Wenn Sie Compliance als das Endspiel Ihrer allgemeinen Sicherheitshygienepraktiken betrachten, verpassen Sie wichtige Updates. Das bevorstehende PCI-TLS-Verschlüsselungsupgrade bietet uns einen erstklassigen Fall.
Compliance und Sicherheitshygiene gehen Hand in Hand. Herkömmliche Weisheit besagt, dass Ihr Sicherheitshygieneprogramm umso besser sein wird, je konformer Sie sind. Dies ist der Fall, unabhängig davon, ob Ihre OrganisationPCI-DSS (öffnet sich in einer neuen Registerkarte), dasNIST Cybersecurity Framework (öffnet in einer neuen Registerkarte), dieCIS Critical Security Controls (öffnet in einer neuen Registerkarte) oder branchenspezifische Vorschriften basierend auf der Art der sensiblen Daten verwendet, die Sie speichern und teilen.
Während eine gute Sicherheitshygiene Ihnen dabei helfen wird, Ihre Compliance-Verpflichtungen zu erfüllen, ist das Gegenteil nicht unbedingt wahr. Compliance-Anforderungen sind oft die strengsten Mindestanforderungen an den Schutz Ihrer Daten. Wenn Sie Compliance als das Endspiel Ihrer allgemeinen Sicherheitshygienepraktiken betrachten, verpassen Sie wichtige Updates.
Zahlungskartenbranche
Sehen wir uns ein Beispiel für die Zahlungskartenbranche (PCI) an. SSL/TLS wird seit langem als Verschlüsselungsprotokoll (öffnet sich in einer neuen Registerkarte)innerhalb von PCI verwendet . Im Jahr gab der PCI Security Standards Council (SSC) bekannt April 2015, dass SSL nicht mehr als Sicherheitskontrolle verwendet werden würde und dass Organisationen ihre TLS-Implementierung von V. 1,0 auf V. 1,1 aktualisieren müssten. Dieser Schritt wurde entwickelt, um eine Compliance-Lücke zu schließen, die die Verwendung älterer Verschlüsselungsprotokolle ermöglichte. Einige dieser SSL/TLS-Versionen waren älter als 15 Jahre und hatten bekannte Schwachstellen.
Im Wesentlichen handelte es sich um ein Upgrade eines einzigen Sicherheitsprotokolls von TLS v. 1,0 auf v. 1,1. Das neueste Protokoll, TLS v. 1,2 (öffnet sich in einer neuen Registerkarte), das in definiert wurde April 2014, wurde empfohlen, aber vom PCI-SSC nicht benötigt.
Organisationen wurde zunächst eine Frist 30. Juni 2016 für die Einhaltung der Upgrade-Anforderungen gesetzt. Aber als sich die Frist näherte, begannen Unternehmen zu verstehen, wie schwierig es sein würde, diesen einfachen Schritt in der Sicherheitshygiene zu machen. Einige Zeit später, mit der Veröffentlichung von PCI DSS v3,2, wurde die Frist für diese Änderungen auf verschoben 30. Juni 2018.
Wie Compliance-Anforderungen unterschritten werden
Das TLS-Beispiel ist eine besonders gute Darstellung, wie Compliance-Anforderungen unterschritten werden können. Während die PCI-SSC-Aktualisierungsanforderung Sicherheitslücken beheben sollte, bedeutete dies auch, dass Unternehmen auch nach dem Upgrade wahnsinnig veraltet wären. TLS v. 1,1 war bereits neun Jahre alt, als das PCI SSC Organisationen zum ersten Mal sagte April 2015, dass sie ein Upgrade darauf durchführen mussten. Das Protokoll wird bis 2018 fast ein Teenager sein, wenn die neue Compliance-Frist in Kraft tritt. Obwohl die etwas neuere TLS v.1,2 in definiert wurde August 2008, werden Organisationen innerhalb der PCI-Compliance betrachtet, ohne sie zu implementieren.
Dies ist ein extrem langes Fenster zum Schutz von Daten, die so sensibel sind wie Kreditkarten und andere persönlich identifizierbare Informationen (PII), insbesondere wenn wir berücksichtigen, wie oft wir unsere Mobiltelefone oder sogar unsere Automobile aktualisieren. Die Absicht von PCI und anderen Compliance-Standards ist es, die Sicherheitslage von Organisationen zu verbessern, indem sie sie regelmäßig messen. Aber wie das PCI-Beispiel zeigt, wird Ihre Sicherheitsumgebung gefährlich veraltet sein, wenn Sie warten, bis ein Branchengremium Upgrades verlangt.
Ein strenges Sicherheitshygieneprogramm hätte Unternehmen dazu veranlasst, diese Verschlüsselungsaktualisierungen im Jahr 2008 zu implementieren. Auf diese Weise hätten PCI-teilnehmende Organisationen den aktualisierten Standard lange vor seiner Notwendigkeit konform gemacht.
Wie Tanium helfen kann
Für alle, die die Tanium-Plattform nutzen, die diese Aktualisierung verwaltet, würde ein Sensor zur Erkennung von TLS-Versionen erforderlich sein, der in Sekundenschnelle gegen Ihre gesamte Infrastruktur läuft. Aus der Liste der erkannten Systeme kann Tanium dann Konfigurationsinhalte für diese Endpunkte bereitstellen, um sie wieder in Sekundenschnelle auf die neueste Version zu bringen.
Es ist wichtig, die Sicherheitshygiene als Reise und nicht als Ziel zu betrachten. Sie lernen dabei und passen den Kurs entsprechend an. Da sich die Compliance-Standards und -Vorschriften jährlich ändern. Tanium macht Organisationen viel besser an Änderungen der Vorschriften auf eine Weise anpassbar, die mit den Tools von 2008 nicht möglich war. Da Tanium eine offene und erweiterbare Plattform ist, können neue Inhalte – wie der PCI-TLS-Sensor und die oben erwähnte Behebung – es einfach machen, Ihre Sicherheitslage als Reaktion auf rechtliche oder regulatorische Änderungen anzupassen.
Über den Autor: Als Director of Product Management für Tanium bringt Alexander Quilter Erfahrung in den Bereichen Unternehmenssicherheit, Systeme und Netzwerkautomatisierungssoftware in seine Rolle ein. Vor seiner Zeit bei Tanium leitete Alexander die Produktmanagementbemühungen für Sicherheits- und Compliance-Produktlinien von Cisco, Lancope, Qualys, nCircle und Opsware. Er hat einen Master in Software Engineering Management von der Carnegie Mellon University und einen Bachelor in Informatik von der University of Utah.
