Какво представлява ISO/IEC 27032?
ISO/IEC 27032:2023 е международен стандарт, който предлага насоки за подобряване на интернет сигурността като част от по-широкия контекст на киберсигурността. Той разглежда основните рискове и заплахи в цифровата среда, като осигурява ефективни механизми за защита срещу кибератаки и предоставя насоки за управление на рисковете чрез технически и нетехнически механизми за контрол.
Стандартът е предназначен за организации, които използват интернет за бизнес дейности като електронна търговия, предоставяне на облачни услуги и други свързани услуги. Той допълва съществуващите стандарти за управление на информационната сигурност, като ISO/IEC 27001 и ISO/IEC 27002.

Основни аспекти на ISO/IEC 27032

• Взаимовръзка между киберсигурността и Интернет сигурността: Стандартът разглежда връзката между киберсигурността, уеб сигурността, мрежовата сигурност и Интернет сигурността, като акцентира върху управлението на рисковете в онлайн средата.
• Заплахи и уязвимости: Описва заплахи като социално инженерство, атаки от типа нулев ден (zero-day), злонамерен софтуер (Malware), DDoS атаки, уязвимости в уеб приложения и мрежови системи. Стандартът предоставя методи за идентифициране, оценяване и третиране на тези заплахи.
• Управление на рисковете: ISO/IEC 27032 предлага рамка за управление на рисковете, свързани с интернет сигурността. Това включва:
  • Идентифициране на заплахи и уязвимости
  • Оценяване на вероятността и въздействието на рисковете
  • Избор и прилагане на подходящи механизми за контрол

Клаузи на ISO/IEC 27032:2023
Първите клаузи на стандарта разглеждат обхвата на ISO/IEC 27032, нормативните позовавания, както и използваните термини и съкращения.Разяснени са съкращения като VPN, ISP, DDoS, IoT, SIEM и CERT, които са от съществено значение за разбирането на стандарта.

В клауза 5 Връзка между Интернет сигурността, уеб сигурността, мрежовата сигурност и киберсигурността се обясняват взаимовръзките между интернет сигурността, уеб сигурността, мрежовата сигурност и киберсигурността. Интернет сигурността се фокусира върху защитата на интернет услуги и инфраструктура, намалявайки рисковете за организации и потребители. Уеб сигурността обхваща защитата на информацията в рамките на Световната мрежа, осигурявайки безопасност при обмена на данни през HTTP протокола. Мрежовата сигурност обхваща всички мрежови компоненти и защитава мрежите от рискове, свързани с тяхната експлоатация. Киберсигурността включва защита на цифровата информация и инфраструктура от злонамерени действия, като включва управление на рисковете за компютри, мрежи и данни. Тези области на сигурност са взаимосвързани, като всяка играе ключова роля в осигуряването на цялостна защита на цифровата инфраструктура и информация в глобалната мрежа.

Клауза 6 Общ преглед на Интернет сигурността разглежда рисковете за сигурността на личните данни в Интернет, включително заплахи като фишинг, злонамерен софтуер и комбинирани атаки, като потенциално водят до изтичане на информация или кражба на самоличност. Стандартът подчертава важността на защитата на личната информация и идентичността онлайн, като същевременно насърчава международно сътрудничество и използване на иновативни технологии за справяне с киберзаплахите. Глобалният характер на Интернет изисква адаптивни и съобразени с правните и регулаторни изисквания решения, за да се осигури ефективна защита на данните и инфраструктурата

В клауза 7 от стандарта са дефинирани ключовите заинтересовани страни в интернет сигурността:

• Потребители: Включват физически лица и организации, които използват интернет за лични или професионални цели.
• Координатори и организации по стандартизация: Международни структури, като ICANN и W3C, отговарящи за разработване на технически стандарти и осигуряване на интероперативност.
• Държавни органи: Играят роля в защитата на националната сигурност и предоставянето на е-услуги.
• Правоприлагащи органи: Следят за спазването на законодателството, свързано с интернет сигурността, и предприемат мерки срещу нарушения.
• Доставчици на Интернет услуги (ISP): Отговарят за поддръжката на мрежовата инфраструктура и предоставянето на защита за крайните потребители.

Клауза 8 Оценяване и третиране на риска предоставя рамка за разбиране и управление на рисковете, свързани с интернет сигурността. Тя обхваща идентифицирането на заплахи, уязвимости и вектори на атака, които могат да компрометират сигурността.

• Заплахи: Атаки като фишинг и DDoS;
• Уязвимости: Проблеми в конфигурацията и неподдържан софтуер;
• Вектори на атака: Методи като фишинг и използване на IoT устройства.

Клауза 9 Насоки за сигурност в Интернет описва механизми за контрол за управление на сигурността в Интернет, като обхваща идентификация и оценка на рисковете, разработване на политики за сигурност, контрол на достъпа, управление на инциденти и непрекъснатост на бизнеса. Заинтересованите страни се насърчават да внедряват криптографски методи, да управляват уязвимостите и да провеждат редовни обучения за персонала. Основните акценти включват мониторинг на мрежовия трафик, защита от DoS атаки, управление на активите и доставчиците, както и прилагане на принципите на сигурен дизайн за приложения и инфраструктура. В стандарта се подчертава важността на адекватна оценка на рисковете и внедряването на подходящи механизми за контрол, за да се минимизират заплахите и да се повиши устойчивостта на организациите срещу кибератаки.
 
Интеграция с други стандарти
ISO/IEC 27032 е тясно свързан с:

• ISO/IEC 27001 – Сигурност на информацията, киберсигурност и защита на неприкосновеността. Системи за управление на сигурността на информацията. Изисквания;
• ISO/IEC 27002 – Сигурност на информацията, киберсигурност и защита на неприкосновеността. Механизми за контрол на сигурността на информацията;
• ISO/IEC 27005 – Сигурност на информацията, киберсигурност и защита на неприкосновеността. Указания за управление на рисковете за сигурността на информацията;
• ISO 31000 – Управление на риска. Указания.

 
Ползи от внедряването на ISO/IEC 27032

• Подобрява способността на организациите да идентифицират и минимизират рисковете, свързани с Интернет, което води до по-висока киберустойчивост на критичните данни и системи;
• Организациите, които прилагат ISO/IEC 27032, са по-добре подготвени за справяне с киберинциденти, намалявайки вероятността от финансови загуби и репутационни щети;
• Внедряването на стандарта подпомага постигането на съответствие с международни и национални регулации, като GDPR, Закон за киберсигурност и други;
• Прилагането на стандарта демонстрира ангажираност към киберсигурността, като засилва доверието на клиентите и партньорите.

Как да внедрите ISO/IEC 27032 във вашата организация?

1. Извършване на оценка на рисковете: Идентифицирайте уязвимостите и заплахите във вашата дигитална среда.
2. Разработване на стратегия: Създайте план за действие с ясни мерки за контрол, включително политики за управление на достъпа и мониторинг.
3. Обучение и осведоменост: Провеждайте редовни обучения за персонала с използване на практически примери и казуси, насочени към реални заплахи.
4. Мониторинг и преглед: Редовно преглеждайте ефективността на внедрените мерки и актуализирайте подхода си спрямо нововъзникващите заплахи.

 
ISO/IEC 27032:2023 е необходим инструмент за организации, които искат да повишат своята киберустойчивост и да минимизират рисковете в онлайн среда. Свържете се с нашите експерти, за да научите повече за това как да приложите стандарта във вашата организация.