Əsas fikir
ISMS sənədlər toplusu deyil: aktivlərə uyğun nəzarətlər, məsul sahiblər, yoxlanmış əməliyyatlar və təkmilləşdirmə qərarlarıdır.
Risk, aktivlər və məsuliyyətləri müəyyən edin
İnformasiya təhlükəsizliyi idarəetmə sistemi (ISMS) məlumatı və onu emal edən sistemləri qorumaq üçün risk, siyasət, proses və nəzarətləri əlaqələndirir. Avadanlıq, proqram, bulud hesabı, məlumat bazası və fiziki qeydləri sahibi, dəyəri və təsir dairəsi ilə inventarlaşdırın. Təhdidləri və zəiflikləri biznesə mümkün təsiri ilə qiymətləndirin; riskin qəbul, azaldılma, ötürülmə və ya aradan qaldırılması qərarını məsul sahib sənədləşdirsin.
Müdafiəni bir neçə qatda tətbiq edin
Bir firewall və ya endpoint aləti bütün hücum yollarını bağlamır. Şəbəkə seqmentasiyası, yeniləmələr, təhlükəsiz konfiqurasiya, çoxfaktorlu autentifikasiya, ən az səlahiyyət, məlumat şifrələməsi, son nöqtə aşkarlanması və monitorinqi bir-birini tamamlayan qatlar kimi qurun. Yüksək təsirli aktivlər üçün daha güclü giriş məhdudiyyəti, ehtiyat nüsxə və monitorinq tətbiq edin. Hər nəzarətin sahibi, əhatəsi və yoxlama sübutu olsun.
Təhdidləri izləyin, araşdırın və cavab verin
Təhdidlərə zərərli proqram, şantajçı proqramlar (ransomware), fişinq, daxili sui-istifadə, xidmətin dayandırılması, APT, sıfır-gün zəiflikləri, təchizat zəncirinin komprometasiyası və zəif qorunan IoT cihazları vasitəsilə hücumlar daxildir. Son nöqtə, identiklik, e-poçt, şəbəkə və buluddan gələn qeydləri əlaqələndirin. Xəbərdarlıq yarananda analitik konteksti yoxlayır, əhatəni müəyyən edir və əvvəlcədən hazırlanmış cavab planına uyğun təcrid, girişin ləğvi və bərpa addımlarını başladır; avtomatik bloklama qərarını və geri qaytarma yolunu əvvəlcədən sınaqdan keçirin.
ISMS-i ölçün və yeniləyin
Siyasət və nəzarətlərin işlədiyini audit, zəiflik yoxlaması, fişinq sınağı, giriş auditi və bərpa məşqi ilə təsdiqləyin. Nəticələrdə aktiv, tarix, sübut, istisna, sahib və sonrakı addım göstərilsin; yanlış müsbətləri də araşdırın. Əvvəlcə təşkilata hansı qanun, standart və müqavilə tələblərinin tətbiq olunduğunu müəyyən edin, sonra onların yerinə yetirilməsini yoxlayın. ISO/IEC 27001 və PCI DSS standartlardır, GDPR və HIPAA qanunvericilik aktlarıdır; NIST müxtəlif standart və tövsiyələr dərc edir. Ümumi nəzarət siyahısı sertifikat və ya uyğunluq sübutu deyil. Risklər və iş mühiti dəyişdikcə proqramı yeniləyin.