Киберкрепость: всестороннее руководство по компьютерной безопасности

Финансовая отрасль регулируется стандартом безопасности данных индустрии платежных карт (PCI DSS). Это правило распространяется на любую организацию, которая обрабатывает, хранит или передает информацию о кредитных картах. PCI DSS требует от организаций внедрения ряда средств контроля безопасности, включая брандмауэры, системы обнаружения и предотвращения вторжений и регулярное сканирование уязвимостей. Организации также должны внедрить строгий контроль доступа и регулярно отслеживать свои сети на предмет любой подозрительной активности.

Несоблюдение этих норм может привести к крупным штрафам и взысканиям, а также нанести ущерб репутации организации. Крайне важно, чтобы организации понимали, какие нормы применимы к их деятельности, и принимали необходимые меры безопасности для достижения и поддержания соответствия им.

Соответствие нормативным требованиям и нормативноправовые аспекты для облачных и мультиоблачных сред

Наиболее известными нормативно-правовыми требованиями к облачным и муль-тиоблачным средам являются Общий регламент по защите данных (GDPR) в ЕС и Федеральная программа управления рисками и авторизацией (FedRAMP) правительства США.

GDPR применяется к любой организации, обрабатывающей персональные данные граждан ЕС, и требует от нее принятия технических и организационных мер для защиты персональных данных от несанкционированного доступа, изменения или раскрытия. Это подразумевает внедрение шифрования, контроля доступа и процедур реагирования на инциденты.

FedRAMP — это программа, которая обеспечивает стандартизированный подход к оценке безопасности, авторизации и постоянному мониторингу облачных продуктов и услуг. Организации, которые хотят предоставлять облачные услуги правительству США, должны соответствовать требованиям безопасности, изложенным в FedRAMP.

Существует и ряд других нормативных требований, которые организации должны соблюдать, когда речь идет об облачных и мультиоблачных средах.

• Закон о переносимости и подотчетности медицинского страхования (HIPAA) регулирует обращение с защищенной медицинской информацией (PHI) в США. Организации, хранящие, обрабатывающие или передающие PHI, должны соблюдать требования HIPAA, которые включают внедрение средств контроля безопасности, таких как контроль доступа, шифрование и процедуры реагирования на инциденты.

• Стандарт безопасности данных индустрии платежных карт (PCI DSS) применяется к организациям, которые работают с данными о держателях карт. Компании должны внедрить средства контроля безопасности, такие как брандмауэры, системы обнаружения и предотвращения вторжений и шифрование, чтобы защитить данные держателей карт от несанкционированного доступа, изменения или раскрытия.

• Закон Сарбейнса — Оксли (SOX) применяется к публично торгуемым компаниям в США и требует от них поддержания внутреннего контроля и внедрения процедур финансовой отчетности. Это подразумевает внедрение средств контроля безопасности для защиты конфиденциальных финансовых данных от несанкционированного доступа, изменения или раскрытия.

Соблюдение нормативно-правовых требований играет важную роль в обеспечении сетевой безопасности, особенно когда речь идет об облачных и мультиоблач-ных средах. Для обеспечения защиты конфиденциальных данных организации должны понимать и соблюдать различные нормативно-правовые требования, применимые к конкретной отрасли, такие как GDPR, FedRAMP, HIPAA, PCI DSS и SOX. Это включает в себя внедрение технических и организационных мер, таких как шифрование, контроль доступа и процедуры реагирования на инциденты, для защиты персональных данных от несанкционированного доступа, изменения или раскрытия.

Роль шифрования в обеспечении соответствия нормативным и регулирующим требованиям

Когда речь идет о соблюдении нормативно-правовых требований к сетевой безопасности, шифрование играет важную роль. Шифрование — это процесс преобразования обычного текста в закодированный формат, известный как шифротекст, для защиты конфиденциальных данных от несанкционированного доступа. Для этого задействуются определенный алгоритм и ключ, который известен только отправителю и получателю. Шифрование используется для защиты данных при транспортировке, находящихся в состоянии покоя, а также в облачных и мультиоблачных средах.

Нормативные требования к сетевой безопасности, такие как HIPAA, PCI DSS и др., предписывают использование шифрования для защиты конфиденциальных данных. В этих нормативных актах изложены конкретные требования к шифрованию, такие как применение надежных алгоритмов шифрования, длина ключей и методы управления ключами.