פארוואס MSP דאטן לייקס זענען אן אנדער סארט ISO 27001 פראבלעם
מענעדזשד סערוויס פּראַוויידער (MSP) דאַטן לייקס קאָנצענטרירן יאָרן פון קליענט לאָגס, באַקאַפּס און סנעפּשאַץ, אַזוי איין שוואַכקייט קען זיך פֿאַרשפּרייטן איבער אייער גאַנצע קונה באַזע. ISO 27001 דערמאָנט נישט "דאַטן לייקס" מיטן נאָמען, אָבער עס ערוואַרטעט יאָ אַז איר זאָלט אַרומנעמען, אָפּשאַצן און קאָנטראָלירן יעדע אינפֿאָרמאַציע-פּראַסעסינג סביבה וואָס איר אָפּערירט, אַרייַנגערעכנט שערד לאָג און באַקאַפּ פּלאַטפאָרמעס. הויך-לעוועל גיידאַנס אויף ISO 27001:2022 פֿון סטאַנדאַרדס גופים שטעלט דעם טראָפּ אויף דעם דעפֿינירן פֿון אַן ISMS אַרומנעם וואָס דעקט אַלע באַטייַטיק אינפֿאָרמאַציע-פּראַסעסינג פאַסילאַטיז, נישט קוקנדיק צי זיי ווערן באַשריבן ווי דאַטן לייקס, לאָגינג פּלאַטפאָרמעס אָדער עפּעס ענלעך. דער אַרטיקל איז בלויז פֿאַר אינפֿאָרמאַציע, נישט לעגאַלע אָדער סערטיפֿיקאַציע עצה; איר זאָלט נעמען באַשלוסן מיט קוואַליפֿיצירטע ספּעציאַליסטן.
צענטראליזירן די לאָגס און באַקאַפּס פון פילע קאַסטאַמערז קען זיין אייער וווּקס הייבער אָדער אייער שנעלסטע וועג צו פאַרלירן צוטרוי.
אויב איר פירט אַן MSP, איז אייער צענטראלער דאַטן-אָזערע מסתּמא איינע פון אייערע שטאָלץסטע אַסעץ און איינע פון אייערע גרעסטע קאָנצענטראַציעס פון ריזיקע. עס לייגט ריזיקע באַנדן פון קליענט אינפֿאָרמאַציע אין אַ פּאָר שטאַרקע פּלאַטפאָרמעס, מאַכנדיג עס אויסגעצייכנט פֿאַר דעטעקציע, באַריכטן און קאָסטן קאָנטראָל. די זעלבע קאָנצענטראַציע מאַכט עס אויך גאָר אַטראַקטיוו פֿאַר אַטאַקירער, אָדיטאָרס און רעגולאַטאָרן. אַן ערנסטער דורכפאַל דאָ פאַראורזאַכט נישט נאָר דאַונטיים; עס קען קאָסטן אייך גרויסע קאָנטראַקטן און שאַטן אייער רעפּוטאַציע איבער אייער גאַנצער קליענט באַזע. אינדוסטריע בריטש באַריכטן פֿאַר סערוויס פּראַוויידערז ווייַזן רעגולער אַז אינצידענטן וואָס אַרייַנציען צענטראַלע לאָגינג אָדער באַקאַפּ פּלאַטפאָרמעס פירן קאָנטראַקט אָנווער און קונה טשערן, אפילו וווּ דער ערשטער טעכנישער פּראַל איז געווען לעפיערעך קאַנטיינד. ארבעטן אין אַ סטרוקטורירט ISMS, געשטיצט דורך אַ פּלאַטפאָרמע אַזאַ ווי ISMS.online, העלפּס איר פירן די ויסשטעלן באַוואוסטזיניק אַנשטאָט לאָזן עס צו די בעסטע השתדלות.
א מערהייט פון אָרגאַניזאַציעס אין דער 2025 ISMS.online שטאַט פון אינפֿאָרמאַציע זיכערהייט יבערבליק באַריכטן אַז זיי זענען געווען אַפעקטאַד דורך לפּחות איין דריט-פּאַרטיי אָדער פאַרקויפער-פֿאַרבונדענע זיכערהייט אינצידענט אין די לעצטע יאָר.
די רעאליטעטן ענדערן די פאָרעם פון אייער ריזיקאָ אַסעסמענט. אַנשטאָט פרעגן "וואָס פּאַסירט אויב דאָס איין סיסטעם פאַלט אויס?", פרעגט איר "וואָס פּאַסירט אויב אונדזער גאַנצע באַווייַז שיכט איז פאַלש, פעלט אָדער אויפדעקט - און ווי וועלן קאַסטאַמערז, אָדיטאָרס און רעגולאַטאָרן רעאַגירן?"
די סטרוקטורעלע רעאליטעטן פון MSP דאטן לייקס
MSP דאַטן לייקס זענען אַנדערש פֿון קלאַסישע פּער-טענאַנט סיסטעמען ווײַל סטרוקטורעלע ברירות אין איין אָרט קענען אַפֿעקטירן דאַזאַנז אָדער הונדערטער קאַסטאַמערז אין איין מאָל. ווען איר צענטראַליזירט לאָגס, באַקאַפּס און סנאַפּשאַץ, דריי סטרוקטורעלע רעאַליטעטן – טענענסי, עווידענס און געטיילטע פֿאַראַנטוואָרטלעכקייט – שאַפֿן אָדער אַ קאָנטראָלירטע פּלאַטפאָרמע אָדער אַ שוואַך איין פּונקט פֿון דורכפֿאַל. אין MSP אָדאַץ, איז עס געוויינטלעך צו זען ערנסטע געפֿינסן וואָס שטאַמען פֿון די קראָס-קאַטינג פּראָבלעמען אלא ווי פֿון יחיד סערווערס אָדער אַפּליקאַציעס.
- מולטי-טענענסי.: איין אומרעכטע ראלע, אומרעכט-געטעגטע באַקעט אדער אומרעכט-קאָנפיגורירטע קווערי קען אויפדעקן קייפל קאַסטאַמערז אין איין אינצידענט.
- עווידענס קאנצענטראציע.: לאָגס און באַקאַפּס ווערן דער הויפּט רעקאָרד פון זיכערהייט געשעענישן און קאַנפאָרמאַטי פֿאַר פילע רעגולירטע קליענטן, אַזוי אָנווער אָדער קאָרופּציע אַנדערמיינז דיין קרעדיביליטי.
- געטיילטע פֿאַראַנטוואָרטלעכקייט: קליענטן, אייער MSP און איינער אדער מער וואָלקן פּראַוויידערז פאַרמאָגן אַלע טיילן פון דעם סטעק, אַזוי גאַפּס דערשייַנען לייכט אויב איר דאָקומענטירט נישט ווער איז דער באַזיצער פון וועלכע קאָנטראָלס.
ווען איר דערקענט די ספּעציפֿישע דורכפֿאַל מאָדעס, ווערט עס פיל גרינגער צו דערקלערן פֿאַר גרינדער, דירעקטאָרן-ראַטן און אַקאַונט טימז פאַרוואָס דער אָזערע פֿאַרדינט עקספּליציטע באַהאַנדלונג אין אייער ISO 27001 אימפּלעמענטאַציע אַנשטאָט צו בלייבן ווי אַן אַנאָנימע אינפֿראַסטרוקטור.
וואָס דאָס מיינט פֿאַר ISO 27001 פּלאַן און באַווײַזן
פֿון אַן ISO 27001 פּערספּעקטיוו, זאָל מען באַהאַנדלען אַ דאַטן־לייק פֿון פֿילע טענענטן ווי אַ ערשטקלאַסיקער, אין־סקאָופּ סערוויס, נישט אַן אַנאָנימע פּלאַמבינג־פּלאַנירונג באַגראָבן אין אַן אַרכיטעקטור־סלייד. דאָס מיינט אַז איר באַשרײַבט עס קלאָר אין אײַער סקאָופּ, אַסעט־אינווענטאַר, ריזיקאָ־רעגיסטער און קאָנטראָל־פּלאַן אַנשטאָט עס צו באַהאַלטן הינטער אַלגעמיינע סטאָרידזש־עטיקעטן.
איר דאַרפט נאָך טאָן די סטאַנדאַרט אַרבעט: דעפינירן דעם פאַרנעם פון אייער אינפֿאָרמאַציע זיכערהייט פאַרוואַלטונג סיסטעם (ISMS), ידענטיפיצירן ריזיקעס צו קאַנפאַדענשיאַליטי, אָרנטלעכקייט און אַוויילאַביליטי, און סעלעקטירן אַנעקס A קאָנטראָלס וואָס זענען פּאַסיק פֿאַר יענע ריזיקעס. דער חילוק איז אַז אייער פאַרנעם, אַסעט אינווענטאַר, ריזיקאָ רעגיסטער און קאָנטראָל פּלאַן מוזן רעדן קלאָר וועגן:
- מולטי-טענאַנט לאָגינג, באַקאַפּ און סנעפּשאָט באַדינונגען.
- טענענט צעשיידונג און געטיילטע פֿאַראַנטוואָרטלעכקייט.
- ווי אזוי איר דזשענערירט און באַשיצט די באווייזן וואָס באַווייַזן אייער געשיכטע.
אויב איר טוט דאָס ריכטיק, דערקלערט איר שוין נישט ווי לאָגס אַרבעטן צו אָדיטאָרס און קאַסטאַמערז. איר ווייזט אַ קלאָרן, דאָקומענטירטן פּלאַן וואָס שטימט מיט ISO 27001 ערוואַרטונגען און מאַכט פירמע קויפער מער באַקוועם צו פֿאַרטרויען אייך מיט זייער טעלעמעטריע און באַקאַפּס. עס איז ווערט צו אָפּשטעלן זיך פרי צו פרעגן זיך צי אייערע איצטיקע ISMS דאָקומענטן באַשרײַבן טאַקע אייער אָזערע אויף דעם וועג, צי עס ווערט נאָך באַהאַנדלט ווי אַן איינציקע אַלגעמיינע סטאָרידזש ליניע.
ספר אַ דעמאָלאָגס, באַקאַפּס און סנאַפּשאַץ: דריי פֿאַרשידענע ריזיקאָ פּראָופיילן
ISO 27001 פארלאנגט נישט אז איר זאלט באהאנדלען אלע דאטן-אזיי אינהאלט די זעלבע, און איר וועט באקומען א שאַרפערע ריזיקע אפשאצונג אויב איר צעטיילט לאגס, בעקאַפּס און סנעפּשאַץ אין באַזונדערע אינפֿאָרמאַציע טיפּן. באהאנדלען אַלץ ווי איין בלאָב מאכט אייער ISO 27001 ריזיקע רעגיסטער אומקלאָר און שווער צו פארטיידיקן. ווען איר אונטערשיידט די דריי דאַטן טיפּן, באַקומט יעדער זיין אייגענע ריזיקע פּראָפיל, סעט פון קאָנטראָלס און באַווייַזן, און אוידיטאָרן געפֿינען אויך אייער סטעיטמענט פון אַפּליקאַביליטי גרינגער צו נאָכפאָלגן.
אויף א הויכן לעוועל, קליענט לאגס טענדירן צו קאנצענטרירן קאנפידענציאליטעט און אינטעגריטעט ריזיקע, בעקאפס פארגרעסערן די סקייפ און לעבנס-ציקל ריזיקע, און סנעפּשאטס שאפן באהאלטענע קאפיעס און צוריקשטעלן געפארן. אלע דריי זענען וויכטיג פאר ISO 27001, אבער נישט אויף אידענטישע וועגן. פראקטיצירער דיסקוסיעס וועגן דאטא-אזערע ארכיטעקטורן און גאַווערנאַנס אָפט אונטערשיידן צווישן טעלעמעטריע, גרויסע בעקאפס און פונקט-אין-צייט קאפיעס פאר פונקט די סיבות, ארויסהייבנדיק זייערע פארשידענע גאַווערנאַנס און טענענסי זארגן. טראכטן וועגן זיי באַזונדער העלפט אייך אויך ווייזן פארקויפונגען, גרינדער און אקאונט מענעדזשערס וואו דיעל און רעפּוטאַציע ריזיקעס ליגן טאקע.
פאַרגלייַכן לאָגס, באַקאַפּס און סנאַפּשאַץ אין אַ בליק
א שנעלע זייט-ביי-זייט איבערבליק העלפט אייך און אייערע אינטערעסירטע זען פארוואס פארשידענע דאטן-אזערע אינהאלט דארף אן אנדערע באהאנדלונג. לאגס האלטן טיפיש דעטאלירטע טעטיקייט און זיכערהייט געשעענישן, בעקאפס האלטן גרויסע קאפיעס פון גאנצע סיסטעמען, און סנעפּשאטס שאפן שנעלע, אפט באהאלטענע קאפיעס וואס זענען גרינג צו צוריקשטעלן – און צו מיסברויכן. ווען איר קוקט אויף זיי אין איין איבערבליק, ווערט עס קלאר פארוואס אנעקס א קאנטראלן לאנדן אנדערש אויף יעדן איינעם.
טיפּישע מוסטערן:
| דאַטע טיפּ | טיפּישע אינהאַלט | הויפּט ריזיקע טראָפּ |
|---|---|---|
| לאָגס | זיכערהייט געשעענישן, סיסטעם און באַניצער טעטיקייט | קאָנפֿידענציאַליטעט, אָרנטלעכקייט, באַווײַז |
| באַקקופּס | גאַנצע אָדער טיילווייזע קאָפּיעס פון קליענט סביבות | פאַרנעם, לעבן-ציקל, פאַרפֿיגבאַרקייט |
| סנאַפּשאַץ | פּונקט-אין-צייט קאָפּיעס פון וואַליומז, טאַבעלעס, אָביעקטן | באַהאַלטענע קאָפּיעס, צוריקשטעלן טעותים |
אזוי שנעל ווי דאס גייסטישע מאדעל איז קלאר, קענט איר באשליסן וועלכע אנעקס א קאנטראלן צו באטאנען און וואו צו זיין מער סעלעקטיוו, אנשטאט צו פרובירן צו באהאנדלען דעם גאנצן אזערע מיט איין, קלארער פאליסי.
קליענט לאָגס (זיכערהייט און אָפּעראַציאָנעלע טעלעמעטריע)
קליענט לאָגס אין אייער דאַטן לייק טראָגן געוויינטלעך די שווערסטע קאַנפאַדענשיאַליטי און באַווייַזנדיקע לאַסט, אַזוי זיי פאַרדינען פאָוקיסט באַהאַנדלונג אין אייער ISO 27001 ריזיקירן אַסעסמאַנט און קאָנטראָלס. זיי ווייַזן וואָס איז געשען, ווען עס איז געשען און אָפט ווער איז געווען ינוואַלווד, וואָס מיינט אַז יעדע שוואַכקייט דאָ קען געשווינד ווערן אַ געשעפט פּראָבלעם פֿאַר דיין קאַסטאַמערז און אַ קרעדיביליטי פּראָבלעם פֿאַר איר.
זיי אַנטפּלעקן אינפראַסטרוקטור טאָפּאָלאָגיע, באַניצער נאַטור און מאל סודות, און אָפט אַנטהאַלטן פּערזענלעכע דאַטן ווי IP אַדרעסן און באַניצער נעמען. עפנטלעכע גיידליינז וועגן לאָגינג פֿאַר זיכערהייט אָפּעראַציעס באַמערקן אַז לאָג סטרימז אָפט עמבעד נעץ אידענטיפיערס, באַניצער IDs און אנדערע סענסיטיווע אָפּעראַציאָנעלע דעטאַילס, אַזוי זיי דאַרפֿן צו זיין כאַנדאַלד ווי הויך-ווערט אינפֿאָרמאַציע אַסעץ אלא ווי אַלגעמיינע טעכנישע דאַטן. פֿאַר פילע קאַסטאַמערז, ספּעציעל אין רעגולירט סעקטאָרן, די לאָגס זענען טייל פון די רעקאָרד וואָס באַווייַזן קאַנפאָרמאַטי און שטיצט אויספאָרשונגען. א פאַלש-סקאָופּעד SIEM אָנפֿרעג וואָס לאָזט אַ שטיצע אינזשעניר זען אן אנדער קונה ס לאָגס איז פּונקט די סאָרט פון דורכפאַל וואָס ISO 27001 איז דיזיינד צו פאַרמייַדן.
די הויפּט ריסקס אַרייַננעמען:
- קאָנפֿידענציאַליטעט.: צוטריט צו לאָגס צווישן אַלע טענענטן שטעלט אויף איין קליענט'ס נאַטור פֿאַר אַן אַנדערן און קען אַנטפּלעקן שוואַכקייטן אין אייער פּאָרטפאָליאָ.
- אָרנטלעכקייט.: אויב לאָגס קענען געענדערט אָדער אויסגעמעקט ווערן, קען מען זיי נישט אָננעמען ווי באַווײַזן אין אַן אויספאָרשונג אָדער אוידיט.
- פאַראַנען.: אויב לאָגס פעלן אָדער זענען נישט גאַנץ ווען נייטיק, קענט איר נישט רעקאָנסטרויִרן אינצידענטן אָדער באַפרידיקן רעגולאַטאָרישע פֿראַגעס.
ISO 27001 ערוואַרטעט אַז איר זאָלט באַהאַנדלען די ריזיקאָס קלאָר אין אייער ריזיקאָ אַסעסמענט און אָנווענדן קאָנטראָלן ווי A.8.15 לאָגינג, A.8.16 מאָניטאָרינג אַקטיוויטעטן, A.8.24 נוצן פון קריפּטאָגראַפֿיע און A.5.12 קלאַסיפֿיקאַציע פון אינפֿאָרמאַציע. איבערבליק מאַטעריאַל אויף דער 2022 רעוויזיע פון ISO 27001 און זייַן אַנעקס A קאָנטראָלן שטעלט דעם טראָפּ אויף לאָגינג, מאָניטאָרינג, קריפּטאָגראַפֿיע און אינפֿאָרמאַציע קלאַסיפֿיקאַציע ווי שליסל הייבער פֿאַר באַשיצן אָפּעראַציאָנעלע טעלעמעטריע אין מאָדערנע סביבות. אין פּראַקטיק מיינט דאָס קלאָרע ריטענשאַן כּללים, טאַמפּער-קעגנשטעליק סטאָרידזש, צייט סינטשראָניזאַציע און שטאַרק אַקסעס קאָנטראָל פֿאַר ביידע דאַטן און אַדמיניסטראַציע פּאַטס.
לאַנג-טערמין באַקאַפּס
לאַנג-טערמין באַקאַפּס פילן זיך אָפט זיכערער ווייל זיי וואוינען אין קעלטערע שטאַפּלען און ווערן ווייניקער אָפט אָנגערירט, אָבער זיי קענען טאַקע פֿאַרברייטערן דיין בלאַסט ראַדיוס און קאָמפּליצירט מאַכן קאָנפאָרמאַנס אויב איר פירט זיי נישט פֿאָרזיכטיק. אין פילע MSP סביבות, באַקאַפּ פּראַקטיקעס זענען געירשנט פֿון אויף-פּרעמיס טעג און האָבן נישט געהאַלטן גאַנג מיט מולטי-טענאַנט וואָלקן רעאַליטעטן.
באַקאַפּס אַנטהאַלטן אָפט גאַנצע קאָפּיעס פון קליענט סביבות, נישט נאָר אויסגעקליבענע דאַטן. זיי קען דאַרפֿן שטיצן פֿאַרשידענע ריטענשאַן, דילישאַן און לעגאַל-האַלט ערוואַרטונגען פֿאַר פֿאַרשידענע קאַסטאַמערז. זיי ווערן אויך מאל ווידער געניצט פֿאַר מיגראַציע, אַנאַליטיקס אָדער טעסט דאַטן, וואָס קענען אַנטדעקן אינפֿאָרמאַציע אין ווייניקער קאָנטראָלירטע קאָנטעקסטן אויב איר זענט נישט קלאָר וועגן מאַסקינג און סעגרעגאַציע. למשל, אַ קאָמפּראָמיטירט באַקאַפּ אַדמין חשבון קען שטילערהייט קאָפּירן גאַנצע סביבה בילדער פֿאַר אַ גאַנצן קליענט ריי.
טיפּישע ריזיקעס אַרייַננעמען:
- פאַרנעם און אויפרייס ראַדיוס: א קאָמפּראָמיטירטע באַקאַפּ קראָם קען אויסשטעלן פילע סיסטעמען און טענאַנץ אין איין מאָל.
- לעבנסציקל קאמפליציטעט: נישט-קאנסיסטענטע אויפהאלטונג אדער אויסמעקן צווישן קליענטן אונטערמיינט רעגולאטורישע צוזאגן און קאנטראקטועלע באדינגונגען.
- צווייטיקע נוצן: ווידערניצן באַקאַפּס אַרויס פון פּראָדוקציע קען ליקן סענסיטיווע דאַטן אין שוואַכערע סביבות אויב מאַסקינג און סעגרעגאַציע זענען נישט קלאָר.
אַנעקס א קאָנטראָלן ווי A.8.13 אינפֿאָרמאַציע באַקאַפּ און A.5.29 אינפֿאָרמאַציע זיכערהייט בעת שטערונגען געבן אייך דעם יסוד פֿאַר באַקאַפּ פּאָליטיק, מעדיע שוץ און צוריקשטעלן טעסטינג. ביזנעס-קאַנטינעואַטי סטאַנדאַרדן ווי ISO 22301 נעמען אַ ענלעכע שטעלונג, פֿאַרבינדנדיק באַקאַפּ סטראַטעגיע, מעדיע שוץ און צוריקשטעלן טעסטינג צוזאַמען ווי אַ טייל פֿון אַן אַלגעמיינער ווידערשטאַנד שטעלונג. פֿאַר אַן MSP דאַטן לייק, איז די קריטישע נואַנס אַז איר מוזט מקיים זיין די רעקווייערמענץ אָן צוריקשטעלן איין טענענט'ס דאַטן אין אַן אַנדער טענענט'ס סביבה אָדער פֿאַרלירן דעם שפּור פֿון וווּ קליענט דאַטן געפֿינען זיך טאַקע.
סנאַפּשאַץ
בילדער זענען אָפט די ווייניגסט דיסקוטירטע און מערסט געפערלעכע עלעמענטן אין אַן MSP דאַטן לייק, ווייל זיי זענען גרינג צו שאַפֿן און גרינג צו פֿאַרגעסן. פילע אָרגאַניזאַציעס באַמערקן זיי נאָר ווען אַן אינצידענט אָדער אַודיט פאָרסירט דעם פּראָבלעם.
זיי דערשייַנען אומעטום: וואָלומען סנעפּשאַץ, טאַבעלע סנעפּשאַץ, אָביעקט-סטאָר ווערסיעינג, ווירטואַל מאַשין בילדער און מער. אינזשענירן האָבן זיי ליב ווייל זיי זענען שנעל און ביליק. פּלאַטפאָרמעס שאַפֿן זיי אויטאָמאַטיש אין הינטערגרונט. אָבער יעדער סנעפּשאָט קען ריקריייטן דעם גאַנצן אינהאַלט פון אַ סיסטעם אָדער דאַטאַסעט, וואָס מאַכט זיי שטאַרק און ריזיקאַליש. צוריקשטעלן אַ סנעפּשאָט אין דעם אומרעכטן פּראָיעקט קען גלייך אַנטפּלעקן איין קליענט'ס דאַטאַבייס צו אַן אַנדערן.
פּראָסט ענינים אַרייַננעמען:
- נישט-זעבארע קאפיעס.: בילדער זיצן אָפט אַרויס פון אַסעט רעגיסטערס כאָטש זיי אַנטהאַלטן גאַנצע קאפיעס פון סענסיטיווע סיסטעמען.
- פאַרריכטן טעותים.: צוריקשטעלן א סנעפּשאָט אין די אומרעכטע טענענט'ס סביבה איז אן אינסטאנטע קראָס-טענענט דאַטן בריטש.
- ראַנסאָמווער און סאַבאָטאַזש.: אַטאַקערס און שלעכטע אינסיידערס וועלן צילן סנעפּשאַץ און באַקאַפּ קאפיעס צו פאַרמייַדן אָפּזוך.
א גוטע ISO 27001 אימפלעמענטאציע וועט באהאנדלען סנעפּשאַץ ווי ערשטקלאַסיקע אינפאָרמאַציע אַסעץ אין אייער אינווענטאַר און ריזיקאָ אַסעסמענט, זיי פֿאַרבינדן צו קאָנטראָלן ווי A.8.13 אינפאָרמאַציע באַקאַפּ, A.8.8 פאַרוואַלטונג פון טעכנישע וואַלנעראַביליטיז און A.8.32 ענדערונג פאַרוואַלטונג, און מאָניטאָרירן זייער שאַפונג און ויסמעקן ווי טייל פון אייער זיכערהייט לאָגינג סטראַטעגיע. פּראַקטישע אימפלעמענטאציע גיידס פֿאַר ISO 27001:2022 הויכפּונקטן די וויכטיקייט פון ברענגען ווייניקער קענטיקע אַרטיפאַקץ ווי סנעפּשאַץ און רעפּליקעס אין די אַסעט אינווענטאַר און מאַפּן זיי עקספּליציט צו באַקאַפּ, וואַלנעראַביליטי און ענדערונג-פאַרוואַלטונג קאָנטראָלן, אַנשטאָט צו אָננעמען אַז זיי זענען באדעקט אימפליציט.
אזוי שנעל ווי איר זעט לאגס, בעקאפס און סנעפּשאטס אלס פארשידענע אינפארמאציע טיפן מיט באזונדערע ריזיקע פראפיילן, ווערט עס פיל גרינגער צו באשליסן וואס געהערט אין דעם פארנעם, ווי אזוי צו פארמולירן אייער ISMS און ווי אזוי צו בויען א קאנטראלירבארן פארמעגן אינווענטאר פאר אייער דאטא-לייק עסטעיט. עס איז א גוטער מאמענט צו פארגלייכן די דריי קאטעגאריעס מיט אייער יעצטיגן ריזיקע רעגיסטער און סטעיטמענט אף אפליקאציע צו זען וואו איר האט זיי באהאנדלט אלס איין אומדיפערענצירטע מאסע.
ISO 27001 געמאַכט גרינג
א 81% פֿאָרשפּרונג פֿון טאָג איינס
מיר האָבן געטאן די שווער אַרבעט פֿאַר איר, געבן איר אַ 81% העאַדסטאַרט פון דעם מאָמענט איר קלאָץ אויף. כל איר האָבן צו טאָן איז צו פּלאָמבירן די בלאַנקס.
באַקומען די ריכטיקע ISO 27001 פאַרנעם פֿאַר מולטי-וואָלקן, מולטי-טענאַנט לייקס
ISO 27001 פארלאנגט אז איר זאלט דעפינירן דעם פארנעם פון אייער ISMS, און MSP דאטן לייקס ווערן אפט אונטער-ספעציפירט אדער אינגאנצן אויסגעלאזט, וואס שוואכט אייער סטארי מיט אוידיטארן און קאסטומערס. הקדמה מאטעריאל אויף דער 2022 רעוויזיע פון ISO 27001 איבערחזרט דעם פונקט, שטעלט פארזיכטיקע ISMS סקאופינג ביים אנפאנג פון יעדער אימפלעמענטאציע אדער איבערגאנג ארבעט. ווען איר סקאופט ארום סערוויסעס און אחריותן אנשטאט נאר לאקאציעס און סיסטעמען, קענט איר קלאר ברענגען לאגינג און בעקאפ פלאטפארמעס אין בילד און ווייזן ווי זיי שטיצן אייערע קליענט קאמיטמענטס. פילע ערפאלגרייכע MSP אוידיטן הייבן זיך אן מיט א קלארער, סערוויס-צענטרירטער פארנעם סטעיטמענט פארן דאטן לייק.
ארום צוויי דריטל פון די וואס האבן געענטפערט אין דער 2025 ISMS.online אנקעטע זאגן אז די שנעלקייט און פארנעם פון רעגולאטורישע ענדערונגען מאכן זיכערהייט און פריוואטקייט קאמפלייענס שווערער צו אויפהאלטן.
א שטארקע סטעיטמענט וועגן דעם ציל פון אן MSP דאטן לייק מאכט עס קלאר וועלכע סערוויסעס און לעגאלע ענטיטיס ווערן באדעקט, וועלכע וואלקן פלאטפארמעס זענען פארמישט און וועלכע קאסטומער-פייסינג קאמיטמענטס זענען אפהענגיק פון דעם לייק. עס שטעלט אייך אויך אויף פאר ריינערע שמועסן מיט ענטערפרייז קויפער וואס ווילן פארשטיין וואו אייערע אחריותן הייבן זיך אן און ענדיגן זיך.
פֿאַרנעם אַרום סערוויסעס, נישט נאָר לאָקאַציעס
זיך אַרומנעמען אַרום סערוויסעס און לעגאַלע ענטיטעטן, אַנשטאָט יחידישע סיסטעמען אָדער פיזישע לאָקאַציעס, פּראָדוצירט געוויינטלעך אַ פיל קלאָרערע ISMS גרענעץ פֿאַר MSPs. עס פּאַסט אויך צו ווי קאַסטאַמערז דערפאַרן אייערע אָפפערס: ווי סערוויסעס, נישט ווי קלאַסטערס און באַקאַץ.
א פּראַקטישער מוסטער איז צו באַשרײַבן דעם סערוויס וואָס איר גיט, למשל דורך זאָגן אַז איר פאַרוואַלטעט מולטי-טענאַנט לאָג, באַקאַפּ און סנעפּשאָט סערוויסעס פֿאַר דעפינירטע קאַסטאַמערז און וואָלקן געגנטן. יענער זאַץ זאָל זײַן קורץ גענוג פֿאַר דעם סטאַנדאַרט, אָבער קלאָר גענוג צו ציען דעם אָזערע קלאָר אין דעם פאַרנעם.
איר קענט דעמאָלט האַלטן די דעטאַלירטע דיאַגראַמען, טענענסי מאָדעלן און שערד-פֿאַראַנטוואָרטלעכקייט ברייקדאַונז אין שטיצנדיקע דאָקומענטאַציע. יענע דאָקומענטן זאָלן זיין פֿאַרבינדן פֿון אייער ISMS אַזוי אַז אָדיטאָרס קענען זען ווי די סקאָופּ סטעיטמענט איבערזעצט זיך אין פאַקטישע טעכנאָלאָגיע און פּראָצעסן. אַן ISMS פּלאַטפאָרמע ווי ISMS.online מאַכט עס פיל גרינגער צו האַלטן יענע סקאָופּ סטעיטמענט, שטיצנדיקע דיאַגראַמען און קאָנטראָל מאַפּינגז צוזאַמען און אַרויף-צו-דאַטע.
באַשליסן וואָס "אין די פאַרנעם" מיינט פֿאַר קליענט דאַטן
אן אָפטער פּראָבלעם איז צי קליענט דאַטן אַליין – לאָגס, באַקאַפּס און סנעפּשאַץ – איז "אין די ראַמען". דאָס העלפֿט צו צעשיידן די פּרינציפּן פֿון די פּראַקטישע באַשלוסן און זיי צו דערקלערן אין פּשוטער שפּראַך סײַ פֿאַר אָדיטאָרס און סײַ פֿאַר קאַסטאָמערס.
אויף דעם פּרינציפּיעל לעוועל אונטער ISO 27001:
- איר זענט שטענדיק אין דער ריכטונג פון די פּראַסעסינג אַקטיוויטעטן וואָס איר קאָנטראָלירט: אייננעמען, סטאָרירן, אָנפֿרעגן, באַקאַפּן און צוריקשטעלן דאַטן.
- קליענטן בלייבן פאַראַנטוואָרטלעך פֿאַר וואָס זיי שיקן אײַך און ווי זיי נוצן אינפֿאָרמאַציע וואָס איר שיקט צוריק.
- וואָלקן פּראַוויידערז אָפּערירן די פיזישע אינפראַסטרוקטור, אָבער איר זענט נאָך פאַראַנטוואָרטלעך פֿאַר ווי איר קאָנפיגורירט און אָפּערירט זייערע סערוויסעס. וואָלקן שערד-פֿאַראַנטוואָרטלעכקייט מאָדעלן פֿון אומאָפּהענגיקע זיכערהייט קערפּערשאַפֿטן באַטאָנען קאָנסיסטענט אַז קאַסטאַמערז בלייבן פאַראַנטוואָרטלעך פֿאַר ווי זיי קאָנפיגורירן און נוצן וואָלקן סערוויסעס, אפילו ווען פּראַוויידערז זיכערן די אונטערלייגנדיקע אינפראַסטרוקטור.
פֿון די פּרינציפּן קומען פּראַקטישע סקאָפּינג דיסיזשאַנז. אין רובֿ MSP דאַטן-לייק סצענאַרן זאָלט איר:
- אריינרעכענען דאטא-לעיק סערוויסעס און זייערע אונטערלייגנדיקע וואָלקן קאָמפּאָנענטן (באַקעץ, קלאַסטערס, דאַטאַבייסעס, סנאַפּשאָט סערוויסעס) אין דעם פאַרנעם.
- באַהאַנדלט קליענט לאָגס, באַקאַפּס און סנעפּשאַץ ווי אינפֿאָרמאַציע אַסעץ אין אייער ריזיקאָ אַסעסמאַנט און קלאַסיפֿיקאַציע, אפילו כאָטש קליענטן באַזיצן די אונטערלייגנדיקע געשעפט דאַטן.
- דאָקומענטירט קלאר וועלכע אַקטיוויטעטן ליגן ביים קליענט, אייער MSP און דעם וואָלקן פּראַוויידער.
אין אייער דאקומענטאציע, העלפט עס צו באשרייבן דאס אלס א מאָדעל פון געטיילטע פֿאַראַנטוואָרטלעכקייט. א פשוטע מאַטריץ מיט רייען פֿאַר זיכערהייטן ווי שליסל פאַרוואַלטונג, ריטענשאַן, אינצידענט באַריכטן און אַקסעס באריכטן, און קאָלאָנעס פֿאַר קליענט, MSP און וואָלקן פּראַוויידער, העלפט ביידע אָדיטאָרס און קאַסטאַמערז פֿאַרשטיין די גרענעץ אויף איין בליק.
מאַכן די נענטערשאַפט און געטיילטע פֿאַראַנטוואָרטלעכקייט קלאָר
טענענסי און געטיילטע פֿאַראַנטוואָרטלעכקייט זענען אַזוי צענטראַל צו MSP דאַטן לייקס אַז זיי זאָלן זיין קלאָר אין דיין ISMS דאָקומענטאַציע, אפילו אויב איר האַלט די פאַרנעם סטעיטמענט אַליין רעלאַטיוו קורץ. אָן דעם קלאַרקייט, וועלן אָדיטאָרס און ענטערפּרייז קויפער אָננעמען שוואַכקייטן אפילו אויב דיין טעכנישער פּלאַן איז געזונט.
אייערע שטיצנדיקע רעקארדס זאָלן ווײַזן:
- ווי טענענטס זענען אפגעטיילט (למשל, פּער-טענענט אַקאַונץ, פּער-טענענט באַקעץ, טאַגס און פּאָליטיקס, אָדער לאָגישע אפגעזונדערטקייט אין געטיילטע קלאַסטערס).
- ווי פֿאַראַנטוואָרטלעכקייטן זענען צעטיילט צווישן איר, אייערע קליענטן און וואָלקן פּראַוויידערז פֿאַר אידענטיטעט, ענקריפּשאַן, ריטענשאַן, אינצידענט רעספּאָנס און פֿאַרבונדענע טעמעס.
- ווי אזוי איר ווײַזט באַווײַזן אַז די פֿאַראַנטוואָרטלעכקייטן ווערן מקוים איבער צײַט.
די דעטאלן קענען לעבן אין א געטיילטע-פאראנטווארטליכקייט מאטריץ, ארכיטעקטור דיאגראמען און פארבינדענע ריזיקע און קאנטראל רעקארדס. א דעדיקירטע ISMS פלאטפארמע ווי ISMS.online איז א נאטירלעכע היים פאר דעם מאטעריאל: איר קענט אויפהיטן אייער סקאופ סטעיטמענט, פאראנטווארטליכקייט מאטריצעס, דיאגראמען און קאנטראל מעפינגס אין איין ארט, פארבינדן זיי צו באטרעפנדע אנאקס א קאנטראלן און האלטן זיי אין שריט מיט ענדערונגען צו אייער דאטא-אזערע ארכיטעקטור. פאר אייער CISO אדער זיכערהייט פירער, ווערט דאס שנעל א באארד-גרייט ארטיפאקט ווען פראגעס וועגן געטיילטע פאראנטווארטליכקייט און וואלקן פארלאזונג שטייען אויף.
בויען אַ פאַרוואַלטבאַר אַסעט אינווענטאַר פֿאַר לאָגס, באַקאַפּס און סנאַפּשאַץ
א רעאליסטישער ISO 27001 אינווענטאר פאר אן MSP דאטן לייק דארף געבן אוידיטארן און אינטערעסירטע א קלארן בליק אויף וואו קליענט דאטן געפינט זיך אן דערטרינקען אייך אין פער-באקעט אדער פער-סנאַפּשאָט איינטריטן. אויסרעכענען יעדן באקעט, סנאַפּשאָט און דאַטאַסעט אינדיווידועל איז נישט קאָנטראָלירבאר אין גרויסן מאָסשטאַב. אויב איר דעפינירט א קליינע צאָל לאָגישע אַסעץ און מאַפּט טעכנישע קאָמפּאָנענטן צו זיי, קענט איר האַלטן קאָנטראָל און נאָך ענטפֿערן שווערע פֿראַגעס וועגן אָרט, סעגמענטאַציע און רעגולאַטאָרישן פאַרנעם. פילע MSP'ס געפֿינען אַז דעם פֿאַרשיבונג פֿון רויע זאַכן צו לאָגישע אַסעץ איז וואָס מאַכט זייער ISMS סאַסטיינאַבאַל.
א פארוואלטבאַרער אינווענטאַר העלפט סיי טעכנישע טימז און סיי געשעפטלעכע אינטערעסירטע פארשטיין וואו קליענט דאַטן געפינען זיך, ווי עס איז סעגמענטירט און וועלכע רעגולאַציעס זענען אָנווענדלעך. אנווייזונגען וועגן פארמעגן-פארוואלטונג פון זיכערהייט פארקויפער און סטאַנדאַרדן ווארענען איבער און איבער אז פארעלטערטע אינווענטאַרן זענען א געוויינטלעכע וואָרצל-אורזאַך פון קאָנטראָל גאַפּס און בלינדע פלעקן אין קאָמפּלעקסע פאַרמעגן. עס גיט אויך גרינדער און פארקויף פירער קלארערע ענטפֿערס ווען קאַסטאַמערז פרעגן וואו זייערע לאָגס און באַקאַפּס זענען געהאלטן.
ניצט לאָגישע אַסעץ אַנשטאָט רויע טעכנישע זאכן
דעפינירן לאָגישע אַסעץ און מאַפּן טעכנישע קאָמפּאָנענטן צו זיי לאָזט אײַך סקאַליירן אײַער אינווענטאַר אָן פֿאַרלירן קאָנטראָל, און עס שאַפֿט אַ שפּראַך וואָס נישט-טעכנישע קאָלעגן קענען פֿאַרשטיין. אַנשטאָט דעבאַטירן באַקעט נעמען, קענט איר רעדן וועגן "EU לאָג לייק פֿאַר פּראָדוקציע" אָדער "Tier 1 באַקאַפּ רעפּאָזיטאָרי פֿאַר פֿינאַנציעלע קליענטן" און פֿאַרבינדן די עטיקעטן צו ספּעציפֿישע ריזיקעס און קאָנטראָלס.
ביישפילן פון לאגישע רעסורסן קענען זיין:
- "אי.יו. זיכערהייט לאָג אָזערע – פּראָדוקציע".
- "לאַנג־טערמין באַקאַפּ רעפּאָזיטאָרי אין בריטאַניע – טיער 1 קליענטן".
- "גלאבאל סנעפּשאָט אַרכיוו – אינערלעכע פּלאַטפאָרמעס".
פֿאַר יעדן לאָגישן אַסעט, רעקאָרדירט:
- צוועק און באַשרייַבונג: – וואָס עס איז פֿאַר און וועלכע באַדינונגען זענען דערפון אָפּהענגיק.
- אינפֿאָרמאַציע טיפּן: – לאָגס, באַקאַפּס, סנעפּשאַץ און יעדע פּערזענלעכע דאַטן.
- טענענסי מאָדעל: – איין-טענאַנט, סעגמענטירט מולטי-טענאַנט אדער גאָר גלאָבאַל.
- ראַיאָנען און וואָלקן פּראַוויידערז: – וואו עס לויפט און ווער איז דער גאסטגעבער דערפון.
- אייגענטימער און שטיצנדיקע טימז: – ווער איז פאַראַנטוואָרטלעך און ווער פירט עס.
הינטער די קוליסן, קען א קאנפיגוראציע-מענעדזשמענט דאטאבאזע אדער ענליכע געצייג האלטן מאפינגס פון די לאגישע אקטיוון צו ספעציפישע וואלקן רעסורסן (באקעטס, טאבעלעס, דאטאסעטס, סנעפשאטס). דער וויכטיגער פונקט פאר ISO 27001 איז אז איר קענט ווייזן א קאנטראלירטע, אפדעיטירטע בליק אויף די נחלה צו אוידיטארן און קאסטומערס.
טאַג פֿאַר טענאַנט, ראַיאָן און רעגולאַציע
נוצלעכע אַסעט אינווענטאַרן לאָזן אײַך אָפּשניידן און פֿילטרירן לויט טענענט, ראַיאָן און רעגולאַטאָרישן רעזשים, נישט נאָר לויט טעכנאָלאָגיע. דאָס איז וויכטיק פֿאַר עכטע פֿראַגעס ווי "וואו ווערט אי.יו. פּערזענלעכע דאַטן געהאַלטן?" און "וועלכע טענענטן ווערן אַפֿעקטירט פֿון דעם נײַעם אויפֿהאַלטונגס-רעגול?"
פֿאַר יעדן לאָגישן אַסעט, כאַפּט טאַגס ווי:
- גרופּירונג פון טענענטן: (פּער קליענט, סעקטאָר, שיכט אָדער ראַיאָן).
- געגנט: (למשל, אי־יו, פאראייניגטע קעניגרייך, פאראייניגטע שטאטן).
- רעגולאַטאָרישע רעזשים: סערוויסט (למשל, פינאַנציעלער סעקטאָר, געזונטהייט, עפנטלעכער סעקטאָר).
אַמאָל די טאַגס זענען אויף זייער אָרט, קענט איר פרעגן וויכטיקע פֿראַגעס ווי:
- וואו ווערן פערזענלעכע דאטן פון דער אי.יו. געהאלטן און רעפּליקירט?
- וועלכע אַסעץ זענען אין די פאַרנעם פון אַ ספּעציפֿישער ראַיאָן'ס לאָג-רעטענשאַן אָדער באַקאַפּ רעקווייערמענט?
- וועלכע רעפאזיטאריעס מוזן שטיצן לעגאלע האלטונג פאר געוויסע סעקטארן?
גרינדער און קאמערציעלע פירער זאָרגן זיך וועגן די ענטפֿערס ווײַל זיי האָבן אַ דירעקטן השפּעה אויף וועלכע מאַרקן איר קענט באַדינען און ווי זיכער איר קענט רעאַגירן אויף פֿירמעס דיו דילידזשענס ריקוועסץ.
האַלט דעם אינווענטאַר אין שריט מיט ענדערונגען
ISO 27001 ערוואַרטעט אַז אייער אַסעט אינווענטאַר זאָל שפּיגלען די רעאַליטעט, נישט די אַרכיטעקטור דיאַגראַמע פֿון לעצטן קוואַרטאַל. כּדי דאָס צו מאַכן סאַסטיינאַבאַל, דאַרפֿט איר אײַננעמען אינווענטאַר וישאַלט אין נאָרמאַלע ענדערונג און אָפּשאַצונג ציקלען אַנשטאָט עס צו באַהאַנדלען ווי אַ יערלעכע פּאַפּיראַרבעט געניטונג.
כדי צו האַלטן דעם אינווענטאַר אין שריט מיט די ענדערונגען:
- אינטעגרירן אינווענטאַר דערהייַנטיקונגען אין ענדערונג פאַרוואַלטונג אַזוי אַז נייַע מקומות, סטאָרידזש קלאַסן אָדער קלאַסטערס קענען נישט זיין דיפּלוייד אָן אינווענטאַר איינטראַגעס.
- רעגולער אויסגלייכן דעם אינווענטאר מיט וואָלקן רעסורסן ליסטעס און פּלאַטפאָרמע-לעוועל באריכטן.
- ארייננעמען דעם דאטן-לעיק נחלה אין אינערליכער אוידיט סאַמפּלינג, אַזוי אַז דיסקרעפּאַנסיז זאָלן געפֿונען און קאָריגירט ווערן.
א פּלאַטפאָרמע ווי ISMS.online קען האַלטן אייער אַסעט רעגיסטער, פֿאַרבינדן יעדן לאָגישן אַסעט צו ריזיקעס און אַנעקס A קאָנטראָלס און שאַפֿן טאַסקס ווען איבערבליקן זענען רעכט. דאָס נעמט אַוועק אַ פּלאַץ פון ספּרעדשיט אָוווערכעד און מאַכט עס גרינגער צו באַווייַזן, אונטער A.5.9 אינפֿענטאַר פון אינפֿאָרמאַציע און אַנדערע פֿאַרבונדענע אַסעץ, אַז איר ווייסט וואָס איר אָפּערירט און ווי עס ענדערט זיך מיט דער צייט. אין דעם בינע, איז עס ווערט צו פרעגן אייער מאַנשאַפֿט צי אייער איצטיקער אינפֿענטאַר קען ענטפֿערן די פֿראַגעס הייַנט אָן אַ וואָך פון מאַנועל רעקאָנסטרוקציע.
באַפֿרײַ זיך פֿון אַ באַרג פֿון ספּרעדשיטן
איינבעטן, פארברייטערן און סקאַלירן אייער קאמפלייענס, אָן קיין כאַאָס. IO גיט אייך די ווידערשטאנד און בטחון צו וואַקסן זיכער.
די אַנעקס א קאָנטראָלס וואָס טאַקע זענען וויכטיק פֿאַר MSP דאַטן לייקס
אַנעקס א אין ISO 27001:2022 אנטהאלט 93 קאנטראלן, אבער אייער דאטן-אזערע פלאן דארף נישט אלע פון זיי אין גלייכער טיפקייט. די 2022 רעוויזיע פון ISO 27001 האט רעארגאניזירט אַנעקס א אין 93 קאנטראלן בשעת פארשטארקן דעם סטאנדארט'ס ריזיקא-באזירטן צוגאנג, וואס ערלויבט אייך אויסדריקליך צו צושניידן קאנטראל טיפקייט צו די ריזיקעס וואס איר האט אידענטיפיצירט אנשטאט אנצוווענדן אלעס איינהייטליך. אויב איר פאקוסירט אויף די קאנטראלן וואס רעדן מערסטנס דירעקט צו מולטי-טענאנט פלאטפארמעס, געטיילטע אחריות און באווייזן, קענט איר בויען א מאנארע, מער איבערצייגנדיקע אימפלעמענטאציע, און דערנאך ווייזן ווי די אנדערע לייגן זיך אויף אויבן. אין פילע MSP אוידיטס, מאכן די שטארקסטע אימפלעמענטאציעס דעם טראָפּ אויסדריקליך אנשטאט באהאנדלען דעם אזערע ווי יעדע אנדערע סטאָרידזש סיסטעם.
כּמעט אַלע אָרגאַניזאַציעס אין דער 2025 ISMS.online שטאַט פון אינפֿאָרמאַציע זיכערהייט יבערבליק ליסטן דערגרייכן אָדער האַלטן סערטיפיקאַציעס ווי ISO 27001 אָדער SOC 2 ווי אַ שפּיץ פּריאָריטעט פֿאַר די קומענדיקע יאָרן.
ברייטערהייט, וועט איר זיך שטארקסט אנשטרענגען אויף ארגאניזאציאנעלע קאנטראלן, צוטריט און סעגרעגאציע, בעקאפ און קאנטינעואיטעט, לאגינג און מאניטארינג, און וואלקן און סופלייער גאווערנענס. יעדעס פון די קען ווערן פארבונדן מיט באווייזן וואס אוידיטארן און קאסטומערס קענען פארשטיין.
אָרגאַנאַזיישאַנאַל קאָנטראָלס
אָרגאַניזאַציאָנעלע קאָנטראָלן זאָרגן דערפֿאַר אַז אייער דאַטן-לייק סטאָרי איז פֿאַראַנקערט אין פּאָליטיק, צילן און גאַווערנאַנס אַנשטאָט צו זיין אַן אינזשעניריע זייַט-פּראָיעקט. זיי העלפֿן אײַך ווײַזן דירעקטאָרן-ראַטן און פֿירערשאַפֿט אַז דער לייק ווערט באַהאַנדלט ווי אַ קערן סערוויס, נישט אַן עקספּערימענט.
וויכטיגע פונקטן שליסן איין:
- A.5.1 פּאָליטיק פֿאַר אינפֿאָרמאַציע זיכערהייט: זייט זיכער אז אייער פאליסי דעקט קלאר MSP-אפערירטע פלאטפארמעס ווי לאגינג, בעקאפ און סנעפּשאט סערוויסעס.
- A.5.2 אינפֿאָרמאַציע זיכערהייט ראָלעס און פֿאַראַנטוואָרטלעכקייטן: באַשטימען קלאָרע אָונערשיפּ פֿאַר טענאַנט אפגעזונדערטקייט, לאָג אָרנטלעכקייט, באַקאַפּ ריזיליאַנס און באַווייַזן פאַרוואַלטונג.
- A.5.31 לעגאַלע, געזעצלעכע, רעגולאַטאָרישע און קאָנטראַקטואַלע רעקווירעמענץ: כאַפּט איין וועלכע געזעצן, רעגולאַציעס און קונה-פאַרפליכטונגען פאָרמען ווי איר אָפּערירט דעם אָזערע.
- A.5.33 שוץ פון רעקאָרדס און A.5.34 פּריוואַטקייט און שוץ פון פּערזענלעך אינפארמאציע: דעפינירט ווי איר באַשיצט באַווייזן און פערזענלעכע דאַטן אין לאָגס, באַקאַפּס און סנאַפּשאַץ.
דאָ איז וואו מען לייגט צונויף טעכנישע זיכערהייט מיט געשעפט צילן, ריזיקע פון דיעלס און רעגולאַטאָרישע באַקוועמלעכקייט. ווען פּאָליטיקס און ראָלעס זענען קלאָר, ווערט עס פיל גרינגער צו דערקלערן צו גרינדער, דירעקטאָרן-ראַטן, דאַטן-שוץ פירער און פונדרויסנדיקע אינטערעסירטע פּאַרטייען פארוואס געוויסע דיזיין ברירות זענען נישט אונטערהאַנדלבאַר.
צוטריט קאָנטראָל און סעגרעגאַציע
פֿאַר אַ דאַטן לייק פֿון פֿילע טענענטן, קענען צוטריט-קאָנטראָל פֿעלער האָבן אַן אומפּראָפּאָרציאָנעלן אימפּאַקט, אַזוי אַנעקס אַ קאָנטראָלן אַרום אידענטיטעט און צוטריט פֿאַרדינען אַ דעטאַלירטן פּלאַן. איר ווילט מאַכן עס שווער פֿאַר אַ איין מיסקאָנפֿיגורירטער ראָלע צו זען אָדער מאָדיפֿיצירן דאַטן איבער פֿילע טענענטן.
די הויפּט אַספּעקץ אַרייַננעמען:
- פאָרמעלע באַניצער פּראָוויזשאַנינג און דע-פּראָוויזשאַנינג (A.5.15 אַקסעס קאָנטראָל, A.5.16 אידענטיטעט פאַרוואַלטונג).
- ראָלע-באַזירט אַקסעס קאָנטראָל פֿאַר אינזשעניריע, אָפּעראַציעס, אַנאַליסטן און קונה שטיצע, מיט מינימאַל ברייטע, אַנריסטריקטיד ראָלעס.
- צעטיילונג פון פליכטן (A.5.3 צעטיילונג פון פליכטן) צווישן די וואָס פאַרוואַלטן אינפראַסטרוקטור, פרעגן דאַטן און באַשטעטיקן ריסטערז.
- רעגולערע צוטריט איבערבליקן, ספּעציעל פֿאַר אַדמיניסטראַטיווע ראָלעס (A.8.2 פּריווילעגירטע צוטריט רעכט).
איר קענט באווייזן די קאנטראלן מיט IAM פאליסיס, באשטעטיגונג ארבעטספלאָוז, צוטריט-איבערבליק רעקארדס און לאגס פון אדמיניסטראטיווע אקציעס. פאר MSPs, איז דאס אויך א שטארקע קליענט-טראסט סטארי: איר קענט דערקלערן ווער קען זען זייערע דאטן, אונטער וועלכע אומשטענדן, און ווי איר פארמיידט קראָס-טענאַנט טעותים. אייער CISO קען נוצן דעם מאַטעריאַל גלייך אין באָרד און קונה בריפינגז.
באַקאַפּ, ריטענשאַן און אָפּזוך
באַקאַפּס און סנעפּשאַץ זענען אין צענטער פון אייער קאָנטינעויטי סטאָרי, אַזוי אַנעקס אַ קאָנטראָלס אין דעם געביט דאַרפן זיין שטרענג ימפּלאַמענטאַד פֿאַר MSP דאַטן לייקס. קליענטן און רעגולאַטאָרן זאָרגן ווייניקער וועגן באַקאַפּ טעכנאָלאָגיע און מער וועגן אייער פיייקייט צו צוריקקריגן אָן קאָמפּראָמיטירן אנדערע טענאַנץ.
איר זאָלט דעפינירן:
- באַקאַפּ פּאָליטיקס פֿאַר יעדן סערוויס (וואָס, ווי אָפט, וואו, ווי לאַנג) אונטער A.8.13 אינפֿאָרמאַציע באַקאַפּ.
- געטעסטע רעסטאָר פּראָצעדורן וואָס אַרייַננעמען טענאַנט-באַוואוסטזיניקע רעסטאָרס און קראָס-טענאַנט טשעקס.
- שוץ פֿאַר באַקאַפּס און סנאַפּשאַץ קעגן נישט-אָטעריזירטן צוטריט און אָנווער (ענקאָפּשורמענט, נעץ אפגעזונדערטקייט, אומענדערלעכקייט פֿעיִקייטן).
באווייזן דא שליסן איין באַקאַפּ קאָנפיגוראַציעס, צוריקשטעלן ראַנבוקס, צוריקשטעלן טעסט רעקאָרדס און לאָגס פון געניטונגען. געשעפט סטייקהאָולדערס זאָרגן זיך וועגן דעם ווייל די וועג ווי איר האַנדלט מיט אָפּזוך ווירקט גלייך אויף קאָנטראַקטואַלע אָפּזוך צייט אָביעקטיוון (RTO) און אָפּזוך פונקט אָביעקטיוון (RPO) וואָס שטיצן סערוויס-לעוועל אַגרימאַנץ.
לאָגינג, מאָניטאָרינג און אינצידענט פאַרוואַלטונג
ווייל דער דאַטן-אָזערע האַלט זיכערהייט טעלעמעטריע, קאָנטראָלן אַרום לאָגינג, מאָניטאָרינג און אינצידענט פאַרוואַלטונג גילטן אויף צוויי לעוועלס: ווי איר ניצט דעם אָזערע צו דעטעקטירן פּראָבלעמען אַנדערשוואו, און ווי איר מאָניטאָרירט דעם אָזערע אַליין. אין פּראַקטיק, דערוואַרטן אָדיטאָרס איצט צו זען ביידע פּערספּעקטיוון.
שליסל קאָנטראָלס אַרייַננעמען:
- A.8.15 לאָגינג און A.8.16 מאָניטאָרינג אַקטיוויטעטן, וואָס דעקן וואָס איר רעקאָרדירט, ווי לאַנג איר האַלט עס און ווי איר באַשיצט עס.
- A.5.24 אינפארמאציע זיכערהייט אינצידענט פאַרוואַלטונג פּלאַנירונג און צוגרייטונג, און A.5.26 רעאַקציע צו אינפארמאציע זיכערהייט אינצידענטן, וואָס דעפינירן ווי איר רעאַגירט ווען דער אָזערע אָדער זייַנע אַרומיקע באַדינונגען זענען ינוואַלווד אין אַן אינצידענט.
נוצלעכע באווייזן שליסן איין לאגינג קאנפיגוראציעס, SIEM רולס וואו איר ניצט אזעלכע פלאטפארמעס, אינצידענט פּלייבוקס און פּאָסט-אינצידענט איבערבליק רעקאָרדס. דאָס איז אויך אַ שטאַרקער קאמערציעלער באווייז פונקט: ווען קליענטן זען אַז איר קענט דעטעקטירן און פאַרוואַלטן פּראָבלעמען אין אייער אייגענער טעלעמעטרי פּלאַטפאָרמע, זענען זיי מער באַקוועם צו פאַרלאָזן זיך אויף אייערע פאַרוואַלטעטע סערוויסעס.
וואָלקן און געטיילטע פֿאַראַנטוואָרטלעכקייט קאָנטראָלן
אויב אייער אזערע לויפט אויף פובליק קלאוד אדער מענעדזשד סערוויסעס, זענען אנעקס א קאנטראלן ארום סופלייער באציאונגען און באניץ פון קלאוד סערוויסעס צענטראל. די קאנטראלן העלפן אייך דערקלערן ווי אזוי איר פארלאזט זיך אויף קלאוד פראוויידערס בשעת איר באזיצט נאך אלץ אייער טייל פונעם מאדעל.
אויב אייער אזערע לויפט אויף פובליק קלאוד אדער מענעדזשד סערוויסעס, זענען אנעקס א קאנטראלן ארום סופלייער באציאונגען און באניץ פון קלאוד סערוויסעס צענטראל. די קאנטראלן העלפן אייך דערקלערן ווי אזוי איר פארלאזט זיך אויף קלאוד פראוויידערס בשעת איר באזיצט נאך אלץ אייער טייל פונעם מאדעל.
אין דער 2025 ISMS.online אנקעטע, האבן 41% פון ארגאניזאציעס געזאגט אז מענעדזשינג דריט-פארטיי ריזיקע און טרעקינג סופלייערס קאמפלייענס איז איינע פון זייערע מערסט באדייטנדע זיכערהייט שוועריקייטן.
איר זאָלט באַצאָלן באַזונדערע אויפֿמערקזאַמקייט צו A.5.19 אינפֿאָרמאַציע זיכערהייט אין סאַפּלייער באַציִונגען און A.5.23 אינפֿאָרמאַציע זיכערהייט פֿאַר נוצן פֿון וואָלקן סערוויסעס. פּראַקטישנער קאָמענטאַר אויף ISO 27001 אין וואָלקן און מולטי-טענאַנט סביבות אונטערשטרייכט אָפֿט די סאַפּלייער און וואָלקן-סערוויס קאָנטראָלן ווי באַזונדער וויכטיקע אַנקערס פֿאַר אַ פֿאַרטיידיקבאַרן שערד-פֿאַראַנטוואָרטלעכקייט מאָדעל. איר זאָלט אויך באַטראַכטן A.5.21 פאַרוואַלטן אינפֿאָרמאַציע זיכערהייט אין די ICT סאַפּליי קייט.
די קאנטראלן שטיצן אייער געטיילטע-פאראנטווארטליכקייט מאטריץ און דערקלערן ווי איר פארלאזט זיך אויף וואלקן סערטיפיקאציעס, ווי איר קאנפיגורירט סערוויסעס און ווי איר וועריפיצירט פראוויידער טענות. באווייזן קענען ארייננעמען סופלייערס דיו דילידזשענס רעקארדס, קאנטראקט זיכערהייט קלאוזעס, סטאנדארט באזע קאנפיגוראציעס פאר שליסל סערוויסעס ווי אביעקט סטארעדזש און פעריאדישע איבערבליקן פון פראוויידער באריכטן קעגן יענע באזע-ליניעס.
צו צוזאַמענברענגען די געדאַנקען, העלפֿט עס זיי צו זען אין אַ פּשוטער מאַפּע.
| ריזיקע טעמע | אַנעקס א פאָקוס געגנט | בייַשפּיל באַווייַז |
|---|---|---|
| טענענט אפגעזונדערטקייט | A.5.2, A.5.3, A.5.15, A.8.2 | IAM פּאָליטיקס, צוטריט-איבערבליק רעקאָרדס |
| לאָג אָרנטלעכקייט | א.8.15, א.8.16, א.8.24 | לאָגינג קאָנפיגוראַציעס, טאַמפּער-זיכער סטאָרידזש סעטטינגס |
| באַקאַפּ ריזיליאַנס | א.8.13, א.5.29, א.8.14 | באַקאַפּ פּאָליטיקס, צוריקשטעלן טעסט רעקאָרדס |
| וואָלקן צוטרוי | א.5.19, א.5.21, א.5.23 | סאַפּלייער אַסעסמאַנץ, שערד-פֿאַראַנטוואָרטלעכקייט דאָקומענט |
| עווידענסע קוואַליטעט | A.5.33, A.9.1, A.9.2, A.9.3 | באווייז רעגיסטער, מענעדזשמענט רעצענזיע פראטאקאלן |
די סארט טאַבעלע איז נוצלעך סיי פֿאַר אינערלעכער פּלאַנירונג און סיי פֿאַר דערקלערן, אויף אַ קורצן אופֿן, ווי איר האָט איבערגעזעצט אַנעקס א אין עכטע קאָנטראָלן און באַווײַזן פֿאַר אײַער אָזערע. עס גיט אויך אײַערע פּריוואַטקייט און לעגאַלע אינטערעסירטע אַ קלאָרן וועג צו ווײַזן ווי PII און רעקאָרד רעקווייערמענץ ווערן דערפֿילט אין אַ קאָמפּלעקסער טעכנישער פּלאַטפאָרמע.
דיזיינינג טענענט-זיכער באַקאַפּ, אָפּזוך און סנאַפּשאָט סטראַטעגיעס
טענענט-זיכער באַקאַפּ און סנעפּשאָט פּלאַן אין אַן MSP דאַטן לייק דאַרף באַווייַזן צוויי זאַכן אין דער זעלביקער צייט: אַז איר קענט דערגרייכן די מסכים געווען אָפּזוך צילן (RTO/RPO) און אַז איר לעקט נישט איין קליענט'ס דאַטן אין אַן אַנדער קליענט'ס סביבה ווען איר טוט דאָס. ISO 27001 גיט אייך דעם פריימווערק דערפאַר, אָבער איר מוזט נאָך פּלאַנירן און טעסטן פּאַטערנז וואָס אַרבעטן אין אייער ספּעציפֿישער וואָלקן און פּלאַטפאָרמע מישונג. אין פילע MSP'ס, דאָס איז וווּ אָדיטאָרס געפֿינען די מערסט פּראַקטישע גאַפּס.
אין דער 2025 ISMS.online אנקעטע, אידענטיפיצירן 41% פון די רעספּאָנדענטן דיגיטאַלע ווידערשטאַנד - זיך אַדאַפּטירן צו סייבער דיסראַפּשאַנז - ווי אַ הויפּט אינפֿאָרמאַציע-זיכערהייט אַרויסרופן.
דאָס מיינט סטאַנדאַרדיזירן אַ באַגרענעצטע צאָל שוץ־מוסטערן, מאַכן די רעסטאָר־טעסטן טענענט־באַוואוסטזיניק און באַשיצן אַדמיניסטראַציע־פּאַדס און נידעריקערע סביבות פּונקט אַזוי אָפּגעהיט ווי פּראָדוקציע. ווען דאָס איז קלאָר דאָקומענטירט, גיט עס אויך קויפער מער בטחון אַז אייערע קאָנטינויִטעט־פּלענער זענען עכט, נישט פֿאַרקויף.
סטאַנדאַרדיזירן שוץ מוסטערן
סטאַנדאַרדיזירן אַ פּאָר גוט פֿאַרשטאַנענע מוסטערן מאַכט עס גרינגער צו טראַכטן וועגן ריזיקע און דעמאָנסטרירן קאָנטראָל קאַווערידזש אַריבער קליענטן און וואָרקלאָודז. די מוסטערן זאָלן שפּיגלען די פֿאַרשידענע ריזיקע פּראָפֿילן וואָס איר האָט פריער אידענטיפֿיצירט פֿאַר לאָגס, באַקאַפּס און סנעפּשאַץ און זאָלן ווערן געווענדט קאָנסיסטענט וווּ ענלעכע וואָרקלאָודז דערשייַנען.
טיפּישע מוסטערן אַרייַננעמען:
- אומענדערלעכע לאָג אַרכיוון מיט לאַנג-טערמין אויפהאלטונג פֿאַר רעגולירטע קליענטן.
- פּער-טענאַנט ענקריפּטעד באַקאַפּס פֿאַר קאָר וואָרקלאָודז, אַליינד צו קאָנטראַקטואַל RTO/RPO.
- קראָס-רעגיאָן רעפּליקעס פֿאַר קריטישע באַדינונגען וואו דאַונטיים אָדער דאַטן אָנווער וואָלט ערנסט אַפעקטירן קייפל קאַסטאַמערז.
פֿאַר יעדן מוסטער, דאָקומענטירט:
- וואָסערע אינפֿאָרמאַציע עס באַשיצט און פֿאַר וועלכע קליענטן אָדער באַדינונגען.
- וועלכע אנעקס א קאנטראלירט עס שטיצט (למשל A.8.13, A.5.29, A.8.24).
- ווי עס ווערט אימפלעמענטירט אויף יעדער וואָלקן פּלאַטפאָרמע וואָס איר ניצט.
די קאַטאַלאָג ווערט אַ געמיינזאַמע רעפֿערענץ פֿאַר אינזשענירן, אַרכיטעקטן, קאָמפּליאַנס פירער און אָדיטאָרס. עס העלפֿט אויך פֿאַרקויף און אַקאַונט טימז דערקלערן, אין פּשוטער שפּראַך, ווי איר באַשיצט קליענט דאַטן בעת דיו דילידזשענס רופן.
טעסט רעסטאָרס מיט טענענט וויסיקייַט
רעסטאָר טעסטן איז נישט אונטערהאנדלונגסווערט פֿאַר ISO 27001, אָבער אין אַ מולטי-טענאַנט דאַטן לייק האט עס אַן עקסטרע דימענסיע: באַווייַזן אַז רעסטאָרס ברעכן נישט טענאַנט גרענעצן. אַ רעסטאָר וואָס אַרבעט טעכניש אָבער ציט די פאַלש טענאַנט ס דאַטן אין די פאַלש סוויווע איז נאָך אַ ערנסט דורכפאַל.
אייערע טעסץ זאָלן ווייַזן אַז:
- איר קענט צוריקשטעלן די ריכטיקע טענענט'ס דאַטן צו דער ריכטיקער סביבה אין די מסכים RTO/RPO.
- קיין אנדערע טענענט'ס דאטן דערשיינט נישט אין יענעם צוריקשטעלן.
- די רעסטאָראַציע איז לאָגד, באַשטעטיקט און אָפּגעקוקט.
כדי דאָס צו מאַכן ווידערהאָלט:
- ניצט סקריפּטעד אדער אינפראַסטרוקטור-ווי-קאָד (IaC) צוגאַנגען אַזוי אַז טעסטן זאָלן זיין קאָנסיסטענט און קאָנטראָלירבאר.
- האַלט רעקאָרדס פון טעסט דאַטעס, פאַרנעם, רעזולטאַטן און נאָכפאָלג אַקציעס אין דיין ISMS.
- פֿאַרבינדט טעסטן צו באַטייַטיק קאָנטראָלס און ריזיקעס, אַזוי אַז אינערלעכע אַודאַץ קענען זען אַ קלאָרע קייט פֿון ריזיקע צו טעסט צו פֿאַרבעסערונג.
באַהאַנדלט רעסטאָר טעסטן ווי אַ קערן דיסציפּלין און רעפֿערירט עס וואו איר דיסקוטירט ספּעציפֿישע ריזיקעס און קאָנטראָלס. אַ פּשוטע קאָנטראָל פֿאַר אײַך און אײַער מאַנשאַפֿט איז צי יעדער הויפּט דאַטן-לייק ריזיקע האָט אַ פֿאַרבונדענע רעסטאָר אָדער פֿיילאָוווער טעסט אין אײַער עווידענס פּאַק.
באַשיצן אַדמיניסטראַציע פּאַטס
אַטאַקירער און שלעכטע אינסיידערס ווייסן אַז קאָמפּראָמיטירן באַקאַפּ און סנעפּשאַט קאָנטראָלס קען נויטראַליזירן דיין אָפּזוך סטאָרי, אַזוי אַדמיניסטראַציע פּאַטס פאַרדינען עקספּליציט שוץ. אין פּראַקטיק, דאָס איז ווו פילע אינצידענטן אָנהייבן, ווייַל שטאַרקע מכשירים זענען אָפט באַוואַכט דורך שוואַכערע קאָנטראָלס.
מינימום ערוואַרטונגען אַרייַננעמען:
- שטאַרקע אויטענטיפֿיקאַציע און מינדסטע פּריווילעגיע פֿאַר ווער עס יז וואָס קען ענדערן באַקאַפּ אָדער סנעפּשאָט סעטטינגס.
- ענדערונג-קאנטראל פראצעסן פאר הויך-ריזיקירטע אקציעס ווי פארקירצן ריטענשאַן, דיסעיבלינג אימוטביליטעט אדער ענדערן רעפּליקאַציע.
- מאָניטאָרינג און אַלערטינג וועגן ומגעוויינטלעכע דילעשאַנז, פּאָליטיק ענדערונגען אָדער רעפּליקאַציע געשעענישן, מיט קלאָרע אינצידענט-רעספּאָנס פּלייבוקס.
אייער ריזיקע אפשאצונג זאל באטראכטן סצענארן וואו בעקאפ אדער סנעפּשאט אדמיניסטראציע וועגן ווערן קאמפראמיטירט און ווייזן ווי קאנטראלן ווי A.8.8 מענעדזשמענט פון טעכנישע שוואכקייטן, A.8.32 טויש מענעדזשמענט און A.8.16 מאניטארינג אקטיוויטעטן רעדוצירן זייער אימפאקט.
באַהאַנדלט נידעריקערע סביבות מיט זאָרג
ניצן פולע פּראָדוקציע דאַטן אין טעסט, אַנטוויקלונג אָדער אַנאַליטיקס סביבות איז איינער פון די שנעלסטע וועגן צו אונטערמינעווען דיין זיכערהייט און פּריוואַטקייט געשיכטע. עס טענדירט אויך צו אַנטלויפן ופמערקזאַמקייט ביז אַ בריטש אָדער אָדיט כיילייץ עס.
די זאלסט:
- באַשליסט ווען איר קענט נוצן מאַסקירטע אָדער אַנאָנימיזירטע דאַטן אין נידעריקערע סביבות אַנשטאָט גאַנצע פּראָדוקציע קאפיעס.
- זייט זיכער אז נישט-פּראָדוקציע סביבות רעספּעקטירן נאָך די טענענט גרענעצן און אַקסעס-קאָנטראָל כּללים.
- קלאַסיפֿיצירט און באַשיצט די סביבות קאָנסיסטענט אין אייער אַסעט אינווענטאַר און ריזיקאָ אַסעסמענט.
אַנדערש ריזיקירט איר צו בויען אַ פּאַראַלעלע, ווייניקער קאָנטראָלירטע וועלט פון סענסיטיווע דאַטן. רעגולאַטאָרן און פירמע קאַסטאַמערז פרעגן מער און מער וועגן טעסט און לאַבאָראַטאָריע סביבות, אַזוי צו קענען רעדן וועגן זיי עקספּליציט העלפּס איר געווינען צוטרוי ווי געזונט ווי טרעפן ISO 27001 ערוואַרטונגען. ווי אַ ווייך אַקציע פונט, איז עס ווערט צו איבערקוקן דיין קראַנט ניט-פּראָדוקציע סביבות און קאָנטראָלירן צי זייער קאָנטראָלס טאַקע גלייַכן די הבטחות איר מאַכן וועגן טענאַנט אפגעזונדערטקייט און פּריוואַטקייט.
פאַרוואַלטן אַלע אייערע קאָנפאָרמאַנס, אַלץ אין איין אָרט
ISMS.online שטיצט איבער 100 סטאַנדאַרדס און רעגיאַליישאַנז, געבן איר אַ איין פּלאַטפאָרמע פֿאַר אַלע דיין העסקעם דאַרף.
צוטריט קאָנטראָל, ענקריפּשאַן און מאָניטאָרינג פּאַטערנז וואָס אַרבעטן
אידענטיטעט און צוטריט פאַרוואַלטונג, ענקריפּשאַן און מאָניטאָרינג טראָגן רובֿ פון די טעכנישע וואָג אין זיכערן אַן MSP דאַטן לייק. ווייטער פון באַקאַפּס און סנאַפּשאַץ, די דריי טעמעס זענען וווּ אַן איינציקער טעות אָדער קאָמפּראָמיס איז מערסט מסתּמא צו ווערן אַ מולטי-טענאַנט בריטש. ווען איר באַקומען די פּאַטערנז ריכטיק, איר מאַכן דעם רעזולטאַט פיל ווייניקער מסתּמא און איר געבן זיך קלאָרע ענטפֿערס פֿאַר פּראָקורעמענט פֿראַגעבאָגן, רעגולאַטאָרס און פאַרזיכערונג קאָמפּאַניעס. ווען זיי זענען וואַג, אפילו גוטע כוונות קענען ווערן ומבאַקוועם אָדיט געפינסן.
אויף דער געשעפטס זייט, האבן די דיזיין אויסוואלן א דירעקטן איינפלוס אויף ווי באקוועם איר קענט ענטפערן אויף די פראקורמענט קוועסטשאנער, ווי איר רעדט וועגן טענענט אפגעזונדערטקייט אין פארקויף רופן און ווי איר ווייזט אויף געהעריגע פארזיכטיגקייט צו רעגולאטארן און פארזיכערונג געזעלשאפטן.
אידענטיטעט און צוטריט פאַרוואַלטונג צוגעפאסט פֿאַר טענענסי
אידענטיטעט און צוטריט פאַרוואַלטונג (IAM) פֿאַר אַן MSP דאַטן לייק דאַרף שטיצן ביידע אינערלעכע טימז און, אין עטלעכע פאַלן, קליענט צוטריט, אָן שאַפֿן ריזיקאַלישע אָוווערלאַפּס. גוט געטאָן, עס טורנס טענענסי אין אַ פאָרויסזאָגבאר מוסטער אַנשטאָט אַ שוואַך סכום פון איין-מאָל אויסנעמען.
שליסל מוסטערן אַרייַננעמען:
- גרענעצן פּער טענאַנט: ניצט באַזונדערע אַקאַונטס, פּראָיעקטן אָדער קלאָר געטאַגד רעסורס גרופּעס פּער טענאַנט אָדער טענאַנט סעגמענט וואו מעגלעך (שטיצנדיק קאָנטראָלס ווי A.5.15 און A.5.16).
- ראָלע פּלאַן: דעפינירן באַזונדערע ראָלעס פֿאַר אָפּעראַציעס, זיכערהייט, אינזשעניריע און קונה שטיצע; מינימיזירן ברייטע ראָלעס וואָס קענען זען אַלע דאַטן (פֿאַרבונדן מיט A.5.3).
- פּונקט-אין-צייט הייך.: געבן הויך-ריזיקירנדע דערלויבענישן צייטווייליג, מיט הסכמות און לאגינג, אנשטאט שטענדיג (פארשטארקן A.8.2).
- רעגולערע רעצענזיעס.: איבערקוקן צוטריט ליסטעס פאר לייק פּלאַטפאָרמעס, באַקאַפּ סיסטעמען און IAM זיך אין אַ דעפינירטן קאַדענץ.
די מוסטערן זאָלן זיך אָפּשפּיגלען סיי אין אייערע געשריבענע צוטריט-קאָנטראָל פּראָצעדורן און סיי אין דער פאַקטישער קאָנפיגוראַציע פון אייערע פּלאַטפאָרמעס. באַווייזן אַרייַננעמען IAM פּאָליטיקס, באַשטעטיקונג לאָגס, צוטריט-איבערבליק רעקאָרדס און ענדערונג לאָגס, אַלע וואָס פאַרבינדן זיך שיין צו אַנעקס A צוטריט קאָנטראָלס און געבן אייערע זיכערהייט און IT פּראַקטיצירער אַ קאָנקרעטן געשיכטע צו דערציילן.
ענקריפּשאַן ווי אַ סעגרעגאַציע געצייַג
ענקריפּשאַן ווערט אָפט באַהאַנדלט ווי אַ גענעראַלער קאָנפֿידענציאַליטעט קאָנטראָל, אָבער אין אַ געטיילטן דאַטן לייק איז עס אויך אַ קריטישער סעגרעגאַציע און בלאַסט-ראַדיוס רעדוקציע מעקאַניזאַם. די וועג ווי איר דיזיינט אייער שליסל סטרוקטור קען אָדער אפגעזונדערן טענאַנץ אָדער זיי צוזאַמענבינדן מער ענג ווי איר פּלאַנירט.
אָפּציעס צו באַטראַכטן אַרייַננעמען:
- פּער-טענאַנט שליסלען, וואו יעדן קליענט'ס דאַטן איז ענקריפּטעד מיט אַ באַזונדער שליסל אָדער שליסל כייעראַרכיע.
- דאָמעין-באַזירטע שליסלען, וואו שליסלען זענען סעגמענטירט לויט ראַיאָן, סעקטאָר אָדער סענסיטיוויטי מדרגה.
- א שטארקע צוטיילונג פון פליכטן צווישן די וואס קענען אדמיניסטרירן שליסלען און די וואס קענען צוקומען צו דאטן, אזוי אז קיין איין ראלע קען נישט דעקריפטירן אלעס.
אייער ריזיקע אפשאצונג זאל אויספארשן סצענארן ווי שליסל קאמפראמיס, פארלוסט פון שליסל בעקאפס, שלעכט קאנפיגורירטע ראטאציע אדער אקצידענטעלע שליסל אויסמעקן, און דערקלערן ווי אייער דיזיין מאכט זיכער אז איין שליסל פראבלעם וועט נישט אויפדעקן דעם גאנצן אזערע. שליסל-פארוואלטונג אנווייזונגען פון נאציאנאלע סייבער-זיכערהייט אויטאריטעטן שטעלן דעם טראָפּ אויף מאָדעלירן שליסל קאמפראמיס, ראטאציע און פארלוסט סצענארן אויסדריקליך און ניצן שליסל סעגמענטאציע צו באגרענעצן דעם אויפרייס ראדיוס אויב יעדע איין שליסל אדער שליסל סטאר ווערט באטראפן. קאנטראלן ווי A.8.24 באניץ פון קריפּטאגראפיע און A.8.5 זיכערע אויטענטיפיקאציע זענען צענטראל דא. דער דיזיין לאזט אייך זאגן צו קליענטן, אין א פשוטער שפראך, אז איין שליסל אינצידענט קען נישט אויפדעקן אייער גאנצע קליענט באזע.
מאָניטאָרינג פֿאַר גרענעץ ווייאַליישאַנז און קאָנטראָל דריפט
מאָניטאָרינג זאָל זיך קאָנצענטרירן אויף מער ווי סיסטעם געזונטהייט; עס זאָל אייך העלפֿן דערקענען גרענעץ ווייאַליישאַנז און פאַרלאַנגזאַמען קאָנטראָל דריפט איידער זיי ווערן אינצידענטן. אין פילע MSP אינצידענטן, זענען פריע ווארענונג סימנים געווען קענטיק אָבער נישט באַהאַנדלט ווי הויך-ווערט סיגנאַלן.
הויך-ווערט סיגנאַלן אַרייַננעמען:
- פרובירט צו צוקומען צו דאטן אינדרויסן פון אן ערווארטעטן טענענט גרענעץ.
- אומגעוויינטלעכע עקספּאָרט וואַליומז אָדער דעסטאַניישאַנז.
- ענדערונגען צו צוטריט פּאָליטיקס, ענקריפּשאַן סעטטינגס, באַקאַפּ און סנאַפּשאַט פּאָליטיקס.
- אַדמיניסטראַטיווע אַקציעס ווי מאַסן אויסמעקן, שליסל ענדערונגען אָדער צוריקשטעלן אָפּעראַציעס.
אין פּראַקטיק, קענט איר אַריינפֿירן די געשעענישן אין אייער SIEM און דעפֿינירן כּללים וואָס אונטערשטרייַכן נאַטור וואָס ווײַזט אויף טענענט-גרענעץ דורכפֿאַלן, מיסברויַך אָדער מיסקאָנפֿיגוראַציע. ISO 27001 ערוואַרטעט דאַן אַז איר זאָלט פֿאַרבינדן דעם מאָניטאָרינג צו אינצידענט-האַנדלונג פּראָצעסן: ווען עפּעס פֿאַרדעכטיק פּאַסירט אין אָזערע, דעטעקטירט איר עס, טריאַזירט עס, אויספֿאָרשט, דערהייַנטיקט פּלייבוקס און פֿאַרבעסערט. דאָס פֿאַרמאַכט דעם שלייף קעגן A.5.24 אינפֿאָרמאַציע זיכערהייט אינצידענט פאַרוואַלטונג פּלאַנירונג און צוגרייטונג און A.5.26 רעאַקציע צו אינפֿאָרמאַציע זיכערהייט אינצידענטן, און גיט אייער אינצידענט-רעספּאָנס מאַנשאַפֿט קלאָרע, דאַטן-געטריבענע טריגערס צו אַרבעטן פֿון.
פארוואנדלען קאנטראלן אין באווייזן און קליענט צוטרוי
ISO 27001 איז אזויפיל וועגן ווייזן ווי אזוי איר ארבעט ווי עס איז וועגן טאן די ארבעט. אוידיט-פאָקוסירטע פריימווערקס ווי SOC 2 און אימפּלעמענטאַציע גיידליינז אַרום ISO 27001 פארשטארקן ביידע דעם געדאַנק: עס איז נישט גענוג צו דיזיינען קאָנטראָלס, איר מוזט אויך קענען זיי דעמאָנסטרירן מיט קאָנסיסטענט, איבערבליקבאַרע באַווייַזן ווען קאַסטאַמערז, אוידיטאָרן אָדער רעגולאַטאָרן פרעגן. דיזיינען שטאַרקע קאָנטראָלס איז בלויז האַלב פון די שטאָק; איר דאַרפט אויך דעמאָנסטרירן וואָס איר האָט געטאָן צו אוידיטאָרן, רעגולאַטאָרן און פאָדערנדיקע ענטערפּרייז קאַסטאַמערז. פֿאַר אַן MSP דאַטן לייק, די וועג ווי איר סטרוקטורירט באַווייַזן קען אָדער מאַכן אוידיט סעאַסאָנס ווייטיקדיק אָדער פאַרוואַנדלען זיכערהייט דילידזשאַנס אין אַ קאַמפּעטיטיוו מייַלע. ווען איר קענט גיין פון ריזיקירן טעמע צו אַנעקס A קאָנטראָל צו קאָנקרעט באַווייַזן אין אַ ביסל קליקן, איר קוקן פיל מער גלויבווערדיק צו אוידיטאָרן, רעגולאַטאָרן און ענטערפּרייז קויפער.
די 2025 ISMS.online אנקעטע ווייזט אז קאסטומערס ערווארטן מער און מער אז סאַפּלייערס זאלן זיך צופּאַסן צו פאָרמעלע פריימווערקס ווי ISO 27001, ISO 27701 , GDPR, Cyber Essentials, SOC 2 און אויפקומענדיקע AI סטאַנדאַרדן.
אויב איר קענט ווייזן קלארע מאַפּינגז פון ריזיקע צו אַנעקס א קאָנטראָל צו פאַקטישע באַווייַזן, קוקט אייער MSP אויס פיל מער גלויבווערדיק. אויב איר קענט נישט, קען אפילו גוטע טעכנישע אַרבעט נישט איבערצייגן.
מאַפּירן קאָנטראָלן צו קאָנקרעטע באַווייַזן
פֿאַר יעדער הויך-ריזיקירנדיקער טעמע אין אייער דאַטן לייק – טענענט איזאָלאַציע, לאָג אָרנטלעכקייט, באַקאַפּ ריזיליאַנס, געטיילטע פֿאַראַנטוואָרטלעכקייט – ליסט די אַנעקס א קאָנטראָלן און אינערלעכע פּאָליטיק וואָס אַדרעסירן יענער טעמע, און ידענטיפיצירט די באַווייַזן וואָס איר קענט ווייַזן אַז יענע קאָנטראָלן זענען אין פּלאַץ און עפעקטיוו. די מאַפּינג ווערט אייער אינערלעכע "סטאָריבאָרד" פֿאַר אַדאַץ און קליענט באריכטן.
באַווײַזן קען אַרייַננעמען:
- קאָנפיגוראַציעס און קאָד (IAM פּאָליטיקס, אינפראַסטרוקטור-ווי-קאָד טעמפּלאַטן, באַקאַפּ קאָנפיגוראַציעס).
- לאָגס (צוטריט לאָגס, צוריקשטעלן לאָגס, ענדערונג לאָגס).
- טעסט רעקאָרדס (רעסטאָרירן טעסטן, פיילאָוווער עקסערסייזיז, אַקסעס-איבערבליק רעזולטאַטן).
- פּראָטאָקאָלן פֿון מענעדזשמענט רעצענזיעס און אינערלעכע אוידיטס וואָס דיסקוטירן דעם אָזערע.
אויב עס נעמט אייך טעג פון מאַנועלע זוכן צו צונויפשטעלן די באַווייזן, איז אייער ISO 27001 אימפּלעמענטאַציע שוואַך און אייער מאַנשאַפֿט וועט מורא האָבן פֿאַר יעדן אוידיט און גרויסן דיו-דילידזשענס פֿראַגעבאָגן. א פּשוטע אינערלעכע געניטונג פֿאַר אייער CISO אָדער קאָנפאָרמאַנס פֿירער איז צו קלייבן איין טעמע, ווי למשל טענענט איזאָלאַציע, און זען ווי שנעל די אָרגאַניזאַציע קען פּראָדוצירן אַ קאָוכירענטן באַווייז פּאַק.
סטאַנדאַרדיזירן ווי איר זאַמלט און האַלט באַווייזן
כדי צו פארמיידן דעם יערלעכן "פאר-אוידיט קאמף", קענט איר באהאנדלען באווייז זאמלונג און אויפבעווארעניש ווי א קאנטינעווירלעכע דיסציפלין אנשטאט אן איינמאליגע געשעעניש. יענע ענדערונג אין מיינדסעט איז אפט וואס באוועגט אן MSP פון רעאקטיוו צו עכט ווידערשטאנדסקראפטיק.
פּראַקטישע טריט אַרייַננעמען:
- באַשליסן וואו באַווייזן געפינען זיך (למשל, אַ דעדאַקייטאַד ISMS פּלאַטפאָרמע אַנשטאָט אַד-האָק טעקעס).
- באַשטימען קלאָרע פֿאַראַנטוואָרטלעכקייט פֿאַר יעדן סכום באַווייזן, אַרייַנגערעכנט איבערבליק און דערפרישונג ציקלען.
- באַשטעטיקן ריטענשאַן פּיריאַדס וואָס שטימען מיט אָדיט און רעגולאַטאָרישע באדערפענישן אונטער קאָנטראָלס ווי A.5.33 שוץ פון רעקאָרדס.
א פּלאַטפאָרמע ווי ISMS.online קען צענטראַליזירן אייער סקאָופּ און אַסעט אינווענטאַר פֿאַר די דאַטן לייק, אייערע ריזיקאָ רעגיסטער איינטראַגעס פֿאַר מולטי-טענאַנט לאָגס, באַקאַפּס און סנעפּשאַץ, אייערע אַנעקס A קאָנטראָל מאַפּינגז און ימפּלעמענטאַציע הערות, און אייערע עווידענס טעקעס און רעקאָרדס. יעדער רעקאָרד קען זיין לינגקט צו ספּעציפֿישע ריזיקאָס און קאָנטראָלס, פּלאַנירט פֿאַר פּעריִאָדישע איבערבליק און אויפֿגעפֿלאַנצט אין דאַשבאָרדז פֿאַר פֿירערשאַפֿט. אַנשטאָט איבערצובויען פּאַקס פֿון קראַץ, האַלט איר אַ לעבעדיק סיסטעם וואָס איז שטענדיק נאָענט צו אָדיט-גרייט.
פֿאַרוואַנדלען ISO 27001 אַרבעט אין קליענט-פֿאָקוסירטע פֿאַרזיכערונג
קליענטן בעטן נישט פֿאַר אַנעקס א נומערן; זיי פרעגן פּראַקטישע פֿראַגעס וואָס איבערזעצן זיך אין צוטרוי אָדער זאָרג. אויב איר צוגרייט ווידער-ניצלעכע, קליענט-פֿרײַנדלעכע אַרטיפאַקץ פֿון אייער ISO 27001 אַרבעט, מאַכט איר עס גרינגער צו פֿאַרדינען און אויפֿהאַלטן דעם צוטרוי.
די 2025 ISMS.online אנקעטע ווייזט אז קאסטומערס ערווארטן מער און מער אז סופלייערס זאלן זיך צופאסן צו פארמאלע פריימווערקס ווי ISO 27001, ISO 27701, GDPR, Cyber Essentials, SOC 2 און אויפקומענדיקע AI סטאנדארטן.
פּראָסט ביישפילן אַרייַננעמען:
- "ווי האַלט איר אונדזערע לאָגס באַזונדער פֿון אַנדערע קליענטן?"
- "ווי לאַנג האַלט איר אונדזערע באַקאַפּס און ווי באַווייַזט איר אַז זיי אַרבעטן?"
- "וואָס פּאַסירט אויב איר אָדער אייער וואָלקן פּראַוויידער האָט אַן אינצידענט?"
איר קענט פארוואנדלען אייערע אינערליכע קאנטראל און באווייז סטרוקטורן אין:
- א סטאַנדאַרדיזירטע MSP דאַטן-לאַקע זיכערהייט בריפינג וואָס באַשרײַבט ווי איר באַשיצט לאָגס און באַקאַפּס אין פּשוטער שפּראַך.
- ווידער-ניצלעכע ענטפֿער סעטן פֿאַר זיכערהייט פֿראַגעבאָגן און RFPs.
- רעדן פונקטן פֿאַר קוואַרטאַל געשעפט באריכטן וואָס העלפֿן אַקאַונט טימז ווייַזן פּראָגרעס און באַרויקן סטייקהאָולדערז.
ווען דאָס מאַטעריאַל איז קלאָר און קאָנסיסטענט, רעדוצירט עס די רייבונג אין פארקויף ציקלען, גיט גרינדער און פארקויף פירער מער בטחון אין שמועסן מיט גרויסע קויפער און רעדוצירט דעם ריזיקאָ פון געמישטע מעסעדזשעס אין אייער מאַנשאַפֿט. אייערע פּריוואַטקייט און לעגאַלע אָפיצירן קענען אויך נוצן דעם זעלבן מאַטעריאַל ווען זיי רעדן מיט רעגולאַטאָרן וועגן ווי זיכערהייט און פּריוואַטקייט קאָנטראָלן ווערן דורכגעפירט אין פּראַקטיק.
האַלטן דעם אָזערע און די ISMS אין שריט
צום סוף, ISO 27001 איז געבויט אַרום קעסיידערדיקע פֿאַרבעסערונג, און MSP דאַטן לייקס שטייען זעלטן שטיל. אויב איר ווילט פֿאַרמייַדן גאַפּס צווישן אייערע ISMS און דער ווירקלעכקייט, דאַרפֿט איר אַ לייכטן וועג צו האַלטן זיי אין שריט, ספּעציעל ווען איר לייגט צו ראַיאָנען, סערוויסעס אָדער נייע אַנאַליטיקס קייפּאַבילאַטיז.
דאס מיינט:
- באַהאַנדלען באַדייטנדיקע אַרכיטעקטור ענדערונגען - נייע ראַיאָנען, טענענסי פּאַטערנז, באַקאַפּ באַדינונגען אָדער אַנאַליטיקס פֿעיִקייטן - ווי טריגערס פֿאַר אַפּדייטינג דיין פאַרנעם, אַסעט אינווענטאַר, ריזיקירן אַסעסמאַנט און קאָנטראָלס.
- ניצן אינערלעכע אוידיטס און מענעדזשמענט רעצענזיעס (למשל אונטער פּונקט 9.2 און 9.3) צו געבן פריאריטעט צו פֿאַרבעסערונגען וואָס באַדייטנד רעדוצירן ריזיקע אָדער עפֿענען נייע קליענט געלעגנהייטן.
- נאכפאלגן קארעקטיווע אקציעס ביזן סוף, און אינטעגרירן לעקציעס פון יעדן אינצידענט וואס האט צו טון מיטן אזערע אין אייער פלאן און פראצעדורן.
אן ISMS פלאטפארמע ווי ISMS.online קען העלפן דורך פארבינדן ענדערונגען אין אייער טעכנישן עסטעיט צו איבערקוק אויפגאבעס, דערמאנען אייגענטימער ווען קאנטראלן אדער ריזיקעס דארפן ווידער-אפשאצן און צושטעלן דעשבאָרדז פאר גרינדער, זיכערהייט פירער, קאמפלייענס טימס און ארכיטעקטן. ווען אייער מולטי-טענענט דאטן לייק, אייערע ISO 27001 קאנטראלן און אייערע באווייזן גייען אלע אין איינקלאנג, האפט איר נישט נאר אז לאגס, בעקאפס און סנעפּשאטס זענען מסתמא גוט. איר קענט ווייזן - צו זיך אליין, צו אוידיטארן און צו אייערע קליענטן - ווי און פארוואס זיי זענען באשיצט, און איר קענט מיט בטחון צוזאגן אז אייערע קאנטראלן האלטן דעם גאנג מיט אייער ארכיטעקטור ווען איר וואקסט אריין אין מער פארלאנגנדע מארקפלעצער.
ספר אַ דעמאָאָפֿט געשטעלטע פֿראגן
וואו וואַקסט טאַקע די ריזיקע פֿון ISO 27001 ערשט אין אַן MSP-אָפּערירטן, מולטי-טענאַנט דאַטן-אָזערע?
עס שטימט ערשט אין די פונקטן וואו איין אומרעכטער שריט קען אריבערגיין די גרענעצן פון די טענענטן, צעשטערן באווייז-דאטן אדער שטילערהייט צוברעכן רעגולאטורישע הבטחות.
פארוואס טוען מולטי-טענאַנט לייקס זיך אויפפירן ווי "ריזיקירן פארשטארקערס" אונטער ISO 27001?
אין אַ געטיילטן אָזערע, קענען קליינע קאָנפיגוראַציע באַשלוסן האָבן ברייטע, שווער-צו-קערן קאָנסעקווענצן. טיפּישע דרוק פונקטן אַרייַננעמען:
- אַ פאַלש־געשאַצטע ראָלע, באַקעט פּאָליטיק, קווערי אָדער צוריקשטעלן אַרבעט וואָס רירט אָן קייפל טענענטס' דאַטן אין איין באַוועגונג.
- א לאג אדער בעקאפ פּייפּליין וואָס פיילז אדער איז געטוישט געוואָרן, שטילערהייט אויסמעקנדיק די נאָר אומאָפּהענגיק רעקאָרד פון טעטיקייט.
- א ענדערונג אין איין ראיאן אדער וואָלקן אקאונט וואס אונטערמינירט דאַטן-לאָקאַציע אָדער ריטענשאַן הבטחות דו האסט געמאכט אנדערשוואו.
ISO 27001:2022 ניצט קיינמאל נישט דעם אויסדרוק "דאטן לייק", אבער עס נעמט יא אן אז סערוויסעס מיט א גרויסן איינפלוס זענען:
- קלאר אין פאַרנעם פֿאַר די ISMS.
- רעפּרעזענטירט אין די אַסעט ינוואַנטאָרי.
- אנאליזירט פאר קאַנפאַדענשיאַלאַטי, אָרנטלעכקייַט און אַוויילאַבילאַטי.
- באַשיצט דורך צוגעפאסטע אַנעקס א קאָנטראָלס.
פֿאַר אַן MSP-געפֿירטן, מולטי-טענאַנט אָזערע, מיינט דאָס צו באַהאַנדלען עס ווי:
- מולטי-טענאַנט לויטן פּלאַן: – טענענט איזאלירונג איז א הויפט זיכערהייט ציל, נישט קיין אימפלעמענטאציע דעטאל.
- באווייזן לויט פונקציע: – לאָגס, באַקאַפּס און סנעפּשאַץ שטיצן אויספאָרשונגען, סכסוכים און רעגולאַטאָרישע רעאַקציעס.
- געטיילטע פֿאַראַנטוואָרטלעכקייט לויט קאָנטראַקט: – איר זיצט צווישן קונה־געגנטן און איין אדער מער וואָלקן־פּראַוויידערז.
אויב אייער ריזיקע רעגיסטער און סטעיטמענט פון אפליקאציע רופן נישט ארויס די אייגנשאפטן קלאר, אונטערשאצט איר מסתמא דעם אויפרייס ראדיוס. פארשטארקן יענע באשרייבונג – און דערנאך ווייזן אויף ספעציפישע קאנטראלן פאר סעגרעגאציע, לאגינג, בעקאפ אינטעגריטעט און סופלייער מענעדזשמענט – גיט אייך א פיל שטארקערע שטאנדפונקט ווען אוידיטארן אדער קאסטומערס פרעגן ווי אזוי איר האלט די טענענטן אפגעזונדערט און באווייזט וואס איז געשען אינעווייניג אין אזערע.
אויב איר ווילט אז די מאַפּינג זאָל בלייבן קאָוכירענט ווי אייערע מענעדזשד סערוויסעס און דאַטן פּלאַטפאָרמעס עוואַלוציאָנירן, די נוצן פון אַן אינפֿאָרמאַציע זיכערהייט מענעדזשמענט סיסטעם ווי ISMS.online מאכט עס פיל גרינגער צו האַלטן די פאַרנעם, ריסקס, לייק אַסעץ און אַנעקס A קאָנטראָלס אין באַוועגונג צוזאַמען, אַנשטאָט דיווערדזשינג אַריבער אַד-האָק דאָקומענטן.
ווי זאָל אַן MSP דורכפירן ISO 27001 און סטרוקטורירן אַן אַסעט אינווענטאַר פֿאַר מולטי-וואָלקן, מולטי-רעגיאָן דאַטן לייקס?
איר קוקט אַרום די מענעדזשד סערוויסעס וואָס איר טאַקע פירט, און דאַן דעפינירט אַ האַנדפול פון לאָגישע לייק אַסעץ וואָס גרופּירן די אונטערלייגנדיקע וואָלקן רעסורסן לויט ראַיאָן, טענאַנט מאָדעל און אינפֿאָרמאַציע טיפּ.
ווי קען מען דעפינירן דעם פארנעם פון א קאמפליצירטן אזערע אן דערטרינקען זיך אין דעטאלן?
א פּראַקטישע ISO 27001 פֿאַרנעם־סטעיטמענט איז קורץ, סערוויס־צענטרירט און געשטיצט דורך שטיצנדיקע אַרטיפאַקטן. פֿאַר אַן אָזערע, דעקט עס געוויינטלעך:
- סערוויס באַשרייַבונג: אין פּשוטער שפּראַך, למשל:
"מאַנאַדזשד, מולטי-טענאַנט לאָג און באַקאַפּ דאַטן-לייק באַדינונגען פֿאַר קונה סביבות."
- קאַווערידזש גרענעצן: – גערופענע וואָלקן פּראַוויידערז, ראַיאָנען (למשל אי.יו., פֿאַראייניקטע קעניגרייך, פֿאַראייניקטע שטאַטן) און לעגאַלע ענטיטיז וואָס אָפּערירן דעם אָזערע.
- אַקטיוויטעטן וואָס איר קאָנטראָלירט: – אייננעמען, אויפהיטן, טראנספארמירן, באַקאַפּן און צוריקשטעלן קונה דאַטן; פאַרוואַלטן צוטריט און ענקריפּשאַן; מאָניטאָרינג און אינצידענט האַנדלינג.
הינטער יענעם פּאַראַגראַף גיט איר אוידיטאָרן און קאַסטאַמערז עפּעס וואָס זיי קענען נאָכפֿאָלגן:
- אַרכיטעקטור דיאַגראַמען: ווײַזנדיק פלאָוז פֿון קונה־נחלות אין אָזערע און ווײַטער צו אַנאַליטיקס, SIEM אָדער אַרכיוו־שטאַפּלען.
- געטיילטע-פאַראַנטוואָרטלעכקייט מאַטריצעס: וואָס באַשרייבן וועלכע קאָנטראָלס ליגן ביי דיר, ביי יעדן קונה און ביי יעדער וואָלקן פּלאַטפאָרמע.
יענע סטרוקטור שפילט אויך גוט מיט אנאקס L אינטעגרירטע מענעדזשמענט סיסטעם (IMS) געדאנקען-גאנגען: דער זעלבער פארנעם-מוסטער קען זיך איבערפירן אריבער ISO 22301 פאר קאנטינעואיטעט, ISO 27701 פאר פריוואטקייט אדער ISO 42001 פאר קינסטלעכער אינטעליגענץ גאווערנענס, אנשטאט צו שאפן באזונדערע, קאנפליקטירנדע דעפיניציעס.
ווי אזוי בויט מען א נוצבארן אינווענטאר פון אזערע פארמעגן וואס נאך אלץ באפרידיגט ISO 27001?
אנשטאט צו פרובירן אויסצושרייבן יעדן עמער אדער טאבעלע, באהאנדלט דעם אזערע ווי א זאמלונג פון לאגישע רעסורסן וואס גרופירן רעסורסן לויט ריזיקע-באטרעפנדע דימענסיעס, למשל:
- ראיאן און רעגולאַטאָרישער רעזשים (אי־יו פּראָדוקציע, לאַנג־טערמין אַרכיוו פֿון פֿאַראייניקטן קעניגרייך, אַנאַליטיקס פֿון די פֿאַראייניקטע שטאַטן).
- טענענסי מאָדעל (איין-טענאַנט, סעגמענטירטער מולטי-טענאַנט, גלאָבאַלע מולטי-טענאַנט).
- אינפֿאָרמאַציע טיפּ און סענסיטיוויטי (זיכערהייט לאָגס, אַפּלאַקיישאַן טעלעמעטרי, דאַטאַבייס באַקאַפּס, סנאַפּשאַץ; בייַזייַן פון פּערזענלעכע אָדער צאָלונג דאַטן).
יעדער לאָגישער אַסעט אַרייַנטרעט טיפּיש כולל:
- געשעפט צוועק און אפהענגיקע סערוויסעס.
- אינפֿאָרמאַציע קאַטעגאָריעס און צי פּערזענלעכע, קאַרטל האָלדער אָדער געזונט דאַטן איז פאָרשטעלן.
- טענענסי מאָדעל און אפגעזונדערטקייט צוגאַנג.
- ראַיאָנען, פּראַוויידערז און דאַטן-לאָקאַציע קאַמיטמאַנץ.
- פאַראַנטוואָרטלעך באַזיצער און שטיצנדיקע טימז.
אונטן, קענט איר פֿאַרבינדן די לאָגישע אַסעץ צו דעטאַלירטע CMDB איינטראַגעס אָדער וואָלקן אינווענטאַרן. פֿון אַן ISO 27001 און אַנעקס L פּערספּעקטיוו, וואָס איז וויכטיק איז אַז איר קענט שנעל ענטפֿערן פֿראַגעס ווי:
- "וואו ווערט אי.יו. פערזענלעכע דאטן רעגיסטרירט, געהאלטן און באַקאַפּט?"
- "וועלעכע אזערע-אויסגיסונגען זענען אין די ראַמען פון ISO 27001, SOC 2 אדער א ספעציפישן קונה-קאנטראקט?"
אויב היינט פארלאנגען די ענטפֿערס טעג פון דעטעקטיוו ארבעט איבער ספּרעדשיטס און וואָלקן קאָנסאָלס, איז דאָס אַ סימן אַז אייער אינווענטאַר איז צו גראַניאַלער, צו צעוואָרפן, צי ביידע. צענטראליזירן יענע סטרוקטור אין אַן ISMS פּלאַטפאָרמע ווי ISMS.online מאַכט עס פיל גרינגער צו האַלטן די פאַרנעם, אָזערע אַסעץ, ריסקס און אַנעקס A קאָנטראָלס צוזאַמען ווען איר לייגט צו וואָלקן, ראַיאָנען און סערוויסעס.
וועלכע ISO 27001:2022 אַנעקס A קאָנטראָל קלאַסטערס זענען וויכטיקסט פֿאַר MSP דאַטן לייקס מיט לאָגס, באַקאַפּס און סנאַפּשאַץ?
אין פּראַקטיק באַהאַנדלט מען נישט אַלע 93 קאָנטראָלן גלייך. פֿאַר MSP-אָפּערירטע, מולטי-טענאַנט אָזערעס, טראָגן פֿינף קאָנטראָל קלאַסטערס געוויינטלעך דעם גרעסטן טייל פֿון דער וואָג.
ווי שטימען די וויכטיגסטע קאנטראל טעמעס איבער מיט די עכטע ריזיקעס פון אזערע?
איר קענט נאָרמאַלערװײַז פֿאָרמען דיזײַן און אָפּעראַציאָנעלע באַשלוסן פֿאַר אַן אָזערע אַרום אַ קליינעם סכום פֿון איבערחזרנדיקע טעמעס:
פאַרוואַלטונג, אָונערשיפּ און פֿאַרפליכטונגען
דער אָזערע דאַרף אַן אויסדריקלעכן סערוויס אייגנטימער און דאָקומענטירטע פֿאַרפֿליכטונגען. דאָס באַציט זיך געוויינטלעך צו:
- פּאָליטיקס וואָס דעקן MSP-געפֿירטע לאָגינג און באַקאַפּ פּלאַטפאָרמעס.
- באשטימטע ראָלעס פאַראַנטוואָרטלעך פֿאַר טענאַנט אפגעזונדערטקייט, לאָג אָרנטלעכקייט און ריטענשאַן.
- דאקומענטירטע לעגאלע און קאנטראקטועלע רעקווייערמענץ פאר סטאָרידזש לאָקאַציעס, ריטענשאַן פּיריאַדס און אַנטפּלעקונג פּאַטס.
אַנעקס א רעפֿערענצן אַרייַננעמען אָפֿט A.5.1–A.5.4 (פּאָליטיקס און פֿאַראַנטוואָרטלעכקייטן) און A.5.31–A.5.34 (לעגאַל, רעקאָרדס, פּריוואַטקייט און PII).
צוטריט קאָנטראָל און טענענט סעגרעגאַציע
אידענטיטעט און צוטריט פאַרוואַלטונג מוז אָפּשפּיגלען דעם פאַקט אַז איין אַקציע קען אַרומנעמען די טענאַנץ:
- קלאָרע צעשיידונג צווישן ראָלעס וואָס זענען פייסינג טענענט און אויף פּראַוויידער-לעוועל.
- מינדסטע פּריווילעגיע ראָלעס פֿאַר אינזשענירן, אַנאַליסטן און שטיצע טימז.
- אפגעזונדערטקייט פון אויפגאבן אזוי אז קיין איין מענטש קען נישט בעטן, באשטעטיגן און אויספירן הויך-ריזיקירנדע אקציעס.
באַטייַטיק קאָנטראָלס אַרייַננעמען A.5.15 און A.5.18 (צוטריט קאָנטראָל און רעכט), פּלוס A.8.2, A.8.3 און A.8.5 (פּריווילעגירט צוטריט, אינפֿאָרמאַציע צוטריט באַגרענעצונג און זיכערע אָטענטאַקיישאַן).
באַקאַפּ, ריטענשאַן און אָפּזוך פּלאַן
אייער באַקאַפּ סטראַטעגיע שאַפֿט ניט נאָר ווידערשטאַנד, נאָר אויך ליקאַדזש ריזיקירן און באַווייַזן קוואַליטעט:
- דעפינירטע צילן פֿאַר וואָס ווערט באַקאַפּט, וואו, פֿאַר ווי לאַנג און פאַרוואָס.
- טענענט-באוואוסטזיניקע צוריקשטעלן וועגן וואָס ויסמיידן צו ציען "שכן" דאַטן.
- רעגולערע רעסטאָר טעסטן מיט דאקומענטירטע רעזולטאטן, ספּעציעל פֿאַר רעגולירטע וואָרקלאָודז.
אַנעקס A.8.13 (אינפֿאָרמאַציע באַקאַפּ) און A.8.14 (רעדאַנדאַנסי) זענען דאָ צענטראל.
לאָגינג, מאָניטאָרינג און אינצידענט פאַרוואַלטונג
אזערעס זענען אָפט סיי אַ דאַטן מקור פֿאַר אויספאָרשונגען און סיי אַ פּאָטענציעל קרבן:
- לאָגינג פון אַקסעס, עקספּאָרץ, רעסטאָרז און קאָנפיגוראַציע ענדערונגען אין דעם אָזערע.
- שוץ פון די לאָגס קעגן טאַמפּערינג אָדער פריצייטיגע דילעשאַן.
- טענענט-באוואוסטזיניקע מאָניטאָרינג און קלאָרע אינצידענט-פאַרוואַלטונג פּלייבוקס ווען דער אָזערע איז ינוואַלווד.
קאָנטראָלן ווי A.8.15–A.8.16 (לאָגינג און מאָניטאָרינג) און A.5.24–A.5.28 (אינצידענט צוגרייטונג, אַסעסמאַנט, רעאַקציע, לערנען און באַווייז זאַמלונג) שטיצן דאָס.
וואָלקן און סאַפּלייער פאַרוואַלטונג
צום סוף, אייער אויסוואל און אויפזיכט פון וואָלקן פּלאַטפאָרמעס און באַקאַפּ באַדינונגען פֿאָרעמען דעם אָזערע'ס ריזיקאָ פּראָפֿיל:
- דיו דילידזשענס און אָנבאָרדינג קרייטיריאַ פֿאַר פּראַוויידערז.
- קלאָרע מאָדעלן פון געטיילטע פֿאַראַנטוואָרטלעכקייט אין קאָנטראַקטן און אינערלעכע דאָקומענטאַציע.
- אָנגייענדיקע מאָניטאָרינג און איבערבליק פון פּראַוויידער פאָרשטעלונג און ענדערונגען.
דאָס פאַלט טיפּיש אונטער A.5.19–A.5.23 (סאַפּלייער באַציִונגען און סאַפּלייער-קייט זיכערהייט).
פילע MSP'ס געפינען עס נוצלעך צו האַלטן אַ פּשוטע ריזיקאָ-צו-קאָנטראָל מאַטריץ פּער לייק משפּחה : יעדע שורה איז אַ ריזיקאָ טעמע (טענאַנט אפגעזונדערטקייט, לאָג אָרנטלעכקייט, באַקאַפּ ריזיליאַנס, סאַפּלייער דעפּענדענסי, באַווייַזן קוואַליטעט) און יעדע קאָלום ליסט די אַנעקס A קאָנטראָלס און ספּעציפֿישע באַווייַזן טייפּס (פּאָליטיקס, IAM קאָנפיגוראַציעס, רעסטאָר-טעסט ריפּאָרץ, סאַפּלייער באריכטן) וואָס אַדרעסירן עס. פירן די מאַטריץ אין אַן ISMS ווי ISMS.online אַלאַוז איר צו ווידער נוצן דעם מוסטער אַריבער נייַע מקומות, סעקטאָרן און סטאַנדאַרדס, אַנשטאָט עס ריבילדינג פֿאַר יעדער אָדיט.
ווי קען אַן MSP דיזיינען ISO 27001-אויסגעריכט באַקאַפּ, אָפּזוך און סנעפּשאָט סטראַטעגיעס וואָס ויסמיידן קראָס-טענאַנט ליקאַדזש אין אַ שערד אָזערע?
איר דעפינירט אַ קליינעם קאַטאַלאָג פון נאָרמאַלע שוץ פּאַטערנז, מאַכט טענאַנט-זיכערע רעסטאָרס אַ ניט-פאַרהאַנדעלנדיקע פאָדערונג, און באַהאַנדלט באַקאַפּ און אַדמיניסטראַציע פּאַטס ווי הויך-ריזיקירטע אַסעץ אין אייער ISMS.
ווי זעט אויס אַן אַרבעטספֿעיקער שוץ־מוסטער קאַטאַלאָג אין פּראַקסיס?
אָן פּאַטערנס, באַקאַפּ און סנעפּשאָט דיזיינס טענד צו וואַקסן פאַל-ביי-פאַל און ווערן אוממעגלעך צו קאָנטראָלירן קאָנסיסטענטלי. א מער סאַסטיינאַבאַל צוגאַנג איז צו מסכים זיין אויף אַ קורץ, געהייסן קאַטאַלאָג, למשל:
- סטאַנדאַרט טענענט-סקאָופּעד ענקריפּטעד באַקאַפּס: פֿאַר רובֿ געראטן וואָרקלאָודז.
- אומענדערלעכע לאג ארכיוון: פֿאַר הויך-דיסקוט, רעגולירטע אָדער פאָרענזיקלי סענסיטיווע סביבות.
- קראָס-רעגיאָן רעפּליקעס: פֿאַר סערוויסעס מיט פֿאָדערנדיקע אָפּזוך-צייט און אָפּזוך-פּונקט צילן.
פֿאַר יעדן מוסטער וואָס איר דאָקומענטירט:
- וועלכע וואָרקלאָודז, קונה שטאַפּלען און רעגולאַטאָרישע קאָנטעקסטן עס דעקט.
- דער אַנעקס א קאָנטראָלירט וואָס עס שטיצט (למשל A.8.13, A.8.14 און A.8.24 פֿאַר באַקאַפּ, רעדאַנדאַנס און קריפּטאָגראַפֿיע).
- אימפלעמענטאציע ספעציפיקס פּער וואָלקן פּראַוויידער: מקומות, ענקריפּשאַן צוגאַנג און שליסל-פאַרוואַלטונג, טאַגס אָדער מעטאַדאַטאַ געניצט פֿאַר טענאַנט אידענטיפיקאַציע, ריטענשאַן כּללים און דילישאַן זיכערהייטס מיטלען.
יענע מוסטערן ווערן א געטיילטע שפראך צווישן ארכיטעקטור, אפעראציעס, קאמפלייענס און אוידיטארן, און זיי פארטרייבן זיך ריין אין אן אנאקס ל'-אויסגעארבעטן אינטעגרירטן מענעדזשמענט סיסטעם, וואו קאנטינעואיטעט, ווידערשטאנדסקראפט און קריפּטאגראפיע טעמעס קומען צוריק אין ISO 27001, ISO 22301 און סעקטאר פריימווערקס.
ווי אזוי דעמאנסטרירט מען טענענט-זיכערע רעסטאראציעס און פארשטארקטע אדמיניסטראציע וועגן?
עס איז נישט גענוג צו זאָגן "מיר האַלטן די טענענטן באַזונדער"; איר דאַרפט אַ קלאָרן באַווייַז:
- טענענט-זיכערע צוריקשטעלן טעסטן:
אויטאמאטיזירן רעגולערע רעסטארס פאר רעפרעזענטאטיווע ווארקלאסטן, און אויסדריקליך קאנטראלירן אז:
- נאָר די בדעה'טע טענענט'ס דאַטן ווערן צוריקגעשטעלט;
- די צוריקגעשטעלטע דאַטן שטימען מיט די ערוואַרטעטע צייט פֿענצטער; און
- קיין דאַטן פון שכנים טענאַנץ דערשיינט נישט.
כאַפּן לאָגס, באַשטעטיקונגען און טעסט רעקאָרדס און האַלטן זיי ווי באַווייַזן קעגן באַקאַפּ, רעדונדאַנסי און אינצידענט-פאַרוואַלטונג קאָנטראָלס.
- פֿאַרהאַרטעטע אַדמין און אָטאַמיישאַן רוטעס:
באַהאַנדלען באַקאַפּ קאָנסאָולז, אָרקעסטראַציע מכשירים און פּריווילעגירטע APIs ווי קריטיש:
- שטאַרקע, מולטי-פאַקטאָר אויטענטיפיקאַציע און דעווייס/קאָנטעקסט קאָנטראָלס.
- מינדסטע-פריווילעגיע און דזשאַסט-אין-צייט עלעוואַציע פֿאַר זעלטענע אַקציעס ווי מאַסן ריטענשאַן ענדערונגען אָדער שליסל ראָטאַציעס.
- פֿאָרמעלע ענדערונג קאָנטראָל אַרום סעטטינגס וואָס ווירקן אויף טענאַנט פאַרנעם, ריטענשאַן אָדער ענקריפּשאַן.
- מאָניטאָרינג וואָס אונטערשטרייכט ומגעוויינטלעכע אַקציעס ווי גרויסע דילעמשאַנז, דיאַקטיווירן אימוטויבילאַטי אָדער קראָס-רעגיאָן רעסטאָרז אַרויס פון פּלאַנירטע פֿענצטער.
ווען יענע אויפפירונגען ווערן קאדיפיצירט אין ראנבוקס און די באשטעטיגונגען, לאגס און טעסט רעזולטאטן ווערן געהאלטן אין אייער ISMS, פארמען זיי א קאכערענטן באווייז-זאמלונג אנשטאט א פארשפרייטונג פון טיקעטס און סקרינשאטס. ניצן א פלאטפארמע ווי ISMS.online צו פארבינדן יענע רעקארדס צו ריזיקעס, אקטיוון און אנעקס A קאנטראלן ערלויבט אייך צו ענטפערן דעטאלירטע פראגעס פון אוידיטארן און קאסטומער זיכערהייט טימס שנעל, אנשטאט איבערצובויען דעם סטארי פון פריש פאר יעדן איבערבליק.
וואָסערע צוטריט קאָנטראָל, ענקריפּשאַן און מאָניטאָרינג פּאַטערנז מאַכן אַ מולטי-טענאַנט MSP דאַטן לייק דיפענסאַבאַל אונטער ISO 27001?
פּאַטערנס וואָס אַריינלייגן טענענט גרענעצן אין דער פּלאַטפאָרמע, פאַרשפּרייטן ענקריפּשאַן שליסלען אויף אַ קלוגן אופֿן און מאָניטאָרירן גרענעץ ווייאַליישאַנז און קאָנטראָלירן דריפט זענען געוויינטלעך די מערסט ראָבאַסט און גרינגסט צו באַשיצן.
ווי זאָלט איר סטרוקטורירן IAM און ענקריפּשאַן אַרום טענאַנץ אַזוי אַז טעותים זאָלן זיין איינגעהאַלטן?
הייבט אן מיט ניצן די שטארקסטע סקאָופּינג מעקאַניזמען וואָס אייערע פּלאַטפאָרמעס שטיצן, און דערנאָך לייגט צו מער פיינער-גרייניגע קאָנטראָלס:
- שאַפֿן אַקאַונטס, פּראָיעקטן, אַבאָנעמענטן אָדער קלאָר דורכגעפֿירטע טאַגס פּער טענאַנט, אַזוי אַז הויך-ריזיקירנדיקע אַקציעס זענען נאַטירלעך באגרענעצט אין פאַרנעם.
- דעפינירן ראָלעס וואָס געבן אינזשענירן, אַנאַליסטן און שטיצע שטאב נאָר דעם צוטריט וואָס זיי טאַקע דאַרפֿן, מיט צייט-געבונדענע העכערונגען פֿאַר ומגעוויינטלעכע אויפֿגאַבן ווי רויע לאָג דורכקוק אָדער נויטפאַל רעסטאָרן.
- באַזונדערע אויפגאַבן אַזוי אַז קיין יחיד קען נישט ביידע פּלאַנירן און באַשטעטיקן ברייטע ענדערונגען, אָדער בעטן, באַשטעטיקן און דורכפירן סענסיטיווע אָפּעראַציעס ווי מאַסן עקספּאָרטן, ענקריפּשאַן-פּאָליטיק ענדערונגען אָדער קראָס-רעגיאָן רעסטאָרס.
פֿאַר ענקריפּשאַן, פֿאַרמייַדט דיזיינז וואָס הענגען אויף אַן איינציקן שליסל אָדער שליסל כייעראַרכיע:
- טויווע פּער-טענאַנט, פּער-ראַיאָן אָדער פּער-דאַטן-קלאַס שליסלען, אַזוי אַ קאָמפּראָמיס אָדער טעות טוט נישט אויפדעקן דעם גאַנצן אָזערע.
- אפגעטיילט שליסל-פארוואלטונג פֿאַראַנטוואָרטלעכקייטן פֿון טעגלעכן דאַטן צוטריט, און באַהאַנדלט שליסל-לעבנסציקל געשעענישן ווי זיכערהייט-רעלאַוואַנט סיגנאַלן.
די צוגאַנגען מאַפּן זיך גלייך צו אַנעקס א צוטריט-קאָנטראָל און קריפּטאָגראַפֿיע רעקווייערמענץ און דזשענערירן אַרטיפאַקץ – IAM פּאָליטיקס, ראָלע באַשרייַבונגען, שליסל כייעראַרקיז, לאָגס פון שליסל אָפּעראַציעס – וואָס קענען זיין שערד אין זיכערהייט פֿראַגעבאָגן און אוידיטאָר סעסיעס צו שטיצן דיין קליימז.
אויף וואָס זאָל מאָניטאָרינג זיך פאָקוסירן ווען טענענט גרענעצן זענען אייער הויפּט זאָרג?
פֿאַרפֿיגבאַרקייט מעטריקס און אַלגעמיינע זיכערהייט וואָרענונגען זענען נישט גענוג פֿאַר אַ מולטי-טענאַנט אָזערע. איר דאַרפֿט מאָניטאָרינג טונדעד צו:
- פרעגן, עקספּאָרטן אדער צוריקשטעלן דזשאָבס וואָס רירן דאַטן אַרויס דעם ערוואַרטעטן טענאַנט אָדער רעגיאָנאַלן פאַרנעם.
- דאַטן טראַנספער וואַליומז, דעסטאַניישאַנז אָדער טיימינגז וואָס שטימען נישט מיט אַ טענאַנט'ס געוויינטלעכן נאַטור.
- ענדערונגען צו ראָלעס, פּאָליטיקס, באַקאַפּ אָדער ענקריפּשאַן סעטטינגס וואָס שוואַכן סעגרעגאַציע, פאַרקירצן ריטענשאַן אונטער קאַמיטמאַנץ אָדער דיסייבאַל לאָגינג.
- הויך-ריזיקירנדיקע אדמיניסטראטיווע אדער אויטאמאטישע אקאונטס וואס נעמען אקציעס וואס פאלן אינדרויסן פון זייער נארמאלן מוסטער, אדער פאסירן אן דעם קארעספאנדירנדיקן ענדערונג טיקעט אדער באשטעטיגטן פענצטער.
אריינפירן די סיגנאלן אין אייערע זיכערהייט אפעראציעס געצייג און זיי פארבינדן צו קלארע אינצידענט ראַנבוקס ווייזט אז אַנעקס א לאָגינג, מאָניטאָרינג און אינצידענט-פאַרוואַלטונג ערוואַרטונגען זענען איינגעבאַקן אין ווי איר פירט דעם אָזערע. ווען קאַסטאַמערז אָדער אָדיטאָרס פרעגן, "ווי וואָלט איר באַמערקן אַ קראָס-טענאַנט ליק אָדער לאָג טאַמפּערינג פּרוּוו?", קענט איר ווײַזן אויף ספּעציפֿישע אַלערט דעפֿיניציעס, פּלייבוקס און לעצטע אינצידענט באריכטן אַנשטאָט אַלגעמיינע רעפֿערענצן צו "מאָניטאָרינג".
ווי קענען MSP'ס פארוואנדלען ISO 27001 ארבעט אויף דאטן לייקס אין אוידיט-גרייטע באווייזן און קונה-פייסינג פארזיכערונג אנשטאט א יערליכע געיעג?
איר סטרוקטורירט אזערע ארבעט ארום א האנטפול ריזיקע טעמעס, קאנטראלן און ארטיפאקטן, האלט באווייזן פליסיג איבערן יאר, און דערנאך ניצט איר ווידער די סטרוקטור פאר אוידיטאר פּעקלעך, פֿראַגעבאָגן און קונה בריפינגס.
ווי האַלט מען קאָנטראָל-צו-באַווײַז מאַפּינג פֿאַר אָזערעס פּשוט גענוג צו וישאַלטן?
א ווידערהאָלבאַר מוסטער פּער אָזערע אָדער אָזערע משפּחה האַלט די קאָמפּלעקסיטעט אין קאָנטראָל:
- ריזיקע טעמעס: – טענענט אפגעזונדערטקייט, לאָג אָרנטלעכקייט, באַקאַפּ ריזיליאַנס, סאַפּלייער אָפּהענגיקייט, עווידענטאַל קוואַליטעט, רעגיאָנאַלע דאַטן-לאָקאַציע קאַמיטמאַנץ.
- אויסגעקליבענע קאָנטראָלן: – די ספּעציפֿישע אַנעקס א קאָנטראָלן, פּאָליטיקס און פּראָצעדורן אויף וועלכע איר פֿאַרלאָזט זיך פֿאַר יעדער טעמע.
- באווייזן סעטס: – טעכנישע קאָנפיגוראַציעס, אָפּעראַציאָנעלע רעקאָרדס און גאַווערנאַנס רעזולטאַטן וואָס ווייַזן אַז די קאָנטראָלס עקזיסטירן און אַרבעטן.
פֿאַר אַן MSP-געפירטן אָזערע, די באַווײַזן שטעלן אָפט אַרייַננעמען:
- טעכנישע זאכן: IAM און נעץ פּאָליטיקס, ענקריפּשאַן און שליסל-פאַרוואַלטונג סעטאַפּס, באַקאַפּ און ריטענשאַן סעטטינגס, דאַטן-לאָקאַציע כּללים.
- אפעראציאנעלע רעקארדס: רעסטאָר-טעסט לאָגס, צוטריט רעצענזיעס, אינצידענט באריכטן וואו דער אָזערע איז געווען אין פאַרנעם, סאַפּלייער אַסעסמאַנץ און נאָכפאָלגן אַקשאַנז.
- גאַווערנאַנס רעזולטאַטן: ריזיקע-רעגיסטער איינטראגעס, אינטערנע-אוידיט רעזולטאטן, מענעדזשמענט-איבערבליק פראטאקאלן און פארבעסערונג אקציעס ספעציפיש פארבונדן מיט אזערע-פארבונדענע טעמעס.
ווען יענע אַרטיפאַקץ וואוינען אינעווייניק פון איין ISMS אנשטאט איבער וויקיס, טיקעטינג סיסטעמען און יחיד דרייווס, ווערט צוזאמענשטעלן אן ISO 27001 אוידיט פּאַק אדער אן ענטפער צו א גרויסן קונה'ס זיכערהייט קוועסטשאַנער א ענין פון אויסקלייבן און עקספּאָרטירן, נישט איבערגעמאכן. ISMS.online איז דיזיינט צו דינען ווי יענע "איינציקע פֿענצטער" פארן פֿאַרנעם, אַסעטן, ריזיקעס, קאָנטראָלן און באַווייזן, אַזוי אַז אַרבעט וואָס איז פֿאַרבונדן מיט אָזערע קען ווידער גענוצט ווערן ווען איר דאַרפֿט באַווײַזן ווי עס אַרבעט.
ווי אזוי פארוואנדלט מען יענע אינערליכע סטרוקטור אין קלארע, גלייבווערדיקע מעשיות פאר קאסטומערס?
רובֿ קאַסטאַמערז וועלן קיינמאָל נישט לייענען דיין סטעיטמענט פון אַפּליקאַביליטי, אָבער כּמעט אַלע וועלן פרעגן עפּעס אַ ווערסיע פון:
- "ווי האַלט איר אונדזערע לאָגס און באַקאַפּס באַזונדער פֿון אַלעמענס?"
- "ווי לאַנג האַלט איר אונדזער דאַטן, און ווי באַווייַזט איר אַז די ריסטאַרטן אַרבעטן?"
- "וואָס פּאַסירט אויב אייער דאַטן לייק, צי די וואָלקן אויף וועלכער עס לויפט, האָט אַן אינצידענט?"
אויב אייער אינערלעכע ארבעט איז אָרגאַניזירט אַרום ריזיקע טעמעס און באַווייזן, קענט איר ענטפֿערן קאָנסיסטענט און זיכער:
- זיכערהייט בריפינגס און אנעקסן וואָס דערקלערן אייערע טענענט-איזאָלאַציע, ריטענשאַן, באַקאַפּ און אינצידענט-רעספּאָנס צוגאַנגען אין אַ פּשוטער שפּראַך געשטיצט דורך ISO 27001.
- פֿראַגעבאָגן און RFP ענטפֿערס וואָס בלייבן אין סינק מיט דיין לעבן קאָנטראָלס און באַווייַזן, אַנשטאָט צו דריפֿטן ווי באַזונדערע דאָקומענטן.
- רעד-פונקטן פאר קווארטאל געשעפט איבערבליקן וואס ניצן עכטע מעטריקס – למשל, די צאל טענענט-זיכערע צוריק-שטעלן טעסטס וואס זענען דורכגעפירט געווארן דעם קווארטאל – צו ווייזן קאנטראל איבער צייט.
ווען מען האנדלט אויף דעם אופן, הערט ISO 27001 ארבעט אויף אייערע אזערעס אויף צו זיין אן איינמאל-א-יאר קאמף און ווערט א קאנטינעווירלעכע מקור פון צוטרוי. אויב איר ווילט איין סביבה צו פירן יענע רייזע איבער אנאקס L קלאוזעס, אנאקס A קאנטראלן, מולטי-טענענט אזערע אקטיוון און אזערע-ספעציפישע באווייזן, גיט ISMS.online אייך א סטרוקטורירטן וועג דאס צו טון אן צו מאכן יעדן אוידיט ציקל אין א געיעג.
