פארוואס MSP פּאָרטאַלן און דאַשבאָרדז זענען איצט הויך-אימפּאַקט צילן
MSP פּאָרטאַלן און דאַשבאָרדז זענען איצט הויך-אימפּאַקט צילן ווייַל זיי סענטראַליזירן הויך-פּריווילעגיע אַקסעס צו פילע קונה סביבות אין אַ האַנדפול פון קאַנסאָולז. נאציאנאלע סייבער אַגענטורן ווי CISA וואָרענען עקספּליציט אַז אנפאלן אויף געראטן סערוויס פּראַוויידערז און זייערע צענטראַלע פאַרוואַלטונג קאַנסאָולז קענען האָבן ברייט, קאַסקיידינג פּראַל אַריבער פילע דאַונסטרים אָרגאַניזאַציעס, וואָס פארשטארקט די נויט צו מייַכל די מכשירים ווי הויך-ווערט אַסעץ. ווען איר מייַכל די מכשירים ווי קרוין-דזשוועל אַסעץ אין דיין אינפֿאָרמאַציע זיכערהייט פאַרוואַלטונג סיסטעם, איר קענען ראַנג ריסקס קלאָר, קלייַבן שטאַרקער קאָנטראָלס און רעכטפארטיקן ינוועסמאַנט, אַנשטאָט פון פייערלעשן יעדן אינצידענט אין אפגעזונדערטקייט. די אינפֿאָרמאַציע איז אַלגעמיין און טוט נישט קאַנסטאַטוט לעגאַל אָדער סערטאַפאַקיישאַן עצה; דיסיזשאַנז וועגן סטאַנדאַרדס און קאַנטראַקץ זאָל שטענדיק זיין גענומען מיט קוואַליפיצירטע פּראָפעססיאָנאַלס, און די פּאַטערנז באשריבן דאָ ברייט שפּיגלען וואָס אַדייטערז און זיכערהייט-באַוואוסטזיניק קאַסטאַמערז דערוואַרטן צו זען אין MSP סביבות.
דער 2025 באַריכט וועגן דעם צושטאַנד פֿון אינפֿאָרמאַציע־זיכערהייט ווײַזט, אַז רובֿ אָרגאַניזאַציעס זײַנען שוין געווען אַפֿעקטירט פֿון לפּחות איין זיכערהייט־אינצידענט פֿון אַ דריטער פּאַרטיי אָדער אַ פֿאַרקויפֿער אין פֿאַרגאַנגענעם יאָר.
באַהאַנדלט פּאָרטאַלן ווי קרוין דזשולז, נישט נאָר צייט-שפּאָרנדיקע טעכניקער דורכוועגנס.
ווי אייער געצייג-שטאק שטילערהייט האט זיך פארוואנדלט אין איין קאנטראל-פלאך
אייער טעגלעכער געצייג-שטאק האט זיך שטילערהייט פארוואנדלט אין איין קאנטראל-פלאך וואס קען ענדערן הונדערטער קאסטומער-סביבות אויף איין מאל, ווייל געצייגן וואס האבן אנגעהויבן אלס באזונדערע פונקט-לייזונגען ארבעטן יעצט צוזאמען צו שטופן ענדערונגען אריבער אסאך טענענטן. ווייטע מאניטארינג און מענעדזשמענט קאנסאלן, טיקעטינג און PSA סיסטעמען, בעקאפ-פארטאלן, קלאוד קאנסאלן, און NOC אדער SOC דעשבאָרדז האבן אלע אנגעהויבן אין פארשידענע טימס אין פארשידענע צייטן, אבער אינטעגראציעס פארבינדן זיי יעצט אין א שטארקן, פארבינדענעם שטאָף וואס אנפאלער קענען מיסברויכן אויב מען רעגירט עס נישט באוואוסטזיניק.
צוזאַמען גענומען, פאָרמען די מכשירים איצט אַן איינציקע, ברייטע קאָנטראָל פלאַך:
- א טעכניקער קען שטופּן סקריפּטן אַריבער הונדערטער ענדפּונקטן פֿון איין דאַשבאָרד.
- א באַקאַפּ פּאָרטאַל קען אויסמעקן אָדער איבערשרייבן פילע קאַסטאַמערז' רעקאָווערי פונקטן.
- א וואָלקן קאַנסאָול קען צולייגן שליסלען, ראָלעס און נעץ פּאַטס אין פּראָדוקציע סביבות.
- א טיקעטינג אדער PSA סיסטעם קען האלטן קרעדענשעלס, לינקס און באשטעטיגונגען וואס פירן די אנדערע מכשירים.
פֿון אַן אַטאַקירער'ס פּערספּעקטיוו, איז קאָמפּראָמיטירן איינעם פֿון די פּאָרטאַלן מער עפֿעקטיוו ווי אַטאַקירן יעדן איינציקן קונה, ווײַל צוטריט צו איין פאַרוואַלטונג קאָנסאָלע קען שנעל ווערן צוטריט צו יעדן טענאַנט הינטער אים.
פארוואס אנפאלער צילן מער און מער אויף MSP פּאָרטאַלן
אַטאַקירער צילן מער און מער אויף MSP פּאָרטאַלן ווייל קאָמפּראָמיטירן אַן איינציקן הויך-פּריווילעגיע אַקאַונט אָדער אינטעגראַציע לאָזט זיי סקאַלירן אַן אַטאַק אַריבער פילע קאַסטאַמערז אין מינוטן. אַמאָל סאַקאָנע אַקטיאָרן האַלטן אַ טעכניקער אידענטיטעט, אַדמין אַקאַונט, API שליסל אָדער אינטעגראַציע, קענען זיי נוצן די זעלבע ווייַט אַקשאַנז אויף וואָס איר פאַרלאָזט זיך יעדן טאָג צו דיפּלויען ראַנסאָמווער אָדער אנדערע מאַלווער, שוואַכן דיפענסיז און מאַניפּולירן באַקאַפּס פיל מער עפֿעקטיוו ווי דורך בריטשינג טענאַנץ איינער נאָך דעם אַנדערן. עפֿנטלעכע וואָרענונגען פֿון גופים ווי CISA באַשרייבן פאַקטישע קאַמפּיינז וווּ אַטאַקירער האָבן קאָמפּראָמיטירט MSPs און דאַן פּיוואַטירט דורך הויך-פּריווילעגיע פאַרוואַלטונג מכשירים צו דערגרייכן פילע דאַונסטרים אָרגאַניזאַציעס, וואָס ענג פּאַסט צו די ריסקס איר שטייט פֿאַר.
שטעלט זיך פאר אן אטאקירער וואס גנבעט אן RMM אדמין פאסווארט ביי מיטערנאכט פרייטאג. אין מינוטן קענען זיי אויסלעשן זיכערהייט אגענטן, שטופן בייזוויליגע סקריפטן איבער צענדליגער טענענטס, און שטילערהייט ענדערן בעקאפ סעטינגס אזוי אז די רעקאָווערי וועט דורכפאלן. קאמפיינס איבער די לעצטע צען יאר ווייזן אז ווען סכנה אקטיארן קאמפראמיטירן אן MSP, גייען זיי אפט ערשט דורך הויך-פריווילעגיע מכשירים און דערנאך:
- דיפּלויען ראַנסאָמווער אָדער אַנוואָנטעד ווייכווארג אַריבער פילע טענאַנץ אין אַמאָל.
- דיאַקטיווירן אָדער שוואַכן זיכערהייט אַגענטן איידער איר לאָנטשט אַ ברייטערע אַטאַקע.
- טוישן באַקאַפּס צו מאַכן די אָפּזוך שווערער.
- שאַפט נייע אַקאַונטס און צוטרוי באַציִונגען וואָס בלייבן לאַנג נאָך דעם ערשטן בריטש.
די זעלבע מעגלעכקייטן וואָס לאָזן אייערע אינזשענירן פאַרריכטן אַן אויספאַל אין מינוטן קענען, אין די אומרעכטע הענט, פאַראורזאַכן אַן אויספאַל אָדער בריטש אין מינוטן. גיידליינז ווי די NIST סייבערסעקוריטי פריימווערק שטעלן דעם טראָפּ אויף דריט-פּאַרטיי און סאַפּליי-טשעין ריזיקע, און מוטיקן קאַסטאַמערז און אַנדערע סטייקהאָולדערז צו פאָדערן קלאָרע באַווייַזן פון ווי איר פאַרוואַלטעט פּונקט די סאָרט סצענאַריאָס. דאָס זענען פּונקט די סאָרט סצענאַריאָס וואָס קאַסטאַמערז און פאַרזיכערונג קאָמפּאַניעס איצט בעטן איר צו דערקלערן און באַווייַזן בעשאַס דיו דילידזשענס.
דער ריזיקע ווערט פארגרעסערט ווען:
- געטיילטע אדער אלגעמיינע אקאונטס ("noc", "admin", "support") עקזיסטירן נאך אלץ.
- אַלטע פּערמישאַנז זענען געשווינד געגעבן געוואָרן צו סאָלווען אַלטע פּראָבלעמען און קיינמאָל נישט ווידער באַזוכט.
- מולטי-פאַקטאָר אויטענטיפיקאַציע, קאָנדישאַנאַל אַקסעס אָדער IP ריסטריקשאַנז זענען נישט קאָנסיסטענט צווישן מכשירים.
זען פּאָרטאַלן און דאַשבאָרדז ווי קרוין-דייומענט אַסעץ, אַנשטאָט נאָר באַקוועמע אינטערפייסיז, איז דער ערשטער שריט צו ערנסטע קאָנטראָל.
פארוואס פארקויפער סערטיפיקאציעס און פעליקייט סעטטינגס זענען נישט גענוג
פעליקייַט באַשרייַבונג
ספר אַ דעמאָווי ISO 27001 אַנעקס A ווערט אייער פּאָרטאַל-זיכערהייט בלויפּרינט
ISO 27001 אַנעקס A ווערט אייער פּאָרטאַל-זיכערהייט בלויפּרינט ווייל עס גיט אַ דערקענט מעניו פון קאָנטראָלן וואָס איר קענט מאַפּן גלייך צו פּאָרטאַל ריסקס און באַווייַזן. אַנשטאָט צו דערפינדן אייער אייגענעם מאָדעל פון "גוטער" זיכערהייט, איר סעלעקטירט און באַרעכטיקט אַנעקס A קאָנטראָלן וואָס פּאַסן ווי איר ניצט MSP דאַשבאָרדז, און דאַן ווייזט ווי די קאָנטראָלן אַרבעטן אין פּראַקטיק, געבן אָדיטאָרס, קאַסטאַמערז און אייער אייגענע פאַרוואַלטונג אַ געמיינזאַמע שפּראַך פֿאַר פּאָרטאַל זיכערהייט וואָס איז אין לויט מיט טיפּישע אַסעסמאַנט ערוואַרטונגען.
פֿאַרשטיין אַנעקס א אין פּשוטער שפּראַך
אַנעקס א איז בעסטן פארשטאנען אלס א סטרוקטורירטער קאַטאַלאָג פון קאָנטראָלן גרופּירט אין אָרגאַניזאַציאָנעלע, מענטשן, פיזישע און טעקנאַלאַדזשיקאַלע טעמעס וואָס איר קענט אויסקלייבן פון צו באַהאַנדלען ספּעציפֿישע ריזיקעס, אלא ווי אַ טשעקליסט וואָס איר מוזט קאָפּירן בלינדערהייט. דער איצטיקער ISO/IEC 27001:2022 סטאַנדאַרט, ארויסגעגעבן דורך ISO, אָרגאַניזירט עקספּליציט אַנעקס א אין די פיר טעמעס, אַזוי ניצן די סטרוקטור ווי אייער לינזע פֿאַר פּאָרטאַל זיכערהייט האַלט איר אין לויט מיט ווי אַססעססאָרס לייענען דעם סטאַנדאַרט. ISO 27001 דערוואַרט איר צו ידענטיפיצירן אייערע ריזיקעס, אויסקלייבן באַטייַטיק קאָנטראָלן אַזאַ ווי A.5.16 (ידענטיטעט פאַרוואַלטונג), A.5.18 (צוטריט רעכט) אָדער A.8.15 (לאָגינג), און דאָקומענטירן אייער ריזאַנינג אין אַ סטעיטמענט פון אַפּליקאַביליטי (SoA), פאָוקיסינג אויף די וואָס אַפּלייז צו אייערע פּאָרטאַלן.
די איצטיקע אויסגאבע פון ISO 27001 שטעלט אירע אנעקס א קאנטראלן צוזאם מיט פיר ברייטע טעמעס:
- אָרגאַניזאַציאָנעלע קאָנטראָלן: פּאָליטיקס, גאַווערנאַנס, סאַפּלייער פאַרוואַלטונג און ריזיקאָ באַהאַנדלונג.
- מענטשן קאָנטראָלס: וויסיקייַט, פֿאַראַנטוואָרטלעכקייטן, סקרינינג און דיסציפּלינאַרי פּראָצעסן.
- פיזישע קאָנטראָלן: זיכערע געביטן, שוץ פון עקוויפּמענט און סביבה'דיקע סכנות.
- טעקנאַלאַדזשיקאַל קאָנטראָלס: אידענטיטעט און צוטריט פאַרוואַלטונג, לאָגינג, אַנטוויקלונג, אינפראַסטרוקטור, ענקריפּשאַן און מער.
אנשטאט דיקטירן איין פעסטן וועג צו זיכערן אייער סביבה, ערווארטעט דער סטאַנדאַרט אז איר זאָלט:
- אידענטיפיצירן ריזיקעס צו אינפֿאָרמאַציע און באַדינונגען.
- אויסקלייבן באַטייַטיקע אַנעקס א קאָנטראָלן צו באַהאַנדלען די ריזיקעס.
- באַרעכטיקן די אינקלוזשאַנז און אויסשליסונגען אין אַ דערקלערונג פון אַפּליקאַביליטי.
- ווײַזן אַז די קאָנטראָלן זענען אין פּלאַץ און אַרבעטן.
פֿאַר פּאָרטאַלן און דאַשבאָרדז, דאָס מיינט קוקן אַריבער אַלע פֿיר טעמעס. שטאַרקע אויטענטיפֿיקאַציע אַליין איז נישט גענוג אויב איר פֿעלט פּאָליטיק וועגן אַקסעפּטאַבל נוצן, סאַפּלייער פֿאַראַנטוואָרטלעכקייטן אָדער אינצידענט האַנדלינג. רעפֿערענצירן אַ קליין נומער פון קאָנקרעטע קאָנטראָלס - למשל, A.5.15 פֿאַר אַקסעס קאָנטראָל, A.8.2 פֿאַר פּריווילעגירטע אַקסעס רעכט און A.8.32 פֿאַר ענדערונג פאַרוואַלטונג - העלפֿט איר האַלטן די מאַפּינג באַרירעוודיק אָן צו מאַכן די געניטונג אין אַ קלאָז רעציטאַל.
ברענגען אינערלעכע פּאָרטאַלן עקספּליציט אין דיין ISO פאַרנעם
אריינברענגען אינערליכע פּאָרטאַלן עקספּליציט אין אייער ISO סקאָופּ פארוואנדלט זיי פון אומקלאָרע "IT מכשירים" אין באַצייכנטע, גאַווערנד אַסעץ מיט קאַרטירטע קאָנטראָלס און באַווייַזן. ווען איר ליסט RMM, PSA, באַקאַפּ קאַנסאָולז און וואָלקן דאַשבאָרדז אין אייער סקאָופּ און ריזיקאָ אַסעסמאַנט, און פֿאַרבינדט זיי צו ספּעציפֿישע SoA איינטריטן, קענט איר קלאָר דערקלערן ווי יעדער איז פּראָטעקטעד, וואָס איז פיל מער איבערצייגנדיק אינערלעך און אויסערלעך ווי אַלגעמיינע סטייטמאַנץ וועגן "סיסטעמען" אָדער "אינפֿראַסטרוקטור".
פילע MSP'ס הייבן אן ISO 27001 רייזעס פאקוסירט אויף קאסטומער-פייסינג סערוויסעס אדער צענטראלע אינפראסטרוקטור. אינערליכע מכשירים קענען ענדיגן אין א גרויע געגנט: יעדער ווייסט אז זיי זענען וויכטיג, אבער זיי ווערן נישט קלאר גערופן אלס אין-פארנעם פארמעגן.
א פּאָרטאַל-צענטרירטער פאַרנעם טיפּיש:
- באהאנדלט RMM, PSA, מאָניטאָרינג דאַשבאָרדז, באַקאַפּ און וואָלקן פאַרוואַלטונג קאַנסאָולז ווי ספּעציפֿישע אין-סקאָופּ אינפֿאָרמאַציע סיסטעמען.
- דערקענט די דאַטן וואָס זיי האַלטן און פּראָצעסירן: קאָנפיגוראַציע, לאָגס, קונה אידענטיפיצירער, מאל קרעדענשאַלז און אינהאַלט.
- כולל שטיצנדיקע קאָמפּאָנענטן ווי אידענטיטעט פּראַוויידערז, דזשאַמפּ האָסץ און פאַרוואַלטונג נעטוואָרקס וואָס געבן צוטריט.
אזוי שנעל ווי איר נעמט די נעמען פון די רעסורסן אין אייער סקאופ און ריזיקע אפשאצונג, קענט איר צוזאמענשטעלן אנאקס א קאנטראלן גלייך צו זיי. יענע מאפירונג ווערט דער רוקן-ביין פון א גלייבווערדיקער דערקלערונג פאר אוידיטארן און קאסטומערס: "דא איז ווי אזוי מיר האבן אנטדעקט די ריזיקעס ארום אונזערע פארטאלן, וועלכע ISO קאנטראלן מיר האבן אויסגעקליבן צו זיי פארוואלטן, און וועלכע באווייזן מיר האבן." טיפישע ארטיפאקטן שליסן איין ריזיקע רעגיסטערס וואס ליסטן פארטאל-ספעציפישע סכנות, SoA רייען וואס רעפערענצירן קאנטראלן ווי A.5.23 (וואלקן סערוויסעס) פאר געהאוסטעט קאנסאלן, און רעקארדס פון באריכטן וואס ווייזן אז די קאנטראלן ארבעטן.
פארוואנדלען אנעקס א אין א פאזירטע פארטאל ראָודמאַפּ
דורך פארוואנדלען אנאקס א אין א פאזירטע פארטאל ראָודמאַפּ, קענט איר פֿאַרבעסערן פארטאל זיכערהייט אין מאַנידזשאַבאַל שיכטן אַנשטאָט צו פּרובירן צו טאָן אַלץ אויף איין מאָל. איר קענט אָנהייבן מיט יסודות ווי פּאָליטיק, פאַרנעם און אַקסעס מאָדעלן, און דערנאָך אַריבערגיין אין פֿאַרהאַרטונג, זיכער אַנטוויקלונג און ווידערשטאַנד איבער צייט, נאָך אַלץ נאָכפֿאָלגן יעדן שריט קעגן ספּעציפֿישע אנאקס א קאָנטראָלן אויף אַ וועג וואָס פּאַסט צו ווי MSPs טאַקע אַרבעטן.
איר דאַרפט נישט אימפּלעמענטירן יעדן באַטייַטיקן קאָנטראָל אויף איין מאָל. אַ רעאַליסטישע ראָודמאַפּ אַרבעט געוויינטלעך אין שיכטן:
-
גרונט
קלארשטעלן פּאָליטיקס, ראָלעס און פֿאַראַנטוואָרטלעכקייטן פֿאַר פּאָרטאַל נוצן, ברענגען פּאָרטאַלן אין אייער ריזיקאָ אַסעסמאַנט און SoA, און זיכער מאַכן אַז אידענטיטעט פאַרוואַלטונג, אַקסעס קאָנטראָל און דזשוינער-מאָווער-לעאַווער פּראַסעסאַז דעקן אַלע די סיסטעמען אונטער קאָנטראָלס ווי A.5.15, A.5.16 און A.5.18. -
פֿאַרהאַרטונג און זעיקייט
פֿאַרמאַכן קלאָרע גאַפּס אין אויטענטיפיקאַציע, סעסיע פאַרוואַלטונג און נעץ אַקסעס, פֿאָדערן מולטי-פאַקטאָר אויטענטיפיקאַציע, און ערמעגלעכן צענטראַליזירטע לאָגינג פֿאַר לאָגין, ראָלע ענדערונגען און הויך-ריזיקירן אָפּעראַציעס, שטיצן קאָנטראָלס ווי A.8.2 און A.8.15. -
זיכערע אַנטוויקלונג און ענדערונג
וואו איר בויט אדער פארברייטערט פּאָרטאַלן, עמבעדט זיכערע דיזיין און טעסטינג פּראַקטיקעס אונטער A.8.25 (זיכערער אַנטוויקלונג לעבן ציקל) און פאַרוואַלט ענדערונגען אונטער A.8.32, אַזוי אַז נייַע סקריפּטן, ינטאַגריישאַנז און דאַשבאָרדז נאָכפאָלגן אַ קאַנטראָולד דרך אין פּראָדוקציע. -
ווידערשטאנד און פֿאַרבעסערונג
צופּאַסן אינצידענט רעאַקציע און געשעפט קאָנטינויִטעט מיט פּאָרטאַל ריסקס, רעפֿערירנדיק קאָנטראָלן ווי A.5.24–A.5.27 (אינצידענט פאַרוואַלטונג) און A.5.29–A.5.30 (געשעפט קאָנטינויִטעט), דורכפֿירן רעגולערע איבערבליקן און טעסטן, און צופּאַסן קאָנטראָלן ווי סערוויסעס און טרעץ עוואַלווירן.
די טאַבעלע אונטן סומאַריזירט ווי די פאַזעס שטימען זיך צו מיט אַנעקס א טעמעס און פּאָרטאַל-ספּעציפֿישע אַקציעס.
| פאַסע | אַנעקס א פאָקוס | פּאָרטאַל ביישפילן |
|---|---|---|
| גרונט | A.5.1–A.5.3, A.5.15–A.5.18 | פאַרנעם פּאָרטאַלן, דעפינירן ראָלעס, דזשוינער-מוווער-לעווער קאַווערידזש |
| פֿאַרהאַרטונג און זעיקייט | A.8.2, A.8.5, A.8.15–A.8.16 | דורכפירן MFA, באגרענעצן אדמין פּאַטס, לאָגירן הויך-ריזיקירן אָפּעראַציעס |
| זיכערע דעוועלאָפּער און ענדערונג | A.8.25–A.8.29, A.8.32 | סאַקאָנע-מאָדעל סקריפּטן, פּיר-ריוויו ענדערונגען, דעפינירן ראָולבאַק |
| ווידערשטאנד און איבערבליק | A.5.24–A.5.30, A.9.1–A.9.3 | פּאָרטאַל IR פּלייבוקס, קאָנטינעואַטי טעסטן, פאַרוואַלטונג באריכטן |
א פּלאַטפאָרמע ווי ISMS.online קען אייך העלפֿן פֿאַרוואַנדלען יענעם פּלאַן אין קאָנקרעטע אויפֿגאַבעס, אייגנטימער און באַווײַזן, אַזוי איר דאַרפֿט נישט פֿאַרוואַלטן דאָס אַלץ אין ספּרעדשיטס אָדער אפגעזונדערטע דאָקומענטן, און אַזוי קענט איר ווײַזן אוידיטאָרן אַ קלאָרע ליניע פֿון ריזיקע דורך קאָנטראָל אויסוואַל ביז טעגלעכער אָפּעראַציע.
ISO 27001 געמאַכט גרינג
א 81% פֿאָרשפּרונג פֿון טאָג איינס
מיר האָבן געטאן די שווער אַרבעט פֿאַר איר, געבן איר אַ 81% העאַדסטאַרט פון דעם מאָמענט איר קלאָץ אויף. כל איר האָבן צו טאָן איז צו פּלאָמבירן די בלאַנקס.
דיזיינינג אידענטיטעט, צוטריט און RBAC פֿאַר הויך-פּריווילעגיע MSP פּאָרטאַלן
דיזיינען אידענטיטעט, צוטריט און ראָלע-באזירט צוטריט קאָנטראָל (RBAC) פֿאַר הויך-פּריווילעגיע פּאָרטאַלן איז וועגן באַווייַזן אַז בלויז די ריכטיקע מענטשן קענען טאָן שטאַרקע זאכן, אין דער ריכטיקער צייט, פֿאַר די ריכטיקע סיבות. MSP קאָנסאָלעס זיצן אין צענטער פון דיין פיייקייט צו טוישן קונה סביבות, אַזוי איר מוזן קענען דערקלערן ווער קען טאָן וואָס, אויף וועלכע סיסטעמען און פארוואס; ISO 27001 פאָקוסירט שווער אויף צוטריט קאָנטראָל, פּריווילעגירטע רעכט און אידענטיטעט לעבן-ציקל, און אַנעקס A כולל עטלעכע קאָנטראָלס (למשל, A.5.15–A.5.18 און A.8.2) וואָס צוזאַמען שטעלן שטאַרקע ערוואַרטונגען פֿאַר ווי איר דיזיינט, גיט און אָפּשאַצט צוטריט צו הויך-ריזיקירן סיסטעמען. א קלאָר ראָלע מאָדעל, דיסציפּלינירט חשבון לעבן-ציקל און שטאַרקע השגחה פון פּריווילעגירטע אַקציעס אונטער קאָנטראָלס אַזאַ ווי A.5.15, A.5.18 און A.8.2 איז ווו פיל פון דיין פּאָרטאַל ריזיקירן און אָדיט געשיכטע טרעפן זיך, וואָס שפּיגלט ווי די ISO/IEC 27001 סטאַנדאַרט באַהאַנדלט אידענטיטעט און צוטריט פאַרוואַלטונג ווי אַ קערן זייל פון אַן ISMS.
בויען אַ ראָלע מאָדעל וואָס פּאַסט צו ווי אייערע טימז טאַקע אַרבעטן
איר באַקומט בעסערע קאָנטראָל איבער פּאָרטאַלן ווען אייער RBAC מאָדעל שפּיגלט אָפּ ווי אייערע טימז אַרבעטן טאַקע, אַנשטאָט ווי אַן אידעאַליזירטע אָרג טשאַרט קוקט אויס. דאָס מיינט דעפינירן ראָלעס לויט אַרבעט פֿונקציע און ריזיקע, זיי צופּאַסן איבער מכשירים אַזוי אַז צוטריט באריכטן זענען פאַרוואַלטלעך, און מאַכן עס גרינג פֿאַר אינזשענירן צו טאָן זייער אַרבעט אָן זיין פֿאַרפֿירט צו אַרבעטן אַרום ריסטריקשאַנז.
ראָלע-באַזירט אַקסעס קאָנטראָל אַרבעט בעסטן ווען עס שפּיגלט אָפּ דיין פאַקטישן אָפּערירן מאָדעל אַנשטאָט אַן אידעאַליזירטן. פֿאַר אַן MSP, דאָס מיינט געוויינטלעך פֿאַרשטיין לפּחות די פֿאָלגנדיקע אינערלעכע גרופּעס:
- ערשטע-ליניע און צווייטע-ליניע סערוויס דעסק שטאב.
- נעץ אָפּעראַציעס און מאָניטאָרינג.
- זיכערהייט אפעראציעס.
- פּראָיעקט און פעלד אינזשענירן.
- אַרכיטעקטור אָדער עסאַקאַלאַציע טימז.
- סערוויס ליפערונג און פאַרוואַלטונג.
די ציל איז צו דעפינירן ראָלעס אין טערמינען פון אַרבעט פונקציעס און ריזיקע, נישט יחידים. פֿאַר יעדן פּאָרטאַל וואָס איר ניצט, קענט איר פרעגן:
- וועלכע ראָלעס דאַרפֿן נאָר לייענען זעאונג קעגן די מעגלעכקייט צו ענדערן סעטטינגס?
- ווער זאָל קענען לויפן סקריפּטן אדער מאַסן אַקציעס, און אונטער וועלכע באַדינגונגען?
- וועלכע אַקציעס זאָלן דאַרפן גלייַכגילטיקע אָפּשאַצונג אָדער עקספּליציטע האַסקאָמע?
- וואו זאָלן די פֿאַראַנטוואָרטלעכקייטן זיין צעטיילט, למשל איין מענטש שאַפֿט אַ ענדערונג און אַן אַנדערער באַשטעטיקט עס?
דורך אויסגלייַכן ראָלעס איבער פּאָרטאַלן ווי ווײַט מעגלעך, רעדוצירט איר קאָמפּלעקסיטעט און מאַכט צוטריט אָפּשאַצונגען גרינגער צו פֿאַרהאַלטן. ווען די ראָלעס זענען דאָקומענטירט און פֿאַרבונדן מיט אַנעקס A קאָנטראָלן ווי A.5.15 (צוטריט קאָנטראָל) און A.5.18 (צוטריט רעכט), גיט איר אויך אוידיטאָרן אַ קלאָרע, סטאַנדאַרדס-אויסגעגלייַכטע בליק אויף אייער פּלאַן.
פאַרוואַלטן אידענטיטעטן און צוטריט איבער זייער גאַנצן לעבן-ציקל
פאַרוואַלטן אידענטיטעטן און צוטריט איבער זייער גאַנצן לעבן-ציקל מאַכט "מינדסטע פּריווילעגיע" פֿון אַ סלאָגאַן אין טעגלעכער פּראַקטיק. ISO 27001 ערוואַרטעט פֿון אײַך צו קאָנטראָלירן די וואָס קומען אָן, מווערן, פֿאַרלאָזן און צײַטווײַליקע העכערונגען, כּדי רעכט זאָלן זיך נישט שטילערהייט אָנקלײַבן, און צו ווײַזן מיט באַווײַזן, אַז קאָנטאָ-ענדערונגען איבער יעדן פּאָרטאַל פֿאָלגן אַ פֿאָרויסזאָגבארן, צײַטלעכן פּראָצעס, אַנשטאָט זיך פֿאַרלאָזן אויף גוטע כוונות.
ISO 27001 ערוואַרטעט אַז יעדע אידענטיטעט – צי פֿאַר אַ מענטש, סערוויס צי מיטל – זאָל האָבן אַ קאָנטראָלירטן לעבנסציקל. פֿאַר אינזשעניר צוטריט צו פּאָרטאַלן, דאָס איבערזעצט זיך אין:
- מיטארבעטער: נייע שטאב באקומען חשבונות נאר נאך צוגעפאסטע באשטעטיגונגען, הינטערגרונט טשעקס וואו נויטיג און ראלע צוטיילונגען וואס שפיגלען אפ זייערע פֿאַראַנטוואָרטלעכקייטן.
- מוווערס: ווען שטאב טוישן טימז אדער פֿאַראַנטוואָרטלעכקייטן, ווערט אַלטע צוטריט פֿאַרקלענערט ווען נײַע צוטריט ווערט געגעבן, אַנשטאָט פשוט אָנצוזאַמלען רעכטן.
- פארלאזערס: אַקאַונטס ווערן דיאַקטיווירט אָדער אַוועקגענומען באַלד, אַרייַנגערעכנט אין דריט-פּאַרטיי פּאָרטאַלן, נישט נאָר אין אייער דירעקטאָרי.
- צייטווייליגער צוטריט: נויטפאַל אָדער קורץ-טערמין עלעוואַציע האט קלאָרע אָנהייב און ענד פונקטן, און ווערט רעקאָרדירט און איבערגעקוקט.
דאקומענטירטע פּראָצעדורן, געשטיצט דורך טעכנישע וואָרקפלאָוז אין אידענטיטעט אָדער IT סערוויס פאַרוואַלטונג מכשירים, העלפֿן צו מאַכן די ערוואַרטונגען אין טעגלעכער פּראַקטיק. רעגולערע אַקסעס ריסערטיפיקאַציעס – וואו מאַנאַדזשערז באַשטעטיקן אַז ליסטעד פּערמישאַנז זענען נאָך גילטיק – זענען אַ שליסל טייל פון די בילד, און זייערע באַריכטן ביישטייערן גלייך צו דיין ISO 27001 באַווייַז סכום. אין פּראַקטיק, ענדערונג טיקאַץ, HR אָפבאָרדינג טשעקליסטן און פּאָרטאַל אָדיט לאָגס צוזאַמען ווייַזן אַז דזשוינערס, מוווערס און לעאַווערס זענען קאַנטראָולד אונטער קאָנטראָלס אַזאַ ווי A.5.16 (ידענטיטעט פאַרוואַלטונג) און A.5.18 (צוטריט רעכט).
קאָנטראָלירן און באַווײַזן פּריווילעגירטע אַקציעס
קאָנטראָלירן און באַווײַזן פּריווילעגירטע אַקציעס מיינט צו פֿאַרענגערן ווער קען דורכפֿירן שטאַרקע אָפּעראַציעס און באַווײַזן אַז איר האַלט אַן אויג אויף וואָס זיי טוען. אייגענאַרטיקע אַדמין אַקאַונטס מיט אַ נאָמען, שטאַרקע אויטענטיפֿיקאַציע, באַגרענעצטע אַדמיניסטראַטיווע ראָלעס און דעטאַלירטע לאָגס מאַכן הויך-ריזיקירטע פֿונקציעס שווערער צו מיסברויכן, בשעת רעגולערע איבערבליקן פֿון די לאָגס ווײַזן אַז די עקספּעקטאַציעס פֿון אַנעקס אַ אַרום פּריווילעגירטן צוטריט (A.8.2) און לאָגינג (A.8.15) ווערן טאַקע דערפֿילט.
פּראַקטישע מיטלען אַרייַננעמען:
- ניצן איינציקאַרטיקע, גערופענע אַדמין אַקאַונטס פֿאַר אַלע פּריווילעגירטע אַקטיוויטעטן, אַנשטאָט געטיילטע לאָגינס.
- פארלאנגען מולטי-פאקטאר אויטענטיפיקאציע און, וואו פאראן, קאנדישאנעל צוטריט פאליסיס (ווי דעווייס געזונט אדער לאקאציע) פאר אלע פריוויליגירטע לאגין-אינס.
- באגרענעצן די מעגלעכקייט צו שאַפֿן נייע אַדמין אַקאַונץ אָדער ענדערן קריטישע קאָנפיגוראַציעס צו אַ זייער קליינע צאָל ראָלעס.
- לאָגינג אַלע הויך-ריזיקירנדיקע אַקציעס, אַזאַ ווי מאַסן סקריפּט אויספֿירונג, פּאָליטיק ענדערונגען און באַקאַפּ קאָנפיגוראַציע עדיטס, און איבערקוקן די לאָגס אויף אַ דעפינירט קאַדענץ.
א פשוטער אָנהייב־פונקט איז צו איבערקוקן א מוסטער פון הויך־ריזיקירטע פּאָרטאַל געשעענישן יעדע וואָך, רעקאָרדירן א קורצע צוויי־שורה קיצער פון וואָס איר האָט אָפּגעקוקט און באַמערקן יעדע נאָכפאָלג־אַקציע. באַווייזן אַז דאָס פּאַסירט – ראָלע־קאַטאַלאָגן, באַשטעטיקונג־רעקאָרדס, ריסערטיפיקאַציע־באַריכטן און לאָג־איבערבליק־נאָטיצן – ווערט טייל פון אייער ISO 27001 קאָנטראָל־סטאָרי. דאָס איז אויך פּונקט וואָס זיכערהייט־באַוואוסטזיניקע קאַסטאַמערז ערוואַרטן צו זען ווען זיי פרעגן ווי איר רעגירט אייער אייגענעם צוטריט צו זייערע סביבות.
איינשטעלן זיכערן דיזיין, קאָדירונג און ענדערונג פאַרוואַלטונג אין פּאָרטאַלן
איינשטעלן זיכערע דיזיין, קאדירונג און ענדערונג מענעדזשמענט אין פּאָרטאַלן שטעלט זיי אפ פון ווערן שוואכע "שנעלע פארריכטונגען" פּלאַטפאָרמעס וואָס פאַרלאָזן אונטער דרוק אָדער ערמעגלעכן אַטאַקעס. ISO 27001 אַנעקס A ערוואַרטעט פון איר צו דיזיינען און טוישן סיסטעמען אין אַ קאָנטראָלירטן וועג מיט זיכערהייט באַטראַכט פון אָנהייב, אַזוי פֿאַר MSP'ס מיינט דאָס צו באַהאַנדלען סקריפּטן, אינטעגראַציעס און דאַשבאָרדז וואָס רירן קונה נחלות ווי עכטע ווייכווארג און אינפראַסטרוקטור, נישט אינפאָרמעלע קאַנוויניאַנס כאַקס, און זיי צופּאַסן מיט קאָנטראָלס ווי A.8.25–A.8.29 און A.8.32.
באַהאַנדלען פּאָרטאַל ענדערונגען ווי באַוואוסטזיניקע פּלאַן, נישט אַד-האָק פֿיקסעס
איר פאַרוואַלטעט פּאָרטאַל ריזיקע מער עפֿעקטיוו ווען איר באַהאַנדלט ענדערונגען ווי באַוואוסטזיניקע פּלאַן באַשלוסן אַנשטאָט קליינע, אפגעזונדערטע טוויקס. יעדע נייע אינטעגראַציע, מאַסע אַקציע אָדער קראָס-טענאַנט דאַשבאָרד קען דראַמאַטיש איבערמאַכן אייער אַטאַק ייבערפלאַך, אַזוי כאַפּן זיכערהייט רעקווירעמענץ, ריסקס און באַטייַטיק ISO אָדער אַנעקס A קאָנטראָלס איידער דיפּלוימאַנט איז אַ פּשוט געוווינהייט וואָס צאָלט זיך אויס אין ווייניקער אינצידענטן און גלאַטערע אַדאַץ.
עפעקטיווע MSP'ס באהאנדלען וויכטיגע ענדערונגען צו פּאָרטאַלן און דאַשבאָרדז ווי דיזיין דיסיזשאַנז, אפילו ווען די ענדערונג מיינט קליין. ביישפילן אַרייַננעמען:
- צולייגן א נייעם טיפ פון גרויסע אפעראציע צו א טעכניקער קאנסאל.
- ערמעגלעכן אַן אינטעגראַציע וואָס קען שאַפֿן אָדער מאָדיפיצירן בילעטן אָדער קאָנפיגוראַציעס.
- איינפירן א נייעם דעשבאָרד וואָס זאַמלט סענסיטיווע אינפֿאָרמאַציע צווישן טענענטן.
פֿאַר יעדער אַזאַ ענדערונג, העלפֿט עס צו פרעגן:
- וואָס זענען די זיכערהייט רעקווייערמענץ – אויטענטיפיקאַציע, אויטאָריזאַציע, לאָגינג און דאַטן האַנדלינג – פֿאַר דעם פֿונקציע?
- וועלכע ריזיקעס ברענגט עס אריין אדער מאדיפיצירט עס?
- וועלכע אנעקס א קאנטראלן זענען רעלעוואנט, און ווי וועלן מיר ווייזן אז זיי ווערן נאכגעקומען?
אויפשרייבן די ענטפֿערס, אפילו קורץ, בויט אויף א געוואוינהייט פון זיכערהייט טראכטן איידער קאוד אדער קאנפיגוראציע ווערט דיפלויד און שאפט א שפּור וואָס שטיצט אַנעקס א קאנטראלן ווי A.8.25 (זיכערער אנטוויקלונג לעבן ציקל) און A.8.32 (טויש פאַרוואַלטונג).
אָנווענדן פּראַקטישע זיכערע אַנטוויקלונג און טעסטינג פּראַקטיקעס
אָנווענדן פּראַקטישע זיכערע אַנטוויקלונג און טעסטינג פּראַקטיקעס צו פּאָרטאַל-פֿאַרבונדענע אַרבעט ראַדוסירט געוויינטלעכע וואַלנעראַביליטיז און טרעפֿט אַנעקס A ערוואַרטונגען אָן צו איבער-ינזשענירירן דיין פּראָצעסן. סאַקאָנע מאָדעלינג שליסל פֿעיִקייטן, פּיר ריוויו, גרונטיק אָטאַמייטיד סקאַנינג און קלוג דעפּענדענסי פאַרוואַלטונג געבן איר אַ ריפּיטאַבאַל וועג צו כאַפּן געפערלעך מיסטייקס פרי און שאַפֿן קלאָר אַרטיפאַקץ איר קענען ווייַזן צו קאַסטאַמערז און אַדאַטערז ווען זיי פרעגן ווי איר זיכער דיין אייגענע מכשירים.
וואו איר בויט אדער פארברייטערט ווייכווארג, שטיצן זיכערע אנטוויקלונג פראקטיקעס די ערווארטונגען פון אנאקס א און רעדוצירן אייער רעאל-וועלט אטאקע אויבערפלאך. צום מינימום, קענען די ארייננעמען:
- סאַקאָנע מאָדעלינג פֿאַר הויך-ריזיקירן פֿעיִקייטן, אַזאַ ווי אַדמיניסטראַטיווע פאַנגקשאַנז אָדער טענאַנט-ברייט אָפּעראַציעס.
- גלייכגילטיקע איבערבליק פון קאָד אָדער קאָנפיגוראַציע ענדערונגען, פאָקוסירנדיק אויף זיכערהייט פּראַל און פאַנגקשאַנאַליטי.
- סטאַטישע און דינאַמישע אַנאַליז מכשירים וואו פּאַסיק, ספּעציעל פֿאַר וועב פראָנט-ענדס און APIs.
- אָפּהענגיקייט פאַרוואַלטונג צו ויסמיידן באַקאַנטע-שוואַכע ביבליאָטעקן און קאָמפּאָנענטן.
א פשוטע טשעקליסט פאר יעדע ענדערונג וואס קען אפעקטירן מער ווי איין טענענט קען זיין:
- דאָקומענטירן די ריזיקע און זיכערהייט רעקווייערמענץ פֿאַר דער ענדערונג.
- זיכער מאַכן אַז כאָטש איינער פֿון די גלייַכגילטיקע זאָל אָפּשאַצן די ענדערונג מיט זיכערהייט אין זינען.
- לויפט א גרונטלעכע זיכערהייט טעסט אדער סקען קעגן דעם געענדערטן קאמפאנענט.
- דעפינירן און פּרובירן אַ ראָללבּעק אָדער בעק-אויט פּלאַן איידער דיפּלוימאַנט.
איר דאַרפט נישט קיין שווערע פּראָגראַם צו נוץ האָבן. אפילו פּשוטע טשעקליסטן פֿאַרבונדן מיט אייער פּראָבלעם אָדער ענדערונג טראַקערס קענען פאַרגרעסערן קאָנסיסטענסי, רעדוצירן אינצידענטן און צושטעלן נוציקע באַווייַזן שפּעטער.
פירן ענדערונג פאַרוואַלטונג אָן פּאַראַליזירן אינזשענירן
דורכפירן ענדערונגס-מענעדזשמענט אָן צו פּאַראַליזירן אינזשענירן מיינט אפשיידן נידעריק-ריזיקירטע, נאָרמאַלע ענדערונגען פון אַרבעט וואָס דאַרף קלאָרע האַסקאָמע און אַ קלאָרערע ריזיקע-בליק. דורך אונטערשיידן פאַר-באַשטעטיקטע רוטינעס פון העכער-ריזיקירטע ענדערונגען, און רעקאָרדירן ריזיקעס און האַסקאָמעס אין די מכשירים וואָס אייערע טימז נוצן שוין, קענט איר האַלטן מאָמענטום בשעת איר נאָך באַפרידיקן אַנעקס א ערוואַרטונגען אַרום ענדערונגס-קאָנטראָל.
אינזשענירן זאָרגן זיך, אָפט מיט גוטע סיבות, אַז פֿאָרמעלע ענדערונג פּראָצעסן וועלן זיי פֿאַרלאַנגזאַמען. די קונסט איז צו ימפּלעמענטירן פּונקט גענוג סטרוקטור צו רעדוצירן ריזיקע בשעת מען באַוואָרנט די פֿלינקקייט.
געוויינטלעכע מוסטערן וואָס אַרבעטן גוט אין MSP סביבות אַרייַננעמען:
- אונטערשיידן צווישן נאָרמאַלע, פאַר-באַשטעטיקטע ענדערונגען (למשל, רוטינע אָנבאָאַרדינג רוטינעס) און הויך-ריזיקירטע אָדער ומגעוויינטלעכע ענדערונגען וואָס דאַרפן עקספּליציטע באַשטעטיקונג.
- ניצן ענדערונג קאַלענדאַרן אַזוי אַז טימז קענען זען וואָס פּאָרטאַל-פֿאַרבונדענע אַרבעט איז פּלאַנירט און ויסמיידן געפערלעכע אָוווערלאַפּס.
- רעקאָרדירן ריזיקאָ אַסעסמאַנץ און הסכּמות אין עקזיסטירנדיקע מכשירים, ווי למשל טיקעטינג סיסטעמען, אַנשטאָט צו דערפינדן נייע קאַנאַלן.
די מוסטערן שטימען גוט איבער מיט די ערווארטונגען פון אנאקס א ארום ענדערונג-פארוואלטונג, אפשיידונג פון אויפגאבן און אפעראציאנעלע קאנטראל, ספעציעל אונטער קאנטראלן ווי A.5.3 (אפשיידונג פון אויפגאבן) און A.8.32 (ענדערונג-פארוואלטונג). דורך זיי אריינלייגן אין די מכשירים אין וועלכע אייערע טימס נוצן שוין, קענט איר רעדוצירן די רייבונגען און בויען א גוטע רעקארד פון קאנטראלירטע ענדערונגען אן איבערחזרן די זעלבע דערקלערונגען יעדעס מאל ווען עפעס גייט נישט גוט.
באַפֿרײַ זיך פֿון אַ באַרג פֿון ספּרעדשיטן
איינבעטן, פארברייטערן און סקאַלירן אייער קאמפלייענס, אָן קיין כאַאָס. IO גיט אייך די ווידערשטאנד און בטחון צו וואַקסן זיכער.
זיכערן די אינפראַסטרוקטור הינטער פּאָרטאַלן און דאַשבאָרדז
זיכער מאַכן די אינפראַסטרוקטור הינטער אייערע פּאָרטאַלן זאָרגט דערפאַר אַז שטאַרקע אַקסעס מאָדעלן און קאָדירונג פּראַקטיקעס ווערן נישט אונטערגעגראָבן דורך שוואַכע פּלאַטפאָרמעס. ISO 27001 אַנעקס A כולל טעקנאַלאַדזשיקאַל קאָנטראָלס פֿאַר נעטוואָרקס, סערווערס, וואָלקן סערוויסעס און אידענטיטעט סיסטעמען, און פֿאַר MSPs איז דער שליסל צו דערקענען אַז פאַרוואַלטונג נעטוואָרקס און קאָנסאָולז פאַרדינען שטרענגערע באַזעליינז ווי געוויינטלעכע וואָרקלאָודז ווייַל קאָמפּראָמיס דאָרט אַפעקטירט יעדן טענאַנט וואָס איר שטיצט.
דעפינירן פארהארטעוועטע באזעליניעס פאר מענעדזשמענט אינפראַסטרוקטור
דעפינירן פארהארטעטע באזע-ליניעס פאר מענעדזשמענט אינפראסטרוקטור לאזט אייך אפשיידן "געווענליכע" סיסטעמען פון די פלאטפארמעס וואס קאנטראלירן די סביבות פון אייערע קאסטומערס. דורך באהאנדלען מענעדזשמענט נעטווארקס, דזשאמפ האוסטס, פארטאל סערווערס און אידענטיטעט פראוויידערס אלס א ספעציעלע קלאס, קענט איר דורכפירן שטרענגערע קאנפיגוראציעס, אויסבעסערן ערווארטונגען און מאניטארינג, און דערנאך ווייזן אז אייערע שטארקסטע סיסטעמען באקומען די שטארקסטע שוץ.
א נוצלעכער ערשטער שריט איז צו באהאנדלען די פּלאַטפאָרמעס וואָס האָסטן אָדער שטיצן אייערע פּאָרטאַלן ווי אַ באַזונדערע קלאַס פון אַסעץ, מיט שטרענגערע באַזעליניעס ווי אַלגעמיינע וואָרקלאָודז. דאָס קען אַרייַננעמען:
- דעדאַקייטאַד פאַרוואַלטונג נעטוואָרקס אָדער ווירטואַל נעטוואָרקס וואָס זענען סעגמענטירט פון טענאַנט ינווייראַנמאַנץ.
- פארהארטעוועטע שפרונג-האוסטס וואס צושטעלן קאנטראלירטע וועגן אין סענסיטיווע קאנסאלן.
- סערווערס אדער סערוויסעס וואָס האָסטן פּאָרטאַל קאָמפּאָנענטן, קאָנפיגורירט לויט זיכערע באַסעליינז פֿאַר אָפּערייטינג סיסטעמען, וועב סערווערס און דאַטאַבייסעס.
- אידענטיטעט פּראַוויידערז און אַקסעס בראָקערס וואָס רעגירן פּאָרטאַל אָטענטאַקיישאַן.
פֿאַר יעדן פֿון זיי קענט איר דעפֿינירן:
- מינימום קאָנפיגוראַציע רעקווייערמענץ, אַזאַ ווי סערוויסעס דיסייבאַלד, סייפער סוויץ און לאָגינג סעטטינגס.
- פּאַטש און דערהייַנטיקן עקספּעקטיישאַנז.
- מאָניטאָרינג און אַלערטינג טרעשאָולדז.
דאקומענטירן די ערווארטונגען, קאנטראלירן פאר דריפטס און זיי פארבינדן צו אנאקס א קאנטראלן ווי A.8.20–A.8.22 (נעץ זיכערהייט) באוועגט אייך פון איין מאל פארהארטעווען צו קאנטינעווירלעכע קאנטראל.
ניצן סעגמענטאַציע און ווײַט־אַקסעס מוסטערן צו באַגרענעצן בלאַסט ראַדיוס
ניצן סעגמענטאציע און קאנטראלירטע ווייטער צוטריט מוסטערן באגרענעצט ווי ווייט אן אטאקירער קען זיך רירן אויב זיי קאמפראמיטירן אן אינזשעניר דעווייס אדער אקאונט. אנשטאט צו ערלויבן ברייטע נעץ דערגרייכונג, רוטירט איר מענעדזשמענט טרעפיק דורך דעפינירטע וועגן, דורכפירט שטארקערע פאליסיס פאר יענע וועגן און טיילט זיי אפ פון טענענט נעטוואָרקס, ניצן באקאנטע מוסטערן ווי באסטיאָן האוסטס פלוס דזשאסט-אין-טיים צוטריט צו רעדוצירן בלאַסט ראַדיוס און זיך צופּאַסן צו אַנעקס א ערוואַרטונגען.
ווייל אינזשענירן ארבעטן געווענליך פון ווייטן אדער פון געטיילטע פאסיליטיעס, איז דער וועג צווישן זייערע דעווייסעס און אייערע קאנסאלן טייל פון אייער אטאקע-פלאך. סעגמענטאציע-מוסטערן וואס לייגן אפט צו ווערט זענען:
- זיכער מאַכן אַז אינזשעניר דעוויסעס האָבן נישט אַנלימיטעד נעץ רוטעס אין טענאַנט סביבות; אַנשטאָט, זיי פאַרבינדן זיך דורך קאַנטראָולד פאַרוואַלטונג פונקטן אַזאַ ווי באַסטיאָן האָסץ.
- ניצן באַזונדערע אידענטיטעט און צוטריט וועגן פֿאַר פאַרוואַלטונג אַקטיוויטעטן, למשל דעדאַקייטאַד לאָגין פּאָליטיקס אָדער פאַרוואַלטונג VPNs.
- באַטראַכטן ווייכווארג-דעפינירטע פּערימעטער צוגאַנגען, וואו צוטריט ווערט געגעבן דינאַמיש באַזירט אויף באַניצער, מיטל און קאָנטעקסט, אַנשטאָט ברייט נעץ דערגרייכבאַרקייט.
ווען איר שטעלט די מוסטערן אין איינקלאַנג מיט אַנעקס א רעקווייערמענץ אַרום נעץ זיכערהייט, ווייטער צוטריט און זיכערע קאָנפיגוראַציע, קענט איר קלאָר דערקלערן ווי אייער אַרכיטעקטור שטיצט זיכערן פּאָרטאַל צוטריט און ווי איר האָט באַגרענעצט דעם שאָדן וואָס אַן איינציקער קאָמפּראָמיטירטער מיטל אָדער חשבון קען פאַראורזאַכן.
דעמאָנסטרירן געטיילטע פֿאַראַנטוואָרטלעכקייט מיט סאַפּלייערז און וואָלקן באַדינונגען
דעמאָנסטרירן געטיילטע פֿאַראַנטוואָרטלעכקייט מיט סאַפּלייערז און וואָלקן סערוויסעס ווייזט אַז איר פֿאַרשטייט וועלכע זיכערהייט קאָנטראָלס געהערן צו אײַך און וועלכע ליגן ביי אײַערע פֿאַרקויפֿער. ISO 27001 ערוואַרטעט פֿון אײַך צו כאַפּן דעם אָפּטייל אין קאָנטראַקטן, סאַפּלייערז באריכטן און, וויכטיק, אײַער סטעיטמענט פֿון אַפּליקאַביליטי, אַזוי אַז קאַסטאַמערז און אָדיטאָרס קענען זען אַז איר נעמט נישט אָן אַז עמעצער אַנדערש וועט שטילערהייט אָנפֿילן די לעכער אַרום אײַערע פּאָרטאַלן.
זייער ווייניק MSP'ס ארבעטן נאר אויף זייער אייגענער האַרדווער. וואָלקן סערוויסעס האָסטן פּאָרטאַלן, האַלטן לאָגס און פאַרוואַלטן אידענטיטעטן; דריט-פּאַרטיי ווייַט אַקסעס אָדער שטיצע מכשירים פאַרבינדן זיך אין קונה זייטלעך. דאָס בילד איז רעפלעקטעד אין פילע סאַפּליי-טשיין אַדווייזעריז פון גופים ווי CISA, וואָס באַשרייבן טיפּישע MSP סביבות געבויט אויף וואָלקן-כאָוסטיד פאַרוואַלטונג פּלאַטפאָרמעס און ווייַט אַקסעס מכשירים.
אין דער 2025 ISMS.online שטאַט פון אינפֿאָרמאַציע זיכערהייט אַנקעטע, האָבן אַרום 41% פון אָרגאַניזאַציעס געהייסן פאַרוואַלטן דריט-פּאַרטיי ריזיקאָ און טראַקינג סאַפּלייער קאַנפאָרמאַטי ווי אַ הויפּט אינפֿאָרמאַציע-זיכערהייט אַרויסרופן.
פֿאַר יעדער אַזאַ סאַפּלייער באַציִונג, ערוואַרטעט אַנעקס א אַז איר זאָלט פֿאַרשטיין וועלכע קאָנטראָלן דער סאַפּלייער ימפּלעמענטירט און וועלכע בלייבן אייער פֿאַראַנטוואָרטלעכקייט. קאָנטראָלן ווי A.5.19 (סאַפּלייער באַציִונגען) און A.5.23 (נוצן פון וואָלקן סערוויסעס) אין ISO/IEC 27001 רופן אויסדריקלעך פֿאַר קלעריטי איבער געטיילטע פֿאַראַנטוואָרטלעכקייטן, קאָנטראַקטן און אָנגייענדיק מאָניטאָרינג, אַזוי מאַפּינג די ערוואַרטונגען צו אייער פאַקטיש סאַפּלייער רשימה איז אַ וויכטיק טייל פון אייער ISMS.
אין פּראַקטישע טערמינען, דאָס קען מיינען:
- זיכער מאַכן אַז סערוויס באַשרייַבונגען און קאָנטראַקטן פאַרפליכטן סאַפּלייערז צו האַלטן געוויסע סערטיפיקאַציעס אָדער זיכערהייט פֿעיִקייטן.
- אריינרעכענען פּאָרטאַל-ספּעציפֿישע באַטראַכטונגען אין סאַפּלייער באריכטן, אַזאַ ווי ווי אָפט זיי פּרובירן זייערע אייגענע קאָנטראָלס אָדער אָנזאָגן אײַך וועגן פּראָבלעמען.
- רעקאָרדירן ווי סאַפּלייער פֿאַראַנטוואָרטלעכקייטן זענען פֿאַרבונדן מיט אייערע אייגענע אַנעקס א קאָנטראָל סעלעקציעס, למשל A.5.19 (סאַפּלייער באַציִונגען) און A.5.23 (נוצן פון וואָלקן באַדינונגען), אין אייער SoA.
סאַפּלייער איבערבליק הערות, קאָנטראַקט קלאָזולעס און קראָס-רעפערענצן אין דיין SoA ווערן אַלע אַ טייל פון די באַווייזן וואָס באַרואיקט קאַסטאַמערז און אָדיטאָרס אַז איר פֿאַרשטייט און אַקטיוולי פאַרוואַלטעט געטיילטע פֿאַראַנטוואָרטלעכקייט.
באַשיצן דאַטן אין פּאָרטאַלן: קלאַסיפֿיקאַציע, ענקריפּשאַן און ריטענשאַן
באַשיצן דאַטן אין אייערע פּאָרטאַלן איז וועגן פֿאַרשטיין וואָסערע אינפֿאָרמאַציע איר האַלט, ווי סענסיטיוו עס איז און ווי לאַנג איר זאָלט עס האַלטן. ISO 27001 ערוואַרטעט אַז איר זאָלט קלאַסיפֿיצירן אינפֿאָרמאַציע, אָנווענדן פּאַסיקע זיכערהייטן ווי ענקריפּשאַן און פאַרוואַלטן ריטענשאַן און ויסמעקן באַוואוסטזיניק אַזוי אַז אַ בריטש פון אַ פּאָרטאַל וועט נישט אַנטדעקן מער דאַטן ווי נייטיק אָדער שאַפֿן אַוווידאַבאַל פּריוואַטקייט און העסקעם פּראָבלעמען; פֿאַר MSP פּאָרטאַלן, דאָס כולל קונה אידענטיפֿיקאַטאָרן, לאָגס, טיקעט אינהאַלט און קאָנפיגוראַציע דאַטן וואָס קען זיין סענסיטיוו אויב ליקט אָדער געביטן.
קלאַסיפֿיצירן די אינפֿאָרמאַציע וואָס אייערע פּאָרטאַלן באַהאַנדלען
קלאַסיפֿיצירן די אינפֿאָרמאַציע וואָס אייערע פּאָרטאַלן באַהאַנדלען גיט אייך אַ פּשוטן, געטיילטן וועג צו באַשליסן ווער זאָל עס זען, ווי עס זאָל דערשייַנען און וואוהין עס קען אַרומפאָרן. ווען איר גרופּירט שליסל דאַטן טיפּן אין לעוועלס ווי עפנטלעך, אינטערנאַל, קאָנפֿידענציעל און שטרענג קאָנפֿידענציעל, קענט איר פֿאַרבינדן יעדן לעוועל צו פּאָרטאַל ראָלעס און קוקן אַזוי אַז דער מערסט סענסיטיווער אינהאַלט דערשיינט נאָר פֿאַר מענטשן און סקרינז וואָס טאַקע דאַרפֿן עס.
א פּראַגמאַטישער קלאַסיפֿיקאַציע צוגאַנג הייבט זיך אָן מיט אַ ליסטע פֿון די הויפּט דאַטן טיפּן וואָס פֿליסן דורך אייערע דאַשבאָרדז און קאָנסאָלן, למשל:
- קונה אידענטיפיצירערס און קאָנטאַקט אינפֿאָרמאַציע.
- טיקעט און קעיס אינהאַלט, אַרייַנגערעכנט באַשרייַבונגען פון פּראָבלעמען און רעמעדיאַציע.
- סיסטעם און זיכערהייט לאָגס פון קונה נעטוואָרקס און דעוויסעס.
- קאָנפיגוראַציע דאַטן פֿאַר ענדפּונקטן, נעטוואָרקס און סערוויסעס.
- קרעדענשאַלז אָדער סודות, וואו קיין איינע בלייבן אין מכשירים אָדער סקריפּטן.
איר קענט דעמאָלט באַשליסן וועלכע קאַטעגאָריעס זענען, למשל, עפנטלעך, אינטערנע, קאָנפידענציעל אָדער שטרענג קאָנפידענציעל, באַזירט אויף קאָנפידענציאַליטעט, אָרנטלעכקייט און פאַרפֿיגבאַרקייט באדערפענישן. יענע באַשלוס וועט השפּעה האָבן אויף:
- ווער קען זען וועלכע סקרינז אדער באריכטן.
- ווי אינפֿאָרמאַציע ווערט באַהאַלטן אָדער רעדאַקטירט אין געטיילטע געביטן.
- וועלכע דאַטן קענען עקספּאָרטירט אָדער דאַונלאָודיד ווערן, און דורך וועמען.
פֿאַרבינדן די באַשלוסן צו אייער אַקסעס קאָנטראָל מאָדעל און פּאָרטאַל קאָנפיגוראַציע גיט קלאַסיפֿיקאַציע אַן עכטן אימפּאַקט. למשל, שטרענג קאָנפֿידענציעלע דאַטן קען נאָר דערשייַנען אויף געוויסע וויוז פֿאַר ספּעציפֿישע ראָלעס, און עקספּאָרטן פֿון יענע דאַטן קען זיין שטרענג קאָנטראָלירט. רעקאָרדירן די סכעמע אין פּאָליטיק און ימפּלעמענטאַציע גיידס, און רעפֿערענצירן אַנעקס א קאָנטראָל A.5.12 (קלאַסיפיקאַציע פֿון אינפֿאָרמאַציע), העלפֿט אייך ווייַזן אַז דאָס איז דיזיינד, נישט איבערגעלאָזט צו צופֿאַל.
רעאַליסטיש אָנווענדן ענקריפּשאַן און אַנדערע זיכערהייטן
אנװענדן ענקריפּשאַן און אַנדערע זיכערהייטן רעאַליסטיש מיינט נוצן שטאַרקע, מאָדערנע שוץ אין וועגן װאָס אײַערע טימז קענען לויפֿן יעדן טאָג. איר ווילט ענקריפּטעד טראַנספּאָרט און סטאָרידזש פֿאַר סענסיטיווע פּאָרטאַל דאַטן, שטאַרקע שליסל פאַרוואַלטונג און באַזונדער זאָרג איבער באַקאַפּס און רעפּליקעס, ימפּלאַמענטאַד אין אַ וועג װאָס אײַערע אינזשענירן קענען שטיצן פאַרלעסלעך בעת אינצידענטן, וישאַלט און אַדאַץ.
אַנעקס א נעמט אריין ערוואַרטונגען וועגן באַשיצן אינפֿאָרמאַציע אין רו און אין טראַנזיט. פֿאַר פּאָרטאַלן, דאָס איבערזעצט זיך אָפט אין:
- ניצן מאָדערנעם ענקריפּטעד טראַנספּאָרט, ווי למשל איצטיקע ווערסיעס פון TLS, פֿאַר אַלע בלעטערער און API אַקסעס.
- זיכער מאַכן אַז דאַטן אין רו אין דאַטאַבייסעס, מעסעדזש קיוז אָדער סטאָרידזש געניצט דורך דעם פּאָרטאַל איז ענקריפּטעד ניצן פּאַסיק אַלגערידאַמז און שליסל פאַרוואַלטונג.
- באַצאָלן ספּעציעלע ופֿמערקזאַמקייט צו באַקאַפּס, רעפּליקעס און לאָג אַרכיוון, וואָס קענען אַנטהאַלטן סענסיטיווע אינפֿאָרמאַציע פֿאַר לאַנגע פּעריאָדן.
די פּראַקטיקעס געבן אײַך אַ פּראַגמאַטישע באַזע וואָס טימז קענען אַרבעטן טעגלעך אָן קאָנסטאַנטע אויסנעמען אָדער אַרום־וועגן. ווען איר באַשרײַבט זיי אין פּאָליטיקס און פּלאַן דאָקומענטן, און שטעלט זיי אין איינקלאַנג מיט אַנעקס A קאָנטראָלן ווי A.8.24 (ניצן פון קריפּטאָגראַפֿיע), ווערט עס פיל גרינגער צו ענטפֿערן דעטאַלירטע קונה־פֿראַגעס וועגן ווי איר באַשיצט זייער אינפֿאָרמאַציע.
באַקומען ריטענשאַן און דילישאַן ריכטיק
ריכטיק אויפהאלטן און אויסמעקן רעדוצירט דעם אימפאקט פון יעדן בריטש און העלפט אייך מקיים זיין לעגאלע און קאנטראקטועלע פארפליכטונגען. אויפהאלטן דאטן אומבאגרענעצט קען זיך פילן באקוועם, אבער עס פארגרעסערט אויסשטעלונג און סטאָרידזש קאסטן, ספעציעל פאר פערזענליכע דאטן וואס זענען אונטערגעווארפן צו פריוואטקייט געזעצן ווי GDPR, ממילא שטעלט א קלארערע צוגאנג אויפהאלטונג פעריאדן פאר פארשידענע דאטן טיפן, אויטאמאטיזירט רייניקונג וואו מעגליך און דאקומענטירט ווי איר באלאנסירט באווייז- און פריוואטקייט באדערפענישן.
האַלטן דאַטן "נאָר אויב עס איז נויטיק" קען זיך פילן זיכער, אָבער עס פאַרגרעסערט דעם אימפּאַקט פון יעדן בריטש און קען שאַפֿן קאָנפאָרמאַנס פּראָבלעמען, ספּעציעל ווען פּערזענלעכע דאַטן זענען ינוואַלווד. דאַטן שוץ רעגולאַטאָרן ווי די UK Information Commissioner's Office (ICO) אונטערשטרייַכן עקספּליציט סטאָרידזש לימיטיישאַן און דאַטן מינימיזאַטיאָן ווי קערן פּרינציפּן, און באַמערקן אַז יבעריק ריטענשאַן קען ביידע פאַרערגערן בריטש שאָדן און בריטש לעגאַל פליכטן, וואָס איז גלייַך באַטייַטיק אויב דיין פּאָרטאַלס ענטהאַלטן פּערזענלעכע דאַטן. א באַלאַנסט צוגאַנג טיפּיקלי ינוואַלווז:
נאָר אַרום 29% פֿון אָרגאַניזאַציעס אין דער 2025 ISMS.online אַנקעטע האָבן געזאָגט אַז זיי האָבן נישט באַקומען קיין קנסות פֿאַר דאַטן-שוץ דורכפֿאַלן, וואָס מיינט אַז די מערהייט האָט געמאָלדן לפּחות איין רעגולאַטאָרישע אָדער קאָנטראַקטועלע שטראָף.
- דעפינירן ריטענשאַן פּיריאַדס פֿאַר פֿאַרשידענע דאַטן טיפּן, אַזאַ ווי טיקאַץ, לאָגס און קאָנפיגוראַציע סנאַפּשאַץ, באַזירט אויף לעגאַלע, קאָנטראַקטואַלע און אָפּעראַציאָנעלע באדערפענישן.
- אימפלעמענטירן אויטאמאטישע אויסמעקן אדער ארכיווירן רוטינען וואו מעגלעך, אנשטאט זיך צו פארלאזן נאר אויף מאנועלע אויפרייניגונגען.
- זיין קלאר וועגן ווי לאַנג פּאָרטאַל דאַטן וועט ווערן געהאַלטן נאָך דעם ווי אַ קונה קאָנטראַקט ענדיקט זיך, און אונטער וועלכע באַדינגונגען איר קענט עס אויסמעקן פריער.
איר קענט, למשל, אויפהאלטן דעטאלירטע זיכערהייט לאגס פאר זעקס ביז צוועלף חדשים צו שטיצן אויספארשונגען, מיט צוזאמענגענומענע מעטריקס און טרענד באריכטן געהאלטן פאר לענגער. ווייל אוידיט און אינצידענט אויספארשונגען פארלאזן זיך אויף היסטארישע אינפארמאציע, וועט איר מאנchmal דארפן באלאנסירן באווייז באדערפענישן קעגן פריוואטקייט אדער סטאָרידזש זארגן. דאקומענטירן ווי איר האט געמאכט די קאמפראמיסן, אין לויט מיט ביידע ISO און פריוואטקייט רעקווייערמענץ און זיי צוריקבינדן צו אנעקס A און יעדע רעלאוואנטע פריוואטקייט סטאנדארטן, איז א וויכטיגער טייל פון קענען פארטיידיגן אייער צוגאנג.
פאַרוואַלטן אַלע אייערע קאָנפאָרמאַנס, אַלץ אין איין אָרט
ISMS.online שטיצט איבער 100 סטאַנדאַרדס און רעגיאַליישאַנז, געבן איר אַ איין פּלאַטפאָרמע פֿאַר אַלע דיין העסקעם דאַרף.
לאָגינג, מאָניטאָרינג, אינצידענט רעספּאָנס און קאָנטינויטי פֿאַר פּאָרטאַלן
לאָגינג, מאָניטאָרינג, אינצידענט רעאַקציע און קאָנטינויִטע פּלאַנירונג ווייַזן צי אייער פּאָרטאַל זיכערהייט איז רעאַל אָדער נאָר דערקלערטע כוונות. ISO 27001 אַנעקס A כולל ספּעציפֿישע קאָנטראָלס פֿאַר געשעעניש לאָגינג, מאָניטאָרינג, אינצידענט פאַרוואַלטונג און געשעפט קאָנטינויִטע, אַלע פון וואָס אַפּלייז גלייַך צו MSP דאַשבאָרדז ווייַל זיי זיצן אין די האַרץ פון ביידע נאָרמאַל אַפּעריישאַנז און קריזיס רעאַקציע; ווען איר קענען ווייַזן ווער האט וואָס געטאן, ווו און ווען, און ווי איר רעאַגירן, איר געבן קאַסטאַמערז און אַדייטערז באַרירעוודיק גאַראַנטירן אַז די מכשירים איר נוצן צו פירן זייער ינווייראַנמאַנץ זענען אונטער קאָנטראָל.
ארום 41% פון אָרגאַניזאַציעס אין דער 2025 ISMS.online אַנקעטע האָבן אונטערגעשטראָכן אויפהאלטן דיגיטאַלע ווידערשטאַנד אין ליכט פון סייבער דיסראַפּשאַן ווי אַ הויפּט זאָרג.
דיזיינירן לאָגס אַזוי איר קענט ענטפֿערן "ווער האָט געטאָן וואָס, וואו און ווען"
דיזיינען לאָגס אַזוי אַז איר קענט ענטפֿערן "ווער האָט געטאָן וואָס, וואו און ווען" העלפֿט אײַך זאַמלען געשעענישן וואָס שטיצן ביידע אָפּעראַציעס און אויספֿאָרשונגען. איר ווילט קלאָרע, צײַט-סינגקראָניזירטע רעקאָרדס פֿון לאָגין-אינס, דערלויבעניש ענדערונגען און הויך-ריזיקירטע אַקציעס, קאַפּטשערד מיט גענוג קאָנטעקסט צו פֿאַרמײַדן דערטרונקען ווערן אין ראַש אַזוי אַז ווען עפּעס גייט שלעכט קענט איר שנעל אונטערשיידן צווישן בייזוויליקע טעטיקייט, באַניצער טעות און דערוואַרטעטע נאַטור.
עפעקטיווע לאגינג פאר פּאָרטאַלן איז מער ווי נאָר אָנצינדן די ווערטער-פאַרשטענדלעכע מאָדעס. עס איז וועגן כאַפּן די געשעענישן וואָס זענען וויכטיק אין גענוג דעטאַל צו פֿאַרשטיין וואָס איז געשען, אָן דערטרינקען זיך אין ראַש.
טיפּישע הויך-ווערט געשעענישן אַרייַננעמען:
- געלונגענע און דורכגעפאלענע לאג-אינס, ספעציעל פאר פריווילעגירטע אקאונטס.
- ענדערונגען צו ראָלעס, פּערמישאַנז און צוטריט פּאָליטיקס.
- שאַפונג, מאָדיפיקאַציע אָדער אויסמעקן פון טענענט אָביעקטן ווי גרופּעס, זייטלעך אָדער פּאָליטיקס.
- אויספירן הויך-ריזיקירטע אפעראציעס, ווי למשל ווייטערע סקריפטן, בעקאפ אויסמעקן אדער פאליסי פושן.
- אינטעגראַציעס וואָס שאַפֿן אָדער ענדערן זאכן אין אַנדערע סיסטעמען.
די לאָגס זענען מערסט נוצלעך ווען:
- צייט איז סינקראָניזירט אַריבער סיסטעמען.
- באַניצער אידענטיטעטן זענען קאָנסיסטענט און יינציק.
- וויכטיגער קאנטעקסט – ווי למשל טענענט, מקור IP און מעטאד פון צוטריט – ווערט איינגעכאפט.
- לאָגס ווערן פּראָטעקטעד קעגן מאַניפּולאַציע און געהאַלטן פֿאַר אַ פּעריאָד וואָס שטיצט ביידע אָפּעראַציעס און אויספאָרשונגען.
ברענגען די פידס אין א צענטראלן ארט, ווי למשל א לאגינג אדער זיכערהייט אינפארמאציע פארוואלטונג סיסטעם, ערמעגליכט קארעלאציע און ווארענונגען וואס וואלטן נישט געווען מעגליך אין אפגעזונדערטע קוקן.
א פשוטע אָנהייב מעטריק איז צו איבערקוקן אַ קליין מוסטער פון הויך-ריזיקירן געשעענישן וועכנטלעך, דאָקומענטירן אַ קורצע צוזאַמענפאַסונג פון וואָס איר האָט געזען און רעקאָרדירן יעדע נאָכפאָלגונג, געבן איר ביידע אָפּעראַציאָנעלן ווערט און באַווייַזן קעגן אַנעקס A קאָנטראָלס אַזאַ ווי A.8.15 (לאָגינג) און A.8.16 (מאָניטאָרינג אַקטיוויטעטן).
פֿאַרבינדן מאָניטאָרינג צו אינצידענט און קאָנטינויִטעט פּלענער
פֿאַרבינדן מאָניטאָרינג צו אינצידענט און קאָנטינויִטעט פּלענער גאַראַנטירט אַז פּאָרטאַל וואָרענונגען ווערן באַהאַנדלט אויף אַ קאָנסיסטענטן, פּראַקטיצירטן וועג אַנשטאָט ווי אַד-האָק רעאַקציעס. ISO 27001 אַנעקס A כולל קאָנטראָלן פֿאַר אינצידענט פאַרוואַלטונג און געשעפט קאָנטינויִטעט, און פּאָרטאַלן זענען צענטראַל צו ביידע פֿאַר MSPs, אַזוי ווען פּאָרטאַל-ספּעציפֿישע סצענאַרן דערשייַנען אין דיין פּלייבוקס, געניטונגען און אָפּזוך פּלענער קענט איר ווייַזן אַז איר זענט צוגעגרייט פֿאַר דיסראַפּשאַנז צו די זעלבע מכשירים אויף וואָס איר פאַרלאָזן זיך.
מאָניטאָרינג איז ווערטפול נאָר אויב עס פירט צו צייטיקע, פּאַסיקע אַקציע. אַנעקס א ערוואַרטעט פון אייך נישט נאָר צו זאַמלען געשעענישן, נאָר צו איבערקוקן און רעאַגירן אויף זיי.
פֿאַר פּאָרטאַלן, דאָס מיינט אָפֿט:
- דעפינירן אומגעוויינטלעכע מוסטערן וואָס זאָלן אַרויסרופן וואָרענונגען, אַזאַ ווי זיך-אַריינלאָגירן פֿון אומגעוויינטלעכע לאָקאַציעס, איבערגעחזרטע דורכפֿאַלן אָדער אומגעוויינטלעכע נוצן פֿון הויך-ריזיקירטע פֿונקציעס.
- באַשטימען קלאָרע פֿאַראַנטוואָרטלעכקייטן פֿאַר היטן די אַלערץ, זיי אויספֿאָרשן און פֿאַרגרעסערן ווען נייטיק.
- אריינרעכענענדיג פארטאל-ספעציפישע סצענארן אין אייערע אינצידענט רעאקציע פּלייבוקס. למשל, וואָס פּאַסירט אויב אַן אַדמין אַקאַונט ווערט קאָמפּראָמיטירט, אָדער אויב אַן אַטאַקער ניצט אייער קאַנסאָול צו דיאַקטיווירן פּראַטעקשאַנז איבער עטלעכע טענאַנץ?
- זיכער מאַכן אַז אייער געשעפט קאָנטינויִטעט פּלאַנירונג נעמט אין באַטראַכט די מעגלעכקייט אַז אַ פּאָרטאַל קען זיין נישט בנימצא, צי צוליב אַן אַטאַק, מיסקאָנפֿיגוראַציע אָדער פּראָבלעמען מיט די סאַפּלייער, און אַז איר האָט אַלטערנאַטיווע מעטאָדן צו שטיצן קאַסטאַמערז אין קריטישע סיטואַציעס.
רעגולערע געניטונגען – פון פּשוטע טיש דיסקוסיעס ביז מער פֿאָרמעלע סימולאַציעס – העלפֿן פֿאַרוואַנדלען די פּלענער אין מוסקל זכּרון און צושטעלן ווייטערדיקע באַווײַזן אַז איר טרעפֿט די באַטייַטיקע אַנעקס A קאָנטראָלן ווי A.5.24–A.5.27 (אינצידענט פאַרוואַלטונג) און A.5.29–A.5.30 (געשעפֿט קאָנטינעויטעט).
אויסמיידן געוויינטלעכע שוואַכקייטן וואָס ווערן אַנטפּלעקט דורך אויספֿאָרשונגען און אַסעסמאַנץ
אויסמיידן געוויינטלעכע שוואכקייטן אין פּאָרטאַל לאָגינג און רעאַקציע העלפֿט אײַך גיין ווײַטער פֿון "מיר זאַמלען לאָגס" צו "מיר פֿאַרוואַלטן אַקטיוו דעם פּאָרטאַל ריזיקאָ". אויספֿאָרשונגען און קונה אַסעסמענטן אַנטדעקן אָפֿט די זעלבע גאַפּס – נישט-איבערגעקוקטע לאָגס, אומפֿולשטענדיקע צוטריט איבערבליקן, אַלגעמיינע אינצידענט פּלענער און איבערגענומעןע פֿאַראַנטוואָרטלעכקייטן – און אַדרעסירן די געביטן מיט פּשוטע, רעגולערע אַקטיוויטעטן און קלאָרע אָונערשיפּ גיט אײַך שטאַרקערע זיכערהייט און אַ פֿיל מער איבערצײַגנדיקע ISO 27001 געשיכטע.
ווען MSPs שטייען פאר אוידיטס, קאסטומער אפשאצונגען אדער פארזיכערונג באריכטן, קומען א פאר פּאָרטאַל-פארבונדענע טעמעס צוריק:
- לאָגס עקזיסטירן אָבער ווערן נישט רעגולער איבערגעקוקט, אָדער איבערבליקן ווערן נישט דאָקומענטירט.
- צוטריט איבערבליקן זענען אד-האָק אדער אומפארענדיקט, ספּעציעל איבער קייפל מכשירים.
- אינצידענט און קאנטינעואיטעט דאקומענטאציע דערמאנט "סיסטעמען" בכלל, אבער נישט די ספעציפישע פּאָרטאַלן וואָס זענען איצט אין צענטער פון סערוויס דעליווערי.
- פֿאַראַנטוואָרטלעכקייטן פֿאַר פּאָרטאַל זיכערהייט אויפֿגאַבן ווערן איבערגענומען אַנשטאָט צוגעטיילט.
אינטערנע אוידיט קערפערשאפטן ווי דער אינסטיטוט פון אינטערנע אוידיטארן באריכטן כסדר ענלעכע שוואכקייטן אין טעכנאלאגיע און דריט-פארטיי ריזיקע אפשאצונגען, וואס מיינט אז איר זענט מסתמא נישט אליין אויב די לעכער עקזיסטירן. אדרעסירן די פראבלעמען פארלאנגט נישט קיין גרויסע פראיעקטן. קלארע אייגנטומערשאפט, פשוטע רעקארדס פון איבערבליקן און טעסטן, און פעריאדישע קאנטראלן אז קאנטראלן זענען נאך אין פלאץ, אלע ביישטייערן באדייטנד צו ביידע עכטע זיכערהייט און פארשטענדליכע פארזיכערונג. וואו איר האט שוין דיזיינט צוטריט-קאנטראל און לעבנס-ציקל רוטינעס, קענט איר זיי רעפערענצירן אנשטאט זיי איבערצוזאגן, אזוי אז אייער געשיכטע צו אוידיטארן איז קאנסיסטענט: "דא איז ווי אזוי מיר קאנטראלירן צוטריט צו פארטאלן, דא איז ווי אזוי מיר לאגן און איבערקוקן זייער באנוץ, און דא איז ווי אזוי אינצידענטן און אויספאלן וואס האבן צו טון מיט זיי ווערן באהאנדלט."
בוך אַ דעמאָ מיט ISMS.online הייַנט
ISMS.online העלפט אייך זיכערן אייערע אינערליכע פּאָרטאַלן און דאַשבאָרדז מיט ISO 27001 דורך פארוואנדלען צעוואָרפענע פּאָליטיקעס, פּראַקטיקעס און פּאָרטאַל סעטטינגס אין אַ סטרוקטורירט, באַווייז-געשטיצט אינפֿאָרמאַציע זיכערהייט פאַרוואַלטונג סיסטעם. פּראָדוקט גיידס און קונה רעפערענצן פון ISMS.online באַשרייבן ווי עקזיסטירנדיקע קאָנטראָלס און אַרבעט פּראַקטיקעס קענען זיין מאַפּט אין ISO-אַליינד קאָנטראָל סעץ, סטייטמאַנץ פון אַפּליקאַביליטי און באַווייז רעקאָרדס, וואָס אונטערשטיצט דעם רעזולטאַט-פאָוקיסט פאָדערונג. זיכערן די אינערליכע מכשירים איז לעסאָף וועגן באַשיצן די צוטרוי וואָס קאַסטאַמערז שטעלן אין דיין פיייקייט צו האַנדלען אין זייער סביבות, און אַ צוועק-געבויט ISMS פּלאַטפאָרמע מאכט עס פיל גרינגער צו פּלאַנירן, לויפן און דעמאַנסטרירן די קאָנטראָלס איר שוין וויסן איר דאַרפֿן.
ווי אַ סטרוקטורירטע ISMS העלפֿט אײַך זיכערן MSP פּאָרטאַלן
א סטרוקטורירטע ISMS גיט אייך איין פלאץ צו דעפינירן דעם פארנעם, אפשאצן ריזיקעס, אויסקלויבן קאנטראלן און אויפהיטן באווייזן פאר אייערע פּאָרטאַלן. אנשטאט צו באהאנדלען RMM מכשירים, טיקעטינג פּלאַטפאָרמעס און וואָלקן קאָנסאָלס ווי באַזונדערע פּראָבלעמען, קענט איר זיי זען ווי פארבונדענע אַסעץ אין איין גאַווערנאַנס מאָדעל וואָס איז אויסגעשטעלט צו אַנעקס A און מיטן וועג ווי אוידיטאָרן און זיכערהייט-באַוואוסטזיניקע קאַסטאַמערז אפשאצן איצט MSPs.
אין דער "שטאַט פון אינפֿאָרמאַציע זיכערהייט 2025" אַנקעטע, האָבן כּמעט אַלע רעספּאָנדענטן אויסגערעכנט דערגרייכן אָדער אויפהאַלטן סערטיפיקאַציעס ווי ISO 27001 אָדער SOC 2 ווי אַ פּריאָריטעט פֿאַר זייער אָרגאַניזאַציע.
ISMS.online איז דיזיינט צו העלפן אייך איבערזעצן אייערע עקזיסטירנדע פּאָרטאַל פּראַקטיקעס – ווי למשל ראָלע מאָדעלס, ענדערונג וואָרקפלאָוז, לאָגינג סעטאַפּס און אינצידענט טריט – אין אַ סכום פון אַנעקס A-געמאַפּט קאָנטראָלס מיט קלאָרע באַווייַזן הינטער זיי. איר דאַרפט נישט אָפּוואַרפן אַלץ וואָס איר טוט הייַנט; אַנשטאָט, קענט איר עס כאַפּן, סטאַנדאַרדיזירן און פֿאַרבעסערן עס מיט דער צייט. די דאָקומענטאַציע פון די פאַרקויפער פֿאַר ISMS.online אונטערשטרייכט פֿעיִקייטן פֿאַר פֿאַרבינדן ריזיקעס, קאָנטראָלס און באַווייַזן אין קאָוכירענטע ISO 27001 פריימווערקס, וואָס מיינט אַז די בענעפיטן וואָס זענען דאָ באַשריבן זענען אין אַליינמענט מיט ווי די פּלאַטפאָרמע ווערט נאָרמאַלערהייט דיפּלוייד.
אין אַ טיפּישן פאַזירטן צוגאַנג קענט איר:
- הייבט אן דורך ברענגען אייערע הויפט פּאָרטאַלן עקספּליציט אין דעם פאַרנעם און מאַפּירן די מערסט קריטישע אַקסעס, לאָגינג און אינצידענט קאָנטראָלס.
- ניצט איינגעבויטע טעמפּלאַטן און וואָרקפלאָוז צו פאָרשטעלן אָדער פאָרמאַליזירן פּאָליטיקס, צוטריט אָפּשאַצונגען און לאָג טשעקס.
- פארברייטערט די גרענעץ פון ISMS צו דעקן מער סערוויסעס און מכשירים ווען אייערע טימז ווערן באקוועם מיט דער נייער סטרוקטור.
די טריט געבן אייך א פראקטישן איבערגאנג פון היינטיגער פראקטיק צו א מאדערנעם, סטאנדארטן-אויסגעריכטן צוגאנג אן איבערלאדענען אייערע טימס, און זיי שאפן א סכום ארטיפאקטן וואס שטיצן גלייך קאסטומער אפשאצונגען און אויספארשונגען.
ווי זעט טיפּיש אויס אַ ערשטע באַציִונג מיט ISMS.online
א ערשטע באַטייליקונג מיט ISMS.online איז געוויינטלעך אַ קורצע, פאָקוסירטע אַרבעט סעסיע, וואו איר אויספאָרשט ווי אייערע איצטיקע פּאָרטאַלן און קאָנטראָלן פאַרבינדן זיך צו אַן ISO 27001-אויסגעשטעלטן ISMS. איר קוקט אויף פאַקטישע מכשירים, פאַקטישע פּראָצעסן און פאַקטישע ריזיקעס צוזאַמען, און דערנאָך אידענטיפיצירט שנעלע געווינסן און לענגער-טערמין פֿאַרבעסערונגען, און די רעזולטאַטן וואָס איר דזשענערירט אויפן וועג – סטייטמענטס פון אַפּליקאַביליטי, קאָנטראָל מאַטריצעס, ראָלע דעפֿיניציעס, איבערבליק רעקאָרדס און אינצידענט לאָגס – ווערן פּראַקטישע מכשירים פֿאַר ענטפֿערן קונה דיו-דילידזשענס פֿראַגעס, באַפֿרידיקן אוידיטאָר ריקוועסץ און ווייַזן דירעקטאָרן-ראַטן און אינוועסטאָרן אַז אייערע קאָנטראָל פּלענער זענען אונטער גאַווערנאַנס אלא ווי איבערגעלאָזט צו צופֿאַל. אָנבאָאַרדינג מאַטעריאַלן פֿון ISMS.online באַשרײַבן פאַסילאַטירטע וואָרקשאָפּס און געפֿירטע סעסיעס וואָס זענען דיזיינד צו דערגרייכן פּונקט דעם סאָרט פון ערשט מאַפּינג און שנעל-געווינסן אידענטיפיקאַציע.
אויב איר ווילט אז אייערע פּאָרטאַלן און דאַשבאָרדז זאָלן זיצן אין צענטער פון אַ מאָדערנעם, סטאַנדאַרדן-אויסגעשטעלטן אינפֿאָרמאַציע זיכערהייט פאַרוואַלטונג סיסטעם, איז ISMS.online גרייט צו שטיצן אייך מיט אַ ערשטן דורכגאַנג צוגעפּאַסט צו אייער MSP. אין פּראַקסיס, דאָס מיינט אז איר קענט ווייַזן קאַסטאַמערז און אָדיטאָרס פּונקט ווי איר פירט די מכשירים וואָס קאָנטראָלירן זייערע סביבות און קלייבט דעם טעמפּאָ און פאָרעם פון אייער רייזע, וויסנדיק אז יעדער שריט פארשטארקט סיי אייער זיכערהייט שטעלונג און סיי אייער פיייקייט צו באַווייַזן עס.
ספר אַ דעמאָאָפֿט געשטעלטע פֿראגן
ווי זאָלן MSP'ס פּריאָריטיזירן ISO 27001 קאָנטראָלן פֿאַר זיכערן אינערלעכע פּאָרטאַלן און דאַשבאָרדז?
איר גיט פּריאָריטעט צו ISO 27001 קאָנטראָלן פֿאַר פּאָרטאַלן דורך אָנהייבן מיט אידענטיטעט און צוטריט, און דערנאָך אַרומוויקלען די קאָנסאָלן מיט מאָניטאָרינג, אינפראַסטרוקטור זיכערהייטן און אינצידענט רעאַקציע וואָס שפּיגלען אָפּ וויפֿל שאָדן אַ קאָמפּראָמיס קען פֿאַראורזאַכן.
וואו זאָלן MSP'ס זיך ערשט קאָנצענטרירן ווען זיי פֿאַרשליסן שטאַרקע פּאָרטאַלן?
פֿאַר רובֿ געראטן סערוויס פּראַוויידערז, פיר ISO 27001 קאָנטראָל טעמעס צושטעלן די גרעסטע רעדוקציע אין ריזיקאָ אַרום RMM, PSA, באַקאַפּ און וואָלקן אַדמין דאַשבאָרדז:
- אידענטיטעט און צוטריט: – דורכפירן שטאַרקע אויטענטיפיקאציע, ענגע ראָלע דעפיניציעס און פאַרלעסלעכע דזשוינער-מוווער-לעזער האַנדלינג, אַזוי אַז נאָר די ריכטיקע מענטשן דערגרייכן הויך-פּריווילעגיע פונקציעס.
- פריוויליגירטער צוטריט און סעגרעגאציע פון פליכטן: – באגרענעצן ווער קען לויפן סקריפּטן, ענדערן גלאָבאַלע פּאָליטיקס אָדער ויסמעקן באַקאַפּס, און צעטיילן "צוגרייטן/בעטן" פון "באַשטעטיקן/אויספירן" פֿאַר גרויסע אָדער טענאַנט-ברייטע אַקשאַנז.
- לאָגינג און מאָניטאָרינג: – רעקאָרדירן לאָגינס, ראָלע ענדערונגען און הויך-אימפּאַקט אָפּעראַציעס, און דערנאָך צענטראַליזירן די רעקאָרדס אַזוי איר קענט רעקאָנסטרויִרן אינצידענטן שנעל און זיכער.
- ענדערונגען און אינצידענט האַנדלינג: – באַהאַנדלען פּאָרטאַל קאָנפיגוראַציע, אינטעגראַציעס און ברייק-גלאז צוטריט ווי קאָנטראָלירטע אַרבעט מיט אַפּרווואַלן, טעסטינג און נאָך-אינצידענט אָפּשאַצונג אַנשטאָט אַד-האָק טוויקס.
א פּראַקטישער וועג צו באַשליסן וואָס קומט ערשטער איז צו ראַנגירן מעגלעכע דורכפאַל סצענאַרן לויט בלאַסט ראַדיוסא פולער קאמפראמיס פון אייער RMM אריבער צענדליקער טענענטס שטייט קלאר העכער א שלעכט-קאנפיגורירטע PSA קיו. מאַפּט יעדן סצענאַר צו אַנעקס A קאָנטראָל משפּחות און פּריאָריטיזירט די קאָנטראָלס וואָס רעדוצירן די גרעסטע, מערסט גלויבווערדיגע געשעענישן. דאָס גיט אייך א שטאָק פאר קאַסטאַמערז, אָדיטאָרס און אייער באָרד פארשטאנד: איר האָט זיך ערשט גענומען צו אידענטיטעט, RBAC און לאָגינג ווייל זיי באַגרענעצן גלייך די ריזיקאַלישסטע וועגן, אַנשטאָט צו פארשפרייטן מי דין איבער יעדן קאָנטראָל אין אַנעקס A.
ISMS.online קען מאַכן די פּריאָריטיזאַציע קענטיק דורך פֿאַרבינדן יעדן הויך-ריזיקירן פּאָרטאַל סצענאַר צו אויסגעקליבענע אַנעקס A קאָנטראָלן, אייגנטימער און אָפּשאַצונג ציקלען. אויף דעם וועג, ווען עמעצער פרעגט "פארוואס האָט איר דאָס געטאָן ערשט?", קענט איר ווייַזן אַ לעבעדיקע, ריזיקאָ-באַזירטע ראָודמאַפּ אַנשטאָט אַ וואַגע כוונה צו "פאַרשטאַרקן זיכערהייט".
ווי קענען MSP'ס דיזיינען א פראקטישן RBAC מאָדעל פאר פּאָרטאַלן וואָס איז אין איינקלאַנג מיט ISO 27001?
איר דיזיינט אַ פּראַקטישן RBAC מאָדעל דורך באַזירן ראָלעס אויף פאַקטישער אַרבעט, באַגרענעצן וואָס יעדע ראָלע קען טאָן אין פּראָדוקציע פּאָרטאַלן און באַווייַזן אַז פּריווילעגיעס טוישן זיך ווי מענטשן און פֿאַראַנטוואָרטלעכקייטן טוישן זיך.
ווי אזוי פארוואנדלט מען פאקטישע MSP ארבעט אין פארטיידיגבארע פּאָרטאַל ראָלעס?
א פארטיידיקבאַר ראָלע-באַזירט אַקסעס קאָנטראָל מאָדעל גייט געוויינטלעך נאָך פינף קאָנקרעטע טריט:
1. אָנהייבן מיט ווי אייערע מאַנשאַפֿטן אַרבעטן טאַקע
ליסט די ארבעט וואס אייערע טימס טוען טאקע: סערוויס דעסק באהאנדלען טיקעטס, עסעקאלאציע אינזשענירן לייגן צו פארראכטונגען, NOC שטאב באאבאכטן די אויפטוען, פראיעקט טימס לייגן צו געפלאנטע ענדערונגען, און אזוי ווייטער. פאר יעדער גרופע, אידענטיפיצירט די ספעציפישע אקציעס וואס זיי דארפן אין RMM, PSA, בעקאפ און וואלקן פארטאלן צו דורכפירן די ארבעט, און נעמט ארויס אלעס וואס איז נאר "גוט צו האבן". דא ווערן באשלוסן וועגן די מינדסטע פריווילעגיעס באגרינדעט אנשטאט טעארעטיש.
2. נאָרמאַליזירן ראָלע נעמען איבער אייערע הויפּט מכשירים
קלייבט אויס א קליינע, קאנסיסטענטע גרופע ראלע נעמען – למשל "סערוויס-דעסק-אפדעיט", "NOC-טויש", "ארכיטעקט-דיזיין", "אדמין-איבערבליק" – און ניצט זיי אויף אייערע וויכטיגע פארטאלן. ווען "NOC-טויש" מיינט די זעלבע ריזיקע אין יעדער קאנסאל, ווערן צוטריט-איבערבליקן גרינגער, נייע אנפירער פארשטייען ערווארטונגען שנעלער, און איר פארקלענערט די שאנס אז א לויז-גערופענע ראלע באהאלט איבערגעטריבענע מאכט.
3. אפגעזונדערן געפערלעכע דערלויבעניש קאָמבינאַציעס
אידענטיפיצירן אפעראציעס וואס קענען ענדערן אסאך טענענטס אדער קריטישע דאטן אויף איין מאל – ווי למשל מאסן-סקריפטינג, גלאבאלע זיכערהייט פאליסי ענדערונגען, באקאפ ריטענשאן עדיטס און MFA ריסעטס. זיכער מאכן אז קיין איין ראלע קען נישט ביידע איניציאירן און באשטעטיגן די אקציעס. צעטיילן די אויפגאבן איז אין איינקלאנג מיט ISO 27001 ערווארטונגען וועגן סעגרעגאציע פון אויפגאבן און פארהיט איין קאמפראמיטירטן אקאונט פון ווערן א גאנצע קאטאסטראפע.
4. בינדט ראָלעס פעסט צו לעבן-ציקל געשעענישן
פֿאַרבינדט אייערע HR פּראָצעסן צו אייערע אידענטיטעט סיסטעמען אַזוי אַז ראָלע אַסיינמאַנץ פֿאָלגן אויטאָמאַטיש די געשעענישן וואָס קומען צו, ווערן אַריבערגעפֿאָרן און פֿאַרלאָזן. אַ מיטגליד פֿון שטאַב וואָס טוישט מאַנשאַפֿט זאָל נישט טראָגן אַלטע פּאָרטאַל פּערמישאַנז פֿאַר וואָכן, און עמעצער וואָס פֿאַרלאָזט אייער געשעפֿט זאָל פֿאַרלירן פאַרוואַלטונג אַקסעס דעם זעלבן טאָג. ווען די פֿלוסן זענען אָטאַמייטיד, קענט איר ווייַזן אַז אַנעקס A קאָנטראָלס אַרום באַניצער פּראָוויזשאַנינג זענען טייל פֿון טעגלעכע אָפּעראַציעס, נישט רעאַקטיוו הויז-אַרבעט.
5. באווייז אז RBAC איז לעבעדיג, נישט קיין איין-מאליקער פראיעקט
פּלאַנירן רעגולערע, לייכטע צוטריט איבערבליקן וואו סיסטעם אייגנטימער באַשטעטיקן אַז יעדע ראָלע און אַסיינמאַנט איז נאָך פּאַסיק. רעקאָרדירן ווער האָט געמאַכט ענדערונגען, פאַרוואָס זיי האָבן דאָס געטאָן און וואָס זיי האָבן אַוועקגענומען. מיט דער צייט, שאַפט דאָס אַ מוסטער פון גאַווערנאַנס וואָס באַרואיקט אָדיטאָרס און גרויסע קאַסטאַמערז אַז RBAC ווערט אַקטיוו געראטן, נישט געלאָזט צו שווימען.
ISMS.online קען צענטראליזירן אייער ראָלע קאַטאַלאָג, באַשטעטיקונגען און ריסערטיפיקאַציע אויפגאַבן איבער קייפל פּאָרטאַלן. דאָס מאַכט עס פיל גרינגער צו פירן אַ פּראָספּעקטיוו קונה אָדער אַודיטאָר דורך ווי איר האָט דיזיינד אייער RBAC מאָדעל און ווי איר האַלט עס אין לויט מיט אייער ISO 27001 אינפֿאָרמאַציע זיכערהייט פאַרוואַלטונג סיסטעם.
ווי זאָלן MSP'ס האַנדלען מיט לאָגינג און מאָניטאָרינג פֿאַר פּאָרטאַל טעטיקייט צו ענטפֿערן "ווער האָט געטאָן וואָס, וואו און ווען"?
איר האַנדלט מיט פּאָרטאַל לאָגינג עפֿעקטיוו דורך באַשליסן וועלכע אַקציעס טאַקע ענדערן ריזיקע, זיכער מאַכן אַז די געשעענישן ווערן קאַפּטשערד מיט גענוג דעטאַל צו זיין נוצלעך און איבערקוקן זיי לויט אַ פּלאַן וואָס אייער מאַנשאַפֿט קען אויסהאַלטן.
וועלכע פּאָרטאַל אַקטיוויטעטן מוזן שטענדיק זיין קענטיק אין אייערע רעקאָרדס?
פֿאַר אינערלעכע קאָנסאָלן וואָס קענען אָנרירן פילע טענענטן אָדער באַדייטנדיקע באַנדן פון קונה דאַטן, זאָלן דריי קאַטעגאָריעס פון געשעענישן שטענדיק זיין שפּורבאַר:
1. אידענטיטעט און סעסיע טעטיקייט
רעקאָרדירן געלונגענע און דורכגעפאַלענע פּריווילעגירטע לאָגינס, ומגעוויינטלעכע לאָקאַציעס אָדער דעוויסעס, סעסיע געדויער, און געצוואונגענע לאָגאָוטס. דאָס ענטפֿערט די פֿראַגע, "ווער קען האַנדלען אין אַ באַשטימטער צייט?” און שטיצט ISO 27001'ס ערוואַרטונגען אַרום באַניצער טעטיקייט לאָגינג און דעטעקשאַן פון ומגעוויינטלעכע פּאַטערנז.
2. ענדערונגען אין דערלויבעניש און קאָנפיגוראַציע
טראַק די שאַפונג און מאָדיפיקאַציע פון ראָלעס, ענדערונגען צו MFA און SSO סעטטינגס, אָנבאָאַרדינג אָדער אָפבאָאַרדינג פון טענאַנץ און דערהייַנטיקונגען צו גלאָבאַלע אָדער שערד פּאָליטיקס. די געשעענישן באַשרייבן ווי אייער זיכערהייט האַלטונג ענדערט זיך איבער צייט און זענען וויכטיק ווען איר דאַרפט באַשטימען צי אַן אינצידענט האט אַרייַנגענומען מיסברויך, מיסקאָנפֿיגוראַציע אָדער אַן איבערזיכט אין פּראָצעס.
3. הויך-אימפּאַקט אָפּעראַציאָנעלע אַקציעס
לאגירט ווייטערע סקריפטן, מאסן אקציעס, באקאפ קאנפיגוראציע ענדערונגען, ווייטערע צוטריט סעסיעס און API רופן וואס קענען אפעקטירן קייפל טענענטס. בעת אן אינצידענט, איז דאס געווענליך וואו אייער אויספארשונג צייט ווערט פארבראכט; קלארע, כראנאלאגישע רעקארדס קענען פארקלענערן יענעם פענצטער באדייטנד און העלפן אייך אונטערשיידן צווישן טעות און בייזוויליגע טעטיקייט.
ווי אזוי שטעלט מען אפ לאגס וואס ווערן צו גערויש וואס אייער מאַנשאַפֿט איגנאָרירט?
אַמאָל איר ווייסט וואָס צו כאַפּן, פאָקוסירט אויף דריי רעזולטאַטן:
- א פאראייניגטע בליק אויף וויכטיגע געשעענישן: – שיקן הויך-ווערטפולע געשעענישן פון יעדן פּאָרטאַל אין אַ צענטראַלע פּלאַטפאָרמע, אַזוי איר קענט רעקאָנסטרויִרן אַ צייטליניע אָן מאַנועל צו בייטן צווישן מכשירים.
- קאָנסיסטענטע אידענטיפיצירער: – ניצן אויסגעריכטענע באַניצער אידענטיפיקאַטאָרן, טענענט אידענטיפיצירער און צייטשטעמפלען איבער סיסטעמען, וואָס אַלאַוז איר צו נאָכפאָלגן אַ קייט פון אַקשאַנז געשווינד און פּינקטלעך.
- פאָרויסזאָגבארע אויפזיכט: – דעפינירן פּשוטע וואָרענונג באַדינגונגען (אַזאַ ווי ריפּיטיד דורכגעפאַלענע אַדמין לאָגינס, ראָלע ענדערונגען אויסער-שעה אָדער מאַסע אַקשאַנז פון נייַע לאָוקיישאַנז) און פּלאַנירן קורצע געשריבענע באריכטן פון אַדמין טעטיקייט. דאָקומענטירן די באריכטן ווייזט אַז מאָניטאָרינג איז טייל פון דיין ISO 27001 קאָנטראָל סעט, נישט נאָר אַן אַספּיראַציע.
ווען איר קענט ווייזן אז פּאָרטאַל לאָגס זענען פולשטענדיק, טאַמפּער-קעגנשטעליק און אַקטיוו איבערגעקוקט, מאַכט איר אַ שטאַרקן אַרגומענט פֿאַר קאַסטאַמערז, אָדיטאָרס און פאַרזיכערונג קאָמפּאַניעס אַז "ווער האָט געטאָן וואָס, וואו און ווען" איז אַ קשיא וואָס איר קענט ענטפֿערן מיט זיכערע באַווייַזן אַנשטאָט צוזאַמענגענייט סקרעענשאָץ.
ISMS.online קען אויפהיטן אייערע לאגינג פראצעדורן, איבערבליק סקעדזשולז און באווייז נאטיצן אין איין ארט, אזוי אז ווער עס אפשאצט אייער ISMS קען זען אז מאניטארינג פון שטארקע פארטאלן איז ארגאניזירט און פארלעסלעך.
וואָס איז אַ פּשוטער וועג פֿאַר MSP'ס צו מאַפּן פּאָרטאַל זיכערהייט מיטלען צו ISO 27001 אַנעקס A קאָנטראָלס?
איר מאַפּט פּאָרטאַל זיכערהייט צו אַנעקס א דורך באַהאַנדלען עס ווי אַ פאָקוסירט שטיקל פון אייער אינפֿאָרמאַציע זיכערהייט פאַרוואַלטונג סיסטעם: דעפינירט אַ קלאָרן פאַרנעם אַרום אייערע אינערלעכע קאָנסאָלעס, רעקאָרדירט וואָס איר טוט שוין, אַדזשאַסטירט די פּראַקטיקעס מיט באַטייַטיק קאָנטראָלס און דאַן אַדרעסירט די גאַפּס מיט די העכסטן השפּעה אין אַ באַוואוסטזיניק סדר.
ווי בויט מען אַ פּאָרטאַל קאָנטראָל מאַפּע וואָס וועט אויסהאַלטן קאָנטראָל?
א ווידערהאָלבאַרער, פֿאַרטיידיקבאַרער צוגאַנג זעט טיפּיש אויס אַזוי:
1. דעפינירן פּינקטלעך אייער פאַרוואַלטונגס־פאַרנעם
באַשליסט וועלכע פּאָרטאַלן און שטיצנדיקע קאָמפּאָנענטן זענען אין שפּיל: ווייט מאָניטאָרינג און פאַרוואַלטונג מכשירים, PSA פּלאַטפאָרמעס, באַקאַפּ קאַנסאָולז, וואָלקן אַדמיניסטראַציע דאַשבאָרדז, אידענטיטעט פּראַוויידערז, דזשאַמפּ האָוסץ און יעדע סעגרעגירטע פאַרוואַלטונג נעטוואָרקס. דאָקומענטירט דאָס אין דיין ISMS סקאָופּ סטעיטמענט אַזוי אַז אַלעמען פֿאַרשטייט פּונקט וועגן וועלכע סיסטעמען איר רעדט.
2. כאַפּן די איצטיקע קאָנטראָלן אין אַ פּשוטער שפּראַך
פֿאַר יעדן קאָמפּאָנענט אין דער גרופּע, באַמערקט די עקזיסטירנדיקע מיטלען ווי MFA דורכפֿירונג, ראָלע דעפֿיניציעס, פּראָצעדורן פֿאַר דזשוינער-מאָווער-לעיווער, לאָגינג סעטאַפּ, ענדערונגען באַשטעטיקונג פֿלוסן, באַקאַפּ רוטינען און פֿאַראַנטוואָרטלעכקייטן פֿון סאַפּלייער. דער שריט אַנטדעקט אָפֿט סאָלידע פּראַקטיקעס וואָס זענען קיינמאָל נישט אַראָפּגעשריבן געוואָרן, מאַכנדיג עס גרינגער צו דערקלערן אייער סביבה צו פֿרעמדע.
3. אויסקלייבן א פאקוסירטע סובסעט פון אנעקס א קאנטראלן
קלייבט אויס קאנטראלן פון אנאקס א וואס האבן קלאר א שייכות מיט פארטאל זיכערהייט אנשטאט צו פרובירן צו דעקן דעם גאנצן קאטאלאג. למשל:
- צוטריט קאָנטראָל, באַניצער רעגיסטראַציע און דע-רעגיסטראַציע
- פּריווילעגירטע צוטריט פאַרוואַלטונג און סעגרעגאַציע פון פליכטן
- אויטענטיפֿיקאַציע, סעסיע פאַרוואַלטונג און זיכער לאָגין
- לאָגינג, מאָניטאָרינג און לאָג שוץ
- ענדערונג פאַרוואַלטונג פֿאַר קאָנפיגוראַציעס און סקריפּטן
- אַנטוויקלונג און טעסט סעגרעגאַציע פֿאַר אָטאָמאַציע
- סאַפּלייער זיכערהייט און וואָלקן סערוויס פאַרוואַלטונג
- קאָנטינויִטעט פּלאַנירונג פֿאַר פאַרוואַלטונג סיסטעמען און אַקסעס פּאַטס
דורך באגרענעצן דעם פארנעם צו קאנטראלן וואס זענען קלאר גילטיק, האלט איר די מאַפּינג פארשטענדלעך און אויפהאלטבאַר.
4. בויען אַ פּשוטע מאַטריץ וואָס פֿאַרבינדט קאָנטראָלן מיט פּראַקטיק
שאַפֿט אַ טאַבעלע וואו די רייען זענען אַנעקס א קאָנטראָלן און די קאָלומס ווײַזן "ווי מיר אָנווענדן דאָס צו פּאָרטאַלן" און "וואו די באַווײַזן וואוינען". למשל, איר קענט ווײַזן פֿון אַן אַקסעס קאָנטראָל אַרײַנגאַנג צו אײַער RBAC פּלאַן דאָקומענט, באַטייַטיקע פּראָצעדורן און לעצטע אַקסעס אָפּשאַצונג רעקאָרדס. די מאַטריץ ווערט אַ צענטראַלע רעפֿערענץ פֿאַר אינערלעכע קאָנטראָלן, קונה דיו דילידזשענס ענטפֿערס און אוידיט צוגרייטונג.
5. סיקוואַנס פֿאַרבעסערונגען לויט ריזיקאָ רעדוקציע
ניצט אייער ריזיקע אפשאצונג צו באשטימען וועלכע קאנטראלן צו פארשטארקן ערשט. מיטלען וואס רעדוצירן די שאנס אדער אימפאקט פון גרויס-מאסשטאב קאמפראמיס – ווי פריווילעגירט צוטריט, מאניטארינג און אינצידענט רעאקציע ארום אייער RMM – זאלן קומען פאר נידעריקער-אימפאקט פארבעסערונגען. דערקלערן יענע סיקווענץ אין ריזיקע טערמינען העלפט אוידיטארן, פארזיכערער און גרויסע קאסטומערס פארשטיין אז איר שטעלט אייער אנעקס א ארבעט צוגלייך מיט רעאל-וועלט אויסשטעלונג.
ISMS.online קען ערזעצן סטאַטישע ספּרעדשיטס דורך פֿאַרבינדן יעדן אַנעקס א קאָנטראָל אין אייער מאַטריץ צו לעבעדיקע טאַסקס, אייגנטימער און באַווייז איינטראַגעס. דאָס האַלט אייער פּאָרטאַל קאָנטראָל מאַפּע אַרויף-צו-דאַטע ווי מכשירים אַנטוויקלען זיך, רעגולאַציעס טוישן זיך און איר לייגט צו נייע געראטן סערוויסעס.
ווי קענען MSP'ס זיכערן די אינפראַסטרוקטור וואָס שטיצט אינערלעכע פּאָרטאַלן, נישט נאָר די פּאָרטאַלן אַליין?
איר זיכערט די אינפראַסטרוקטור אונטער אייערע פּאָרטאַלן דורך אויפשטעלן אַ באַזונדערן "פאַרוואַלטונגס-שיכט" מיט שטרענגערע צוטריט, קאָנפיגוראַציע און מאָניטאָרינג סטאַנדאַרדן ווי איר ניצט פֿאַר אַלגעמיינע וואָרקלאָודז, און דורך מאַכן די סטאַנדאַרדן אַ טייל פֿון אייער דאָקומענטירטן אינפֿאָרמאַציע-זיכערהייט-פאַרוואַלטונגס-סיסטעם.
וועלכע אינפראַסטרוקטור מוסטערן רעדוצירן באַדייטנדיק ריזיקע אַרום MSP קאָנסאָלעס?
עטלעכע פּראַקטישע מוסטערן קאָנסיסטענטלי נידעריקערן די ליקעליהאָאָד און השפּעה פון פאַרוואַלטונג-פּלאַן אינצידענטן:
1. דעדיקירטע און קאָנטראָלירטע פאַרוואַלטונג וועגן
צושטעלן אינזשענירן מיט קלאר דעפינירטע רוטעס אין קונה סביבות, ווי למשל פאַרוואַלטונג VPNs, באַסטשאַן האָסטס אָדער שטאַרק סעגמענטירטע ווירטואַל נעטוואָרקס. דאָס מאַכט עס גרינגער צו איבערקוקן ווי צוטריט צו שטאַרקע פּאָרטאַלן און דזשאַמפּ פונקטן ווערט געגעבן, אָפּגערופן און מאָניטאָרירט, און איז גוט אין איינקלאַנג מיט ISO 27001 קאָנטראָלס אויף נעץ זיכערהייט און צוטריט פּאַטס.
2. פארהארטעוועטע באזעליניעס פאר מענעדזשמענט סיסטעמען
צולייגן שטרענגערע קאָנפיגוראַציע סטאַנדאַרדן צו סערווערס, אַפּלייאַנסעס און סערוויסעס וואָס שטיצן אייער פאַרוואַלטונג שטאַפּל: באַגרענעצן אויסגעשטעלטע סערוויסעס, צולייגן שטרענגע פיירוואַל כּללים, פּאַטשן אַגרעסיוו און געבן דיטיילד לאָגינג מעגלעכקייט. באַהאַנדלען די אַסעץ ווי הויך-השפּעה סיסטעמען אלא ווי אַלגעמיינע אינפראַסטרוקטור; באַשרײַבן אייער באַזעלינע פאָרמאַל אַזוי עס קען זיין ריוויוד און פֿאַרבעסערט אלא ווי בלייבן טרייבאַל וויסן.
3. דיפענסיווע סעגמענטאַציע און אפגעזונדערטקייט
שטעלט פאַרוואַלטונג נעטוואָרקס און פּאָרטאַל קאָמפּאָנענטן אין באַזונדערע זאָנעס פֿון שטאַב נעטוואָרקס און אַלגעמיינע קונה וואָרקלאָודז. אפילו אַ רעלאַטיוו פּשוטע צעשיידונג צווישן "אַדמין", "באַניצער" און "קונה" סעגמענטן ראַדוצירט באַדייטנד דעם ריזיקאָ אַז אַן איינציקער ענדפּוינט קאָמפּראָמיס פֿאַרגיסט זיך אין דיין גאַנצן פאַרוואַלטונג שטאַפּל. דאָס מוסטער פּאַסט גלייך מיט אַנעקס אַ רעקאָמענדאַציעס וועגן נעץ סעגרעגאַציע און סיסטעם איזאָלאַציע.
4. קלאָרע קאָנטראַקטן און גרענעצן מיט פונדרויסנדיקע פּראַוויידערז
דאָקומענטירט וועלכע זיכערהייט פונקציעס אייערע וואָלקן פּראַוויידערז, דאַטן-צענטער פּאַרטנערס אָדער ווייכווארג סאַפּלייערז זענען פאַראַנטוואָרטלעך פֿאַר, און וועלכע איר מוזט פאַרוואַלטן אַליין. די קלאַרקייט איז קריטיש ווען איר אויספאָרשט אינצידענטן און ווען איר ענטפֿערט דיו-דילידזשענס ריקוועסץ וועגן ווי אייער פאַרוואַלטונג שיכט איז זיכער פֿון דער פֿיזישער שיכט אַרויף דורך אידענטיטעט, לאָגינג און באַקאַפּס.
דורך קאדיפיקירן די מוסטערן אין אייער ISMS, ווייזט איר אז פארטאל זיכערהייט איז אונטערגעשטיצט דורך אן אינפראסטרוקטור דיזיין וואס באוואוסטזיניק שטיצט עס. ISMS.online קען אייך העלפן באשרייבן דעם מענעדזשמענט שטאפל, צוטיילן אחריותן, פלאנירן פעריאדישע קאנפיגוראציע און צוטריט טשעקס, און צוגעבן באווייזן, אזוי אז איר קענט באווייזן אז העכערע סטאנדארטן פאר דעם שטאפל ווערן געהאלטן איבער צייט.
ווי קענען MSP'ס ניצן ISMS.online צו פארוואנדלען פארטאל זיכערהייט ארבעט אין קענטיקע פארזיכערונג פאר אוידיטארן און קאסטומערס?
איר ניצט ISMS.online אלס דער צענטראלער ארט וואו פּאָרטאַל זיכערהייט ווערט אויסגעפארשט, קאנטראלירט און באוויזן, אזוי אז אינערליכע מכשירים זענען קלאר טייל פון א געראטן אינפארמאציע זיכערהייט מאַנאַגעמענט סיסטעם אדער אַנעקס L-סטיל אינטעגרירט מאַנאַגעמענט סיסטעם אנשטאט אן אומדורכזעענדיקן זייט-קאַנאַל.
וואָס ווערט גרינגער ווען פּאָרטאַל זיכערהייט געפינט זיך אין ISMS.online?
אין פּראַקטיק, טוישן זיך פיר זאַכן אויף וועגן וואָס זענען וויכטיק פֿאַר אָדיטאָרס, קאַסטאַמערז און רעגולאַטאָרן:
1. פּאָרטאַלן זענען עקספּליציט אין דעם פאַרנעם, נישט לינקס אימפליציט
איר קענט ווייזן פּונקט וועלכע פּאָרטאַלן און שטיצנדיקע סיסטעמען זענען באדעקט דורך אייער ISMS, ווי זיי זענען פארבונדן מיט ריזיקעס און וועלכע אַנעקס A קאָנטראָלס רעגירן זיי. ווען מכשירים טוישן זיך אדער אַרכיטעקטורן עוואַלווירן, דערהייַנטיקט איר דעם פאַרנעם אין איין אָרט. דאָס נעמט אַוועק די אַמביגואַטי וואָס פילע MSPs שטויסן זיך אָן ווען זיי ווערן געפרעגט צי זייערע ווייַט פאַרוואַלטונג מכשירים זענען טאַקע אונטער גאַווערנאַנס אָדער "נאָר אָפּעראַציאָנעל".
2. קאָנטראָל מוסטערן ווערן ווידער-ניצלעכע בנין בלאַקס
איר כאַפּט טעמפּלאַטן פֿאַר RBAC, דזשוינער-מוווער-לעווער פלאָוז, לאָגינג און מאָניטאָרינג רוטינז, ענדערונגען אַפּרווואַלז און אינצידענט פּלייבוקס ווי ריפּיטאַבאַל קאָנטראָלס. ווען איר אַדאַפּט אַ נייַעם פּאָרטאַל אָדער פאַרבייַטן אַן עקסיסטירנדיקן, איר אַפּלייז פּראָווען פּאַטערנז אַנשטאָט ריבילדינג קאָנטראָלס פון קראַץ, וואָס איז פּונקט די סאָרט פון קאָנסיסטענסי וואָס ISO 27001 און פֿאַרבונדענע סטאַנדאַרדס דערוואַרטן.
3. אייגנטומערשאפט און קאַדענץ פֿאַר טשעקס זענען קענטיק
איר קענט פארוואנדלען וויכטיגע פארטאל-פארבונדענע קאנטראלן – ווי צוטריט איבערבליקן, קאנפיגוראציע באזעליינס, לאג אינספעקציעס און מענעדזשמענט איבערבליקן – אין געפלאנטע אויפגאבן מיט באשטימטע אייגענטימער און דערמאנונגען. דאס מאכט עס פיל גרינגער צו ווייזן אז קריטישע קאנטראלן ווערן געלאפן אין צייט און אז פראבלעמען ווערן נאכגעפאלגט און אויסגעגליכן, אנשטאט איבערצולאזן די אקטיוויטעטן צו פערזענליכע קאלענדארן און זכרון.
4. באווייזן וואקסן נאַטירלעך ווי אייער מאַנשאַפֿט אַרבעט
באַשטעטיקונגען, איבערבליק נאָטיצן, טעסט רעזולטאַטן און אינצידענט באַריכטן קענען זיין אַטאַטשט גלייך צו די קאָנטראָלס און טאַסקס וואָס זיי שטיצן, אַזוי אַז באַווייַזן זאַמלען זיך איבערן יאָר אָן אַ גערויש איידער אַדאַץ אָדער גרויסע קונה אַסעסמאַנץ. ווען עמעצער פרעגט ווי איר זיכערט און אָוווערסייט אייערע אינערלעכע דאַשבאָרדז, קענט איר זיי דורכפירן דורך קורצע, פֿאַרבונדענע רעקאָרדס אין ISMS.online אַנשטאָט צו יאָגן סקרעענשאָץ און דאָקומענטן איבער שערד דרייווז.
פֿאַר MSP'ס וואָס ווילן אַז זייערע אינערלעכע פּאָרטאַלן זאָלן אינספּירירן די זעלבע בטחון ווי זייערע עפנטלעכע זיכערהייט סטעיטמענטס, איז דאָס עקספּליציט פאַרוואַלטן פּאָרטאַל זיכערהייט אינעווייניק ISMS.online אַ דירעקטער וועג צו גיין פון "מיר זענען גאַנץ זיכער אַז עס איז זיכער" צו "דאָ איז ווי מיר רעגירן, אַרבעטן און באַווייַזן עס" - און צו טאָן דאָס אין אַ וועג וואָס סקאַלייז ווי דיין באַדינונגען, טימז און רעגולאַטאָרישע פליכטן וואַקסן.
