Oblasť kybernetickej bezpečnosti
GRC
GRC prepája governance, riadenie rizík, compliance, bezpečnostné politiky, audity, dôkazy a reporting do jedného riaditeľného rámca.
Slovník skratiek
Prehľad vysvetľuje skratky použité v tejto časti, aby bolo jasné, ktorú bezpečnostnú funkciu označujú.
- GRC
- Governance, Risk and CompliancePrepojenie riadenia, rizík, politík, kontrol, compliance a auditovateľných dôkazov.
Čo táto oblasť rieši
GRC prepája governance, risk management a compliance do riaditeľného systému. Nejde iba o dokumenty a auditné tabuľky, ale o schopnosť prepojiť riziká, politiky, kontroly, dôkazy, zodpovednosti, dodávateľov a reporting naprieč organizáciou.
Prečo je dôležitá
Regulácie ako NIS2, DORA, ISO 27001, GDPR alebo interné bezpečnostné rámce vyžadujú, aby organizácia vedela preukázať nielen existenciu opatrení, ale aj ich funkčnosť. GRC technológie pomáhajú znižovať manuálnu prácu, udržať konzistentné politiky, spravovať riziká dodávateľov a pripraviť zrozumiteľné reporty pre vedenie, vlastníkov rizík aj audit.
Ako sa v oblasti orientovať
GRC technológie majú pomôcť premeniť požiadavky regulácií a auditov na priebežné riadenie rizík. Dôležitá je schopnosť mapovať kontroly na technické dôkazy, automatizovať zber podkladov a udržať konzistentný obraz o riziku naprieč organizáciou. Pri reguláciách ako NIS2, DORA, GDPR alebo ISO 27001 rastie význam vlastníctva rizík, dodávateľského rizika a auditovateľnosti rozhodnutí.
Pri výbere GRC riešenia je potrebné posúdiť, či organizácia rieši najmä risk assessment, compliance automation, policy management, audit reporting alebo third-party risk. Niektoré nástroje sú vhodné na jednoduché evidencie, iné podporujú komplexné workflow, mapovanie kontrol na dôkazy, automatizovaný zber podkladov a sledovanie nápravných opatrení.
Zoznam technológií nižšie slúži ako mapa oblasti GRC. Najprv je vhodné pomenovať konkrétny bezpečnostný problém, potom vybrať najbližšiu technologickú kategóriu a až následne porovnávať výrobcov. Takýto postup pomáha oddeliť podobne znejúce riešenia a znižuje riziko, že sa do architektúry pridá ďalší nástroj bez jasnej úlohy.
Technická schéma sekcie
Otázky pri výbere riešenia
- Ktoré regulácie, normy alebo interné rámce musí organizácia plniť?
- Sú dôkazy zbierané manuálne alebo automatizovane z technických nástrojov?
- Je väčším problémom reporting, policy management alebo riadenie rizika dodávateľov?
- Ako sa budú sledovať výnimky, nápravné opatrenia a zodpovednosť vlastníkov rizík?
- Kto má byť vlastníkom rizík a kontrol v jednotlivých častiach organizácie?
Ako používať túto sekciu
Každá technologická stránka rozvíja samostatnú kategóriu, vysvetľuje jej miesto v architektúre a uvádza výrobcov z portfólia SecTec, ktorí s danou oblasťou súvisia. Sekčná stránka preto funguje ako vstupný bod pre orientáciu, zatiaľ čo detailné stránky pomáhajú pri konkrétnom mapovaní na riešenia.
Výrobcovia z portfólia SecTec
Pokrytie útokov a obranný kontext
MITRE ATT&CK® Enterprise verzie 19.1 používame ako referenčný model. Mapovanie je odbornou interpretáciou SecTec a neznamená schválenie alebo odporúčanie zo strany MITRE.
Praktické typy útokov
- Phishing a zneužitie identityÚtočník manipuluje používateľa, získava prihlasovacie údaje alebo zneužíva dôveryhodný účet na vstup do prostredia.
- Zneužitie verejnej aplikácie alebo APIÚtočník využíva zraniteľnú webovú aplikáciu, API, klientsky kód alebo dodávateľský komponent na prvotný prístup a vykonanie kódu.
- Kompromitácia cloudu a SaaSÚtočník zneužíva cloudové identity, oprávnenia, konfigurácie alebo aplikačné integrácie na prístup k službám a dátam.
- Pohyb útočníka v internej sietiPo prvotnom prístupe útočník objavuje systémy, účty a služby a presúva sa k hodnotnejším aktívam.
- Ransomware a narušenie dostupnostiÚtočník šifruje alebo manipuluje dáta, zastavuje služby, blokuje obnovu a spôsobuje prevádzkový dopad.
- Dodávateľský reťazec a dôveryhodný prístupÚtočník zneužíva dodávateľa, softvérovú závislosť, externý prístup alebo dôveryhodný vzťah na obídenie bežnej ochrany.
- Útoky na OT a IoT prostredieÚtočník objavuje priemyselné alebo pripojené zariadenia, zneužíva vzdialený prístup a sieťové služby a ohrozuje dostupnosť prevádzky.
- Business Email Compromise a prevzatie schránkyÚtočník prevezme alebo napodobní dôveryhodnú e-mailovú identitu a zneužije komunikáciu na podvod, zmenu platobných údajov, zber dát alebo ďalší phishing.
- Eskalácia oprávnení a perzistenciaÚtočník rozširuje oprávnenia, vytvára alebo mení účty a politiky a buduje si opakovaný prístup k systémom, identitám alebo cloudovému prostrediu.
- Obchádzanie ochrany a oslabovanie kontrolÚtočník skrýva aktivitu, odstraňuje stopy, maskuje kód alebo oslabuje bezpečnostné nástroje, šifrovanie, firewall a mechanizmy obnovy.
- Insider hrozba a zneužitie oprávneného prístupuInterný používateľ alebo útočník s platným účtom zneužíva legitímne oprávnenia na vyhľadávanie, kopírovanie, manipuláciu alebo odoslanie citlivých dát.
- DDoS a vyčerpanie zdrojovÚtočník zahlcuje sieť, aplikáciu, API alebo koncový systém a vyčerpáva kapacitu, spojenia alebo výpočtové zdroje s cieľom obmedziť dostupnosť služby.
- Nebezpečné spracovanie dát z cudzieho APIAplikácia dôveruje dátam alebo presmerovaniam z partnerského API viac než bežnému vstupu a prenesie kompromitáciu dodávateľa do vlastného prostredia.
Relevantné techniky ATT&CK
- T1078 · Valid AccountsPrevent, Validate
- T1098 · Account ManipulationValidate
- T1133 · External Remote ServicesPrevent, Validate
- T1195 · Supply Chain CompromisePrevent, Validate
- T1484 · Domain or Tenant Policy ModificationValidate
- T1685 · Disable or Modify ToolsValidate
- T1686 · Disable or Modify System FirewallValidate