De afgelopen jaren zijn de regeringen van veel landen wereldwijd zich steeds meer bewust geworden van de ontoereikende bescherming van consumentengegevens door bedrijven. Veel van hen hebben diverse wetten en regelgevingen ingevoerd om deze gevoelige gegevens te beschermen. Eind jaren negentig en begin jaren 2000 werden er veel wetten aangenomen met betrekking tot informatiebeveiliging. data privacyen verantwoording. Helaas heeft dit geleid tot ingewikkelde juridische kwesties voor de bedrijven.
Wat is het doel van deze regelgeving?
De meeste wetten worden aangenomen om de vertrouwelijkheid, integriteit en beschikbaarheid te beschermen van de informatie die van invloed is op de stakeholders van de organisatie (inclusief haar klanten). De verschillende wetten hebben de volgende doelen:
- Stel controles in en implementeer deze voor de bescherming van gegevens
- Onderhoud, bescherm en beoordeel nalevingsproblemen
- Kwetsbaarheden en afwijkingen identificeren en verhelpen
- Zorg voor rapportage waarmee u kunt aantonen dat de organisatie zich aan de regels houdt
Enkele van de belangrijkste wetten die de hierboven genoemde doelen willen bereiken, zijn:
- Sarbanes-Oxley-wet (SOX): De wet werd ingevoerd om investeerders te beschermen en bevatte strenge hervormingen om de financiële openbaarmaking te verbeteren en boekhoudfraude te voorkomen.
- Gramm-Leach-Bliley Act (GLBA): Deze wet is in de Verenigde Staten ingevoerd om de privacy en veiligheid te beschermen van individueel identificeerbare financiële informatie die door financiële instellingen wordt verzameld, bewaard en verwerkt.
- Wet op de portabiliteit en verantwoording van zorgverzekeringen (HIPAA): De regels in deze wet richten zich op beschermde gezondheidsinformatie die wordt verzameld door zorginstellingen, waaronder zorgverzekeraars. Ook niet-zorginstellingen kunnen hierdoor worden getroffen als zij zaken doen met bedrijven die direct onder de regelgeving vallen.
- De Federal Information Security Management Act van 2002 (FISMA): Deze wet werd ingevoerd om de computerbeveiliging te verbeteren en netwerk veiligheid binnen de Amerikaanse federale overheid en gelieerde partijen. Elke organisatie die als contractant voor de Amerikaanse federale overheid werkt, moet voldoen aan de bepalingen van deze wet.
Dit zijn enkele van de regelgevingen die alleen in de VS gelden. Ze hebben echter ook gevolgen voor organisaties uit veel andere landen die zakendoen met de Amerikaanse overheid of met in de VS gevestigde bedrijven. Andere landen hebben vergelijkbare bepalingen voor organisaties die actief zijn in hun markt. Naleving van deze regelgeving verhoogt de veiligheid en integriteit van de gegevens die zij verzamelen, bewaren en waarop zij vertrouwen voor hun bedrijfsvoering.
Incident Response Plan
Wat te doen bij een beveiligingsincident?
Ondanks de beste controlemechanismen zullen er zich beveiligingsincidenten voordoen die moeten worden aangepakt zodra ze zich voordoen. Elke organisatie heeft een incidentresponsplan nodig , niet alleen om te voldoen aan de regelgeving, maar ook om ervoor te zorgen dat incidenten op een gestructureerde manier worden afgehandeld en herhaling ervan wordt geminimaliseerd. Een goed ontworpen plan helpt organisaties om snel en efficiënt op gebeurtenissen te reageren zonder in paniek te raken.
Enkele belangrijke elementen van een goed incidentresponsplan zijn:
- Reikwijdte en doelstelling: Dit definieert de fundamentele elementen van het plan. Het omvat de gebeurtenissen, systemen, eindpunten, enz. die het moet bereiken.
- Incidentresponsteams, contacten, en verantwoordelijkheden: Het is belangrijk dat iedereen weet met wie hij/zij contact moet opnemen in geval van nood (incident). Zijn/haar gegevens, zoals naam, telefoonnummer en rol, moeten worden vastgelegd en overeengekomen. Het responsteam moet bestaan uit een hoofdverantwoordelijke en een reserveverantwoordelijke voor elke rol.
- Meldingsproces: Communicatie over het optreden van een incident met de betrokken partijen is absoluut noodzakelijk. De communicatie moet via de commandostructuur en door de hele organisatie stromen, zodat snel corrigerende maatregelen kunnen worden genomen en verdere schade kan worden voorkomen. Het incidentresponsplan moet een duidelijk meldings- en communicatieplan bevatten, samen met aangewezen contactpersonen en tijdlijnen. Het is cruciaal dat het meldingsproces zo eenvoudig mogelijk is. Niemand mag tijd verspillen aan het proberen te ontcijferen wat het plan beoogt, terwijl er dataverlies plaatsvindt.
- Noodactiviteiten: Dit onderdeel moet het proces beschrijven dat gevolgd moet worden om de inbreuk onmiddellijk te stoppen. Dit kan een kritieke patch zijn voor het besturingssysteem of de beveiligingssoftware (firewall of antivirus, enz.), of een volledige isolatie van het getroffen systeem van het hele netwerk. De noodmaatregelen moeten de primaire acties omvatten die elk team voor zijn gebied neemt.
- Incident sluiting: Dit onderdeel definieert de kernelementen die bepalend zijn voor de afsluiting van een beveiligingsincident. Gaat het om het blokkeren van informatielekken (het patchen van de software of het isoleren ervan van het netwerk), het melden en starten van juridische procedures of het herstellen van de dienstverlening? Het plan moet aangeven wanneer de noodsituatie (het incident) voorbij is (en niet eerder).
Incidentplanbeheer
Dit is een van de meest cruciale onderdelen van incidentmanagement. De taak van het incidentmanagementteam is niet klaar met alleen een plan. Omdat er dagelijks nieuwe cyberdreigingen opduiken, moet het incidentresponsplan regelmatig worden geëvalueerd om ervoor te zorgen dat het aansluit bij de veranderingen in de bedrijfs- en dreigingsomgeving. De effectiviteit van het plan kan worden beoordeeld aan de hand van de volgende criteria:
- Aantal gemelde incidenten
- Reactietijd of time-to-live van een incident
- Aantal succesvol opgeloste incidenten
- Aandacht voor veiligheidsvraagstukken binnen de organisatie
- Preventieve technieken en beveiligingspraktijken aanwezig
- Benchmarking tegen industrienormen
Informatiebeveiliging is een collectieve verantwoordelijkheid van ieder individu. Een organisatie kan één persoon (CISO) of één team aanwijzen om de leiding te nemen over beveiligingsinitiatieven. Ze kunnen niet slagen tenzij iedereen samenwerkt om de bedreigingen te beperken en ongeschonden uit de incidenten te komen. Mocht er een datalek optreden, dan helpt het Incident Management Plan organisaties om samen te werken en noodsituaties samenhangend aan te pakken.
Seqrite helpt bedrijven de IT-beveiliging te vereenvoudigen en de bedrijfsprestaties te maximaliseren. Lees meer over onze producten en diensten bezoek onze website.
