8 najlepszych australijskich ram cyberbezpieczeństwa w 2023 r.

Jeśli jesteś australijską firmą i nie wiesz, jakich ram cyberbezpieczeństwa powinieneś przestrzegać, nie jesteś sam. W przeciwieństwie do Stanów Zjednoczonych, Australia nie ma obecnie jasnych obowiązkowych minimalnych standardów bezpieczeństwa cybernetycznego dla firm.

Prawdopodobnie zmieni się to w najbliższej przyszłości. Rząd Australii jest pod presją, aby poszedł w ślady Stanów Zjednoczonych i podniósł postawę kraju w zakresie cyberbezpieczeństwa.

Kiedy ta reforma bezpieczeństwa narodowego zostanie zakończona, prawdopodobnie zostaną wprowadzone standardy regulacyjne specyficzne dla branży, aby wzmocnić specyficzne podatności, które są unikalne dla każdego sektora. W międzyczasie australijskie firmy są krytycznie narażone na zagrożenia ze strony państw narodowych, dlatego muszą teraz przejąć odpowiedzialność za swoją odporność na zagrożenia cybernetyczne.

Według raportu Australian Digital Trust Report z 2020 r. 4-tygodniowe zakłócenie w krytycznej infrastrukturze cyfrowej spowodowane cyberatakiem kosztowałoby australijską gospodarkę 30 miliardów dolarów australijskich (1,5% PKB) lub 163 000 miejsc pracy.

Aby pomóc w wysiłkach na rzecz wzmocnienia odporności kraju na zagrożenia cybernetyczne, przygotowaliśmy listę najważniejszych środków kontroli i ram bezpieczeństwa cybernetycznego, które będą miały wpływ na australijskie firmy w 2023 roku.

Dowiedz się, jak UpGuard upraszcza zarządzanie ryzykiem dostawców >

1. Niezbędna ósemka

Essential Eight został opracowany przez Australijskie Centrum Bezpieczeństwa Cybernetycznego (ASCS) w 2017 roku, aby pomóc australijskim firmom w łagodzeniu zagrożeń cyberbezpieczeństwa i naruszeń danych. Ramy te są zalecane przez Australijską Dyrekcję ds. Sygnałów (ASD) dla wszystkich australijskich organizacji. Aby uzyskać więcej informacji na temat standardów bezpieczeństwa ASD, zapoznaj się z niniejszym Podręcznikiem bezpieczeństwa informacji (ISM).

Essential Eight (znana również jako ASD Essential Eight) składa się z ośmiu podstawowych strategii łagodzenia skutków lub kontroli bezpieczeństwa, które są podzielone na trzy główne cele.

Dowiedz się, jak zachować zgodność z CPS 230 >

Każda ze strategii wymienionych w ramach każdego celu jest powiązana z wytycznymi wdrożeniowymi rządu australijskiego.

Cel 1: Zapobieganie cyberatakom

Ta początkowa strategia ma na celu ochronę systemów wewnętrznych przed złośliwym oprogramowaniem, takim jak złośliwe oprogramowanie, oprogramowanie ransomware i inne zagrożenia cybernetyczne.

Cel 1 obejmuje 4 środki kontroli bezpieczeństwa.

• Łatanie luk w zabezpieczeniach aplikacji
• Kontrola aplikacji
• Hartowanie aplikacji użytkownika
• Konfiguracja ustawień makr MS Office

Dowiedz się, jak australijskie firmy mogą zapobiegać naruszeniom danych >

Cel 2: Ograniczenie zasięgu cyberataków

Cel ten ma na celu ograniczenie głębokości penetracji wszystkich złośliwych iniekcji. Osiąga się to poprzez wykrywanie i korygowanie wszystkich luk w zabezpieczeniach, tak aby cyberprzestępcy nie mogli ich wykorzystać.

Cel 1 obejmuje 3 środki kontroli w zakresie ochrony:

• Łatanie luk w systemie operacyjnym
• Ograniczanie dostępu administratora
• Implementowanie uwierzytelniania wieloskładnikowego (MFA)

Poznaj różnicę między 2FA a MFA >

Cel 3: Odzyskiwanie danych i dostępność systemu

Cel ten obejmuje ostatni etap incydentów związanych z bezpieczeństwem cybernetycznym. Kopie zapasowe wrażliwych zasobów danych muszą być stale tworzone, aby zapewnić dostępność systemu poprzez natychmiastowe odzyskiwanie danych.

Cel ten obejmuje ósmą i ostatnią kontrolę bezpieczeństwa - codzienne kopie zapasowe.

Dla każdej strategii łagodzenia skutków Australijski Wydział ds. Migracji zaleca, aby ramy Essential EIght były wdrażane w trzech fazach:

• Pierwszy poziom dojrzałości — częściowe dostosowanie do celów strategii łagodzenia skutków
• Drugi poziom dojrzałości — w większości zgodny z celami strategii łagodzenia skutków
• Trzeci poziom dojrzałości — w pełni zgodny z celami strategii łagodzenia skutków

Minimalny zalecany punkt odniesienia dla ochrony przed zagrożeniami cybernetycznymi to trzeci poziom dojrzałości.

Dowiedz się więcej o Essential Eight Framework >

Jakich branż dotyczy Essential Eight?

Australijska Dyrekcja ds. Sygnałów zaleca wszystkim australijskim jednostkom rządowym i firmom wdrożenie ram Essential Eight w celu uzyskania najlepszych praktyk w zakresie cyberbezpieczeństwa.

Czy niezbędna ósemka jest obowiązkowa dla australijskich firm?

Australijski rząd federalny wprowadzi ramy Essential Eight dla wszystkich 98 podmiotów niebędących korporacjami Wspólnoty Narodów. Zgodność z tymi ramami jest oczekiwana zarówno w przypadku podmiotów komercyjnych o charakterze korporacyjnym, jak i niekorporacyjnych (NCCE). Aby ocenić zgodność, podmioty te będą przechodzić kompleksowy audyt co 5 lat, począwszy od czerwca 2022 r

Wcześniej od jednostek rządowych oczekiwano, że będą przestrzegać tylko 4 najważniejszych strategii Essential Eight. Jednak po tym, jak audyt ujawnił fatalną odporność cybernetyczną w wielu departamentach rządowych, oczekiwania dotyczące zgodności rozszerzyły się na wszystkie osiem strategii wraz z włączeniem NCCE.

Od 2018 r. wszystkie firmy, których roczny obrót wynosi co najmniej 3 mln USD, muszą zgłaszać naruszenia danych do OAIC - niezależnie od tego, czy przyjęły ramy Essential Eight, czy nie.

Dowiedz się, jaka jest różnica między regulacją a ramami cybernetycznymi >

UpGuard umożliwia australijskim firmom osiągnięcie zgodności z podstawowymi ośmioma środkami kontroli bezpieczeństwa. Kompleksowy silnik monitorowania powierzchni ataku UpGuard zapewnia analizę luk w zabezpieczeniach w celu wsparcia wysiłków związanych z zabezpieczaniem aplikacji i przeprowadza audyt całego krajobrazu zagrożeń, aby aktualizować aplikacje z poprawkami.

Zamów bezpłatną wersję próbną UpGuard >

2. Ramy bezpieczeństwa cybernetycznego australijskiego sektora energetycznego (AESCSF)

Australijskie ramy bezpieczeństwa cybernetycznego sektora energetycznego (AESCSF) to coroczna ocena odporności cybernetycznej w australijskim sektorze energetycznym.

AESCSF został opracowany w 2018 r. jako wspólny wysiłek poprzez:

• Australijski Operator Rynku Energii (AEMO)
• Rząd Australii
• Grupa Robocza Branży Bezpieczeństwa Cybernetycznego (CSIWG)
• Centrum Infrastruktury Krytycznej (CIC)
• Australijskie Centrum Bezpieczeństwa Cybernetycznego (ACSC)

Dążąc do zastosowania najwyższego poziomu ochrony przed zagrożeniami cybernetycznymi w australijskiej infrastrukturze energetycznej, AESCSF łączy aspekty uznanych ram bezpieczeństwa z podejściem do zarządzania ryzykiem, takim jak:

• Ramy bezpieczeństwa cybernetycznego NIST (opracowane przez National Institute of Standards and Technology)
• NIST) SP 800-53
• Model dojrzałości zdolności w zakresie cyberbezpieczeństwa (C2M2)
• NIST SP 800-53
• COBIT (KOBIT)
• Niezbędna ósemka
• System zgłaszanych naruszeń danych (NDB)
• Norma ISO/IEC 27001
• Australijskie zasady ochrony prywatności

Aby uzyskać dostęp do zasobów dotyczących najnowszego programu AESCSF 2020-21, zapoznaj się ze stroną internetową australijskiego operatora rynku energii.

Do jakich branż ma zastosowanie Australijski Sektor Energetyczny (AESCSF)?

AESCSF został zaprojektowany dla australijskiego sektora energetycznego.

Czy Australijskie Ramy Bezpieczeństwa Cybernetycznego Sektora Energetycznego (AESCSF) są obowiązkowe dla australijskich firm?

AESCSF nie jest obowiązkowym systemem bezpieczeństwa dla australijskiego sektora energetycznego. Ponieważ jednak infrastruktura krytyczna jest obecnie celem cyberprzestępców, ramy te są zalecane ze względu na jasne programy ścieżki dojrzałości.

UpGuard obsługuje wiele popularnych ocen ryzyka cyberbezpieczeństwa i ram cyberbezpieczeństwa wykorzystywanych przez AESCSF.

Zamów bezpłatną wersję próbną UpGuard >

3. Kontrole WNP

Mechanizmy kontroli Center for Internet Security (CIS) to zestaw różnych środków bezpieczeństwa zaprojektowanych w celu ochrony systemów przed typowymi cyberatakami. Te strategie ograniczania ryzyka zostały zaprojektowane w celu zakłócenia cyklu życia cyberataku.

Struktura CIS została niedawno zaktualizowana z wersji 7.1 do wersji 8. Wersja 8 jest bardziej dostosowana do najnowszych trendów transformacji cyfrowej, które rozszerzają krajobraz zagrożeń. Należą do nich:

• Rozpowszechnienie pracy z domu
• Większa zależność od rozwiązań opartych na chmurze
• Zwiększona liczba mobilnych punktów końcowych
• Coraz powszechniejsze stosowanie wirtualizacji
• Przejście na hybrydową siłę roboczą, która różni się między środowiskiem biurowym a domowym

Kolejną oczywistą zmianą w wersji 8 CIS jest zmniejszenie liczby kontrolek - spadła ona z 20 do 18.

Zaktualizowana lista kontrolek CIS znajduje się poniżej:

• Kontrola CIS 1: Inwentaryzacja i kontrola aktywów przedsiębiorstwa
• CIS Control 2: Inwentaryzacja i kontrola zasobów oprogramowania
• CIS Control 3: Ochrona danych
• CIS Control 4: Bezpieczna konfiguracja zasobów i oprogramowania przedsiębiorstwa
• CIS Control 5: Zarządzanie kontem
• CIS Control 6: Zarządzanie kontrolą dostępu
• CIS Control 7: Ciągłe zarządzanie lukami w zabezpieczeniach
• CIS Control 8: Zarządzanie dziennikiem audytu
• CIS Control 9: Przeglądarka internetowa poczty e-mail i zabezpieczenia
• CIS Control 10: Ochrona przed złośliwym oprogramowaniem
• CIS Control 11: Odzyskiwanie danych
• CIS Control 12: Zarządzanie infrastrukturą sieciową
• CIS Control 13: Monitorowanie i obrona sieci
• CIS Control 14: Świadomość bezpieczeństwa i szkolenie w zakresie umiejętności
• CIS Control 15: Zarządzanie usługodawcami
• CIS Control 16: Bezpieczeństwo oprogramowania aplikacyjnego
• CIS Control 17: Zarządzanie reagowaniem na incydenty
• CIS Control 18: Testy penetracyjne

Różnica między kontrolami CIS a wzorcami CIS

Kontrolki CIS to lista zalecanych strategii zabezpieczania systemów i urządzeń. Benchmarki CIS to strategie wzmacniania zabezpieczeń dla produktów określonych dostawców.

Zakres testów porównawczych CIS obejmuje 100+ najlepszych praktyk w zakresie bezpieczeństwa od 25+ dostawców. Aby uzyskać dostęp do tej listy

Aby uzyskać więcej informacji, zobacz pełną listę testów porównawczych CIS

Do jakich branż ma zastosowanie Wspólnota Niepodległych Państw?

Mechanizmy kontroli CIS nie są specyficzne dla branży, każda organizacja może wzmocnić swoją postawę bezpieczeństwa, wdrażając mechanizmy kontroli CIS.

Kontrole CIS są szczególnie korzystne dla branż, które przechowują duże ilości poufnych informacji o użytkownikach końcowych, takich jak finanse, opieka zdrowotna, edukacja i prawo.

Czy kontrole CIS są obowiązkowe dla australijskich firm?

W chwili pisania tego tekstu przyjęcie ram kontroli WNP nie jest obowiązkowym wymogiem dla australijskich firm.

Kontrole CIS nie są obowiązkowe, ponieważ są zalecane ze względu na doskonałą ochronę poufnych danych, które oferują. Ponieważ ta struktura jest niezależna od branży, można ją łatwo potwierdzić pod kątem większości wymagań bezpieczeństwa.

UpGuard oferuje standardowy kwestionariusz bezpieczeństwa kontroli CIS w celu oceny zgodności z wytycznymi dotyczącymi najlepszych praktyk w zakresie cyberbezpieczeństwa określonymi w 18 kontrolach CIS.

Zamów bezpłatną wersję próbną UpGuard >

4. Macierz sterowania chmurą (CCM)

Ta matryca kontroli w chmurze (CCM) to ramy cyberbezpieczeństwa dla środowisk przetwarzania w chmurze. Ta struktura kontroli została stworzona przez Cloud Security Alliance (CSA) - organizację non-profit zajmującą się promowaniem najlepszych praktyk w zakresie bezpieczeństwa przetwarzania w chmurze.

CCM obejmuje podstawowe komponenty technologii chmury w 16 domenach, które rozgałęziają się na 133 cele kontrolne. Ta struktura może służyć do ujawniania luk w zabezpieczeniach w wysiłkach związanych z wdrażaniem chmury i dostarczania wskazówek dotyczących mechanizmów kontroli zabezpieczeń, które mogą je naprawić.

CCM jest szczególnie skuteczny, ponieważ odwzorowuje swoje mechanizmy kontroli na najważniejszych standardach i przepisach bezpieczeństwa, takich jak:

• Ustawa AICPA
• Oceny udostępnione w usłudze BITS
• Niemiecki BSI C5
• PIPEDA Kanada
• Fundacja AWS Wspólnoty Niepodległych Państw
• COBIT (KOBIT)
• COPPA
• ENISA IAF
• 95/46/WE Dyrektywa UE o ochronie danych
• Protokół FedRAMP
• Ustawa FERPA
• GAPP (Aplikacja)
• Ustawa HIPAA/HITECH
• HITRUST CSF
• Norma ISO/IEC 27001
• ISO/IEC 27002
• Norma ISO/IEC 27017
• Norma ISO/IEC 27018
• Prawo federalne Meksyku
• NERC CIP
• NIST SP800-53
• NZISM (Narodowość Nowoze
• ODCA UM: PA
• PCI DSS
• IEC 62443-3-3
• Klasa C5.

CCM obsługuje wszystkie strony w relacji przetwarzania w chmurze - klientów chmurowych i dostawców rozwiązań chmurowych.

Klienci korzystający z chmury

CCM oferuje kwestionariusz Consensus Assessments Initiative Questionnaire (CAIQ) dla klientów, którzy chcą przeanalizować działania swoich dostawców usług w zakresie bezpieczeństwa w chmurze, a mianowicie, jakie mechanizmy kontroli bezpieczeństwa są wdrażane dla produktów PaaS, IaaS i SaaS. CAIQ został niedawno zaktualizowany do wersji 4, do której można uzyskać dostęp tutaj.

Dostawcy rozwiązań w chmurze (CSP)

Dostawcy oferujący produkty w chmurze mogą przesyłać samooceny do CAIQ, aby wykazać zgodność ze standardami CMS. Ten dowód zgodności może być wysyłany do klientów lub używany do ubiegania się o rejestr zabezpieczeń, zaufania, gwarancji i ryzyka (STAR).

Członkostwo w tym rejestrze ma dwie zalety. Pierwszym z nich jest to, że zgodność z matrycą CCM jest weryfikowana przez CSA, co wzmacnia atrakcyjność relacji z dostawcą. Po drugie, dostawcy uwzględnieni w rejestrze mają publicznie dostępną całą dokumentację dotyczącą kontroli zabezpieczeń, co zmniejsza złożoność ocen dostawców.

Więcej informacji na temat Cloud Control Matrics można znaleźć w witrynie internetowej Cloud Security Alliance.

Czy matryca kontroli w chmurze jest obowiązkowa dla australijskich firm?

Matryca CCM nie jest obowiązkowym wymogiem w Australii. Ramy te mają jednak na celu odwzorowanie obowiązkowych przepisów i ram.

Organizacja Cloud Security Alliance utworzyła serię mapowań do Cloud Control Matrix (CCM), do których można uzyskać dostęp tutaj.

CSA regularnie aktualizuje tę listę, więc jeśli wymagane mapowanie ram cyberbezpieczeństwa nie znajduje się na tej liście, skontaktuj się z CSA, aby potwierdzić, czy będzie to w przyszłości.

UpGuard wspiera zgodność z każdym z celów kontroli CCM, oferując kwestionariusze bezpieczeństwa powiązane ze standardami, do których CCM się odnosi. UpGuard oferuje niestandardowy kreator kwestionariuszy, który umożliwia organizacjom kontekstualizację ich zgodności z CCM.

Zamów bezpłatną wersję próbną UpGuard >

5. Cele kontroli w zakresie technologii informacyjnych (COBIT)

COBIT został opracowany przez IT Governance Institute (ITGI) oraz Stowarzyszenie Audytu i Kontroli Systemów Informatycznych (ISACA). Ta struktura zarządzania IT została zaprojektowana w celu wspierania opracowywania, organizacji i wdrażania procesów, które poprawiają zarządzanie IT i najlepsze praktyki w zakresie cyberbezpieczeństwa.

Ramy COBIT są powszechnie stosowane w celu osiągnięcia zgodności z ustawą Sarbanesa-Oxleya (SOX). Jednak w przypadku ogólnych przypadków użycia COBIT pozwala organizacjom ocenić skuteczność ich inwestycji w IT w świetle ich celów biznesowych.

COBIT 2019 to najnowsza wersja frameworka, zaktualizowana z COBIT 5. COBIT 5 był najbardziej cenionym frameworkiem, ponieważ wymuszał odpowiedzialność, co uniemożliwiało interesariuszom

Ramy COBIT 2019 składają się z 6 zasad, przedstawionych poniżej. Dla porównania wymieniono również 5 zasad, które rządziły ramami COBIT 5.

Zasady COBIT 2019:

• Zasada 1: Zapewnij wartość dla interesariuszy
• Zasada 2: Podejście holistyczne
• Zasada 3: Dynamiczny system zarządzania
• Zasada 4: Ład korporacyjny odrębny od zarządzania
• Zasada 5: Dostosowane do potrzeb przedsiębiorstwa
• Zasada 6: Kompleksowy system zarządzania

Zasady COBIT 5:

• Zasada 1: Zaspokojenie potrzeb interesariuszy
• Zasada 2: Kompleksowe zarządzanie przedsiębiorstwem
• Zasada 3: Stosowanie jednolitych zintegrowanych ram
• Zasada 4: Umożliwienie holistycznego podejścia
• Zasada 5: Oddzielenie ładu korporacyjnego od zarządzania

Dowiedz się więcej o COBIT

Aby nadać kontekst potencjalnej implementacji COBIT, zapoznaj się z tymi studiami przypadków.

Do jakich branż ma zastosowanie COBIT?

COBIT wspiera wszystkie organizacje, którym zależy na niezawodnej dystrybucji istotnych informacji. Ta szeroka kategoryzacja obejmuje zarówno podmioty rządowe, jak i organizacje sektora prywatnego.

Czy ramy COBIT są obowiązkowe dla australijskich firm?

COBIT nie jest obowiązkowym systemem bezpieczeństwa cybernetycznego w Australii. Ponieważ jednak australijskie firmy emitujące i rejestrujące papiery wartościowe w Stanach Zjednoczonych muszą być zgodne z SOX, grupa ta dobrze by zrobiła, wdrażając COBIT, ponieważ obsługuje ona zgodność z SOX.

UpGuard ułatwia australijskim firmom osiągnięcie zgodności z SOX, co z kolei wspiera postęp w kierunku zgodności z COBIT.

Niektóre z protokołów, które wspierają ten wysiłek, obejmują:

• Zapewnienie odpowiednich polityk bezpieczeństwa informacji
• Wdrażanie zabezpieczeń w celu wykrywania i korygowania wycieków danych
• Korygowanie luk w zabezpieczeniach narażających poufne dane na ryzyko.

Zamów bezpłatną wersję próbną UpGuard >

6. Ramy polityki bezpieczeństwa ochronnego rządu Australii (PSPF)

Ramy polityki bezpieczeństwa ochronnego (PSPF) upoważniają australijskie jednostki rządowe do ochrony swoich ludzi, informacji i aktywów. Jego celem jest kultywowanie pozytywnej kultury bezpieczeństwa we wszystkich podmiotach. Ochrona ta obowiązuje na ziemi australijskiej i za granicą.

PSPF ma na celu realizację następujących polityk. Każda zasada jest powiązana z wytycznymi dotyczącymi podstawowych wymagań.

• Zarządzanie zabezpieczeniami
• Bezpieczeństwo informacji
• Bezpieczeństwo personelu
• Bezpieczeństwo fizyczne

Istnieje 5 zasad PSPF, które reprezentują pożądane wyniki w zakresie bezpieczeństwa:

1. Odpowiedzialność za bezpieczeństwo spoczywa na wszystkich — pozytywna kultura zabezpieczeń wspiera osiąganie wyników w zakresie bezpieczeństwa.
2. Zabezpieczenia umożliwiają prowadzenie działalności przez instytucje rządowe — usługi mogą być świadczone wydajniej, jeśli są bezpieczne.
3. Środki bezpieczeństwa chronią aktywa i ludzi przed powiązanymi z nimi zagrożeniami cybernetycznymi.
4. Każdy dział bierze na siebie odpowiedzialność za swoje nieodłączne i szczątkowe ryzyko.
5. Reagowanie na incydenty związane z bezpieczeństwem powinno być stale przeglądane i ulepszane.

Jakich branż dotyczy PSPF?

Ramy polityki bezpieczeństwa ochronnego (PSPF) mają zastosowanie do wszystkich australijskich jednostek rządowych i podmiotów niebędących korporacjami Wspólnoty Narodów.

Czy Protective Security Policy Framework (PSPF) jest obowiązkowy dla australijskich firm?

PSPF musi być stosowany w odniesieniu do australijskich jednostek rządowych i jednostek rządowych niebędących przedsiębiorstwami zgodnie z ich profilami ryzyka.

PSPF stał się krytycznym wymogiem dla organów rządowych w 2018 r., kiedy Prokurator Generalny ustanowił ramy jako politykę rządu australijskiego.

PSPF jest również uważany za najlepszą praktykę w zakresie cyberbezpieczeństwa dla wszystkich australijskich agencji stanowych i terytorialnych.

Jak zachować zgodność z ramami polityki bezpieczeństwa ochronnego (PSPF)

UpGuard wspiera zgodność z ramami Protective Security Policy Framework (PSPF), oferując pojedynczy wgląd w całą powierzchnię ataku, aby pomóc wszystkim działom przejąć odpowiedzialność za ich stan bezpieczeństwa

Zamów bezpłatną wersję próbną UpGuard >

7. Australijska ustawa o bezpieczeństwie infrastruktury krytycznej z 2018 r.

Australijska ustawa o bezpieczeństwie infrastruktury krytycznej z 2018 r. (SOCI Act) ma na celu ochronę australijskiej infrastruktury przed zagranicznymi cyberatakami. Zakres uprawnień, funkcji i obowiązków zawartych w tej ustawie ma zastosowanie do określonych aktywów infrastruktury krytycznej w sektorach elektroenergetycznym, gazowym, wodnym i portowym.

Istnieją trzy podstawowe dyrektywy australijskiej ustawy o bezpieczeństwie infrastruktury krytycznej:

1. Właściciele i operatorzy infrastruktury krytycznej muszą rejestrować wszystkie istotne aktywa.
2. Właściciele i operatorzy infrastruktury krytycznej muszą dostarczać Departamentowi Spraw Wewnętrznych wszystkie wymagane informacje, które mogą wesprzeć wysiłki centrum w zakresie bezpieczeństwa.
3. Właściciele i operatorzy infrastruktury krytycznej muszą stosować się do wszystkich instrukcji Ministra Spraw Wewnętrznych, które wspierają ograniczanie zagrożeń dla bezpieczeństwa narodowego, w przypadku gdy wszystkie inne działania mające na celu ograniczenie ryzyka zostały zrealizowane. był wyczerpany.

W dniu 10 grudnia 2020 r. rząd Australii przedstawił projekt ustawy o zmianie ustawodawstwa w zakresie bezpieczeństwa w celu rozszerzenia definicji infrastruktury krytycznej w ustawie SOCI.

Nowelizacja rozszerza zakres stosowania ustawy SOCI na 11 klas infrastruktury krytycznej, w tym:

• Komunikacji
• Przechowywanie i przetwarzanie danych
• Obrona
• Usługi i rynki finansowe
• Żywność i artykuły spożywcze
• Opieka zdrowotna i medyczna
• Transport
• Szkolnictwo wyższe i badania naukowe
• Energia
• Technologia kosmiczna
• Wodociągi i kanalizacja

Więcej informacji na temat ustawy można znaleźć w poniższych zasobach:

• Przegląd ustawy o bezpieczeństwie infrastruktury krytycznej z 2018 r.
• Pokrycie infrastrukturą krytyczną
• Obowiązki jednostki sprawozdawczej

Nuta:

Ramy ustawy SOCI zostały zreformowane w celu wzmocnienia cyberbezpieczeństwa infrastruktury krytycznej Australii. Zaktualizowane ramy zostały określone w ustawie SLACIP.

Do jakich branż ma zastosowanie australijska ustawa o bezpieczeństwie infrastruktury krytycznej?

Australijska ustawa o bezpieczeństwie infrastruktury krytycznej z 2018 r. ma zastosowanie do sektorów energii elektrycznej, gazu, wody i portów, które posiadają określony zakres aktywów krytycznych.

Czy ustawa o bezpieczeństwie infrastruktury krytycznej z 2018 r. jest obowiązkowa dla australijskich firm?

W chwili pisania tego tekstu nie ma żadnych ogłoszeń egzekwujących zgodność z SOCI 2018.

UpGuard wspiera zgodność z SOCI 2018 i jego zreformowanymi kontrolami bezpieczeństwa, pomagając krytycznej infrastrukturze wykrywać i usuwać wycieki danych i luki w zabezpieczeniach, ujawniając krytyczne zasoby i dostawców zewnętrznych w łańcuchu dostaw.

Zamów bezpłatną wersję próbną UpGuard >

8. ISO/IEC 38500

ISO/IEC 38500 to międzynarodowa norma dotycząca ram zarządzania IT. Zapewnia bezpieczeństwo wszystkich procesów zarządczych i decyzji, które mają wpływ na obecne i przyszłe wykorzystanie technologii informatycznych.

Norma ISO/IEC 38500 upoważnia wiele stron do przejęcia odpowiedzialności za stan bezpieczeństwa firmy, w tym:

• Menedżerowie wykonawczy
• Użytkownicy z dostępem do wszystkich zasobów organizacji.
• Dostawcy zewnętrzni
• Specjaliści techniczni
• Konsultantów
• Audytorów

Ramy te opierają się na sześciu zasadach:

1. Ustal jasno określone obowiązki
2. Wspieranie celów organizacji
3. Dokonuj strategicznych przejęć
4. Upewnij się, że wskaźniki KPI zostały przekroczone
5. Zapewnienie zgodności z regułami
6. Weź pod uwagę wszystkie czynniki ludzkie

Aby uzyskać więcej informacji, zapoznaj się z oficjalnym dokumentem normy ISO/IEC 38500 2015.

Czy norma ISO/IEC 38500 jest obowiązkowa dla australijskich firm?

ISO 38500 to międzynarodowy standard bezpieczeństwa IT, więc oczekuje się, że australijskie firmy będą przestrzegać tych ram.

Wszystkie rodzaje firm powinny dążyć do zapewnienia zgodności z normą ISO 38500, w tym:

• Przedsiębiorstwa publiczne i prywatne
• Jednostki rządowe
• Organizacje non-profit
• Firmy każdej wielkości, niezależnie od sposobu korzystania z IT.

UpGuard pomaga organizacjom dostosować bezpieczeństwo IT do ich celów biznesowych, bezproblemowo rozszerzając monitorowanie powierzchni ataku o procesy IT i wspierając efektywne skalowanie programów cyberbezpieczeństwa.

Obejrzyj poniższy film, aby dowiedzieć się, jak UpGuard upraszcza raportowanie zgodności z ISO 27001 i NIST CSF.