Governance & Regulation

房间链接：https://tryhackme.com/room/cybergovernanceregulation

治理与监管

探索对组织内网络安全进行监管至关重要的政策和框架

任务 1简介

网络安全是一个快速发展的领域，其中恶意行为者不断努力利用高度敏感系统中的漏洞，通常意图造成严重损害、中断和窃取敏感企业数据。为了应对这种不断发展的威胁，需要一种全面的方法来信息安全管理与法规 。这种方法需要建立强大的政策和指南，并实施严格的监控和执行机制以确保合规。通过采取积极主动和战略性的网络安全立场，组织可以减轻恶意行为者带来的风险，并保护其敏感系统免受可能造成灾难性的漏洞攻击。

学习目标

• 理解治理和监管在网络安全中的作用和重要性
• 了解相关的国际法律、法规、政策、标准和指南
• 理解治理、风险管理及合规（GRC）框架
• 开发并提升自己的网络安全态势，符合国际标准，包括 ISO 27001、NIST 800-53 等

先决条件

建议对以下两个领域有基本了解；然而，并非强制要求：

• 安全原则
• Web 应用安全

如果您已经通过了上面的房间，我们现在就可以开始。

任务 2为什么这很重要？

重要术语

• 治理 ：管理和指导一个组织或系统以实现其目标并确保遵守法律、法规和标准。
• 监管 ：由监管机构强制执行的规则或法律，以确保遵守和保护免受损害。
• 合规 ：遵守适用于组织或系统的法律、法规和标准的状态。

信息安全治理

信息安全治理代表了一个组织建立的结构、政策、方法和指南，旨在确保其信息资产的安全性、可靠性和可访问性。鉴于网络威胁的日益复杂化，信息安全治理的重要性持续增长。对于风险管理、保护机密数据免受未授权入侵以及遵守相关法规至关重要。信息安全治理属于高级管理层职责，包括以下流程：

• 战略 ：制定和实施与组织整体商业目标相一致的综合信息安全战略。
• 政策和程序 ：制定管理信息资产使用和保护的政策和程序。
• 风险管理 ：进行风险评估，以识别对组织信息资产构成潜在威胁，并实施风险缓解措施。
• 绩效评估 ：建立指标和关键绩效指标（KPI）来衡量信息安全治理计划的有效性。
• 合规性 ：确保符合相关法规和行业最佳实践。

信息安全法规

在信息安全领域，治理和法规紧密相连，但具有不同的含义。信息安全法规是指规范信息资产使用和保护的法律和监管框架。法规旨在保护敏感数据免受未经授权的访问、盗窃和滥用。合规性通常是强制性的，并由政府机构或其他监管机构执行。信息安全法规/标准示例包括通用数据保护条例（GDPR）、支付卡行业数据安全标准（PCI DSS）、个人信息保护与电子文件法（PIPEDA）等。

关键优势

以下为实施治理和监管的好处：

• 更强大的安全态势 ：实施全面的安全治理计划并遵守相关法规可以帮助组织降低安全漏洞的风险，保护敏感信息免受未经授权的访问、盗窃和滥用。
• 提升利益相关者信心 ：有效的安全治理和监管可以通过展示一个组织对网络安全的高度重视并已采取措施保护敏感数据，从而增强利益相关者的信任。
• 合规性 ：遵守相关法规，如 GDPR、HIPAA 和 PCI DSS，可以帮助组织避免因不合规而产生的法律和财务处罚以及声誉损害。
• 与业务目标更好的对齐 ：安全治理框架可以帮助组织将信息安全战略与整体业务目标对齐，并确保安全措施具有成本效益，有助于组织的成功。
• 信息决策 ：安全治理计划可以为决策者提供他们所需的知识，以便就信息安全风险做出复杂的决策，并确保安全措施在最需要的地方得到实施。
• 竞争优势 ：有效的安全治理和遵守相关法规可以通过展示组织保护敏感数据并增强利益相关者信任的承诺，从而提供竞争优势。

相关法律法规

特定的法律法规运作着安全治理和监管生态系统。它们为建立最低合规标准、促进问责制和信任、以及培养保护关键系统和数据的新方法提供了一个结构化的框架。通过提供清晰简洁的规则，它们减少了模糊性，为组织提供了一个共同的语言来衡量其安全态势并确保符合监管要求。以下是有关法律法规的概述：

法律/法规	域名	描述
通用数据保护条例（GDPR）	数据隐私与保护	GDPR 是欧盟推广的一项法规，对组织如何处理、保护和确保欧盟公民和居民的个人信息设定了严格的要求。
健康保险可携带性和责任法案（HIPAA）	医疗保健	一项美国官方法律，用于维护公民健康相关信息的敏感性。
支付卡行业数据安全标准（PCI-DSS）	金融	设定技术和操作要求，以确保商家、服务提供商和其他处理支付卡实体对持卡人数据的妥善处理、存储、处理和传输。
格拉姆-里奇-布莱利法案（GLBA）	金融	金融公司必须对其客户的非公开个人信息（NPI）保持敏感，包括实施信息安全计划、提供隐私通知和披露信息共享实践。

任务 3信息安全框架

信息安全框架

信息安全框架提供了一套全面的文档，概述了组织在信息安全方面的方法，并规定了在组织内部实施、管理和执行安全措施的方式。这主要包含：

• 政策： 一份正式声明，概述了组织实现特定目标的目标、原则和指南。
• 标准： 一份建立特定过程、产品或服务的要求或规范的文档。
• 指南： 一份提供实现特定目标或目标的建议和最佳实践（非强制性）的文档。
• 程序 ：执行特定任务或流程的特定步骤集合。
• 基线 ：组织或系统必须达到的最小安全标准或要求。

制定治理文件

以下是制定政策、标准、指南等的一般步骤。

• 确定范围和目的 ： 确定文档将涵盖的内容以及为什么需要它。例如，可能需要密码策略来确保用户密码的强大和安全。相比之下，可能需要基线来为所有系统建立最低的安全水平。
• 研究和审查 ： 研究相关的法律、法规、行业标准以及最佳实践，以确保您的文档全面且更新及时。审查现有的政策、程序和其他文档，以避免重复工作或与现有指导相矛盾。
• 起草文档 ： 制定大纲并开始起草文档，遵循编写清晰、简洁的政策、程序、标准、指南和基线的最佳实践。确保文档具体、可操作，并与组织的目标和价值观保持一致。
• 审查和批准 ：让利益相关者，如主题专家、法律和合规团队以及高级管理层审查文件。纳入他们的反馈，确保文件与组织目标和价值观一致。从适当的利益相关者那里获得最终批准。
• 实施与沟通 ：将文件传达给所有相关员工和利益相关者，并确保他们了解在实施中的角色和责任。开发培训和意识提升计划，以确保文件被理解和遵循。
• 审查和更新 ：定期审查和更新文件，以确保其保持相关性和实用性。监控合规性并根据反馈以及威胁环境或监管环境的变化调整文件。

通过现实场景解释

我们将通过一些真实场景来全面了解开发这些文件的步骤。

准备密码策略

• 定义密码要求：最小长度、复杂性和过期时间。
• 定义密码使用指南：指定密码的使用方式，例如要求每个账户使用唯一的密码，禁止密码共享，禁止使用默认密码。
• 定义密码存储和传输指南：使用加密进行密码存储，并要求安全连接进行密码传输。
• 定义密码更改和重置指南：密码应多久更改一次等。
• 传达政策：将密码政策传达给所有相关员工和利益相关者，并确保他们了解要求和指南。开发培训和意识提升计划，以确保员工遵守政策。
• 监控合规性：监控对密码政策的遵守情况，并根据反馈以及威胁环境或监管环境的变化，必要时调整政策。

制定事件响应程序

• 定义事件类型：未经授权的访问、恶意软件感染或数据泄露。
• 定义事件响应角色和职责：确定利益相关者，例如事件响应团队成员、IT 人员、法律和合规团队以及高级管理层。
• 详细步骤：为应对每种类型的事故制定逐步的程序，包括初始响应步骤，如控制事故和保存证据；分析和调查步骤，如确定根本原因和评估影响；响应和恢复步骤，如减轻事故、报告和恢复正常运营。
• 报告事件给管理层，并记录事件应对过程以供未来参考。
• 沟通事件响应程序。
• 审查并更新事件响应程序。

组织有时需要制定标准、框架或基准；相反，它们遵循和使用与其领域或学科相关的现成文件，例如金融部门可能遵循 PCI-DSS 和 GLBA；医疗保健可能遵循 HIPAA 等。我们决定使用哪个标准框架或基准清单的因素有很多；这些包括与特定地理区域、范围、目标、可用资源等主要相关的监管要求。

任务 4治理、风险与合规（GRC）

随着我们学习，信息安全治理和合规性对于维护任何组织的整体安全态势是必要的。但如何实现它呢？这时就轮到治理与风险管理（GRC）框架发挥作用了。它侧重于以综合的方式引导组织的整体治理、企业风险管理以及合规性。这是一种与组织的目标和目标保持一致的信息安全整体方法，有助于确保组织在相关法规和行业标准范围内运营。GRC 框架具有以下三个组成部分：

• 治理组件 ：通过信息安全策略来引导组织，包括政策、标准、基线、框架等，并建立适当的监控方法来衡量其绩效和评估结果。
• 风险管理组件 ：涉及识别、评估和优先处理组织面临的风险，并实施控制措施和缓解策略来有效管理这些风险。这包括监控和报告风险，并持续评估和改进风险管理计划，以确保其持续有效性。
• 合规组件 ：确保组织满足其法律、监管和行业义务，以及其活动与政策和程序保持一致。这包括制定和实施合规计划，进行定期的审计和评估，并向利益相关者报告合规问题。

如何开发 GRC 计划 - 通用指南

一个完善并实施的网络安全 GRC 计划为管理风险、遵守法规和标准以及提高组织整体安全视角提供了一个综合框架。它使有效的治理、风险管理及合规活动成为可能，减轻网络事件的影响并确保业务弹性。在本节中，我们将探讨如何开发和实施一个 GRC 框架。开发和实施 GRC 框架涉及多个步骤；我们将通过适当的例子解释每个步骤，以便我们能够轻松理解：

• 定义范围和目标 ：这一步骤包括确定 GRC 项目的范围并定义其目标。例如，一家公司可以为其实施客户数据管理系统而制定 GRC 项目。目标可能是将网络安全风险降低 50%，同时保持客户的信任。
• 进行风险评估 ：在此步骤中，组织识别和评估其网络安全风险。例如，风险评估可能揭示客户数据管理系统由于访问控制薄弱或软件过时而容易受到外部攻击。组织可以优先考虑这些风险并制定风险管理策略。
• 制定政策和程序 ：政策和程序是为了指导组织内的网络安全实践而制定的。例如，公司可能建立密码策略以确保使用强密码。他们还可能实施日志记录和监控系统访问程序以检测可疑活动。
• 建立治理流程 ：治理流程确保 GRC 项目得到有效管理和控制。例如，组织可能建立一个定期召开会议以审查安全风险并就安全投资和优先事项做出决策的安全指导委员会。定义角色和责任以确保每个人都了解他们在项目中的角色。
• 实施控制 ：通过实施技术和非技术控制来减轻风险评估中确定的风险。例如，公司可能实施防火墙、 入侵预防系统（IPS）、 入侵检测系统（IDS） 和安全信息和事件管理（SIEM） 来防止外部攻击，并对员工进行培训以提高安全意识并降低人为错误的风险。
• 监控和衡量绩效 ：建立流程来监控和衡量 GRC 计划的有效性。例如，组织可以跟踪指标和遵守安全政策的情况。这些信息用于确定改进领域并根据需要调整计划。
• 持续改进 ：GRC 项目会根据绩效指标、变化的风险概况和利益相关者的反馈进行持续审查和改进。例如，如果组织遭遇安全事件，它可能会进行事后分析以确定根本原因，并采取措施防止类似事件再次发生。

一个示例 - 金融领域的 GRC 框架

要全面理解 GRC 的每个组成部分，有必要通过现实世界的例子和场景来理解它。在接下来的部分中，我们将看到金融行业如何实施 GRC 框架的每个组成部分：

• 治理相关活动： 提名治理层级的执行人员，制定与金融相关的政策，如银行保密法、反洗钱政策、财务审计政策、财务报告、危机管理以及更多。
• 风险管理活动： 识别潜在风险、其可能的结果和应对措施，如财务欺诈风险、通过网络攻击进行的欺诈交易、通过钓鱼窃取的凭证、伪造的 ATM 卡等。
• 合规活动： 采取措施满足法律要求和行业标准，例如 PCI DSS、GLBA 等。此外，还包括实施正确的方法，如 SSL/ TLS 以避免中间人攻击 (MITM)，确保对未打补丁的软件进行自动补丁管理，开展用户保护活动以防止 钓鱼 攻击，等等。

任务 5隐私和数据保护

在金融、医疗保健、政府以及工业等每个领域，隐私和数据保护法规至关重要，因为它们涉及公民的个人信息（PII）。隐私法规有助于确保个人信息的处理和存储是负责任和道德的。它们还有助于建立信任、保护个人信息并维持法规遵守。展望未来，我们将探讨最重要的隐私和数据保护法规的基本原则及其目的，这将帮助我们理解为什么数据保护法规至关重要。

通用数据保护条例（GDPR）

《GDPR》是欧盟于 2018 年 5 月实施的一项数据保护法律，旨在保护个人数据。个人数据是“ 与个人相关联的任何数据，可以通过直接或间接的方式识别该个人 ”。该法律的关键点包括以下内容：

• 在收集任何个人数据之前，必须获得事先批准 。
• 个人数据应尽量保持最小化 ，并且仅在必要时收集。
• 采取充分措施以保护存储的个人数据。

该法律适用于所有在欧洲联盟（欧盟）开展业务并收集/存储/处理欧盟居民个人数据的商业实体，并要求其遵守。这是全球最严格的数据隐私法规之一，并在收集过程中保护个人数据。公司只能出于合法理由收集个人数据，并必须告知数据所有者其处理方式。此外，这还包括以下两个等级的违规处罚和罚款：

• 第一级 ：更严重的违规行为，包括无意收集数据、未经同意与第三方共享数据等。最高罚款金额为该组织收入的 4%或 2000 万欧元（以较高者为准）。
• 第二级 ：较轻的违规行为，包括数据泄露通知、网络安全政策等。第二级的最高罚款为该组织收入的 2%或 1000 万欧元（以较高者为准）。

支付卡行业数据安全标准（PCI DSS）

PCI DSS 专注于维护安全的卡交易并保护数据盗窃和欺诈。它被企业广泛使用，主要用于在线卡交易。它由主要信用卡品牌（Visa、MasterCard & American Express）设立。它要求对持卡人信息进行严格控制，并监控未经授权的访问，使用推荐措施，如 Web 应用防火墙和加密。您可以在[这里](https://docs-prv.pcisecuritystandards.org/PCI DSS/Supporting Document/PCI_DSS-QRG-v4_0.pdf)了解更多关于该标准的信息。

任务 6NIST 特别出版物

NIST 800-53

NIST 800-53 是一份名为 “ 信息系统和组织的安全和隐私控制 “, 由美国国家标准与技术研究院 (NIST) 开发的出版物，提供了一整套安全控制措施，以保护信息系统的 CIA 三要素。 该出版物作为组织评估和提升其信息系统安全和隐私的框架，并符合各种法律、法规和政策。它融合了来自多个来源的最佳实践，包括行业标准、指南和国际框架。

要点

NIST 800-53 提供了一套全面的网络安全和隐私控制措施，组织可以使用这些措施来保护其运营、资产、人员以及其他组织免受各种威胁和风险。这包括有意的攻击、无意错误、自然灾害、基础设施故障、外国情报活动以及隐私问题。 NIST 800-53 修订版 5 将安全控制分为二十个类别，每个类别针对特定的安全关注类别。您可以在这里 （第 2.2 节）了解更多关于控制措施的信息。

基于 NIST 800-53 的信息安全程序的开发和实施

在所有类别中，“ 项目管理 ”是 NIST 800-53 框架的关键控制之一。项目管理控制要求建立、实施和监控组织范围内的信息安全隐私程序，同时保护通过系统处理、存储或传输的数据。为确保项目管理，以下子控制措施是必须实施的：

合规最佳实践
首先，企业必须进行彻底的发现过程 ，以识别和编制其数据资产、信息系统和相关威胁的清单。这包括理解数据流、系统依赖性和潜在漏洞 。必须将 NIST 800-53 控制系列映射到已识别的资产和风险 ，这使得创建一个将控制措施与组织需求相匹配的结构化方法变得更加容易。第三， 创建治理结构 、分配职责以及概述精确的控制措施实施和维护程序都是有效管理实施过程所必需的。所有措施都必须定期监控和评估，以确保合规性。最后，组织应建立有效的监控系统，以识别和解决安全问题，进行常规评估和审计，并改进控制措施的实施。通过遵循这些最佳实践，组织可以成功实施 NIST 800-53，同时有效降低风险，提升其安全前景。

NIST 800-63B
NIST 特别出版物 800-63B 是一套由 NIST 制定的指南，旨在帮助组织建立有效的数字身份实践。其主要重点是验证和确认访问数字服务、系统和网络的个人身份。这些指南提供了从基本到高保证的不同身份保证级别的建议。它们还就使用认证因素，包括密码、生物识别和令牌，以及安全地管理和存储用户凭据提供建议。

任务 7信息安全管理和合规

战略规划、执行和持续管理安全措施都是信息安全（IS）管理的一部分，它保护信息资产免受未经授权的访问、使用、披露、中断、更改和破坏。它包括风险评估和识别、安全控制和程序开发、事件响应计划和安全性意识培训。相反，合规性指的是遵守与信息安全相关的法律、法规、合同和行业特定标准。在 IS 管理和合规性方面，我们将探讨两个关键标准。

ISO/IEC 27001

ISO 27001 是一个国际公认的标准，规定了组织信息安全管理体系（ISMS）的规划、开发、运行和更新的要求。官方的 ISO/IEC 27001 文档需要付费购买，可通过此 链接 购买。它由国际标准化组织（ISO）和国际电工委员会（IEC）共同开发，并包含以下核心组成部分：

• 范围 ：这规定了 ISMS 的边界，包括涵盖的资产和流程。
• 信息安全政策 ：一份定义组织信息安全方法的纲领性文件。
• 风险评估 ：涉及识别和评估对组织信息保密性、完整性和可用性的风险。
• 风险处理 ：涉及选择和实施控制措施，以将已识别的风险降低到可接受的水平。
• 适用性声明（SoA）：本文件规定了哪些标准控制措施是适用的，哪些是不适用的。
• 内部审计 ：这涉及定期对 ISMS 进行审计，以确保其有效运作。
• 管理评审 ：定期审查 ISMS 的性能。

基于 ISO 27001 标准的 ISMS 需要精心设计和执行。它包括对组织的安保程序进行全面评估、发现差距和进行彻底的风险评估 。访问控制、事件响应等只是需要创建明确规则并与 ISO 27001 要求保持一致的一些领域。 领导支持及资源分配对于 ISMS 的成功实施也至关重要。 定期监控、测量和持续发展对于确保 ISMS 的有效性和与组织目标的持续一致至关重要。

服务组织控制 2（SOC 2）

SOC 2 由美国注册会计师协会（AICPA）开发，作为一个 合规/审计框架 。它侧重于根据 CIA 三位一体原则评估公司数据安全的有效性。 SOC 2 可以让客户、利益相关者和商业伙伴确信，公司已经实施了足够的控制措施来保护其系统、数据和敏感信息。

对于处理、存储或传输敏感数据的 SOC 2 框架对于服务提供商至关重要。它帮助企业在维护严格的隐私和安全标准方面展示其承诺。客户经常要求提供 SOC 2 报告，或将它们用作竞争优势，以确保客户的信息将得到安全处理 。您可以在此处了解更多信息。

重要红衣主教

• SOC 2 是一种审计标准，用于评估服务组织与保密性、可用性、完整性和隐私相关的控制措施的有效性。
• 独立审计师进行 SOC 2 审计，以确定安全控制措施是否符合相关标准。
• SOC 2 报告向客户、利益相关者和监管机构提供了关于服务组织安全与隐私实践的有价值信息。它们可以用来证明服务组织拥有足够的控制措施来保护其用于处理客户信息的系统和数据。例如，一家为其他企业提供基础设施服务的云计算公司可能需要进行 SOC 2 审计，以证明其拥有足够的控制措施来保护存储在其服务器上的客户数据。审计可能包括物理安全、网络安全、数据加密、备份和恢复以及员工培训和意识。
• 《SOC 2 审计报告》将评估云计算公司现有的控制措施，并包括任何发现或改进建议。这些信息可以与客户和其他利益相关者共享，以确保公司采取适当的措施来保护其数据和系统。

提供哪些信息安全保护 SOC2？

主要目的是确保第三方服务提供商安全地存储和处理敏感信息。SOC 2 审计。

规划和进行 SOC 2 审计

以下步骤可以在审计前和审计期间由组织的管理团队采取：

• 确定范围 ：这可能包括与客户数据安全和隐私相关的特定系统、流程或地点。
• 选择合适的审计师 ：选择一位有经验的合格审计师，他们有进行 SOC 2 审计金融机构的经验。考虑审计师的名誉、经验和可用性等因素。
• 制定审计计划： 与审计师合作制定审计计划，包括审计时间表、审计范围和审计标准。
• 准备审计 ：通过审查您的安全和隐私控制、政策和程序来准备审计。确定任何差距或不足，并制定计划来解决它们。
• 进行审计 ：审计员将审查您的控制措施并执行测试以评估其有效性。审计可能包括与关键人员的访谈、文件审查和控制测试。
• 接收审计报告 ：一旦审计完成，审计员将提供一份详细说明审计结果的报告。报告可能包括对您的控制的描述、识别出的任何不足或差距，以及改进建议。

以上图表显示了在针对金融机构进行 SOC 2 审计时，根据审计范围将进行检查的通用控制措施。除此之外，还有技术性和特定控制措施，例如确保数据传输加密、网络安全、事件管理等。

任务 8结论

这个房间全面概述了开发一个有效的信息安全治理与法规框架的重要性，以保护组织的宝贵资产和敏感信息。我们学习了各种关于隐私和数据保护的法律法规 ，例如 GDPR 和 PCI DSS。房间还介绍了治理、风险管理、合规（GRC）框架的概念，并通过实际场景解释了如何开发一个有效的 GRC 项目。

此外，房间还强调了不同的治理促进因素，例如 ISO/IEC 27001、NIST 800-53 和 NIST 特别出版物 800-63B，并解释了它们如何为组织提供信息安全保护。由于新威胁和漏洞的不断出现，信息安全是一个相对的概念。虽然实现 100%的安全是不现实的，但一个积极主动的组织理解到需要持续实施强大的安全策略来减轻风险并保护敏感数据。

敬请期待更多关于通过政策治理和规范组织安全方面的精彩房间。