CISA выпускает руководство и ресурсы по облачным сервисам

ВАШИНГТОН – Сегодня CISA выпустила первую серию окончательных руководств по безопасности в рамках нашего проекта Secure Cloud Business Applications (SCuBA): руководство Extensible Visibility Reference Framework (eVRF) и документ Technical Reference Architecture (TRA). С учетом результатов периода общественного обсуждения в 2022 году, окончательные руководящие документы помогают государственным и частным организациям внедрять необходимые рекомендации по обеспечению безопасности и отказоустойчивости для своих облачных сервисов.

Руководство eVRF содержит обзор платформы eVRF, которая позволяет организациям определять данные видимости, устранять угрозы и понимать, в какой степени конкретные продукты и услуги предоставляют данные видимости, и выявлять потенциальные пробелы.
Документ TRA представляет собой руководство по безопасности, которое организации могут использовать для внедрения технологий облачного развертывания, адаптируемых решений, безопасной архитектуры и фреймворков с нулевым доверием.

“Как свидетельствуют нарушения в цепочке поставок и связанные с ними кампании по борьбе с киберугрозами, субъекты постоянных угроз продолжают совершенствовать свои возможности с целью взлома сетей федерального правительства и критически важной инфраструктуры, будь то в локальной или облачной среде”, – сказал исполнительный помощник CISA по кибербезопасности Эрик Голдштейн. “Окончательный вариант eVRF и TRA предоставляет всем организациям, включая федеральные агентства, адаптируемое, гибкое и своевременное руководство. Эти ресурсы помогут организациям устранить пробелы в кибербезопасности и прозрачности, которые долгое время препятствовали нашей коллективной способности адекватно понимать киберриски и управлять ими ”.

Проект SCuBA предоставляет руководство и возможности для защиты облачных сред бизнес-приложений и защиты информации, создаваемой, доступной, совместно используемой и хранящейся в этих средах. Руководство eVRF и документ TRA способствуют достижению цели проекта по разработке согласованных, эффективных, современных и управляемых конфигураций безопасности, которые помогут организациям внедрить необходимые облачные методы обеспечения безопасности и отказоустойчивости.

Описание

Проект “Безопасные облачные бизнес-приложения” (SCuBA) предоставляет рекомендации и возможности для обеспечения безопасности облачных бизнес-приложений агентств и защиты федеральной информации, которая создается, к которой осуществляется доступ, которой делятся и которая хранится в этих средах. SCuBA поможет защитить информационные активы федеральной гражданской исполнительной власти (FCEB), хранящиеся в облачных средах, с помощью последовательных, эффективных, современных и управляемых конфигураций безопасности.

Этот проект ускоряет предоставление общих услуг CISA в области кибербезопасности, укрепляет ее отношения с другими агентствами и поддерживает роль CISA в руководстве федеральными усилиями по снижению рисков кибербезопасности для страны, выполнению требований безопасности и миссии Министерства внутренней безопасности (DHS) по обеспечению кибербезопасности.

За непредоставленной информацией обращайтесь к часто задаваемым вопросам или по электронной почте CyberSharedServices@cisa.dhs.gov.

Текущее состояние

В октябре 2022 года CISA опубликовала базовые показатели Microsoft 365 и призвала агентства FCEB провести пилотный запуск и предоставить обратную связь. Период общественного обсуждения закончился 16 декабря 2022 года.

Руководство по технической справочной архитектуре SCuBA (TRA) и расширяемой справочной платформе видимости (eVRF) были доработаны и опубликованы 27 июня 2023 года.

CISA выпустила руководящий документ по архитектуре гибридных решений для идентификации для комментариев в марте 2023 года. Период общественного обсуждения закончился 19 апреля 2023 года.

CISA eVRF & TRA

CISA запросила общественное мнение по TRA и eVRF на первом этапе проекта SCuBA, чтобы убедиться, что наше руководство обеспечивает максимальную гибкость, позволяющую идти в ногу с развивающимися технологиями и возможностями и защищать федеральное предприятие.

Целью CISA является надлежащее устранение пробелов в кибербезопасности и видимости в облачных бизнес-приложениях, которые препятствуют нашей коллективной способности адекватно понимать киберриски на федеральном уровне и на ИТ-предприятиях и управлять ими. Кроме того, CISA работает над руководством по рекомендуемой конфигурации кибербезопасности на основе избранных продуктов, которые, вероятно, будут выпущены в ближайшие месяцы.

В настоящее время CISA завершила подготовку документов TRA и eVRF.

SCuBA TRA

SCuBA TRA – это руководство по безопасности, которое агентства могут использовать для внедрения технологий облачного развертывания, адаптируемых решений, безопасной архитектуры и фреймворков с нулевым доверием. Оно доступно для скачивания.

eVRF

Руководство eVRF содержит обзор платформы eVRF, которая позволяет организациям определять данные видимости, которые могут быть использованы для смягчения угроз, понимать, в какой степени конкретные продукты и услуги предоставляют эти данные видимости, и выявлять потенциальные пробелы в видимости.

eVRF состоит из руководящего документа, двух обзоров рабочих книг по конкретному продукту и двух рабочих книг по конкретному продукту.

Документы eVRF доступны для скачивания:

Базовые показатели Microsoft 365 и Google Workspace

CISA обратилась к федеральным агентствам с просьбой провести пилотный запуск руководств по настройке безопасности M365. CISA в партнерстве с Советом ИТ-директоров разработала минимальные средства контроля безопасности для M365 и запросила отзывы агентства о влиянии средств контроля на бизнес, внедрении и любых блокировках внедрения. Период общественного обсуждения закончился 16 декабря 2022 года.

Исходные данные доступны через GitHub или загружаются.

Базовые данные доступны для скачивания:

Архитектура гибридных решений для идентификации

CISA выпустила документ по архитектуре Hybrid Identity Solutions для комментариев. Этот документ призван помочь агентствам понять потенциальные варианты взаимодействия управления идентификацией между локальными и облачными решениями, проблемы, связанные с каждым из них, и способы решения этих проблем. Период комментариев закончился 26 мая 2023 года.

Доступно для скачивания: Архитектура гибридных решений для идентификации

Пожалуйста, присылайте все комментарии по адресу CyberSharedServices@cisa.dhs.gov.