Basisvereisten voor cyberbeveiliging voor federale aannemers

Federale contractanten worden gehouden aan extreem hoge normen voor informatiebeveiliging. Met de recente introductie van nieuwe "Basic Safeguarding"-normen voor informatiesystemen voor aannemers, zullen veel bedrijven merken dat hun contracten met de federale overheid worden beëindigd, tenzij ze de naleving kunnen verifiëren.

De nieuwe regels zijn van toepassing op aannemers die samenwerken met federale agentschappen, waaronder het ministerie van Defensie, de General Services Administration en NASA. Verschillende vereisten om naleving te waarborgen zijn nu uiteengezet in de Federal Acquisition Regulation.

Er zijn vijftien nieuwe specificaties uitgewerkt in zes categorieën:

Toegangscontrole

Toegang tot informatiesystemen moet worden beperkt tot geautoriseerde gebruikers, processen die namens die gebruikers optreden, of apparaten, waaronder andere informatiesystemen.

• • Toegang tot het informatiesysteem moet worden beperkt tot dat soort functies en transacties die geautoriseerde gebruikers mogen uitvoeren.
• • Systemen moeten verbindingen met en het gebruik van externe gegevens (“informatie”) verifiëren en controleren.
• • Systemen moeten gebruikers, processen en apparaten identificeren die toegang hebben tot informatiesystemen en deze gebruiken.
• • Informatie die via openbaar beschikbare systemen wordt gepost of verwerkt, moet worden gecontroleerd.

Identificatie en authenticatie

Toegang tot informatiesystemen moet worden beperkt tot geautoriseerde gebruikers, processen die namens die gebruikers optreden, of apparaten, waaronder andere informatiesystemen.

• • Organisaties moeten de identiteit van gebruikers, processen of apparaten verifiëren als voorwaarde voor het verlenen van toegang tot informatiesystemen van de organisatie.
• • Ze moeten informatiesysteemmedia die gevoelige contractgegevens bevatten vernietigen of op een andere manier "opschonen" voordat ze worden weggegooid of hergebruikt.

Mediabescherming

Organisaties mogen alleen de fysieke toegang tot informatiesystemen, hun apparatuur en de betrokken bedrijfsomgeving beperken tot geautoriseerd personeel.

Fysieke bescherming

• • Organisaties moeten auditlogboeken bijhouden van fysieke toegang, controle behouden en de toegang tot fysieke apparaten beheren, en alle bezoekers begeleiden en hun activiteiten controleren.
• • Ze moeten de juiste monitoring van organisatorische communicatie controleren, beschermen en onderhouden, zoals gegevens die worden verzonden of ontvangen aan de organisatorische grenzen (extern en intern).

Systeem- en communicatiebeveiliging

• • Organisaties moeten subnetwerken implementeren voor die systeemcomponenten die toegankelijk zijn voor het publiek en logisch of fysiek gescheiden zijn van het interne netwerk.
• • Ze moeten fouten in gedekte informatiesystemen snel en tijdig identificeren, rapporteren en corrigeren.

Systeem- en informatie-integriteit

• • Organisaties moeten bescherming bieden tegen schadelijke code in de informatiesystemen van de organisatie.
• • Ze moeten de bescherming tegen schadelijke code bijwerken wanneer er nieuwe releases beschikbaar zijn.
• • Ze moeten periodieke scans uitvoeren van het informatiesysteem als geheel en realtime scans van bestanden die zijn ontvangen van externe bronnen (bijvoorbeeld wanneer ze zijn gedownload, uitgevoerd of geopend).

ISSQUARED biedt twee beheerde beveiligingsservices om organisaties te helpen aan deze vereisten te voldoen:

SIEM As-a-Service

SOC As-a-Service

Beheerde SIEM begrijpen

Tijdige melding van kritieke beveiligingsgebeurtenissen is de belangrijkste focus van de SIEM. Beheerde beveiligingsservices maken het mogelijk om gebruik te maken van bestaande gevirtualiseerde architectuur om de SIEM te hosten zonder in-house expertise in te zetten voor het bouwen, beheren en onderhouden ervan.

Met compatibele beheerde beveiligingsservices worden belangrijke services zoals rapportage, waarschuwingen, configuratie en afstemming van gerelateerde functionaliteit uitgevoerd door experts. Dit kosteneffectieve, op OpEx gerichte model biedt mogelijkheden tegen een kleine fractie van wat interne expertise zou kosten.

SOC as a Service begrijpen

De meeste nalevingsnormen hebben in de kern een strikte controlevereiste - dat wil zeggen dat een cyberbeveiligingsexpert periodiek gebeurtenislogboeken moet controleren. Managed security services helpen u deze intensieve behoefte tegen redelijke kosten op te schalen via een outsourcingmodel.

Bij het vergelijken van SOC-leveranciers is het essentieel om u te concentreren op die met in de VS gevestigde activiteiten en personeel. Vanwege de gevoelige aard van zoveel gegevens van federale contractanten, kan het zijn dat regelgeving u ervan weerhoudt om beheerde beveiligingsservices te gebruiken die in andere landen zijn gevestigd.

Wanneer u uitdagingen op het gebied van naleving van regelgeving benadert vanuit het perspectief van beheerde beveiligingsservices, kunt u normen van wereldklasse bereiken en handhaven. Hiervoor zijn geen kapitaalinvesteringen, dure aanwervingen of een arbeidsintensief wervingsproces vereist.

Met ISSQUARED kunnen uw nieuwe compliance- en rapportagemogelijkheden snel operationeel zijn.