Центр интернет-безопасности - Википедия - Center for Internet Security

Центр Интернет-безопасности
Center for Internet Security Logo.png
Логотип Центра Интернет-безопасности
ОснованОктябрь 2000 г.[1]
Тип501 (с) (3) некоммерческая организация[2]
Легальное положениеАктивный
Место расположения
Координаты42 ° 36′44 ″ с.ш., 73 ° 41′58 ″ з.д.
Председатель и временно исполняющий обязанности генерального директора
Джон С. Гиллиган[4][5]
Ключевые люди
Стивен Дж. Спано, президент и главный операционный директор; Кертис В. Дьюкс, исполнительный вице-президент; Совет директоров,[6] Исполнительный комитет[7]
ПринадлежностиISACA, AICPA, IIA, ISC2, Институт SANS[1]
Интернет сайтwww.cisecurity.org

В Центр Интернет-безопасности (СНГ) это 501 (с) (3) некоммерческая организация,[2][3] образована в октябре 2000 года.[1] Его миссия состоит в том, чтобы «идентифицировать, разрабатывать, проверять, продвигать и поддерживать передовые практические решения для киберзащита и создавать и вести сообщества, чтобы создать атмосферу доверия в киберпространство ".[8] Головной офис организации находится в г. East Greenbush, Нью-Йорк, членами которого являются крупные корпорации, правительственные учреждения и академические учреждения.[1]

В СНГ работает закрытый краудсорсинг модель для определения и уточнения эффективных мер безопасности, с отдельными лицами, разрабатывающими рекомендации, которые передаются сообществу для оценки через принятие консенсусных решений процесс. На национальном и международном уровнях CIS играет важную роль в формировании политик и решений в области безопасности, поддерживая CIS Controls и CIS Benchmarks, а также размещая Многогосударственный центр обмена и анализа информации (MS-ISAC).[9]

Программные области

В CIS есть несколько программных областей, включая MS-ISAC, CIS Controls, CIS Benchmarks, CIS Communities и CIS CyberMarket. В рамках этих программных областей CIS работает с широким кругом организаций, в том числе в академия, правительство, частный сектор и широкая общественность, чтобы повысить свою онлайн-безопасность, предоставляя им продукты и услуги, которые повышают эффективность и результативность безопасности.[10][11]

Межгосударственный центр обмена и анализа информации (MS-ISAC)

Межгосударственный центр обмена и анализа информации (MS-ISAC) - это «круглосуточный центр мониторинга и смягчения киберугроз для государственных и местных органов власти», управляемый CIS в рамках партнерства с Управлением кибербезопасности и коммуникаций в Министерство внутренней безопасности США (DHS).[2] MS-ISAC была создана в конце 2002 года и официально запущена в январе 2003 года Уильямом Ф. Пелгрином, тогдашним начальником службы безопасности штата Нью-Йорк.[12] Начиная с небольшой группы государств-участников на северо-востоке, MS-ISAC стал включать все 50 штатов США и район Колумбии, а также территориальные, племенные и местные органы власти США. Чтобы способствовать расширению масштабов своей деятельности, в конце 2010 года MS-ISAC «перешла в некоммерческий статус под эгидой Центра интернет-безопасности». Переходу способствовало то, что CIS имела «прочную репутацию в области предоставления ресурсов кибербезопасности государственному и частному секторам».[12][13]

MS-ISAC «помогает государственным органам бороться с киберугрозами и тесно сотрудничает с федеральными правоохранительными органами»,[14][15] и обозначен DHS как ключ информационная безопасность ресурс для национальных правительств штатов, местных, территориальных и племенных (SLTT). Операционный центр кибербезопасности MS-ISAC 24x7 выполняет сетевой мониторинг, выдает ранние предупреждения и рекомендации о киберугрозах, а также выполняет выявление и устранение уязвимостей, а также реагирование на инциденты.[16]

Основные цели MS-ISAC описываются следующим образом:[17]

  • обеспечить двусторонний обмен информацией и раннее предупреждение об угрозах кибербезопасности
  • обеспечить процесс сбора и распространения информации об инцидентах кибербезопасности
  • способствовать пониманию взаимозависимостей между кибер и физической критической инфраструктурой, а также между различными секторами
  • координировать обучение и осведомленность
  • убедиться, что все необходимые стороны являются полноправными партнерами в этих усилиях

Центр обмена и анализа информации об инфраструктуре выборов (EI-ISAC)

Центр обмена и анализа информации об избирательной инфраструктуре (EI-ISAC), учрежденный Координационным советом правительства подсектора избирательной инфраструктуры (GCC), является важным ресурсом для предотвращения киберугроз, защиты, реагирования и восстановления для государства, местного, территориального , и избирательные бюро племен (SLTT). EI-ISAC находится в ведении Center for Internet Security, Inc.

Миссия EI-ISAC заключается в улучшении общей кибербезопасности избирательных офисов SLTT посредством сотрудничества и обмена информацией между членами, Министерством внутренней безопасности США (DHS) и другими федеральными партнерами, а партнеры из частного сектора являются ключом к успеху. . EI-ISAC предоставляет центральный ресурс для сбора информации о киберугрозах для избирательной инфраструктуры и двустороннего обмена информацией между государственным и частным секторами с целью выявления, защиты, обнаружения, реагирования и восстановления после атак на государственные и частные выборы. инфраструктура. И EI-ISAC состоит из представителей избирательных комиссий SLTT и подрядчиков, поддерживающих избирательную инфраструктуру SLTT.[18]

CIS Controls и контрольные показатели CIS

CIS Controls и CIS Benchmarks обеспечивают глобальные стандарты интернет-безопасности и являются признанным мировым стандартом и передовыми методами защиты ИТ-систем и данных от атак.[3] СНГ поддерживает "CIS Controls ", популярный набор из 20 мер безопасности," который соответствует многим стандартам соответствия "и применим к Интернет вещей.[19] Благодаря независимому процессу достижения консенсуса, CIS Benchmarks предоставляет основы, которые помогают организациям повысить свою безопасность. CIS предлагает множество бесплатных ресурсов,[20] которые включают «тесты безопасной конфигурации, автоматизированные инструменты и контент для оценки конфигурации, показатели безопасности и сертификаты программных продуктов безопасности».[11]

CIS Controls отстаивает «модель многоуровневой защиты для предотвращения и обнаружения вредоносных программ».[21] Исследование, проведенное в мае 2017 года, показало, что «в среднем организации не проходят 55% проверок соответствия, установленных Центром интернет-безопасности», причем более половины этих нарушений относятся к проблемам высокой степени серьезности.[22] В марте 2015 года CIS запустила CIS Hardened Images для Веб-сервисы Amazon, в ответ на «растущую озабоченность по поводу безопасности данных, хранящихся на виртуальных серверах в облаке».[23] Ресурсы были доступны как Изображения машин Amazon, для шести «систем, устойчивых к тестам CIS», включая Майкрософт Виндоус, Linux и Ubuntu, с дополнительными изображениями и поставщиками облачных услуг, добавленными позже.[23] Компания CIS выпустила сопутствующие руководства по контролю над CIS, рекомендации по действиям по противодействию атакам кибербезопасности, а новые руководства были выпущены в октябре и декабре 2015 года.[24] В апреле 2018 года CIS запустила метод оценки рисков информационной безопасности для внедрения CIS Controls, называемый CIS RAM, который основан на стандарте оценки рисков Совета DoCRA.[25]

CIS Benchmarks - результат сотрудничества Консенсус-сообщества и CIS SecureSuite члены (класс участников СНГ с доступом к дополнительным наборам инструментов и ресурсов).[26] Консенсусное сообщество состоит из экспертов в области ИТ-безопасности, которые используют свои знания и опыт, чтобы помочь глобальному Интернет-сообществу. Члены CIS SecureSuite состоят из нескольких различных типов компаний различного размера, включая государственные учреждения, колледжи и университеты, некоммерческие организации, ИТ-аудиторов и консультантов, поставщиков программного обеспечения для обеспечения безопасности и другие организации. CIS Benchmarks и другие инструменты, предоставляемые CIS бесплатно, позволяют ИТ-специалистам создавать отчеты, сравнивающие безопасность их систем с универсальным стандартом консенсуса. Это способствует созданию новой структуры интернет-безопасности, за которую несут ответственность все, и которую разделяют высшие руководители, специалисты в области технологий и другие пользователи Интернета по всему миру. Кроме того, CIS предоставляет инструменты интернет-безопасности с функцией подсчета баллов, которая оценивает безопасность конфигурации системы. Например, CIS предоставляет участникам SecureSuite доступ к CIS-CAT Pro, «кроссплатформенному Java-приложению», которое сканирует целевые системы и «создает отчет, сравнивающий ваши настройки с опубликованными эталонными тестами».[10] Это предназначено для поощрения и мотивации пользователей к повышению оценок, выставленных программным обеспечением, что способствует повышению безопасности их Интернета и систем. Универсальный консенсусный стандарт, применяемый в CIS, основан на накопленных знаниях опытных профессионалов в области технологий. Поскольку профессионалы в области интернет-безопасности добровольно вносят свой вклад в достижение этого консенсуса, это снижает затраты для CIS и делает его рентабельным.[27]

КиберМаркет СНГ

CIS CyberMarket - это «программа совместных закупок, которая обслуживает государственные, местные, племенные и территориальные (SLTT) государственные организации США, некоммерческие организации, а также учреждения здравоохранения и образования с целью повышения кибербезопасности за счет экономически эффективных групповых закупок».[28] Целью CIS CyberMarket является объединение покупательной способности государственного и некоммерческого секторов, чтобы помочь участникам улучшить состояние своей кибербезопасности с меньшими затратами, чем они могли бы достичь самостоятельно. Программа помогает решить «трудоемкую, дорогостоящую, сложную и пугающую» задачу по поддержанию кибербезопасности, работая с государственным и частным секторами, чтобы предоставить своим партнерам рентабельные инструменты и услуги. Комбинированные возможности покупки рассматриваются экспертами в предметной области.[17]

Кибермаркет СНГ преследует три основные цели:

  • способствовать созданию доверенной среды для улучшения состояния кибербезопасности ранее упомянутых организаций
  • снизить стоимость потребностей в кибербезопасности
  • работать с компаниями, чтобы предлагать своим партнерам услуги и продукты безопасности[17]

CIS CyberMarket, как и MS-ISAC, обслуживает государственные учреждения и некоммерческие организации в целях повышения кибербезопасности. На его странице «Ресурсы» бесплатно доступны многочисленные информационные бюллетени и документы, в том числе «Справочник по кибербезопасности для городов и округов».[16]

Сообщества СНГ

Сообщества СНГ - это «волонтерское глобальное сообщество ИТ-профессионалов».[3] которые «постоянно совершенствуют и проверяют» лучшие практики и инструменты кибербезопасности в СНГ.[29] Для разработки и структурирования своих тестов CIS использует стратегию, в которой члены организации сначала объединяются в команды. Затем каждая из этих команд собирает предложения, советы, официальную работу и рекомендации от нескольких участвующих организаций. Затем команды анализируют свои данные и информацию, чтобы определить, какие наиболее важные параметры конфигурации могут улучшить безопасность интернет-системы в максимально возможном количестве рабочих параметров. Каждый член команды постоянно работает со своими товарищами по команде, критически анализирует и критикует черновик, пока в команде не сформируется консенсус. Перед тем, как тесты будут выпущены для широкой публики, они доступны для загрузки и тестирования среди сообщества. После изучения всех отзывов о тестировании и внесения любых необходимых корректировок или изменений окончательный тест и другие соответствующие инструменты безопасности становятся общедоступными для загрузки через веб-сайт CIS. Этот процесс настолько обширен и так тщательно выполняется, что в нем участвуют тысячи специалистов по безопасности со всего мира. Согласно ISACA, «при разработке CIS Benchmark для Sun Microsystems Солярис, более 2500 пользователей загрузили инструменты для тестирования и мониторинга ».[30]

Участвующие организации

Среди организаций, участвовавших в создании СНГ в октябре 2000 г. ISACA, то Американский институт сертифицированных бухгалтеров (AICPA), Институт внутренних аудиторов (IIA), Международный консорциум по сертификации безопасности информационных систем (ISC2) и Институт SANS (Системное администрирование, Сеть и безопасность). С тех пор СНГ выросло и насчитывает сотни членов с разной степенью членства, а также сотрудничает и работает с множеством организаций и членов как на национальном, так и на международном уровне. Некоторые из этих организаций включают организации как в государственном, так и в частном секторах, правительстве, ISAC и правоохранительных органах.[1]

Рекомендации

  1. ^ а б c d е Крейтнер, Клинт; Миуччо, Берт. «Центр Интернет-безопасности: Глобальные эталоны безопасности для компьютеров, подключенных к Интернету». Ассоциация аудита и контроля информационных систем (ISACA). Архивировано из оригинал 12 марта 2014 г.. Получено 25 июля, 2017.
  2. ^ а б c d Рулисон, Ларри (9 ноября 2016 г.). «Группа Э. Гринбуша следила за выборами для хакеров». Albany Times Union.
  3. ^ а б c d Буонанно, Николай (22 мая 2017 г.). «Старшеклассники проходят стажировку по кибербезопасности». Запись.
  4. ^ Акерман, Роберт К .; Пендлтон, Бринн (28 июня 2017 г.). «Больше, чем просто обычные киберугрозы». Сигнал.
  5. ^ "Джон М. Гиллиган". Центр Интернет-безопасности. Получено 25 июля, 2017.
  6. ^ «Центр Интернет-безопасности Совет директоров». Центр Интернет-безопасности. Получено 25 июля, 2017.
  7. ^ «Исполнительный комитет Центра интернет-безопасности». Центр Интернет-безопасности. Получено 25 июля, 2017.
  8. ^ а б "О нас". Центр Интернет-безопасности. Получено 25 июля, 2017.
  9. ^ Назли Шукри, Стюарт Мэдник и Присцилла Кёпке, Институты кибербезопасности: международные меры реагирования и инициативы по обмену данными, Рабочий документ CISL № 2016-10 (август 2016 г.) Лаборатория междисциплинарных систем кибербезопасности (CISL), Школа менеджмента Sloan, Массачусетский технологический институт.
  10. ^ а б «Информационная безопасность и политика: о Центре интернет-безопасности». Калифорнийский университет в Беркли. Получено 25 июля, 2017.
  11. ^ а б «Инструменты тестирования безопасности СНГ». Университет Джорджа Мейсона. Получено 25 июля, 2017.
  12. ^ а б Лорманн, Дэн (30 мая 2015 г.). «Интервью с уходящим на пенсию основателем MS-ISAC Уиллом Пелгрином и новым генеральным директором в СНГ Джейн Лют». Правительственные технологии.
  13. ^ «Межгосударственный центр обмена и анализа информации». Центр Интернет-безопасности. Получено 2014-03-21.
  14. ^ Накашима, Эллен (29 августа 2016 г.). «Русские хакеры атаковали избирательную систему Аризоны». Вашингтон Пост.
  15. ^ Роберт М. Кларк и Саймон Хаким, Защита критически важной инфраструктуры на государственном, провинциальном и местном уровнях: проблемы кибер-физической безопасности, Кибер-физическая безопасность (11 августа 2016 г.), стр. 11.
  16. ^ а б «Добро пожаловать в MS-ISAC». Центр Интернет-безопасности. Получено 25 июля, 2017.
  17. ^ а б c «Центр Интернет-безопасности». Центр Интернет-безопасности. Получено 25 июля, 2017.
  18. ^ «Устав EI-ISAC®».
  19. ^ Рассел, Брайан; Ван Дурен, Дрю (2016). Практическая безопасность Интернета вещей. п. 83. ISBN  978-1785880292.
  20. ^ Уэстби, Джоди Р. (2004). Международное руководство по кибербезопасности. п. 213. ISBN  1590313321.
  21. ^ Шелтон, Дебби (декабрь 2016 г.). «Выигрышная пара: управление и автоматизированный контроль должны работать в тандеме для достижения максимальных результатов». Внутренний бухгалтер-ревизор.
  22. ^ Тюлени, Тара (26 мая 2017 г.). «Облачные среды часто страдают от недостатка передовых методов безопасности». Журнал Infosecurity.
  23. ^ а б Тюлени, Тара (25 марта 2015 г.). «Центр целей интернет-безопасности в AWS». Журнал Infosecurity.
  24. ^ Тюлени, Тара (23 декабря 2015 г.). "Центр безопасности Интернета выпускает дополнительные руководства". Журнал Infosecurity.
  25. ^ "FAQ RAM CIS". Сайт CIS® (Center for Internet Security, Inc.).
  26. ^ «Членство в CIS SecureSuite». Получено 25 июля, 2016.
  27. ^ «Центр безопасности в Интернете играет ведущую роль в усилиях отрасли по повышению автоматизации безопасности». Деловой провод. 12 сентября 2013 г.
  28. ^ «КиберМаркет СНГ». Получено 25 июля, 2017.
  29. ^ "Сообщества СНГ". Получено 29 июля, 2017.
  30. ^ "ISACA: Обслуживание профессионалов в области управления ИТ". Архивировано из оригинал 2 марта 2013 г.. Получено 7 марта, 2014.

внешняя ссылка