Sivuttaisliikkeen pysäyttäminen – ISO 27001 -standardin mukainen pääsynhallintastrategia MSPS:lle

Sivuttaisliike antaa hyökkääjille mahdollisuuden muuttaa yhden tietomurron usean asiakkaan kriisiksi MSP:ille. Kartoittamalla riskit ja vahvistamalla identiteetin, etuoikeuksien ja verkon hallintaa ISO 27001 -standardin avulla voit paikata tunkeilijoiden hyödyntämät aukot. Tämä jäsennelty lähestymistapa auttaa suojaamaan mainettasi, pitää asiakkaasi turvassa ja varmistaa sääntelyviranomaisille selkeät, näyttöön perustuvat turvatoimenpiteet.

kirjailija

Mark Sharron

Päivitetty joulukuu 1, 2025

Miksi sivuttaisliike on niin vakava ongelma meripelastushenkilöille?

Sivuttaisliike on erittäin vakava asia MSP-palveluntarjoajille, koska yhdestä vaarantuneesta järjestelmästä voi nopeasti tulla silta moniin asiakasympäristöihin. Kun hyökkääjät voivat käyttää tunnistetietoja uudelleen tai kulkea huonosti eriytettyjen verkkojen läpi, he siirtyvät hiljaa kohti hallinnoimiasi arvokkaimpia järjestelmiä ja palveluita. Juuri tämä kaava muuttaa yhden vaarantuneen tunnistetiedon tai päätepisteen usean asiakkaan ongelmaksi. Etähallintatyökalusi, etuoikeutetut hallintapolkusi ja integraatiosi yhdistävät usein kymmeniä tai satoja asiakasympäristöjä, joten mikä tahansa heikkous suunnittelussa ja käyttöoikeuksien hallinnassa voi lisätä merkittävästi tietomurron laajuutta. ISO 27001 tarjoaa jäsennellyn tavan käsitellä tätä nimettynä riskinä ja suunnitella suojaustoimenpiteitä siten, että hyökkääjät osuvat seiniin eivätkä avaa ovia.

Tunkeilijan helpoin reitti on se, jota kenenkään ei uskota hallitsevan tai edes huomaavan.

Haluttujen palveluiden tarjoajille (MSP) lateraalinen siirtyminen on malli, joka muuttaa yhden vaarantuneen tunnistetiedon tai päätepisteen usean asiakkaan tapahtumaksi. Etähallintatyökalusi, etuoikeutetut hallintapolkusi ja integraatiosi yhdistävät usein kymmeniä tai satoja asiakasympäristöjä, joten mikä tahansa heikkous käyttöoikeuksien suunnittelussa ja hallinnassa voi lisätä merkittävästi tietomurron laajuutta. ISO 27001 tarjoaa jäsennellyn tavan käsitellä tätä nimettynä riskinä ja suunnitella hallintakeinot niin, että hyökkääjät osuvat seiniin eivätkä avaa ovia.

Nämä tiedot ovat yleisiä eivätkä korvaa pätevien ammattilaisten antamia laki-, sääntely- tai sertifiointineuvoja.

Miksi hyökkääjät rakastavat MSP:itä sivuttaisliikkeen vuoksi

Hyökkääjät arvostavat MSP:itä, koska alustasi ja henkilöstösi keskittävät tehokkaat ja luotettavat käyttöoikeudet moniin eri asiakasympäristöihin. Yksi jalansija työkaluissasi tai insinööritileilläsi voi antaa heille hiljaisen reitin useisiin vuokralaisiin ilman, että jokaisen asiakkaan tietoihin tarvitsee murtautua suoraan. Tämä tekee sinusta ihanteellisen "saarelta toiselle" -kohteen, jossa he voivat hyödyntää käyttöoikeuksiasi useisiin alavirran ympäristöihin.

Sinä ja työkalusi olette usein:

Monet asiakkaat luottavat
Sallittu palomuurien ja VPN-yhteyksien läpi
Agenttien tai hallintatilien suorittaminen palvelimilla, päätepisteissä ja pilvipalveluissa

Yleinen kaava on, että hyökkääjä huijaa yhtä insinööreistäsi tai hyödyntää etähallinta- tai tiketöintijärjestelmässäsi olevaa haavoittuvuutta. He saavat alustavan pääsyn sisäiseen ympäristöösi tai konsoliin, joka on yhteydessä useisiin asiakkaisiin. Sieltä he yrittävät käyttää tunnistetietoja uudelleen, siirtyä etäkäyttötyökalujen avulla tai siirtyä asiakasverkkoihin ja pilvivuokralaisiin. Jos käyttöoikeuksien hallintamallisi on epätasainen ja valvonta heikkoa, he saattavat vaeltaa pitkään ennen kuin huomaat sen, jolloin yhdestä heikkoudesta tulee usean asiakkaan kriisi.

Mitä sivuttaisliike käytännössä tarkoittaa yrityksellesi

Sivuttaisliike muuttaa yksittäisen tietoturvahäiriön usean asiakkaan ja usean sopimuksen kriisiksi, joka voi vahingoittaa luottamusta, tuloja ja sääntelyyn liittyviä suhteita. Koska toimit keskellä useita asiakasympäristöjä, räjähdyssäteesi on luonnollisesti suurempi kuin useimmilla organisaatioilla.

Liiketoiminnan ja vaatimustenmukaisuuden näkökulmasta sivuttaisliikkeellä on kolme kovaa seurausta:

Keskittynyt vaikutus: – Yksi kompromissi voi vaikuttaa samanaikaisesti kymmeniin sopimuksiin, palvelutasosopimuksiin ja tietosuojasitoumuksiin.
Vaikea syy-seuranta: – Asiakkaiden voi olla vaikea nähdä, oliko vika heidän kontrollissaan, sinun kontrollissasi vai siinä, miten nämä kaksi yhdistettiin.
Sääntelyn vaikutuksen alainen: – Jos tuet säänneltyjä sektoreita, sääntelyviranomaiset saattavat kyseenalaistaa, miten olet suunnitellut ja hallinnut pääsyä heidän ympäristöihinsä.

Comply-vaiheen MSP-toimittajille, jotka pyrkivät kohti ensimmäistä ISO 27001 -sertifiointiaan, tämä on usein se riski, joka lopulta vakuuttaa sidosryhmät investoimaan jäsenneltyyn pääsynhallintaan ad hoc -käytäntöjen sijaan. Strength-vaiheen MSP-toimittajille, joilla on jo tietoturvanhallintajärjestelmä, sivuttaisliikkeen selkeä käsittely on yleensä se, mikä siirtää heidät läpimenotarkastuksista vakavien tapausten hallintaan.

ISO 27001 -standardin avulla voit reagoida tähän todellisuuteen jäsennellysti. Määrittelet sivuttaisliikkeen riskiksi arvioinnissasi, valitset asiaankuuluvat liitteen A mukaiset kontrollit identiteetin, etuoikeuksien, erottelun ja valvonnan osalta ja dokumentoit toimintasi sovellettavuuslausunnossasi. Näin meillä on mielestämme turvallinen tilanne, jossa meillä on sovittu, auditoitava järjestelmä hyökkääjän liikkumisvapauden rajoittamiseksi.

Kun käsittelet lateraalista liikkuvuutta eksplisiittisesti tietoturvallisuuden hallintajärjestelmässäsi (ISMS), saat pohjan selittää hallituksille, tilintarkastajille ja asiakkaille paitsi sitä, miten yrität estää tietomurtoja, myös sitä, miten rajoitat niitä, kun ennaltaehkäisy epäonnistuu.

Varaa demo

Miten sivuttaisliike tyypillisesti tapahtuu MSP- ja monivuokralaisympäristöissä?

Sivuttaisliike MSP-ympäristöissä noudattaa yleensä tuttua järjestystä: ensimmäinen käyttöoikeus, oikeuksien laajentaminen, sivuttaisliike järjestelmien ja vuokralaisten välillä ja sitten vaikutus. Kun ymmärrät tämän ketjun, voit suunnitella ISO 27001 -standardin mukaisia käyttöoikeuksien hallintamekanismeja, jotka katkaisevat sen useissa kohdissa.

Tyypillinen hyökkäys alkaa yhdestä heikosta kohdasta, kuten tietojenkalasteluyrityksen kohteena olevasta ylläpitäjästä, päivittämättömästä internet-palvelusta tai huonosti suojatusta etäkäyttötyökalusta. Tästä eteenpäin hyökkääjät etsivät jaettuja tunnistetietoja, liian laajoja rooleja, latteita verkkoja ja valvomattomia hallintapolkuja, jotta he voivat siirtyä järjestelmästä toiseen ja lopulta omasta ympäristöstäsi asiakasympäristöihin.

Tyypillinen MSP:n sivuttaisliikkeen tappoketju

Tyypillinen MSP:n sivuttaisliikkeen kill-ketju osoittaa, kuinka yksi heikkous voi eskaloitua usean käyttäjän tietoturvaongelmaksi, jos pääsynhallinta ja valvonta ovat heikkoja. Käymällä läpi jokaisen vaiheen voit nähdä, missä identiteetin, erottelun ja lokitietojen pitäisi vaikeuttaa ja tehdä hyökkääjälle näkyvämmäksi etenemistä.

Yksinkertaistettu versio näyttää usein tältä:

Alkuperäinen jalansija – Hyökkääjä pääsee sisään varastamalla insinöörin tunnistetiedot, hyödyntämällä vaarantunutta palvelua tai väärinkäyttämällä kolmannen osapuolen integraatiota.
Löytö ja etuoikeuksien lisääntyminen – Ne kartoittavat identiteetti-infrastruktuuriasi ja -työkalujasi etsien välimuistissa olevia salaisuuksia, heikkoja rooleja tai väärin määritettyjä konsoleita, joiden avulla ne voivat päivittää käyttöoikeuksiaan.
Itä-länsi-liike ja vuokralaisten vaihtuminen – Korkeampien käyttöoikeuksien tai hallintatyökalun avulla ne voivat siirtyä sisäisten järjestelmien välillä ja siirtyä asiakasympäristöihin luotettujen käyttöpolkujesi kautta.
Vaikutus ja pysyvyys – He käyttävät haittaohjelmia, vuotavat tietoja ja luovat takaportteja yrittäessään poistaa valvontasi käytöstä tai kiertää sitä.

Jokainen vaihe on mahdollista tai estetty sen mukaan, miten suunnittelet identiteetin, etuoikeuksien ja verkon hallintatyökalut. ISO 27001 tarjoaa viitekehyksen näiden hallintatyökalujen määrittelyyn, toteuttamiseen ja tarkistamiseen, jotta jokainen vaihe vaikeutuu, riskialttiimmaksi ja näkyvämmäksi.

Usean käyttäjän tietomurto alkaa usein arkipäiväisillä työkaluilla ja prosesseilla pikemminkin kuin eksoottisilla hyökkäyksillä, jotka näkyvät vain otsikoissa. Jos insinöörisi pääsevät useisiin asiakasympäristöihin pienestä määrästä konsoleita ja tilejä, hyökkääjä, joka murtaa nämä reitit, voi nopeasti saada laajan ulottuvuuden.

Kuvittele MSP, joka hallinnoi kymmeniä pienyrityksiä jaetun etävalvonta-alustan avulla, keskitetyllä identiteetintarjoajalla, jolla on vuokralaisten väliset järjestelmänvalvojan roolit, sekä VPN- tai etätyöpöytäyhteydellä asiakasverkkoihin. Yhdenkin insinöörin järjestelmänvalvojan tili on vaarantunut. Erillistä järjestelmänvalvojan työasemaa ei ole, monivaiheinen todennus on epäjohdonmukainen ja palvelutilejä käytetään useilla eri asiakkailla. Verkon segmentointi on minimaalista; hallintaverkot ja asiakasverkot ovat vain löyhästi erillään.

Tässä skenaariossa hyökkääjä voi käyttää järjestelmänvalvojan hallintaoikeuksia työkalujen jakamiseen useisiin asiakasympäristöihin ja siirtyä sitten asiakkaiden Active Directory -verkkotunnuksiin tai pilvivuokraajiin tallennettujen tunnistetietojen avulla. Valvonta on rajallista, joten epätavallista itä-länsi-suuntaista liikennettä ja etuoikeutettuja kirjautumisia ei merkitä riittävän nopeasti vahinkojen rajoittamiseksi.

Jos tietoturvajärjestelmäsi ei käsittele sivuttaisliikkeen riskiä erikseen, sinulla ei ehkä ole määriteltyjä käyttöoikeusrajoja sisäisten ja asiakkaiden tilojen välillä, dokumentoituja sääntöjä vuokralaisten väliselle pääsylle ja hätätilanteiden hallintaoikeuksien laajentumiselle tai keskitettyä lokitusta, joka korreloi tapahtumia työkalujen ja vuokralaisten välillä. Sitä vastoin ISO 27001 -standardin mukaisen hallintapalvelun pitäisi pystyä osoittamaan, että identiteetin ja käyttöoikeuksien hallinta rajoittaa kunkin insinöörin pääsyä, etuoikeutetut toiminnot kirjataan ja tarkistetaan, ja verkon ja alustan suunnittelu rajoittaa yhden tilin käyttöä yleismaailmallisena perusavaimena.

Jos haluat muuttaa tällaisen skenaariokartoituksen konkreettisiksi, auditoitaviksi kontrolleiksi, ISMS-alusta, kuten ISMS.online, voi auttaa sinua linkittämään riskit, käytännöt, roolit ja todisteet yhteen paikkaan sen sijaan, että ne olisivat hajallaan eri dokumenteissa ja työkaluissa.

ISMS.online antaa sinulle 81 %:n etumatkan heti sisäänkirjautumisestasi lähtien.

ISO 27001 helposti

Olemme tehneet kovan työn puolestasi ja antavat sinulle 81 % etumatkan kirjautuessasi sisään. Sinun tarvitsee vain täyttää tyhjät kohdat.

Aloita

Mitkä pääsynhallinnan aukot tekevät MSP:istä erityisen alttiita sivuttaisliikkeelle?

Käyttöoikeuksien hallinnan aukot, jotka altistavat MSP:t sivuttaissiirrolle, ovat yleensä tuttuja heikkouksia, joita ei ole koskaan täysin korjattu. Koska yrityksesi on riippuvainen jaetuista työkaluista, laajasta tavoittavuudesta ja tehokkaasta automaatiosta, identiteetin, käyttöoikeuksien, verkkojen ja valvonnan hallinnan epäjohdonmukaisuus voi jättää laajoja sivupolkuja avoimiksi hyökkääjän päästessä sisään.

Nämä puutteet pysyvät usein ennallaan, koska niitä on vaikea havaita kiireisten toimintojen sisältä. ISO 27001 -standardi auttaa sinua nimeämään ja omistamaan ne ja valitsemaan sitten liitteen A mukaisia kontrolleja, jotka korjaavat ne riskiperusteisesti sen sijaan, että turvautuisit kertaluonteisiin korjauksiin.

Identiteetti- ja etuoikeuskuilut avaavat ovia

Identiteetin ja pääsynhallinnan heikkoudet ovat ensisijainen lateraalisen siirtymisen mahdollistaja MSP-ympäristöissä, koska ne keskittävät hiljaa valtaa pienelle määrälle tilejä. Hyökkääjät haluavat täsmälleen saman asian, jota insinöörisi arvostavat: tunnistetiedot, jotka toimivat kaikkialla.

Yleisiä ongelmia ovat:

Jaetut tai yleiset tilit: joita insinöörit tai palvelut käyttävät yhdessä, mikä vaikeuttaa toimintojen kohdistamista tai pienimpien oikeuksien soveltamista.
Yli-etuoikeutetut roolit: jossa jokapäiväisellä tukihenkilöstöllä on laajat oikeudet monien asiakkaiden suhteen "varmuuden vuoksi".
Epäjohdonmukainen monivaiheinen todennus (MFA): etuoikeutetuilla tileillä, vanhoissa järjestelmissä ja kolmannen osapuolen työkaluilla.
Heikot liittyjä–liikkuja–jättöprosessit: jotka jättävät käyttämättömiä tai liikaa tilejä henkilöstön vaihtaessa roolia tai lähtiessä.
Palvelutilit käytetään uudelleen vuokraajien kesken: , joten yhden asiakkaan tai sisäisen järjestelmän vaarantaminen avaa pääsyn moniin muihin.

Nämä mallit antavat hyökkääjille pienen määrän tehokkaita identiteettejä, jotka yhdistävät sisäisen ympäristösi ja useat asiakaskunnat. ISO 27001:2022 -standardin mukaan liitteen A.5.15 (käyttöoikeuksien hallinta), A.5.16 (identiteetinhallinta), A.5.18 (käyttöoikeudet) ja A.8.2 (etuoikeutetut käyttöoikeudet) kaltaiset kontrollit ovat selkeitä vipuja, joita voit käyttää identiteettihyökkäysten pinta-alan pienentämiseksi. Ne ohjaavat sinua kohti yksilöllisiä tilejä, roolipohjaista käyttöoikeuksien hallintaa, strukturoituja käyttöönotto- ja hyväksyntätyönkulkuja sekä säännöllisiä käyttöoikeuksien tarkistuksia.

Kun näet, kuinka monta insinööriä voi tavoittaa kuinka monta vuokralaista kuinka vähillä rajoituksilla, käy ilmeiseksi, miksi hyökkääjät jatkavat MSP-identiteettisäilöjen kohdistamista. Näiden odotusten sisällyttäminen käytäntöihisi ja tietoturvanhallintajärjestelmiisi helpottaa huomattavasti sellaisten identiteettimallien havaitsemista ja korjaamista, jotka lisäävät hiljaisesti sivuttaissiirtymän riskiä, olitpa sitten vasta aloittamassa ensimmäistä ISO 27001 -projektiasi tai viritmässä vakiintunutta ohjausjärjestelmää.

Verkko- ja valvonta-aukot, jotka pitävät hyökkääjät näkymättöminä

Vahvemmista identiteettivalvonnoista huolimatta tasaiset verkot ja rajoitettu näkyvyys mahdollistavat hyökkääjien liikkumisen sivuttain pitkään tietomurron jälkeen. Sivuttainen liikkuminen kukoistaa ympäristöissä, joissa liikenne virtaa vapaasti ja epäilyttävä toiminta sulautuu normaaliin toimintaan.

Tyypillisiä aukkoja ovat:

Minimaalinen segmentointi: sisäisten yritysverkkojen, hallintaverkkojen ja asiakkaiden VPN-yhdyskäytävien tai etäkäyttöpolkujen välillä.
Rajoittamattomat hallintatasot: , jossa etähallinta-, varmuuskopiointi- ja etätyöpöytäkonsolit sijaitsevat huonosti valvotuilla alueilla.
Harva hakkuu: keskeisistä järjestelmistä, kuten etähallinta-alustoista, identiteetintarjoajista, VPN-verkoista ja palomuureista, tai lokeista, joita ei ole keskitetty ja korreloitu.
Käyttäytymisen seurannan puute: etuoikeutettujen istuntojen tapauksessa, kuten epätavallisissa kirjautumisajoissa, odottamattomien työkalujen suorituksissa tai massamuutoksissa.

Näiden heikkouksien ansiosta hyökkääjä voi helpommin skannata ja löytää uusia isäntiä ja vuokralaisia, siirtyä yhden asiakkaan ympäristöstä toiseen jaetun infrastruktuurin kautta ja peittää jälkensä hyödyntämällä näkyvyytesi sokeita pisteitä.

ISO 27001:2022 -standardin tekniset kontrollit tarjoavat vastavoimaa. Liitteet A.8.20 (verkon tietoturva), A.8.21 (verkkopalveluiden tietoturva), A.8.22 (verkkojen erottelu) ja A.8.16 (valvontatoimet) kannustavat suunnittelemaan ja dokumentoimaan verkon vyöhykkeistön, määrittelemään, mitkä järjestelmät voivat kommunikoida kenenkin kanssa, ja toteuttamaan valvontaa, joka havaitsee epätavallisia malleja. Kun sivuttaisliikettä käsitellään suunnitteluongelmana pelkän tapausvasteongelmana, siirrytään luonnollisesti kohti segmentoituja hallintaverkkoja, nollaluottamusmalleja ja rikkaampaa telemetriaa.

Käytännön näkökulmasta voit määrittää selkeät verkkovyöhykkeet sisäisille järjestelmänvalvojan työasemille, hallintatyökaluille ja asiakkaiden käyttöpoluille; valvoa palomuurisääntöjä ja käyttöoikeusluetteloita, jotka rajoittavat, mitkä vyöhykkeet voivat tavoittaa toiset; ja kerätä ja korreloida lokeja identiteetintarjoajilta, etähallintatyökaluilta, VPN-verkoilta ja avainpalvelimilta keskitetylle alustalle. Nämä muutokset vaikeuttavat huomattavasti hyökkääjän pääsyä ympäristöösi hiljaisesti, vaikka heillä olisi voimassa olevat tunnistetiedot, ja ne antavat sekä vaatimustenmukaisuus- että vahvistusvaiheen hallintapalveluntarjoajille todisteita, joita he voivat hyödyntää auditoinneissa ja asiakasarvosteluissa.

Mitkä ISO 27001:2022 -standardin liitteen A mukaiset säätölaitteet ovat tärkeimpiä sivuttaisliikkeen pysäyttämisessä?

Useat ISO 27001:2022 -standardin liitteen A mukaiset kontrollit vaikuttavat suoraan sivuttaisliikkeen riskiin MSP-ympäristöissä, erityisesti identiteettiin, etuoikeuksiin, verkon erotteluun ja valvontaan liittyvät kontrollit. Kun kartoitat reaalimaailman hyökkäyspolut näihin kontrolleihin, voit priorisoida ne, jotka todella rajoittavat sivuttaisliikettä, sen sijaan, että keskittyisit kontrolleihin, jotka näyttävät vaikuttavilta vain dokumentaatiossa.

Tehokkain lähestymistapa on aloittaa tietyistä ”miten hyökkääjä liikkuisi?” -skenaarioista ja linkittää sitten jokainen vaihe yhteen tai useampaan liitteen A mukaiseen valvontaan, joka tekisi kyseisestä vaiheesta vaikeamman tai näkyvämmän.

Organisaatio- ja henkilöstökontrollit, jotka muokkaavat käyttökäyttäytymistä

Organisaatio- ja henkilöstökontrollit asettavat odotukset, joita teknisten mekanismien on noudatettava. Sivuttaissiirrossa nämä kontrollit määrittelevät, kuka omistaa käyttöoikeuspäätökset, miten henkilöstön tulisi käyttäytyä ja mitkä käyttäytymismallit eivät ole hyväksyttäviä sekä sisäisissä että asiakasympäristöissä.

Keskeisiä esimerkkejä ovat:

A.5.1 Tietoturvakäytännöt: – asettaa odotuksia pääsynvalvonnalle, erottelulle ja valvonnalle.
A.5.2 Tietoturvaroolit ja -vastuut: – selventää, kuka on vastuussa käyttöoikeuspäätöksistä, tarkastuksista ja poikkeuksista.
A.5.7 Uhkatietojen kerääminen: – kannustaa sinua ottamaan riskinarvioinnissasi ja hallinnassasi huomioon todelliset hyökkääjätekniikat, mukaan lukien sivuttaisliikkeen.
A.5.15 Pääsyoikeuksien hallinta: – toteaa, että pääsyn on oltava asianmukaista, hallittua ja tarkistettua.
A.5.16 Identiteetinhallinta: – määrittelee, miten henkilöllisyyksiä myönnetään, hallitaan ja peruutetaan.
A.5.18 Käyttöoikeudet: – edellyttää jäsenneltyjä tarjoamis-, muokkaus- ja peruutusprosesseja, mukaan lukien säännölliset tarkastukset.
A.6.3 Tietoturvatietoisuus, -koulutus ja -harjoittelu: – varmistaa, että henkilökunta ymmärtää, miten heidän toimintansa voi mahdollistaa tai pysäyttää sivuttaisliikkeen.

Hallittujen palveluntarjoajien (MSP) kohdalla nämä ovat kontrolleja, joissa määritetään, että jaetut järjestelmänvalvojan tilit eivät ole hyväksyttäviä, että eri vuokralaisten käyttöoikeus vaatii perustelun ja aikarajoitetun hyväksynnän ja että sivuttaissiirtoskenaariot sisältyvät nimenomaisesti insinöörien, arkkitehtien ja tuotetiimien koulutukseen. Ne eivät itsessään pysäytä hyökkääjiä, mutta ne määrittelevät teknisen osaamisen toiminnan ja vastuut, jotka niiden on heijastettava, ja ne antavat Comply-vaiheen organisaatioille selkeän lähtökohdan kulttuurin muutokselle.

Teknologiset ohjaimet, jotka rajoittavat suoraan sivuttaisliikettä

Teknologisilla rajoituksilla toteutetaan konkreettisia esteitä sivuttaisliikkeelle. Nämä rajoitukset liittyvät suoraan siihen, miten suunnittelet roolit, verkostot ja valvonnan niin, että hyökkääjä ei voi muuttaa yhtä jalansijaa useiden vuokralaisten tietomurroksi.

Tiivistetty esitys MSP-alueiden sivuttaisliikkeen tehokkaista ohjaimista voisi näyttää tältä:

Liitteen A mukainen valvonta	Tarkennusalue	Miten se auttaa rajoittamaan sivuttaisliikettä
A.8.2 Etuoikeutetut käyttöoikeudet	Järjestelmänvalvojan tilit ja roolit	Rajoittaa ja valvoo hyökkääjien käyttämiä tehokkaita tilejä
A.8.3 Tiedon saatavuuden rajoittaminen	Valtuutusrajojen	Rajoittaa, mihin tietoihin ja järjestelmiin kukin tili voi päästä käsiksi
A.8.20 Verkkoturvallisuus	Liikenteen ohjaus ja suojaus	Valvoo sääntöjä, jotka koskevat järjestelmien ja vyöhykkeiden välistä kommunikointia
A.8.22 Verkkojen erottelu	Vyöhyke ja eristäminen	Erottaa johdon, sisäiset ja asiakasverkot räjäytyssäteen rajoittamiseksi
A.8.16 Seurantatoimet	Kirjaus ja havaitseminen	Havaitsee epätavallisia kuvioita, jotka viittaavat sivuttaisliikkeeseen
A.8.8 Teknisten haavoittuvuuksien hallinta	karkaisu	Vähentää hyökkääjien hyödynnettävissä olevia heikkouksia, joita he käyttävät sivuttaisten jalansijojen saavuttamiseen

Käytännössä nämä hallintalaitteet toteutetaan malleilla, kuten yksilöllisillä, roolipohjaisilla järjestelmänvalvojan tileillä, joilla on pakotettu MFA ja just-in-time-käyttöoikeuksien laajennus; erillisillä hallintaverkoilla, joihin pääsee vain suojatuista järjestelmänvalvojan työasemista; palomuureilla, VLAN-verkoilla ja käyttöoikeusluetteloilla, jotka valvovat selkeitä rajoja sisäisten, hallinta- ja asiakasvyöhykkeiden välillä; sekä keskitetyllä lokien keräämisellä ja hälytyksillä, jotka keskittyvät etuoikeutettuihin toimintoihin ja vuokralaisten väliseen käyttöön.

Kun dokumentoit nämä kontrollit tietoturvanhallintajärjestelmässäsi ja soveltamislausunnossasi, luot selkeän rajan "näin hyökkääjät liikkuvat sivuttain" ja "nämä ovat erityiset kontrollit, joita käytämme tehdäksemme tästä liikkumisesta vaikeaa ja näkyvää". Tämä raja on vakuuttava paitsi tilintarkastajille myös asiakkaille ja hallituksille, jotka tarvitsevat varmuuden siitä, että käyttöoikeusmallisi vastaa nykyisiä uhkia.

Kun tarkennat tätä kartoitusta, erillisen ISMS-alustan, kuten ISMS.onlinen, käyttö auttaa välttämään hajanaisia laskentataulukoita ja asiakirjoja pitämällä riskit, kontrollit, tekniset toteutukset ja auditointitodisteet yhdessä paikassa. Tämä helpottaa Comply-vaiheen tiimien johdonmukaisuuden ylläpitämistä ja Strength-vaiheen tiimien välttää ajautumista uusien viitekehysten ja kontrollien lisäämisen myötä.

Ota käyttöön, laajenna ja skaalaa vaatimustenmukaisuus ilman sotkua. Io antaa sinulle joustavuutta ja luottamusta kasvaa turvallisesti.

Varaa esittelysi

Miten voit suunnitella ISO 27001 -standardin mukaisen pääsynhallinta-arkkitehtuurin usean vuokralaisen MSP-toiminnoille?

Usean käyttäjän MSP:n käyttöoikeuksien hallinnan suunnittelu ISO 27001 -standardin mukaisesti tarkoittaa aloittamista hyökkäyssäteestä ja luottamusrajoista ja sitten taaksepäin identiteetin, verkon ja työkalujen suunnitteluun. Haluat, että jokainen hyökkääjän mahdollinen askel vaatii uuden, perustellun käyttöoikeuden ja luo jäljen, jonka voit nähdä ja tutkia.

ISO 27001 -standardin mukaisen arkkitehtuurin ei tarvitse olla monimutkainen, mutta sen on oltava harkittu. Sinä määrittelet, mitkä vyöhykkeet ovat olemassa, kuka niihin pääsee käsiksi, mitkä työkalut toimivat niissä ja miten todistat itsellesi, auditoijille ja asiakkaille, että näitä päätöksiä noudatetaan ja tarkastellaan ajan kuluessa.

MSP-käyttöoikeuksien hallinta-arkkitehtuurin periaatteet

Selkeät suunnitteluperiaatteet auttavat sinua yhdenmukaistamaan arkkitehtuurin ISO 27001 -standardin kanssa ja samalla vähentämään suoraan sivuttaisliikkeen riskiä. Näistä periaatteista lähtökohtana on helpompi valita ja perustella betonirakenteet, jotka sekä insinöörit että auditoijat ymmärtävät.

Tärkeitä periaatteita ovat:

Erilliset sisäiset, hallinto- ja asiakasalueet:

Sisäinen yritysympäristö sähköpostille, henkilöstöhallinnolle ja taloushallinnolle
Hallintaympäristö etävalvontaan, varmuuskopiointiin, valvontaan ja järjestelmänvalvojan työasemiin
Asiakasympäristöt vuokralaiskohtaisille verkoille, pilvivuokralaisille ja sovelluksille

Liitteet A.8.20 ja A.8.22 tukevat tätä edellyttämällä verkon tietoturvan ja erottelun hallintaa.

Eristä vuokralaiset loogisesti ja mahdollisuuksien mukaan fyysisesti:

Asiakaskohtaiset VPN-verkot tai tunnelit
Vuokraajakohtaiset järjestelmänvalvojaryhmät ja roolit identiteetintarjoajissa ja hallintatyökaluissa
Ei jaettuja paikallisen järjestelmänvalvojan salasanoja tai palvelutilejä asiakkaiden kesken

Suunnittele identiteetti keskitetysti, mutta käytä paikallisesti vähiten oikeuksia:

Käytä keskitettyä identiteetintarjoajaa insinöörien identiteettien hallintaan.
Yhdistä roolit tiettyihin asiakaskäyttöoikeuksiin, älä yleisiin käyttöoikeuksiin.
Sovella liitteitä A.5.16 ja A.5.18 strukturoidun tarjoamisen ja säännöllisen käyttöoikeuksien tarkistuksen varmistamiseksi.

Käsittele hallintatyökaluja riskialttiina omaisuuserinä:

Sijoita etähallinta, varmuuskopiointi ja etäkonsolit erillisiin, suojattuihin verkkoihin.
Rajoita näiden työkalujen käyttöoikeus suojatuille järjestelmänvalvojan työasemille.
Käytä etuoikeutettujen käyttöoikeuksien hallintaa ja istuntojen valvontaa liitteen A.8.2 mukaisesti.

ISO 27001 -standardin näkökulmasta nämä periaatteet kirjataan tietoturva- ja käyttöoikeuskäytäntöihin, laajuus- ja kontekstimääritelmiin, jotka mainitsevat nimenomaisesti asiakasympäristöt ja hallinta-alustat, sekä arkkitehtuurikaavioihin ja resurssien luetteloihin, jotka erottavat toisistaan sisäiset, hallinta- ja asiakasvyöhykkeet. Tämä dokumentaatio ohjaa sitten käyttöönottoa, sisäistä auditointia ja ulkoista auditointia, antaen sekä uusille että kypsemmille MSP-palveluille johdonmukaisen pohjan.

Näiden periaatteiden soveltaminen sisäisessä ja asiakasympäristössä

Siirtyessämme periaatteesta käytäntöön tarvitset toimintamalleja, joita insinöörit voivat käyttää päivittäin hidastamatta toimitusta. Näiden toimintamallien tulisi tehdä turvallisesta toiminnasta oletusarvo, ei erityistapaus, joka on varattu korkean profiilin asiakkaille.

Tyypillisiä malleja MSP:ille, jotka haluavat rajoittaa sivuttaisliikettä, ovat:

Ylläpitäjän työasemat:

Omistetut järjestelmänvalvojan päätepisteet insinööreille, joilla on tiukemmat kokoonpanot.
Pääsy hallintaverkkoihin ja -konsoleihin vain näistä laitteista.
Vahvistettu MFA ja vahva päätepisteiden suojaus vakiona.

Vuokralaiskohtaiset käyttöoikeusmallit:

Erota etähallinta- ja etäkäyttötyökalujen ryhmät tai roolit kullekin asiakkaalle erikseen.
Just-in-time-korotukset asiakastason järjestelmänvalvojan rooleihin määritellyissä tehtävissä.
Ei pysyvää globaalia järjestelmänvalvojan tiliä kaikille vuokralaisille jokapäiväiseen käyttöön; sen sijaan käytössä on tiukat valvonta- ja valvontamekanismit rikkoutumattomille tileille.

Dokumentoidut vuokralaisten väliset käyttöoikeussäännöt:

Käytännöt, jotka määrittävät, milloin on hyväksyttävää käyttää työkaluja, jotka ulottuvat useille vuokraajille, kuten komentosarjojen käyttöönotto tai korjauspäivitykset.
Muutos- ja hyväksymisprosessit korkean riskin toimille, jotka voivat vaikuttaa useisiin asiakkaisiin samanaikaisesti.

Keskitetty lokikirjaus ja valvonta:

Hallintatyökalujen, identiteetintarjoajien ja verkkolaitteiden lokit lähetetään keskitetylle alustalle.
Säännölliset tarkastukset keskittyivät etuoikeutettuihin toimiin, vuokralaisten väliseen toimintaan ja poikkeamiin.

ISO 27001 -standardin mukaan riskinarviointiisi tulisi nimenomaisesti sisällyttää skenaariot, kuten "insinöörin järjestelmänvalvojan tilin vaarantuminen" ja "etähallintakonsolin vaarantuminen". Jokaisessa skenaariossa dokumentoit käyttämäsi liitteen A mukaiset suojaustoimenpiteet, miten ne muokkaavat arkkitehtuuria ja prosessia ja miten testaat niitä teknisten tarkastusten, sisäisten auditointien ja tarvittaessa tapahtumasimulaatioiden avulla.

Jos käytät jo ISMS.online-järjestelmää, voit rekisteröidä resursseja ja vyöhykkeitä, linkittää riskejä tiettyihin käyttöoikeus- ja verkko-ohjauksiin sekä ylläpitää sovellettavuuslausuntoa ja siihen liittyvää todistusaineistoa ilman jatkuvaa manuaalista täsmäytystä. Tämä helpottaa vaatimustenmukaisuusvaiheen hallintajärjestelmien (MSP) toimittajien (Comply-vaiheen MSP) yhdenmukaistamaan rakentamansa ja dokumentoimansa, ja vahvistaa-vaiheen MSP:iden (Strength-vaiheen MSP) toimittajien (Strength-vaiheen MSP) on helpompi todistaa, että heidän tekninen suunnittelunsa ja ISO 27001 -standardin mukaiset tietueensa vastaavat edelleen toisiaan.

Miten RBAC, verkon segmentointi ja PAM toimivat yhdessä tietomurron rajoittamiseksi?

Roolipohjainen käyttöoikeuksien hallinta, verkon segmentointi ja etuoikeutettujen käyttöoikeuksien hallinta ovat tehokkaimpia sivuttaisliikettä vastaan, kun niitä käsitellään yhtenä integroituna strategiana kolmen erillisen projektin sijaan. Yhdessä ne päättävät, kuka voi tehdä mitä, missä ja millä ehdoilla, samalla kun poikkeavan käyttäytymisen havaitseminen ja tutkiminen on paljon helpompaa.

ISO 27001 -standardin puitteissa RBAC, segmentointi ja PAM ovat käytännöllisiä tapoja toteuttaa kontrollitekijöitä, kuten A.5.15, A.5.16, A.5.18, A.8.2, A.8.20 ja A.8.22. Hyökkääjälle tämä yhdistelmä tarkoittaa, ettei ole olemassa yhtä ainoaa polkua, joka johtaisi hiljaisesti matalan käyttöoikeuden jalansijalta useille vuokraajille.

RBAC:n suunnittelu, joka todella valvoo vähiten oikeuksia

Tehokas RBAC MSP:ille alkaa selkeästä roolimallista, joka perustuu todellisiin tehtäviin eikä työtehtäviin. Tavoitteena on, että päivittäinen työ sujuu mutkattomasti, mutta jokainen riskialtis toimenpide vaatii harkitun päätöksen ja kirjataan myöhempää tarkistusta varten.

Käytännön vaiheisiin kuuluvat:

Määrittele roolit tehtävien, ei tittelien, mukaan:

Esimerkkejä voivat olla ”Palvelupisteinsinööri – Taso 1”, ”Infrastruktuuriinsinööri – Taso 2”, ”Tietoturva-analyytikko” ja ”Asiakkuushallinta (vain luku -oikeuksilla)”. Jokaiselle roolille määrität, mitkä asiakasympäristöt, työkalut ja toimenpiteet ovat todella tarpeellisia.

Roolien muuntaminen järjestelmän käyttöoikeuksiksi:

Yhdistä roolit ryhmiin ja käyttöoikeuskäytäntöihin identiteetintarjoajassasi ja määritä sitten käyttöoikeudet etähallintatyökaluissa, tiketöintijärjestelmissä, VPN-verkoissa ja pilvikonsoleissa näiden ryhmien perusteella. Vältä kertaluonteisia, suoria käyttöoikeuksia aina kun mahdollista, jotta muutokset pysyvät hallittavissa.

Sisällytä tehtävien jako:

Varmista, ettei yksikään rooli voi sekä pyytää että hyväksyä riskialttiita muutoksia. Erota päivittäisten toimintojen roolit käyttöoikeuksia ja asetuksia hallinnoivista rooleista, jotta yksi vaarantunut tili ei voi ohittaa kaikkia tarkistuksia.

Aikarajoitetun korkeuden käyttöönotto:

Korkean riskin tehtävissä käytä just-in-time-korotusta voimakkaampaan rooliin, jolla on selkeät aloitus- ja päättymisajat. Kirjaa ylös ja mahdollisuuksien mukaan seuraa, mitä korotettujen istuntojen aikana tapahtuu, jotta voit tarkastella tai tutkia asioita myöhemmin.

ISO 27001 -standardin näkökulmasta tämä rakenne tukee liitteitä A.5.16 (identiteetienhallinta), A.5.18 (käyttöoikeudet) ja A.8.2 (etuoikeutetut käyttöoikeudet) ja antaa tilintarkastajille ja asiakkaille selkeän kuvan siitä, miten estät "yhden tilin hallitsemasta kaikkia". Comply-vaiheen MSP:ille jo yksinkertainen RBAC-malli on merkittävä askel eteenpäin ad hoc -käyttöoikeuksista; Strength-vaiheen MSP:ille RBAC:n tarkentaminen on usein tapa vähentää riskejä merkittävästi ilman uusien työkalujen lisäämistä.

Segmentoinnin ja PAM:n toteuttaminen räjähdyssäteen rajoittamiseksi

Verkon segmentointi ja etuoikeutettujen käyttöoikeuksien hallinta varmistavat, että vaikka RBAC epäonnistuisi tai tili vaarantuisi, hyökkääjä ei voi vaeltaa vapaasti. Ne ovat tärkeimmät työkalusi vakavan tapahtuman muuttamiseksi hallituksi kriisiksi täysimittaisen kriisin sijaan.

Keskeisiä elementtejä ovat:

Verkon segmentointi:

Luo erilliset verkkosegmentit yrityksen sisäisille järjestelmille, hallintainfrastruktuurille ja tarvittaessa kunkin asiakkaan paikalliselle verkolle.
Käytä palomuureja ja käyttöoikeusluetteloita segmenttien välisen liikenteen tiukkaan hallintaan.
Rajoita hallintapolkuja niin, että vain järjestelmänvalvojan työasemat voivat käyttää hallintaliittymiä ja vain määritettyjen protokollien kautta.

Etuoikeutettujen käyttöoikeuksien hallinta:

Holvin etuoikeutetut tunnistetiedot, mukaan lukien paikalliset järjestelmänvalvojan tilit, palvelutilit ja yleiset järjestelmänvalvojan tilit.
Käytä uloskirjautuneita tai välitettyjä istuntoja sen sijaan, että jakaisit salasanoja suoraan insinööreille.
Ota käyttöön just-in-time-käyttöoikeus korkean riskin hallinnollisissa toiminnoissa hyväksynnöillä, aikarajoituksilla ja istuntojen tallennuksella tarvittaessa.

Valvonta integroitu kulkureitteihin:

Syötä käyttöoikeus- ja verkkolaitelokit valvonta-alustallesi.
Määritä hälytykset uusille etuoikeutetuille istunnoille, odotettujen aukioloaikojen ulkopuolella tapahtuville etuoikeutetuille toimille ja epätavallisista sijainneista tai laitteista tuleville käyttöoikeuksille.

ISO 27001 -standardin osalta tämä kaikki liittyy liitteisiin A.8.2 ja A.8.3 etuoikeutettujen ja yleisten käyttöoikeusrajoitusten osalta, liitteisiin A.8.20 ja A.8.22 verkkotason suojausta varten sekä liitteisiin A.8.16 valvontatoimien osalta. Yhdessä RBAC, segmentointi ja PAM luovat useita vahvistavia esteitä, jotka rajoittavat hyökkääjän liikkumista ja piiloutumista.

Kun alat yhdistää RBAC:n, segmentoinnin ja PAM:n yhdeksi malliksi, ylläpidettävän dokumentaation ja todisteiden määrä kasvaa nopeasti. Roolimääritelmien, verkkokaavioiden, etuoikeutettujen käyttöoikeuksien menettelyjen, valvontatulosten ja sisäisen tarkastuksen havaintojen keskittäminen ISMS.online-palveluun auttaa pitämään tämän monimutkaisuuden hallinnassa ja antaa sinulle yhden kuvan siitä, miten sivuttaisliikkeen puolustusmekanismisi sopivat yhteen.

ISMS.online tukee yli 100 standardia ja sääntöä, mikä tarjoaa sinulle yhden alustan kaikkiin vaatimustenmukaisuustarpeisiisi.

Varaa esittelysi

Miten sivuttaisliikkeen riski tulisi sisällyttää ISO 27001 -standardin mukaiseen riskinarviointiin, soveltuvuusarviointiin ja jatkuvaan parantamiseen?

Jotta sivuttaisliikestrategiasi olisi kestävä, sinun on sisällytettävä se ISO 27001 -ydinsykliin: konteksti, riskinarviointi, käsittely, sovellettavuuslausunto, toteutus, seuranta, sisäinen tarkastus, johdon arviointi ja parantaminen. Näin se pysyy näkyvänä päätöksentekijöille, tilintarkastajille ja asiakkaille sen sijaan, että se muuttuisi kertaluonteiseksi tekniseksi harjoitukseksi.

Tavoitteena on käsitellä sivuttaisliikettä strukturoituna riskinä, joka käy toistuvasti läpi suunnittele–tee–tarkista–toimi -silmukan, sen sijaan, että se olisi projekti tai kokoelma toisiinsa liittymättömiä tehtäviä.

Sivuttaisliikkeen kuvaaminen riskinarvioinnissa ja sovellettavuuslausunnossa

Sivuttaissuuntaisen liikkeen kuvaaminen riskinarvioinnissa alkaa realististen skenaarioiden kuvaamisella omin termein. Hallittujen palveluntarjoajien (MSP) kohdalla näiden skenaarioiden tulisi selkeästi heijastaa sitä, miten he ovat yhteydessä asiakkaisiin ja käyttävät hallintatyökaluja, jotta liiketoiminnan johtajat tunnistavat itsensä esimerkeistä.

Asiaankuuluvia esimerkkejä ovat:

Insinöörin järjestelmänvalvojan tilin vaarantuminen, joka johtaa eri vuokralaisten pääsyyn.
Etähallinta- tai etäkäyttöalustan hyödyntäminen useiden asiakkaiden tavoittamiseksi.
Jaettujen palvelutilien väärinkäyttö siirtymiseen sisäisten järjestelmien ja asiakasympäristöjen välillä.
Varmuuskopiointi- tai valvontainfrastruktuurin käyttö tiedonsiirron välietappina.

Jokaisessa skenaariossa tunnistetaan uhka-alueet, otetaan huomioon uhkatoimijat, kuten rikollisryhmät, sisäpiiriläiset tai toimitusketjuhyökkääjät, ja arvioidaan todennäköisyyttä ja vaikutusta pitäen mielessä, kuinka monta asiakasta kukin polku koskettaa. Comply-vaiheen organisaatiot huomaavat usein, etteivät ne ole koskaan virallisesti kirjoittaneet näitä skenaarioita muistiin; vahvistusvaiheen organisaatiot käyttävät niitä kyseenalaistaakseen, vastaavatko olemassa olevat kontrollit edelleen todellisuutta.

Sitten yhdistät nämä skenaariot liitteen A kontrolleihin, kuten A.5.15, A.5.16 ja A.5.18 pääsynvalvontaa ja identiteetin elinkaarta varten; A.8.2 ja A.8.3 etuoikeutettujen ja yleisten pääsyrajoitusten osalta; A.8.20, A.8.21 ja A.8.22 verkon suojausta ja erottelua varten; A.8.16 valvontaa varten; ja A.8.8 teknisten haavoittuvuuksien hallintaa varten. Soveltuvuuslausunnossasi tulee nimenomaisesti mainita, mitkä näistä kontrolleista olet valinnut, miten ne toteutetaan MSP-kontekstissa ja mahdolliset perustelut kontrollin toteuttamatta jättämiselle sekä korvaavat toimenpiteet.

Kun tilintarkastajat ja asiakkaat näkevät, että riskinarviointiisi ja sovellettavuuslausuntoosi kietoutuu sivuttaisliike, he näkevät, että käyttöoikeusmallisi ei ole jälkikäteen mietitty asia ja että hallintasi on sidottu todellisiin hyökkäyspolkuihin yleisten tarkistuslistojen sijaan.

Tehokkuuden seuranta ja jatkuvan parantamisen edistäminen

Sivuttaisen liikkeen sisällyttäminen jatkuvaan parantamiseen tarkoittaa indikaattoreiden ja arviointitoimien määrittelyä, jotka kertovat, toimivatko puolustuskeinosi edelleen teknologiapinon ja asiakaskunnan kehittyessä. ISO 27001 -standardi edellyttää, että teet tämän seurannan, sisäisen tarkastuksen, johdon tarkastelun ja korjaavien toimenpiteiden avulla kertaluonteisten projektien sijaan.

Hyödyllisiä mittareita voivat olla:

Pääsyoikeuksien hallinnan mittarit: – käyttöoikeutettujen tilien määrä insinööriä ja asiakasta kohden, MFA:n käyttöön ottaneiden tilien prosenttiosuus (erityisesti järjestelmänvalvojan roolien osalta) sekä ajoitettujen käyttöoikeustarkistusten valmistumisaste ja oikea-aikaisuus.
Verkosto- ja segmentointimittarit: – hallintaliikenteeseen liittyvien verkkosegmenttien ja valvontapisteiden lukumäärä sekä dokumentoitujen poikkeusten lukumäärä, joissa hallintaliikenne ylittää rajoja epätavallisilla tavoilla.
Seuranta- ja tapahtumamittarit: – aika epäilyttävästä etuoikeutetusta tapahtumasta havaitsemiseen, tutkittujen sivuttaisliikkeeseen liittyvien hälytysten lukumäärä jaksoittain sekä vaaratilanteista tai läheltä piti -tilanteista opitut opetukset.

ISO 27001 -standardin lausekkeiden osalta tuet kohtaa 9.1 (seuranta, mittaaminen, analysointi ja arviointi) määrittelemällä nämä mittarit ja tarkistamalla niitä säännöllisesti. Tuet kohtaa 9.2 (sisäinen tarkastus) sisällyttämällä lateraalisen liikkeen kontrollit ja vastaavat todisteet tarkastuslaajuuteen ja kohtaa 9.3 (johdon katselmus) tuomalla merkittävät lateraalisen liikkeen riskit, tapahtumat ja trendit johdon tietoon. Kohtaa 10 (parantaminen) käsitellään, kun toimit havaintojen perusteella käytäntöjen, kontrollien ja arkkitehtuurien tarkentamiseksi.

Jos suoritat ISO 27001 -työsi ISMS.online-sivustolla, koko tämä silmukka – riskeistä ja kontrolleista mittareiden, auditointitulosten ja korjaavien toimenpiteiden kautta – sijaitsee yhdessä järjestelmässä erillisten dokumenttien sijaan. Tämä auttaa välttämään semanttista ajautumista, jota voi tapahtua, kun arkkitehtuuria, toimintoja ja dokumentaatiota ylläpidetään erikseen, ja se antaa sekä vaatimustenmukaisuus- että vahvistusvaiheen hallintasuunnitelmille (MSP) toistettavan tavan osoittaa, että sivuttaissiirtymän riskiä hallitaan muodollisen hallintajärjestelmän avulla eikä pelkästään teknisten projektien kautta.

Varaa esittely ISMS.onlinesta jo tänään

ISMS.online auttaa sinua muuttamaan ISO 27001 -standardin mukaisen pääsynhallintateorian käytännöllisiksi ja auditoitaviksi suojauksiksi MSP-ympäristössäsi tapahtuvaa sivuttaisliikettä vastaan. Laskentataulukoiden, dokumenttien ja ad hoc -prosessien tasapainoilun sijaan saat yhden järjestelmän, jossa riskit, kontrollit, roolit, arkkitehtuurit ja todisteet on yhdistetty tavalla, jonka voit näyttää tilintarkastajille, hallituksille ja asiakkaille.

Miten ISMS.online tukee vaatimustenmukaisuusvaiheen MSP:itä

Jos työskentelet ISO 27001 -standardin parissa ensimmäistä kertaa, sivuttaisliike voi tuntua ylivoimaiselta tekniseltä aiheelta. ISMS.online tarjoaa sinulle selkeän ja ohjatun polun, jotta voit määritellä laajuuden, tallentaa sivuttaisliikkeen skenaariot riskinarviointiisi ja linkittää ne käytännön käsittelyihin ilman, että sinun tarvitsee olla standardiasiantuntija.

Voit rakentaa käytäntöjä, menettelytapoja ja roolimääritelmiä, jotka heijastavat tiimiesi todellista työskentelytapaa, ja sitten esitellä käyttöoikeuksien hallintaa ja verkon erottelua koskevat päätöksesi jäsennellyllä ja auditoijaystävällisellä tavalla. Tämä helpottaa sertifioinnin saamista ja osoittaa asiakkaille, että otat "yksi tili, monta vuokralaista" -riskin vakavasti ja käsittelet sitä virallisen tietoturvajärjestelmän sisällä pikaratkaisujen sijaan.

Miten ISMS.online tukee vahvistusvaiheen MSP:itä

Jos käytössäsi on jo ISO 27001 -standardin mukainen tietoturvanhallintajärjestelmä (ISMS) ja haluat vahvistaa sen sietokykyä, ISMS.onlinesta tulee käyttöjärjestelmä parannustyöllesi. Voit yhdistää liitteen A mukaiset kontrollit konkreettisiin RBAC-, segmentointi- ja etuoikeutettujen käyttöoikeuksien toteutuksiin, käyttää uudelleen todisteita eri viitekehyksissä, kuten ISO 27701, SOC 2 tai NIS 2, ja seurata mittareita ja toimia sivuttaisen siirtymisen varalta muiden merkittävien riskien ohella.

Tietoturvajohtajille, tietosuojavastaaville ja muille ammattilaisille tämä tarkoittaa, että he voivat koordinoida sisäisiä auditointeja, johdon arviointeja ja hallituksen raportointia ilman jatkuvaa uudelleentyöstöä. Asiakkaasi odottavat yhä useammin sinun todistavan paitsi sertifiointisi myös sen, että pääsynhallintasi todella suojaa heitä toimitusketjuhyökkäyksen sivullisilta vahingoilta. ISO 27001 tarjoaa sinulle viitekehyksen; ISMS.online auttaa sinua toteuttamaan sitä päivittäin.

Valitse ISMS.online, kun haluat osoittaa asiakkaille, tilintarkastajille ja sääntelyviranomaisille, että sivuttaisliikkeen riskiä hallitaan elävän ISO 27001 ISMS -järjestelmän avulla, ei vain yksittäisten työkalujen tai epävirallisten käytäntöjen avulla, ja kun haluat sekä vaatimustenmukaisuus- että vahvistusvaiheen tiimien työskentelevän saman yhtenäisen käyttöoikeuksien hallinnan kuvan pohjalta jokaisessa palvelemassasi vuokralaisessa.

Varaa demo