정책 보고서 : 네트바카라사이트 순위 및 정보 시스템 : 구현 개선

주요 결과

위험 관리 기능 향상

정부는 중요한 국가 인프라를위한 네트바카라사이트 순위 및 정보 시스템의 보안 수준을 높이는 대상의 목표를 측정 할 수있는 방법이 없습니다. 이 목적을 위해 일련의 주요 성능 표시기 (KPI) 세트가 개발되어야한다고 제안합니다.

사이버 평가 프레임 바카라사이트 순위 (CAF)는 조직이 탄력성을 향상시킬 수있는 방법을 이해하는 데 도움이되는 좋은 첫 단계를 제공합니다. 조직은 이제 개선을위한보다 맞춤형 로드맵이 필요하다는 것이 좋습니다.이 단계는 조직이 엔드 투 엔드 서비스를 유지하는 데 얼마나 중요한지에 대한 명확한 이해와 CAF 내에서 각 결과가 해당 조직 운영을 유지하는 데 얼마나 중요한지에 대한 명확한 이해를 기반으로해야합니다.

교차 부문 바카라사이트 순위 및 탄력성

다른 관할 당국 (CAS)은 NIS 규정이 다루는 6 개의 각 부문에서 감독과 집행을 담당합니다. 그러나 일부 서비스는 여러 유형의 인프라에 의존합니다. 예를 들어, 기차 서비스는 운송 인프라뿐만 아니라 에너지 및 디지털 인프라에도 의존합니다. 현재 엔드 투 엔드 서비스의 탄력성을 이해하거나 측정 할 수있는 방법은 없으며, 교차 부문 의존성은 NIS의 구현에 더 잘 이해하고 통합되어야합니다..

​​부문간에 배운 교훈을 공유하는 메커니즘이 필요합니다. 우리는 모든 자기 평가에 통합 될 수있는 '학습 한 프레임 바카라사이트 순위'를 개발하는 것이 좋습니다.

NIS 준수 평가

9660_9828

둘째, 감사인은 적절한 기술 (사이버 바카라사이트 순위, 위험 관리, 비즈니스 보증 및 감사 기술 포함)을 가져야합니다. 학제 간 팀을 사용하는 것이이를 달성하는 한 가지 방법 일 수 있습니다.

용어집

CA 관할 기관

CAF 사이버 평가 프레임 바카라사이트 순위

CNI Critical National Infrastructure

10730_10778

DSPT 데이터 바카라사이트 순위 및 보호 툴킷

igps 모범 사례 지표

IT 바카라사이트 순위 기술

NIS 네트바카라사이트 순위 및 정보 보안

11398_11466

OES Essential Services 운영자

OT 운영 기술

11808_11861

소개

CNI (Critical National Infrastructure)에 대한 공격이 점점 일반화되고 있습니다.사이버-물리적 공격의 위협이 커지는 인식으로 EU는 2016 년 7 월 6 일에 네트바카라사이트 순위 및 정보 보안 (NIS) 지침을 시작하여“EU의 사이버 공격 준비를 개선”.[i]

NIS 지침의 목표는 다음과 같이 요약 될 수 있습니다.

1. 사이버 위험 관리 방식을 감독하고 단계적으로 변화를 가져와 필수 서비스 (OES) 및 관련 디지털 서비스 제공 업체 (RDSP)의 CNI 운영자의 바카라사이트 순위 수준과 탄력성을 높이기 위해.
2. EU 국가간에 포럼을 만들기 위해 사이버 바카라사이트 순위 사고와 관련된 커뮤니케이션을 수립하여 보호 수준을 개선하고 모든 EU 국가를 다루는 중요한 규제를 제공합니다.
3. OES와 RDSP가 국가 법적 프레임 바카라사이트 순위를 사용하여 OES와 RDSP가“적절하고 비례 보안 조치”를 취하고 관련 국가 당국에 심각한 사건을 알리도록합니다..[ii]

NIS 지침에 따라 OES 또는 RDSP로 식별 된 조직은“네트바카라사이트 순위 및 정보 시스템에 대한 위험을 관리하기 위해 적절하고 비례 보안 조치를 취해야합니다.”.[iii]13867_14225

NIS 지침은 2018 년 네트바카라사이트 순위 및 정보 시스템 (NIS) 규정으로 영국 법률에 전달되었으며 건강, 운송, 에너지, 물, 디지털 인프라 및 디지털 서비스 부문에서 OES를 다루었습니다.[IV]

RDSP (클라우드 서비스 제공 업체, 온라인 시장 및 검색 엔진 등)의 요구 사항에 대한 요구 사항은 더 가벼워집니다.ex postOES에 대한 훨씬 능동적이고 관련된 접근 방식과 달리 RDSP의 감독.

CAS는 OES/RDSP가 원칙을 달성하는지 여부를 평가하고 해당 부문에서 "적절하고 비례적인 조치"를 구성하는 요소를 결정해야합니다. 이를 달성하기 위해 NCSC (National Cyber ​​Security Center)는 CAS, OESS 및 RDSP가 평가에 사용할 수있는 사이버 평가 프레임 바카라사이트 순위 (CAF)를 개발했습니다.[V]CAF는 "결과 기반"사이버 바카라사이트 순위 위험 관리 접근법을 사용합니다. 이는 OES/RDSP가 따라야하는 규범적인 규칙을 제공하기보다는 CAF가 좋은 사이버 바카라사이트 순위 관행을 집합 적으로 설명하기 위해 설계된 14 개의 최상위 사이버 바카라사이트 순위 원칙 세트를 제공한다는 것을 의미합니다. 14 개의 원칙 각각에 따라 각 결과에 대한 모범 사례 (IGP) 지표 (IGP)와 함께 39 개의 하위 수준 결과가 있으며, 결과가 '달성되지', '부분적으로 달성 된'또는 '달성 된'것인지 평가하는 데 사용할 수 있습니다. 표 1은 네 가지 중요한 목표 각각에서 원칙과 결과의 예를 제공합니다.

2018 년 5 월부터 OESS 및 RDSP는 해당 부문의 CA에서 제공 한 지침을 사용하여 자체 평가를 수행하고 있습니다. CAS는 OES와 협력하여 자체 평가를 통해 식별 된 격차를 이해하고 NIS 규정 준수를 결정합니다. 그들은 첫해에 부문을 규제하기위한 행동 계획과 전략을 정리했습니다.

표 1 : 관련 CAF 결과와 관련된 목표 및 원칙

NIS 규정은 얼마나 효과적입니까?

NIS 규정은 영국의 건강, 운송, 에너지, 물, 디지털 인프라 및 디지털 서비스의 바카라사이트 순위 및 탄력성을 향상시키기위한 것입니다. 그러나 정부는 현재이 목표가 충족되었는지 여부를 측정 할 수있는 방법이 없습니다.

추천 :

정부는 NIS 규제 준수가 OES/RDSP 내에서 서비스 탄력성을 향상시키는 정도를 측정하고 분석하기 위해 일련의 주요 성과 지표 (KPI)를 제공해야합니다..

개선을위한 로드맵 

현재 CAF에서 모범 사례 (IGP) 지표를 사용하여 OES가 39 개의 결과 각각의 '달성'또는 '달성되지 않은'지 여부를 결정할 수 있습니다 (일부 결과에는 '부분적으로 달성 된'범주도 포함). 처음에 OES는 자체 평가를 완료하고 CA에 개선 로드맵을 개발하고 제출해야합니다. 그러나 CAF 결과를 기능 개선으로 변환하기에 충분한 지침이 부족합니다.

NCSC와 CAS는 CAF 결과의 해석에 접근하는 방법을 고려하고 있습니다.[i]한 가지 옵션은 CAF 프로파일을 고려하는 것입니다. 이는 CAF 프로파일을 고려하는 것입니다. 이는 OES가 지원하는 필수 서비스 및 이러한 우선 순위 결과에 대한 준수 목표를 설정하는 데 따라 특정 OES에 대해 39 개의 하위 수준 결과 중 어느 것이 가장 중요한지를 식별하는 것입니다. 이는 우선 순위가 낮은 결과가 '부분적으로 달성 된'수준에서만 필요하거나 해당 OES에 대해 '적용 할 수 없다'는 것을 의미 할 수 있습니다.[II]22559_22670[iii]

NIST (National Institute of Standards and Technology) 프레임 바카라사이트 순위에서도 비슷한 접근 방식이 작동했으며, 이는 조직의 위험 관리 관행을 기반으로 4 개의 구현을 제공합니다 (상자 참조). 조직은 조직의 위험 요구 사항과 관련된 적절한 구현 계층에 매핑되는 현재 및 대상 위험 프로파일을 정의합니다..

51482_51485