot
Yhteys- ja virheprosentit päätepisteittäin ja alueittain
Todennustapahtumat (onnistuminen, epäonnistuminen, monivaiheiset kehotteet, nollaukset)
Pelikäyttäytyminen (äkilliset suorituskyvyn nousut, epänormaalit liikkeet tai tapahtumakuviot)

Käyttämäsi alusta voi olla SIEM, lokianalytiikkatyökalu tai tietoturvatietoallas. A.8.21:n kannalta tärkeää on, että verkkopalvelutapahtumat näkyvät ja tulkitaan kontekstissa, ei erillään sovelluksen toiminnasta.

Aseta lokikirjaus- ja säilytysstandardit

Lokitietojen ja säilytyksen standardien asettaminen varmistaa, että voit tutkia tapauksia tehokkaasti ja osoittaa tilintarkastajille hallinnan keräämättä liikaa tietoa. Selkeät päätökset siitä, mitä lokitietoja kirjataan, minne tiedot tallennetaan ja kuinka kauan niitä säilytetään, vähentävät hämmennystä tutkimusten aikana ja ovat yhdenmukaisia tietosuojavelvoitteiden kanssa. Tämä on erityisen tärkeää silloin, kun useat tiimit ja palveluntarjoajat toimittavat tietoja. Verkkopalvelutapahtumien tutkimiseksi ja todistamiseksi sinun on määriteltävä, mitä lokitietoja kirjataan, missä ja kuinka kauan. Tyypillisiä kysymyksiä ovat:

Mitä tapahtumia on tallennettava reunalla (WAF, DDoS, yhdyskäytävät) ja pelipalvelimilla?
Miten lokit synkronoidaan ajallisesti rekonstruktion tukemiseksi?
Kuka voi käyttää niitä ja millä oikeuksilla?
Kuinka kauan niitä säilytetään, ja miten se on linjassa yksityisyyden ja säilytyksen rajoitusten kanssa?

Yksinkertainen, kirjallinen lokikirjausstandardi, joka viittaa A.8.21-standardiin ja sovellettaviin tietosuojasääntöihin, auttaa osoittamaan, että lokikirjaus on tarkoituksellista eikä ad hoc -periaatteen mukaista.

Rakenna ja harjoittele pelikirjoja

Toimintasuunnitelmien laatiminen ja harjoittelu muuntaa valvonta- ja toimituskyvyt ennustettaviksi ja rauhallisiksi reaktioiksi, kun jokin menee pieleen. Stressaavien tilanteiden sijaan tiimisi noudattavat testattua käsikirjoitusta, joka määrittelee laukaisevat tekijät, toimenpiteet ja viestintäreitit. Juuri tällaista operatiivista kypsyyttä ISO 27001 -standardi etsii. Harjoitukset paljastavat myös työkalujen ja päätöksenteon puutteita ennen kuin ne vaikuttavat oikeisiin toimijoihin.

DDoS-hyökkäyksiä, huijausaaltoja ja tilin kaappauksia varten sinulla on yleensä käsikirjat, jotka kattavat seuraavat asiat:

Havaitseminen: mitkä hälytykset tai mallit käynnistävät toimintasuunnitelman
Rajoitus ja lieventäminen: nopeusrajoitukset, säännöt, määritysmuutokset, palveluntarjoajien kanssa tehtävät ylävirran toimenpiteet
Viestintä: mitä kerrotaan pelaajille, kumppaneille ja tarvittaessa sääntelyviranomaisille
Todisteiden kerääminen: mitä lokeja, koontinäyttöjä ja päätöksiä tallennetaan
Opitut asiat: miten tulokset heijastuvat suunnitelmiin, sääntöihin ja sopimuksiin

ISO 27001 -standardin näkökulmasta kriittinen seikka on, että nämä käsikirjat viittaa nimenomaisesti soveltamisalaan kuuluviin verkkopalveluihin ja -palveluntarjoajiinNäin jokaisesta tapauksesta voi tulla jäljitettävä todiste siitä, että A.8.21 toimii käytännössä.

ISMS.online tukee yli 100 standardia ja sääntöä, mikä tarjoaa sinulle yhden alustan kaikkiin vaatimustenmukaisuustarpeisiisi.

Varaa esittelysi

Tarkastusvalmius: dokumentaatio, palvelutasosopimukset ja todisteet A.8.21:tä varten

Tilintarkastajat ja kumppanit odottavat näkevänsä johdonmukaisen kokoelman asiakirjoja, jotka osoittavat, mitä verkkopalveluita käytät, mitä niiltä vaadit, miten niitä valvot ja mitä tapahtuu, kun asiat menevät pieleen. Kun nämä asiakirjat ovat selkeitä ja ajan tasalla, käytät vähemmän aikaa tulkinnoista väittelyyn ja enemmän aikaa itse verkon parantamiseen. Sama todistusaineisto auttaa myös sisäisiä sidosryhmiä tekemään parempia päätöksiä investoinneista ja riskeistä. Jotta A.8.21-tarkastusvalmius olisi olemassa, tarvitset johdonmukaisen kokoelman asiakirjoja, jotka kuvaavat verkkopalveluitasi, niille asettamiasi vaatimuksia, miten niitä valvot ja mitä tapahtuu, kun asiat menevät pieleen. Saman materiaalin tulisi tukea myös sisäistä päätöksentekoa, ei pelkästään sertifiointia.

Ydinesineitä

Pienen määrän jatkuvasti ajan tasalla olevien artefaktien ylläpitäminen antaa sekä tilintarkastajille että sisäisille sidosryhmille varmuuden siitä, että verkkopalveluihin liittyviä riskejä käsitellään harkitusti. Kun kaikki tietävät, mistä löytää uusimmat tiedot palveluista, standardeista ja toimittajista, keskusteluista tulee nopeampia ja kohdennetumpia. Näillä artefakteilla tulisi olla selkeät omistajat ja yksinkertaiset päivitysodotukset.

Yleensä haluat ylläpitää:

A verkkopalvelurekisteri sisäisten ja ulkoisten palveluiden, omistajien, kriittisyyden, alueiden ja keskeisten tietoturvavaatimusten luettelointi
Ajantasainen verkko- ja tietovuokaaviot näyttää pelaajien aloituskohdat, luottamusrajat, tärkeimmät hallintalaitteet ja kolmansien osapuolten yhteydet
Verkkoturvallisuusstandardit: jotka määrittelevät mallit ja vähimmäisperusvaatimukset (esimerkiksi pelipalvelimien, järjestelmänvalvojan pääsyn, VPN-verkkojen, CDN-verkkojen ja äänikeskustelun suojaaminen)
Toimittajan tiedot: sopimukset, palvelutasosopimukset ja turvallisuusarvioinnit kriittisille palveluntarjoajille
Kuvaukset kohteesta seuranta ja tapahtumiin reagointi verkkopalveluihin kytketty

Jokaiselle merkittävälle palvelulle tai kategorialle tulisi olla järkevä raja riski että ohjaus että seuranta että näyttö.

Todisteiden pitäminen synkronoituna todellisuuden kanssa

Todisteiden pitäminen synkronoituna todellisuuden kanssa tarkoittaa, että rekisterisi, kaaviosi ja standardisi vastaavat sitä, miten alusta todellisuudessa toimii tänään, eivätkä sitä, miltä se näytti vuosi sitten. Ajelehtiminen on yleistä nopeasti muuttuvissa peliympäristöissä, varsinkin kun tiimit kehittävät uusia alueita tai ominaisuuksia tiukoissa aikatauluissa, mutta hallitsematon ajelehtiminen heikentää sekä tietoturvaa että auditointiasemaasi. Yksinkertaisten päivityskoukkujen sisällyttäminen olemassa oleviin työnkulkuihin on usein tehokkaampaa kuin suuret, harvoin toteutettavat dokumentointiprojektit.

Yksi yleisimmistä ongelmista nopeasti muuttuvissa peliympäristöissä on ajautuminen: kaaviot ja rekisterit jäävät jälkeen tuotannosta. Pysyäksesi linjassa A.8.21:n kanssa:

Yhdistä verkkopalveluiden päivitykset yksinkertaisiin hallintavaiheisiin: esimerkiksi palvelun lisääminen tai muuttaminen edellyttää rekisterimerkinnän ja tarvittaessa kaavioiden ja standardien päivittämistä
Tee omistajuudesta selkeä: jokaisella palvelulla tulisi olla nimetty tekninen omistaja ja tarvittaessa liiketoiminnan tai riskien omistaja
Suunnittele säännöllisiä tarkastuksia, joissa arkkitehtuuri, tietoturva, live-operaatiot ja vaatimustenmukaisuus yhdessä varmistavat, että dokumentoitu tilannekuva vastaa edelleen käyttöönottoa.

Erityinen tietoturvallisuuden hallintajärjestelmäalusta, kuten ISMS.online, voi helpottaa tätä tarjoamalla jäsenneltyjä rekistereitä, sovellettavuuslausekkeiden hallinnan ja työnkulun, jotta verkkopalveluihin tehdyt muutokset tulevat automaattisesti esiin silloin, kun niitä tarvitaan dokumentaatioon tai hyväksyntöihin, sen sijaan, että turvauduttaisiin useisiin irrallisiin laskentataulukoihin ja kaavioihin.

Saman paketin käyttäminen auditointeihin ja liiketoimintaan

Saman A.8.21-todistepaketin käyttäminen auditoinneissa ja liiketoimintapäätöksissä auttaa perustelemaan sen ylläpitoon tarvittavan vaivan. Kun materiaali tukee myyntiä, riskikomiteoita ja tapaustarkasteluja, sidosryhmät näkevät dokumentaation osana liiketoiminnan toimintaa, eivätkä vain vuosittaisena vaatimustenmukaisuustaakkana. Tämä puolestaan helpottaa ajan ja resurssien varmistamista paketin ylläpitämiseksi hyvässä kunnossa.

Hyödyllinen A.8.21-todistepaketti voi tehdä enemmän kuin täyttää sertifioinnin vaatimukset:

Se lyhentää alustakumppaneiden ja jakelijoiden turvallisuuskyselylomakkeita
Se antaa sisäiselle tarkastukselle ja riskivaliokunnille selkeän kuvan siitä, miten verkkoriskejä hallitaan.
Se tarjoaa lähtökohdan tapahtuman jälkeisille arvioinneille ja sijoituspäätöksille

Dokumentaation ajatteleminen yhtenä uudelleenkäytettävä omaisuus – ei pelkkä tarkastustuotos – auttaa perustelemaan sen ylläpitoon käytetyn ajan.

Varaa esittely ISMS.onlinesta jo tänään

ISMS.online auttaa sinua tallentamaan verkkopalvelut, riskit, kontrollit, toimittajat ja häiriöt yhteen ISO 27001 -standardin mukaiseen ympäristöön, jotta voit muuttaa liitteen A.8.21 epämääräisestä velvoitteesta toistettavaksi tavaksi suojata verkkokokemusta kaikissa peleissäsi. Keskittämällä rekisterit, kaaviot, sopimukset ja häiriötietueet saat yhden kuvan siitä, miten verkkopalvelut tukevat tietoturvaa, suorituskykyä ja vaatimustenmukaisuutta eri peleissä ja alueilla.

Jos kartoitat liitettä A.8.21 ensimmäistä kertaa tai tiedät, että nykyinen dokumentaatiosi ja toimittajien hallintasi on pirstaloitunut, lyhyt läpikäynti voi näyttää, miltä nykyiset kaaviosi, rekisterisi ja sopimuksesi näyttäisivät jäsennellyssä tietoturvan hallintamallissa. Näin on helpompi nähdä, missä olet jo vahva, missä on ilmeiset puutteet ja miten parannuksia voidaan priorisoida hidastamatta tiimejä.

Aloita kohdennetulla pilottihankkeella

Aloittamalla kohdennetulla pilottiprojektilla voit todistaa strukturoidun tietoturvallisuuden hallintajärjestelmän arvon yhdessä pelissä tai alueella ennen sen laajentamista. Keskittymällä lippulaivapeliin tai kriittiseen maantieteelliseen alueeseen voit kerätä todellista näyttöä sujuvammista auditoinneista, selkeämmästä omistajuudesta ja nopeammista vastauksista kumppaneiden kysymyksiin ilman, että jokaista tiimiä pyydetään muuttumaan kerralla. Nämä konkreettiset hyödyt tekevät myöhempien käyttöönottojen perustelemisesta paljon helpompaa.

Voit aloittaa pilottina yhdellä lippulaivanimellä tai -alueella: tallentaa sen verkkopalvelut, linkittää ne riskeihin ja kontrolleihin, yhdistää keskeiset tarjoajat ja valvontavirrat ja luoda todistusaineiston, jonka voit mielelläsi esitellä tilintarkastajalle tai yrityskumppanille. Kun tämä malli toimii, se voidaan ottaa käyttöön muissa nimikkeissä ja alueissa paljon vähemmällä vaivalla kuin aloittamalla alusta joka kerta.

Ota sidosryhmäsi mukaan keskusteluun

Sidosryhmien, kuten tietoturvan, operatiivisten toimintojen, lakiosaston ja johdon, tuominen yhteiseen näkemykseen A.8.21-standardista tekee vaatimustenmukaisuudesta yhteisen investoinnin resilienssiin, ei kapea-alainen auditointitehtävä. Kun ihmiset koko organisaatiosta näkevät, miten verkkopalvelut, toimittajat ja häiriöt sopivat yhteen, he todennäköisemmin tukevat muutoksia, jotka vahvistavat koko järjestelmää. Live-esittely tekee tästä usein paljon helpompaa kuin staattiset asiakirjat.

Jos haluat peliverkostojesi olevan selkeästi määriteltyjä, hyvin hallinnoituja ja helposti ISO 27001 A.8.21 -standardin mukaisia – ja arvostat yhtä alustaa, joka yksinkertaistaa rekistereitä, toimittajatietoja ja tapausten jäljitystä – ISMS.online on vahva vaihtoehto. Istunnon järjestäminen, jossa sidosryhmäsi voivat nähdä, miten tämä toimisi omien nimikkeidesi kanssa, on yksinkertainen tapa päättää, sopiiko tämä lähestymistapa organisaatiollesi, ja suunnitella seuraavat vaiheet yhdessä.

Varaa demo

Usein Kysytyt Kysymykset

Miten nettipelialustan tulisi tulkita ISO 27001 A.8.21 -standardia selkokielellä?

ISO 27001 A.8.21 -standardi edellyttää, että olet harkitsevainen jokaisen verkkopalvelun suhteen, josta pelisi on riippuvainen, ja että osoitat, että suunnittelet, käytät ja tarkistat kyseiset palvelut turvallisuus ja vikasietoisuus mielessäsi.

Mitä A.8.21 oikeastaan tarkistaa pelikontekstissa?

Arkipäiväisesti sanottuna sinun pitäisi pystyä vastaamaan todisteilla eikä heimotiedolla:

Millä verkkopalveluilla on oikeasti merkitystä: pelaajille, pelattavuudelle, toiminnalle ja tuloille.
Miltä "hyvä" näyttää kunkin palvelun osalta: (turvallisuus, saatavuus, latenssi, valvonta, palautuminen).
Missä nuo odotukset elävät: kaavioissa, konfiguraatioissa, infrastruktuurikoodina, sopimuksissa ja runbookeissa.
Näin pidät ne ajan tasalla: alustasi, alueiden ja ominaisuuksien kehittyessä.

Tyypillisessä nettipelissä "verkkopalvelut" kattavat kaikki komponentit, jotka siirtävät tai paljastavat pelaaja-, peli- tai operatiivisia tietoja, riippumatta siitä, käytätkö peliä vai ostatko sen:

Kirjautumis-, tili- ja profiili-APIt
Matchmaking, aulat, allokointi ja peliportit
Reaaliaikaiset pelipalvelimet, releet ja tilan suoratoisto
Ääni-, chat-, läsnäolo-, seurue-/kilta- ja moderointipalvelut
Maksut, oikeudet ja alusta-/myymäläintegraatiot
WAF-verkot, palomuurit, DDoS-suojaus, huijausvastaiset taustajärjestelmät ja havainnointipinot

A.8.21 ei määrää tiettyä arkkitehtuuria. Se edellyttää tahallinen hallinto:

A verkkopalvelurekisteri omistajien, tarkoituksen, alueiden ja kriittisyyden kanssa.
Tietoturvan ja sietokyvyn lähtötasot: palvelua kohden (salaus, segmentointi, todennus, lokikirjaus, kapasiteetti, vikasietoisuus).
Nuo lähtökohdat heijastuvat suunnittelut, konfiguroinnit ja sopimukset, ei vain käytäntödioissa.
Säännölliset tarkastelut: Joten rekisteri heijastaa tämän päivän live-peliä, ei viime vuoden valkotaulua.

Jos keskität kyseisen rekisterin, riskit, kontrollit ja todisteet tietoturvan hallintajärjestelmään, kuten ISMS.onlineen, voit ohjata auditoijaa selkeästi A.8.21:n sanamuodosta konkreettisiin palveluihin, kaavioihin ja päätöksiin, jotka pitävät toimintasi turvallisena.

Mitkä pelipinon verkkopalvelut tulisi aina sisällyttää A.8.21-standardin soveltamisalaan?

Kaikki verkkoon kytketyt komponentit, joiden vikaantuminen, virheellinen konfigurointi tai vaarantuminen vahingoittaisi pelattavuutta, pelaajia, kumppaneita tai tuloja, tulisi nimenomaisesti sijoittaa kohdan A.8.21 alle.

Miten studio voi laatia käytännöllisen luettelon sisällöstä?

Yksinkertainen, käytännössä hyvin toimiva testi on:

Jos tämä palvelu pysähtyy, konfiguroidaan väärin tai sitä vastaan hyökätään, huomaavatko pelaajat sen, välittävätkö sääntelyviranomaiset tai kumppanit siitä, vai vaarantuvatko rahat tai toiminta?

Jos vastaus on Joo, käsittele sitä soveltamisalaan kuuluvana.

Useimmat alustat tarjoavat palveluita useilla tasoilla:

Reuna ja sisääntulo: DNS, CDN:t, liikenteenhallintajärjestelmät, API-yhdyskäytävät, kirjautumis- ja istuntopäätepisteet, web-käyttöliittymät.
Ydinpeli: matchmaking, aula- ja allokointipalvelut, alueelliset pelipalvelimet, välitysverkot, tilareplikointi.
Sosiaalinen kerros: teksti- ja äänikeskustelu, läsnäolo, kaveri- ja ryhmäjärjestelmät, yhteisön moderointityökalut.
Kaupankäynti ja alustat: maksuyhdyskäytävät, oikeuksien tarkistukset, varastopalvelut, konsoli-/sovelluskauppaintegraatiot, kampanjajärjestelmät.
Turvallisuus ja näkyvyys: WAF-verkot, palomuurit, VPN-keskittimet, DDoS-pyyhkäisyjen puhdistus, huijausnestojärjestelmät, lokikirjausputket, SIEM/SOAR, hallintakonsolit.

Kunkin A.8.21-kohdan piiriin kuuluvan palvelun osalta sinun odotetaan tekevän seuraavaa:

Määritä nimetty palvelun omistaja selkeällä vastuulla.
kaapata keskeiset vaatimukset (esimerkiksi TLS-versiot, IP-sallittujen osoitteiden listat, geoaitaus, nopeusrajoitukset, viivebudjetit, lokitietojen yksityiskohdat).
Yhdistä nuo vaatimukset todellisia esineitäkaaviot, palomuurikäytännöt, suojausryhmät, Terraform-moduulit, Helm-kaaviot, palvelutasosopimukset.

ISMS.online-palvelussa voit pitää palvelurekisteriä nimikkeen, ympäristön ja alueen mukaan, yhdistää sen ISO 27001 -standardin mukaisiin kontrolleihin ja riskeihin ja välttää yleisen kaavan, jossa yhden insinöörin laskentataulukosta tulee ainoa totuuden lähde.

Miten voit suunnitella matalan latenssin peliarkkitehtuurin, joka silti täyttää A.8.21-odotukset?

Viiveherkässä ympäristössä täytät A.8.21-vaatimuksen olemalla selkeä siitä, missä käytät ohjaimia, miten segmentoit työnkulkuja ja miten todistat, että nämä valinnat ovat tarkoituksellisia eivätkä ad hoc -suorituskyvyn säätöjä.

Mitkä suunnittelumallit toimivat hyvin sekä latenssin että hallinnan kannalta?

Studiot, jotka tasapainottavat kilpailun viivettä vankan hallinnon kanssa, yhdistävät yleensä seuraavanlaisia toimintamalleja:

Polkujen selkeä segmentointi: Pidä reaaliaikainen pelaajaliikenne (matchmaking, pelin tila, ääni) tarkasti rajatuissa segmenteissä ja erota taustatoimisto-/hallintaverkot hallituilla yhdyskäytävillä.
Valvonta alueellisilla reunoilla: lopeta TLS ja ota käyttöön WAF/API-käytännöt alueellisissa POP-pisteissä tai yhdyskäytävissä pelaajien lähellä, ja pidä sitten sisäiset polut yksinkertaisina, hyvin dokumentoituina ja valvottuina.
Vahvistetut hallintapinnat: Sijoita hallintakonsolit, määritystyökalut ja havainnointikojelaudat VPN:n tai nollaluottamusperiaatteella toteutetun käyttöoikeuden taakse vahvalla monitoimisen autentikoinnin (MFA), roolipohjaisen käyttöoikeuden ja yksityiskohtaisen lokikirjauksen avulla.
Ennalta määritellyt hajoamistilat: päätä etukäteen, miten kukin kriittinen palvelu käyttäytyy kuormituksen tai hyökkäyksen aikana: mitkä ominaisuudet heikkenevät häiriöttömästi, mitkä puhelut ovat nopeusrajoitettuja, mitkä polut sulkeutuvat vikaan tai ohjautuvat lämpimiin vara-alueisiin.

A.8.21-näkökulmasta tilintarkastajat kysyvät pääasiassa:

Onko sinulla standardit jotka kuvaavat pelin, hallinnan, CDN:n, äänen, maksujen ja muiden palveluluokkien suositeltuja malleja?
Tee sinun verkko- ja tietovuokaaviot heijastavatko nämä standardit kullekin ympäristölle ja alueelle?
Tee sinun todelliset toteutukset (kokoonpanot, IaC, palomuurisäännöt) vastaavatko kaavioiden ja standardien väitteitä?

Kun tallennat nämä standardit, kaaviot, hyväksynnät ja muutostietueet ISMS.online-palveluun, on helppo osoittaa, että verkkopalvelusi on suunniteltu tarkoituksella suojaamaan pelaajia ja liiketoimintaa lisäämättä tarpeetonta viivettä tai aiheuttamatta vahingossa tapahtuvaa altistumista.

Miten kolmannen osapuolen CDN-verkkoja, DDoS-palveluntarjoajia ja ääni-/chat-alustoja tulisi säännellä A.8.21-pykälän mukaisesti?

A.8.21:n mukaan kolmannen osapuolen verkkopalvelut ovat osa tietoturva- ja saatavuustasoasi, eivätkä "jonkun muun ongelma", joten sinun odotetaan kertovan, mitä tarvitset heiltä, ja hallinnoivan näitä suhteita ajan mittaan.

Mitä ulkoisten verkkopalveluiden vahva hallinta tarkoittaa?

CDN-verkkojen, DDoS-etsintäkeskusten, ääni-/chat-alustojen, pilvipohjaisten matchmaking- tai huijausnestojärjestelmien osalta haluat yleensä näyttää:

Palvelutyypin mukaiset tekniset perustasot: esimerkiksi vaaditut TLS-versiot ja salauspaketit, alkuperän suojausmallit, lokitietojen syvyys, DDoS-hyökkäysten lieventämiskynnykset, nopeutta rajoittavat profiilit ja väärinkäytösten eskalointiyhteyshenkilöt.
Sopimusten ja palvelutasosopimusten tietoturva- ja vikasietoisuusehdot: saatavuus- ja latenssitavoitteet, lieventämiskapasiteetti, tapahtumien ilmoitusajat, tietojen käsittely- ja säilytyssäännöt, tietojen sijaintitakuut, alihankkijoiden läpinäkyvyys.
Strukturoitu perehdytys: due diligence- ja tietoturvakyselyt, pilottihankkeiden käyttöönotot, läpäisykyky- ja viivetestaus, tietoturvatestien tulokset ja viralliset hyväksynnät ennen tuotantoliikenteen siirtämistä.
Säännölliset suorituskyky- ja riskiarvioinnit: aikataulutetut tarkistukset reaaliaikaisten tietojen perusteella – käyttöaika, viivejakaumat, tapahtumahistoria, korjaustoimenpiteet, tunkeutumistestien tai riippumattomien arviointien tulokset – sekä päätetyt toimenpiteet, jos palveluntarjoaja epäonnistuu.

Tilintarkastaja odottaa yleensä, että johdonmukainen todistusaineisto jokaiselle ulkoiselle verkkopalvelulle, johon olet riippuvainen:

Toimittajien riskienarvioinnit ja päätökset.
Rekisterissäsi nimettyihin palveluihin liittyvät sopimukset, palvelutasosopimukset ja turvallisuusluettelot.
Viittaukset määritysten peruslinjoihin (esimerkiksi pakolliset otsikot, todennusmallit, IP-osoitealueet).
Tarkista muistiinpanot ja seuratut parannukset.

ISMS.online voi tallentaa toimittajien riskejä, kontrollikartoituksia, sopimuksia ja arviointien tuloksia A.8.21-kontrollitietueidesi rinnalla, jotta voit osoittaa, että ulkoiset verkkopalvelut ovat näkyvissä, omistuksessa ja hallinnassa sen sijaan, että ne olisivat hajallaan henkilökohtaisissa postilaatikoissa ja jaetuilla asemilla.

Miten valvonnan, lokinnuksen ja tapauksiin reagoinnin tulisi tukea A.8.21:tä palvelunestohyökkäysten, huijauksen ja tilin kaappauksen uhkien varalta?

Koska A.8.21 kattaa verkkopalveluiden "turvallisen hallinnan", se ulottuu myös siihen, miten näitä palveluita tarkkaillaan, miten normaali kysyntä erotetaan vihamielisestä toiminnasta ja miten reagoidaan, kun käytös ylittää rajan.

Miltä tämä näyttää operatiivisten tiimien arkipäivässä?

Verkkopelissä valvonnan ja reagoinnin yhdenmukaistaminen A.8.21:n kanssa tarkoittaa yleensä sitä, että voit osoittaa:

Yhdistetty telemetria: Verkkokerroksen mittarit (liikennemäärät, IP-alueet, maantieteelliset sijainnit, protokollayhdistelmä) korreloivat sovellustason tapahtumien (kirjautumisvirheet, epäilyttävät liikkumismallit, huijaussignaalit) kanssa. Tämä auttaa erottamaan markkinointipiikin tunnistetietojen täyttö- tai bottien ohjaamasta huijauskampanjasta.
Määritellyt lokitietojen odotukset: selkeät vaatimukset sille, mitä reunoja, yhdyskäytäviä, pelien taustajärjestelmiä, sosiaalisia palveluita ja hallintatyökaluja on tallennettava lokiin, miten aika synkronoidaan, kuinka kauan lokeja säilytetään ja miten pääsyä näihin lokeihin valvotaan.
Nimetyt pelikirjat: Palvelunestohyökkäysten, huijausaaltojen ja tilinhaltuunottoskenaarioiden tapahtumakäsikirjat, jotka sisältävät sovitut laukaisevat tekijät, alustavat prioriteettivaiheet, eskalointipolut (sisäiset tiimit ja ulkoiset palveluntarjoajat), viestintämallit ja todisteiden keräämisen tarkistuslistat.
Harjoiteltuja harjoituksia: aikataulun mukaiset pelipäivät tai kontrolloidut harjoitukset, joissa testataan verkkokeskeisiä skenaarioita ei-tuotannollisissa tai rajoitetuissa tuotantoikkunoissa ja validoidaan tarkoituksella hälytyskynnyksiä, päivystysvuoroja ja palveluntarjoajasopimuksia.
Hallinnon palautesilmukat: Tapahtuman jälkeiset arvioinnit, jotka syötetään verkkopalvelurekisteriin, riskirekisteriin, toimittajien arviointeihin ja muutoshallintaan, jotta valvontaympäristö mukautuu hyökkääjien ja arkkitehtuurisi muuttuessa.

Kun jokainen merkittävä tapaus tuottaa tiiviin joukon hälytyksiä, päätöksiä, aikatauluja ja seurantatoimia, jotka on sidottu kyseisiin palveluihin, A.8.21-todisteesi melkein kirjoittaa itse itsensä. Näiden käsikirjojen, tapaustietojen ja parannustoimien säilyttäminen ISMS.online-järjestelmässä antaa sinulle mahdollisuuden osoittaa tilintarkastajille, kuinka toiminnot, riskienhallinta ja toimittajien hallinta liittyvät kaikki toisiinsa samojen palveluiden kautta.

Mitä näyttöä ISO 27001 -auditointiyritys odottaa näkevänsä A.8.21-kohdan osalta verkkopeliympäristössä?

Tilintarkastajat etsivät ajantasaista ja perusteltavissa olevaa kuvaa verkkopalveluistasi, selkeitä odotuksia kullekin palvelulle sekä todisteita siitä, että näitä odotuksia toteutetaan ja tarkistetaan ilman, että he turvautuvat muutaman yksilön muistikuviin.

Mitä esineitä kannattaa luoda ja säilyttää?

Useimmat pelialan organisaatiot täyttävät A.8.21-vaatimuksen kohdennetulla todistusaineistolla, joka sisältää:

Ylläpidetty verkkopalvelurekisteri sisäisille ja kolmannen osapuolen palveluille, joista käyvät ilmi omistajat, tarkoitus, alueet, kriittisyys ja keskeiset tietoturva-/sietoisuusvaatimukset.
Verkko- ja tietovuokaaviot: jotka havainnollistavat, miten pelaajat, henkilökunta, kumppanit ja palveluntarjoajat ovat yhteydessä toisiinsa ja missä sijaitsevat tärkeimmät hallintalaitteet (esimerkiksi WAF:t, VPN:t, segmentointi, välitysklusterit).
suppea verkko- ja palvelustandardit jotka kuvaavat ISO 27001 -standardin mukaisia ensisijaisia toimintamalleja palveluluokille, kuten pelipalvelimet, järjestelmänvalvojan käyttöoikeudet, CDN:t, ääni-/chat-palvelut, maksut ja havaittavuus.
Toimittajien hallintotapaa koskevat tiedot: palveluntarjoajille, jotka kuuluvat tämän piiriin: käyttöönottopäätökset, palvelutasosopimukset ja tietoturva-aikataulut, riskinarvioinnit, testausyhteenvedot ja säännölliset tarkastusmuistiinpanot.
Kuvaukset kohteesta seuranta-, hälytys- ja reagointijärjestelyt jotka viittaavat rekisterissäsi oleviin verkkopalveluihin, sekä kourallinen viimeaikaisia esimerkkejä, joissa näitä järjestelyjä on käytetty.
Pieni valikoima muuttaa ja tarkastella tietueita (esimerkiksi uudet alueet, CDN-siirrot, merkittävät topologian muutokset), jotka osoittavat, miten vaatimuksia tarkastellaan ympäristösi kehittyessä.

Kun nämä artefaktit sijaitsevat yhdessä ISMS.online-palvelussa nimettyjen omistajien ja versiohistorian kera, auditoinnin valmistelusta tulee pitkälti jo alustan pyörittämiseen käyttämäsi materiaalin järjestämistä. Tämä helpottaa A.8.21-standardin todentamista ja asettaa sinut sidosryhmien silmissä tiimiksi, joka hallitsee verkkopalveluita elävänä osana peliä sen sijaan, että se olisi kertaluonteinen vaatimustenmukaisuusharjoitus, jota tarkastellaan uudelleen vasta seuraavan auditointipäivämäärän häämöttäessä.

ISO 27001 A.8.21 – Verkkopalveluiden suojaaminen pelialustoille