Cybersicherheitsstrategien
Um einen sicheren Cyberspace zu entwerfen und zu implementieren, wurden einige strenge Strategien eingeführt. In diesem Kapitel werden die wichtigsten Strategien zur Gewährleistung der Cybersicherheit erläutert, darunter:
- Schaffung eines sicheren Cyber-Ökosystems
- Erstellen eines Assurance Frameworks
- Offene Standards fördern
- Stärkung des Rechtsrahmens
- Mechanismen für die IT-Sicherheit erstellen
- Sicherung von E-Governance-Diensten
- Schutz kritischer Informationsinfrastrukturen
Strategie 1 - Schaffung eines sicheren Cyber-Ökosystems
Das Cyber-Ökosystem umfasst eine Vielzahl unterschiedlicher Einheiten wie Geräte (Kommunikationstechnologien und Computer), Einzelpersonen, Regierungen, private Organisationen usw., die aus zahlreichen Gründen miteinander interagieren.
Diese Strategie untersucht die Idee eines starken und robusten Cyber-Ökosystems, in dem die Cyber-Geräte in Zukunft zusammenarbeiten können, um Cyber-Angriffe zu verhindern, ihre Wirksamkeit zu verringern oder Lösungen zu finden, um sich von einem Cyber-Angriff zu erholen.
Ein solches Cyber-Ökosystem hätte die Fähigkeit, in seine Cyber-Geräte eingebaut zu sein, um die Organisation sicherer Handlungsweisen innerhalb und zwischen Gruppen von Geräten zu ermöglichen. Dieses Cyber-Ökosystem kann durch derzeitige Überwachungstechniken überwacht werden, bei denen Softwareprodukte verwendet werden, um Sicherheitslücken zu erkennen und zu melden.
Ein starkes Cyber-Ökosystem hat drei symbiotische Strukturen - Automation, Interoperability, und Authentication.
Automation - Es erleichtert die Implementierung fortschrittlicher Sicherheitsmaßnahmen, erhöht die Schnelligkeit und optimiert die Entscheidungsprozesse.
Interoperability- Es verschärft die kollaborativen Aktionen, verbessert das Bewusstsein und beschleunigt den Lernprozess. Es gibt drei Arten der Interoperabilität:
- Semantik (dh gemeinsames Lexikon basierend auf gemeinsamem Verständnis)
- Technical
- Politik - Wichtig, um verschiedene Mitwirkende in eine integrative Cyber-Verteidigungsstruktur zu integrieren.
Authentication - Es verbessert die Identifikations- und Verifikationstechnologien, die funktionieren, um -
- Security
- Affordability
- Benutzerfreundlichkeit und Verwaltung
- Scalability
- Interoperability
Vergleich der Angriffe
Die folgende Tabelle zeigt den Vergleich der Angriffskategorien mit den gewünschten Fähigkeiten des Cyber-Ökosystems.
Fallstudie
Das folgende Diagramm wurde von erstellt Guilbert Gates for The New York Times, Das zeigt, wie eine iranische Pflanze über das Internet gehackt wurde.
Explanation- Ein Programm wurde entwickelt, um das iranische Atomkraftwerk automatisch zu betreiben. Leider hat ein Mitarbeiter, der sich der Bedrohungen nicht bewusst war, das Programm in den Controller eingeführt. Das Programm sammelte alle Daten in Bezug auf die Anlage und schickte die Informationen an die Geheimdienste, die dann einen Wurm entwickelten und in die Anlage einführten. Unter Verwendung des Wurms wurde die Pflanze von Schurken kontrolliert, was zur Erzeugung von mehr Würmern führte, und infolgedessen versagte die Pflanze vollständig.
Arten von Angriffen
Die folgende Tabelle beschreibt die Angriffskategorien -
| Angriffskategorie | Beschreibung des Angriffs |
|---|---|
| Attrition | Methoden zur Beschädigung von Netzwerken und Systemen. Es enthält die folgenden -
|
| Malware | Jede schädliche Software, die verwendet wird, um den normalen Computerbetrieb zu unterbrechen und Informationsressourcen ohne Zustimmung des Eigentümers zu beschädigen. Jede Ausführung von einem Wechseldatenträger kann die Bedrohung durch Malware erhöhen. |
| Hacken | Ein Versuch, Schwachstellen absichtlich auszunutzen, um unethischen Zugang zu erhalten, wird normalerweise aus der Ferne durchgeführt. Es kann enthalten -
|
| Soziale Taktik | Verwenden sozialer Taktiken wie Täuschung und Manipulation, um Zugriff auf Daten, Systeme oder Kontrollen zu erhalten. Es beinhaltet -
|
| Unsachgemäße Verwendung (Insider-Bedrohung) | Missbrauch von Rechten an Daten und Kontrollen durch eine Person in einer Organisation, der gegen die Richtlinien der Organisation verstoßen würde. Es beinhaltet -
|
| Körperliche Handlung / Verlust oder Diebstahl von Ausrüstung | Von Menschen angetriebene Angriffe wie -
|
| Mehrfachkomponente | Single-Attach-Techniken, die mehrere erweiterte Angriffstechniken und -komponenten enthalten. |
| Andere | Angriffe wie -
|
Strategie 2 - Schaffung eines Assurance Framework
Ziel dieser Strategie ist es, anhand traditioneller Produkte, Prozesse, Mitarbeiter und Technologien einen Entwurf zu erstellen, der den globalen Sicherheitsstandards entspricht.
Um den nationalen Sicherheitsanforderungen gerecht zu werden, wurde ein nationaler Rahmen namens Cybersecurity Assurance Frameworkwurde entwickelt. Es berücksichtigt kritische Infrastrukturorganisationen und die Regierungen durch "Aktivieren und Unterstützen" -Aktionen.
EnablingMaßnahmen werden von staatlichen Stellen durchgeführt, die autonome Einrichtungen sind, die frei von kommerziellen Interessen sind. Die Veröffentlichung der "National Security Policy Compliance Requirements" sowie der IT-Sicherheitsrichtlinien und -dokumente zur Ermöglichung der Implementierung und Compliance der IT-Sicherheit erfolgt durch diese Behörden.
Endorsing Maßnahmen sind an profitablen Dienstleistungen beteiligt, nachdem die obligatorischen Qualifikationsstandards erfüllt wurden, und sie umfassen Folgendes:
ISO 27001 / BS 7799 ISMS-Zertifizierung, IS-Systemaudits usw., die im Wesentlichen die Konformitätszertifizierungen sind.
Standards zur Überprüfung der Common Criteria ISO 15408 und Crypto-Module, bei denen es sich um die Bewertung und Zertifizierung von IT-Sicherheitsprodukten handelt.
Dienstleistungen zur Unterstützung der Verbraucher bei der Implementierung von IT-Sicherheit, z. B. Schulung der IT-Sicherheitskräfte.
Vertrauenswürdige Unternehmenszertifizierung
Indische IT / ITES / BPOs müssen bei der Entwicklung des Outsourcing-Marktes die internationalen Standards und Best Practices für Sicherheit und Datenschutz einhalten. ISO 9000, KMG, Six Sigma, Total Quality Management, ISO 27001 usw. sind einige der Zertifizierungen.
Bestehende Modelle wie SEI CMM-Level sind ausschließlich für Softwareentwicklungsprozesse gedacht und behandeln keine Sicherheitsprobleme. Daher werden verschiedene Anstrengungen unternommen, um ein Modell zu erstellen, das auf dem Selbstzertifizierungskonzept und den Linien des Software Capability Maturity Model (SW-CMM) der CMU, USA, basiert.
Die Struktur, die durch eine solche Verbindung zwischen Industrie und Regierung geschaffen wurde, umfasst Folgendes:
- standards
- guidelines
- practices
Diese Parameter helfen den Eigentümern und Betreibern kritischer Infrastrukturen, mit Cybersicherheitsrisiken umzugehen.
Strategie 3 - Förderung offener Standards
Standards spielen eine wichtige Rolle bei der Definition unserer Herangehensweise an Fragen der Informationssicherheit in geografischen Regionen und Gesellschaften. Offene Standards werden ermutigt, -
- Steigerung der Effizienz von Schlüsselprozessen,
- Systemintegrationen aktivieren,
- Bereitstellung eines Mediums für Benutzer zur Messung neuer Produkte oder Dienstleistungen,
- Organisieren Sie den Ansatz, um neue Technologien oder Geschäftsmodelle zu arrangieren.
- Komplexe Umgebungen interpretieren und
- Wirtschaftswachstum unterstützen.
Standards wie ISO 27001 [3] fördern die Implementierung einer Standard-Organisationsstruktur, in der Kunden Prozesse verstehen und die Kosten für Audits senken können.
Strategie 4 - Stärkung des Rechtsrahmens
Ziel dieser Strategie ist es, ein sicheres Cyberspace-Ökosystem zu schaffen und den rechtlichen Rahmen zu stärken. Es wurde ein 24-Stunden-Mechanismus zur Bewältigung von Cyber-Bedrohungen durch das National Critical Information Infrastructure Protection Center (NCIIPC) ins Auge gefasst. Das Computer Emergency Response Team (CERT-In) wurde als Knotenagentur für das Krisenmanagement benannt.
Einige Höhepunkte dieser Strategie sind wie folgt:
Förderung von Forschung und Entwicklung im Bereich Cybersicherheit.
Entwicklung der Humanressourcen durch allgemeine und berufliche Bildung.
Ermutigung aller öffentlichen oder privaten Organisationen, eine Person als Chief Information Security Officer (CISO) zu bestimmen, die für Cybersicherheitsinitiativen verantwortlich ist.
Die indischen Streitkräfte sind dabei, ein Cyber-Kommando einzurichten, um die Cybersicherheit von Verteidigungsnetzwerken und -anlagen zu stärken.
Die effektive Umsetzung einer öffentlich-privaten Partnerschaft ist in Vorbereitung, die einen großen Beitrag zur Schaffung von Lösungen für die sich ständig ändernde Bedrohungslandschaft leisten wird.
Strategie 5 - Schaffung von Mechanismen für die IT-Sicherheit
Einige grundlegende Mechanismen zur Gewährleistung der IT-Sicherheit sind Link-orientierte Sicherheitsmaßnahmen, End-to-End-Sicherheitsmaßnahmen, verbindungsorientierte Maßnahmen und Datenverschlüsselung. Diese Methoden unterscheiden sich in ihren internen Anwendungsfunktionen und auch in den Attributen der von ihnen bereitgestellten Sicherheit. Lassen Sie uns sie kurz besprechen.
Link-orientierte Maßnahmen
Es bietet Sicherheit beim Übertragen von Daten zwischen zwei Knoten, unabhängig von der Quelle und dem Ziel der Daten.
End-to-End-Maßnahmen
Es ist ein Medium für den geschützten Transport von Protokolldateneinheiten (PDUs) von der Quelle zum Ziel, sodass eine Unterbrechung ihrer Kommunikationsverbindungen die Sicherheit nicht verletzt.
Assoziationsorientierte Maßnahmen
Assoziationsorientierte Maßnahmen sind modifizierte End-to-End-Maßnahmen, die jeden Verband einzeln schützen.
Datenverschlüsselung
Es definiert einige allgemeine Merkmale herkömmlicher Chiffren und der kürzlich entwickelten Klasse von Public-Key-Chiffren. Es verschlüsselt Informationen so, dass nur das autorisierte Personal sie entschlüsseln kann.
Strategie 6 - Sicherung von E-Governance-Diensten
Electronic Governance (E-Governance) ist das von der Regierung am meisten geschätzte Instrument, um öffentliche Dienstleistungen auf verantwortliche Weise zu erbringen. Leider gibt es im aktuellen Szenario in Indien keine eigene Rechtsstruktur für E-Governance.
Ebenso gibt es in Indien kein Gesetz für die obligatorische elektronische Erbringung öffentlicher Dienstleistungen. Und nichts ist gefährlicher und problematischer als die Durchführung von E-Governance-Projekten ohne ausreichende Cybersicherheit. Daher ist die Sicherung der E-Governance-Dienste zu einer entscheidenden Aufgabe geworden, insbesondere wenn die Nation tägliche Transaktionen über Karten durchführt.
Glücklicherweise hat die Reserve Bank of India Sicherheits- und Risikominderungsmaßnahmen für Kartentransaktionen in Indien implementiert, die ab dem 1. Oktober 2013 durchsetzbar sind. Sie hat die Verantwortung für die Gewährleistung gesicherter Kartentransaktionen eher bei Banken als bei Kunden übernommen.
"E-Government" oder elektronische Regierung bezieht sich auf den Einsatz von Informations- und Kommunikationstechnologien (IKT) durch Regierungsstellen für Folgendes:
- Effiziente Erbringung öffentlicher Dienstleistungen
- Interne Effizienz verfeinern
- Einfacher Informationsaustausch zwischen Bürgern, Organisationen und Regierungsstellen
- Umstrukturierung von Verwaltungsprozessen.
Strategie 7 - Schutz kritischer Informationsinfrastrukturen
Kritische Informationsinfrastruktur ist das Rückgrat der nationalen und wirtschaftlichen Sicherheit eines Landes. Es umfasst Kraftwerke, Autobahnen, Brücken, Chemiefabriken, Netze sowie Gebäude, in denen täglich Millionen von Menschen arbeiten. Diese können durch strenge Kooperationspläne und disziplinierte Implementierungen gesichert werden.
Der Schutz kritischer Infrastrukturen vor der Entwicklung von Cyber-Bedrohungen erfordert einen strukturierten Ansatz. Es ist erforderlich, dass die Regierung regelmäßig aggressiv mit dem öffentlichen und privaten Sektor zusammenarbeitet, um Minderungsbemühungen gegen versuchte Störungen und nachteilige Auswirkungen auf die kritische Infrastruktur des Landes zu verhindern, darauf zu reagieren und diese zu koordinieren.
Es ist gefragt, dass die Regierung mit Geschäftsinhabern und Betreibern zusammenarbeitet, um ihre Dienste und Gruppen durch den Austausch von Cyber- und anderen Bedrohungsinformationen zu stärken.
Den Benutzern sollte eine gemeinsame Plattform zur Verfügung gestellt werden, auf der Kommentare und Ideen eingereicht werden können. Diese können gemeinsam genutzt werden, um eine härtere Grundlage für die Sicherung und den Schutz kritischer Infrastrukturen zu schaffen.
Die US-Regierung hat 2013 eine Verordnung "Verbesserung der Cybersicherheit kritischer Infrastrukturen" verabschiedet, in der das Management des Cybersicherheitsrisikos bei der Bereitstellung kritischer Infrastrukturdienste Vorrang hat. Dieser Rahmen bietet eine gemeinsame Klassifizierung und einen gemeinsamen Mechanismus für Organisationen, um -
- Definieren Sie ihre bestehende Cybersicherheitslage.
- Definieren Sie ihre Ziele für die Cybersicherheit.
- Kategorisieren und priorisieren Sie Entwicklungschancen im Rahmen eines konstanten Prozesses und
- Kommunizieren Sie mit allen Investoren über Cybersicherheit.