サイバーセキュリティ戦略

安全なサイバースペースを設計および実装するために、いくつかの厳格な戦略が実施されています。この章では、サイバーセキュリティを確保するために採用されている主な戦略について説明します。

安全なサイバーエコシステムの作成
保証フレームワークの作成
オープンスタンダードの奨励
規制の枠組みの強化
ITセキュリティのメカニズムの作成
電子統治サービスの確保
重要な情報インフラストラクチャの保護

戦略1-安全なサイバーエコシステムの作成

サイバーエコシステムには、デバイス（通信技術やコンピューター）、個人、政府、民間組織など、さまざまな理由で相互作用するさまざまなエンティティが含まれます。

この戦略は、サイバー攻撃を防止したり、その有効性を低下させたり、サイバー攻撃から回復するための解決策を見つけたりするために、サイバーデバイスが将来互いに連携できる強力で堅牢なサイバーエコシステムを持つというアイデアを探求します。

このようなサイバーエコシステムには、サイバーデバイスに組み込まれた機能があり、デバイスのグループ内およびグループ間で安全なアクション方法を編成できます。このサイバーエコシステムは、ソフトウェア製品を使用してセキュリティの弱点を検出および報告する現在の監視技術によって監視できます。

強力なサイバーエコシステムには、3つの共生構造があります- Automation, Interoperability, そして Authentication。

Automation −高度なセキュリティ対策の実装を容易にし、迅速性を高め、意思決定プロセスを最適化します。
Interoperability−協調行動を強化し、意識を向上させ、学習手順を加速します。相互運用性には3つのタイプがあります-
- セマンティック（つまり、共通の理解に基づく共有レキシコン）
- Technical
- ポリシー-さまざまな貢献者を包括的なサイバー防御構造に同化させる上で重要です。
Authentication −提供するために機能する識別および検証テクノロジーを改善します−
- Security
- Affordability
- 使いやすさと管理
- Scalability
- Interoperability

攻撃の比較

次の表は、攻撃カテゴリと望ましいサイバーエコシステム機能の比較を示しています-

ケーススタディ

次の図はによって作成されました Guilbert Gates for The New York Times, これは、イランの植物がインターネットを介してどのようにハッキングされたかを示しています。

Explanation−イランの原子力発電所を自動的に稼働させるプログラムが設計されました。残念ながら、脅威に気づかなかった労働者がプログラムをコントローラーに導入しました。プログラムは、植物に関連するすべてのデータを収集し、情報機関に情報を送信しました。情報機関は、ワームを開発して植物に挿入しました。ワームを使用して、植物は悪党によって制御され、より多くのワームが生成され、その結果、植物は完全に機能しなくなりました。

攻撃の種類

次の表に、攻撃カテゴリを示します-

攻撃カテゴリ	攻撃の説明
消耗	ネットワークやシステムに損害を与えるために使用される方法。以下が含まれます- 分散型サービス拒否攻撃サービスまたはアプリケーションへのアクセスを損なう、または拒否するリソース枯渇攻撃
マルウェア	所有者の同意なしに、通常のコンピューター操作を中断し、情報資産に損害を与えるために使用される悪意のあるソフトウェア。リムーバブルデバイスから実行すると、マルウェアの脅威が高まる可能性があります。
ハッキング	弱点を意図的に悪用して非倫理的なアクセスを取得しようとする試み。通常はリモートで実行されます。それは含むかもしれません- データ漏えい攻撃インジェクション攻撃と機能の乱用 spoofing タイムステート攻撃バッファおよびデータ構造の攻撃リソース操作盗まれた資格情報の使用 backdoors パスワードに対する辞書攻撃認証の悪用
社会戦術	欺瞞や操作などの社会的戦術を使用して、データ、システム、またはコントロールへのアクセスを取得します。含まれています- プレテキスト（偽造調査）フィッシングを扇動する会話による情報の検索
不適切な使用法（内部脅威）	組織のポリシーに違反する、組織内の個人によるデータおよび制御に対する権利の悪用。含まれています- 許可されていないソフトウェアのインストール機密データの削除
物理的行為/機器の紛失または盗難	-などの人間主導の攻撃盗まれたIDトークンとクレジットカードカードリーダーやPOS端末をいじったり交換したりするセンサーへの干渉ラップトップなど、組織が使用するコンピューティングデバイスの盗難
複数のコンポーネント	いくつかの高度な攻撃テクニックとコンポーネントを含むシングルアタッチテクニック。
その他	-などの攻撃サプライチェーン攻撃ネットワーク調査

戦略2-保証フレームワークの作成

この戦略の目的は、従来の製品、プロセス、人員、およびテクノロジーを通じて、グローバルセキュリティ標準に準拠したアウトラインを設計することです。

国家安全保障要件に対応するために、 Cybersecurity Assurance Framework開発されました。これは、「有効化と承認」アクションを通じて、重要なインフラストラクチャ組織と政府に対応します。

Enabling行動は、商業的利益のない自治団体である政府機関によって実行されます。ITセキュリティの実装とコンプライアンスを可能にするための「国家安全保障ポリシーコンプライアンス要件」とITセキュリティガイドラインおよびドキュメントの公開は、これらの当局によって行われます。

Endorsing 行動は、義務的な資格基準を満たした後、収益性の高いサービスに関与し、それらには以下が含まれます。

ISO 27001 / BS 7799 ISMS認証、ISシステム監査など。これらは本質的にコンプライアンス認証です。
ITセキュリティ製品の評価と認証である「CommonCriteria」標準ISO15408およびCryptoモジュール検証標準。
ITセキュリティマンパワートレーニングなど、消費者がITセキュリティを実装するのを支援するサービス。

信頼できる会社の認証

インドのIT / ITES / BPOは、アウトソーシング市場の発展に伴い、セキュリティとプライバシーに関する国際標準とベストプラクティスに準拠する必要があります。ISO 9000、CMM、シックスシグマ、総合品質管理、ISO27001などが認証の一部です。

SEI CMMレベルなどの既存のモデルは、ソフトウェア開発プロセス専用であり、セキュリティの問題には対応していません。したがって、自己認証の概念と米国CMUのソフトウェア機能成熟度モデル（SW-CMM）のラインに基づいて、モデルを作成するためにいくつかの努力が払われています。

このような産業界と政府の連携によって生み出された構造は、以下から構成されています。

standards
guidelines
practices

これらのパラメータは、重要なインフラストラクチャの所有者と運用者がサイバーセキュリティ関連のリスクを管理するのに役立ちます。

戦略3-オープンスタンダードの奨励

標準は、地理的な地域や社会全体で情報セキュリティ関連の問題にどのように取り組むかを定義する上で重要な役割を果たします。オープンスタンダードは次のように奨励されています-

重要なプロセスの効率を高め、
システムの組み込みを有効にし、
ユーザーが新しい製品やサービスを測定するための媒体を提供し、
新しいテクノロジーやビジネスモデルをアレンジするためのアプローチを整理し、
複雑な環境を解釈し、
経済成長を支持する。

ISO 27001 [3]などの標準は、顧客がプロセスを理解し、監査のコストを削減できる標準的な組織構造の実装を奨励しています。

戦略4-規制の枠組みを強化する

この戦略の目的は、安全なサイバースペースエコシステムを作成し、規制の枠組みを強化することです。National Critical Information Infrastructure Protection Center（NCIIPC）を通じてサイバー脅威に対処するために、24時間年中無休のメカニズムが想定されています。Computer Emergency Response Team（CERT-In）は、危機管理のノード機関として機能するように指定されています。

この戦略のいくつかのハイライトは次のとおりです-

サイバーセキュリティの研究開発の推進。
教育訓練プログラムを通じて人材を育成する。
公的または私的を問わず、すべての組織に、サイバーセキュリティイニシアチブの責任者となる最高情報セキュリティ責任者（CISO）を任命するよう奨励します。
インド軍は、防衛ネットワークと施設のサイバーセキュリティを強化する一環として、サイバーコマンドを確立する過程にあります。
官民パートナーシップの効果的な実装はパイプラインにあり、絶えず変化する脅威の状況に対するソリューションの作成に大いに役立ちます。

戦略5-ITセキュリティのメカニズムの作成

ITセキュリティを確保するために実施されているいくつかの基本的なメカニズムは、リンク指向のセキュリティ対策、エンドツーエンドのセキュリティ対策、アソシエーション指向の対策、およびデータ暗号化です。これらの方法は、内部アプリケーションの機能と、提供するセキュリティの属性が異なります。それらについて簡単に説明しましょう。

リンク指向の対策

データの最終的な送信元と宛先に関係なく、2つのノード間でデータを転送しながらセキュリティを提供します。

エンドツーエンドの対策

これは、プロトコルデータユニット（PDU）を保護された方法で送信元から宛先に転送し、通信リンクの中断がセキュリティに違反しないようにするための媒体です。

協会志向の措置

アソシエーション指向のメジャーは、すべてのアソシエーションを個別に保護するエンドツーエンドのメジャーの変更されたセットです。

データ暗号化

これは、従来の暗号と最近開発された公開鍵暗号のクラスのいくつかの一般的な機能を定義します。許可された担当者のみが情報を復号化できるように情報をエンコードします。

戦略6-電子統治サービスの確保

電子統治（e-governance）は、説明責任のある方法で公共サービスを提供するための政府にとって最も貴重な手段です。残念ながら、現在のシナリオでは、インドには電子統治のための専用の法的構造はありません。

同様に、インドには公共サービスの義務的な電子配信に関する法律はありません。そして、十分なサイバーセキュリティなしで電子統治プロジェクトを実行することほど危険で面倒なことはありません。したがって、特に国がカードを介して日常の取引を行っている場合、電子統治サービスの保護は重要なタスクになっています。

幸いなことに、インド準備銀行は、2013年10月1日から施行されるインドでのカード取引のセキュリティおよびリスク軽減策を実施しました。安全なカード取引を顧客ではなく銀行に保証する責任を負っています。

「電子政府」または電子政府とは、政府機関による情報通信技術（ICT）の使用を次の目的で指します。

公共サービスの効率的な提供
内部効率の向上
市民、組織、政府機関間の簡単な情報交換
管理プロセスの再構築。

戦略7-重要な情報インフラストラクチャの保護

重要な情報インフラストラクチャは、国の国家的および経済的安全のバックボーンです。これには、発電所、高速道路、橋、化学プラント、ネットワーク、そして何百万人もの人々が毎日働く建物が含まれます。これらは、厳格なコラボレーション計画と統制のとれた実装で保護できます。

重要なインフラストラクチャをサイバー脅威の発生から保護するには、構造化されたアプローチが必要です。政府は、国の重要なインフラストラクチャへの混乱や悪影響の試みを防止、対応、および緩和する取り組みを調整するために、定期的に公的および民間部門と積極的に協力することが必要です。

政府は、サイバーやその他の脅威情報を共有することにより、事業主や事業者と協力してサービスやグループを強化することが求められています。

共通のプラットフォームをユーザーと共有してコメントやアイデアを送信する必要があります。これらを連携させて、重要なインフラストラクチャを保護および保護するためのより強固な基盤を構築できます。

米国政府は、2013年に、重要インフラストラクチャサービスの提供に伴うサイバーセキュリティリスクの管理を優先する大統領命令「重要インフラストラクチャサイバーセキュリティの改善」を可決しました。このフレームワークは、組織に共通の分類とメカニズムを提供します。

既存のサイバーセキュリティの方向性を定義し、
サイバーセキュリティの目的を定義し、
一定のプロセスの枠組みの中で開発の機会を分類して優先順位を付け、
サイバーセキュリティについてすべての投資家と通信します。