Lista di controllo gratuita per la conformità NIST 800-161
La revisione 1 del NIST SP 800-161 delinea un quadro di sicurezza informatica per mitigare i rischi per la sicurezza nella catena di approvvigionamento. NIST SP-800-161 è un sottoinsieme di NIST 800-53, un più ampio framework di mitigazione del rischio informatico che è fondamentale per la maggior parte dei programmi di sicurezza informatica.
Il National Institute of Standards and Technology (NIST) ha progettato il NIST 800-161 per migliorare la gestione del rischio della catena di approvvigionamento informatico per tutte le agenzie federali degli Stati Uniti. L'attacco alla supply chain di SolarWinds ha dimostrato i limiti della sicurezza della supply chain nel governo federale e l'importanza di un solido programma di gestione del rischio della supply chain per prevenire futuri attacchi informatici simili.
Scopri di più sulla gestione del rischio della catena di approvvigionamento (SCRM).
La seguente lista di controllo può essere utilizzata come modello per aiutare le agenzie governative a monitorare la conformità con le politiche di sicurezza e i requisiti di sicurezza del NIST 800-161.
Se stai implementando anche i controlli di sicurezza da NIST 800-53, fai riferimento anche a questo elenco di controllo.
1. Valutare i rischi della catena di approvvigionamento e definire un contesto per l'implementazione di un programma di gestione dei rischi della catena di approvvigionamento per la sicurezza informatica
🔲 Designare un Chief Supply Chain Officer (CSCO) o un Chief Operations Officer (COO) per implementare e gestire il programma SCRM.
🔲 Elenca tutti gli obblighi di conformità alle normative pertinenti, gli ordini esecutivi e le misure di sicurezza consigliate che influenzano il tuo programma di sicurezza informatica.
🔲 Elencare tutti gli obblighi di appalto e i controlli di sicurezza previsti dai contratti (applicabili ai fornitori di servizi terzi).
Scopri come soddisfare i requisiti di rischio di terze parti di NIST 800-161.
🔲 Nominare un Senior Information Security Officer per implementare e coordinare un programma di sicurezza delle informazioni a livello di organizzazione.
🔲 Progetta un programma di sicurezza informatica che includa un processo di gestione del rischio per le informazioni sensibili accessibili attraverso la superficie di attacco della supply chain.
🔲 Identifica eventuali rischi ed esposizioni per la sicurezza nelle soluzioni di servizi cloud.
🔲 Esegui valutazioni dei rischi per le soluzioni più vulnerabili ai rischi per la sicurezza, come il software open source.
🔲 Allinea la tua strategia di sicurezza informatica e di gestione dei rischi della supply chain rispetto alla più ampia propensione al rischio dell'organizzazione.
Scopri come calcolare la tua propensione al rischio.
2. Identificare tutti i controlli SCRM applicabili
🔲 Identificare tutti i rischi della catena di approvvigionamento ICT con valutazioni dei rischi.
🔲 Definire una politica ICT.
🔲 Esegui valutazioni dei rischi della supply chain interne ed esterne per scoprire potenziali vettori di attacco malware e punti di iniezione di codice dannoso.
Scopri di più sulle valutazioni della sicurezza.
🔲 Identifica le lacune di conformità dai risultati della valutazione della sicurezza.
🔲 Implementa un'architettura Zero Trust per proteggere e offuscare l'accesso ai dati sensibili.
🔲 Integra sistemi di controllo aggiuntivi da altri framework di sicurezza per rafforzare la sicurezza dei dati, come ISO/IEC 27001.
Scopri di più su ISO 27001.
🔲 Implementa i controlli di accesso, come l'autenticazione a più fattori, per controllare le connessioni degli utenti finali.
Scopri come prevenire gli attacchi alla supply chain con un'architettura Zero Trust.
>🔲 Valuta gli incidenti di sicurezza precedenti che hanno avuto il potenziale di svilupparsi o si sono trasformati in violazioni dei dati e identifica i miglioramenti nella gestione degli incidenti.
🔲 Applica pratiche di codifica sicure nel ciclo di vita dello sviluppo del software per ridurre al minimo il potenziale di vulnerabilità del software che portano ad attacchi alla supply chain.
Scopri i costi dei danni causati dalla violazione dei dati associati alle vulnerabilità del software di terze parti.
3. Definire chiaramente un percorso di maturità SCRM
🔲 Garantire la comprensione a livello di organizzazione del programma di gestione del rischio della supply chain proposto.
🔲 Adattare le attività di gestione del programma SCRM per soddisfare i requisiti unici di ciascun reparto.
🔲 Definire una linea di base per la conformità con la pubblicazione speciale NIST 800-161.
🔲 Implementare un percorso di condivisione delle informazioni per incoraggiare uno sforzo collaborativo per il miglioramento delle iniziative SCRM.
🔲 Garantisci la comprensione a livello di organizzazione dell'importanza della sicurezza informatica per mitigare i tentativi di attacco alla supply chain.
🔲 Definisci i criteri di tiering per incoraggiare il monitoraggio continuo dei fornitori con la più alta probabilità di diventare vettori di attacco.
Scopri di più sulla suddivisione in livelli dei fornitori.
🔲 Stabilire una scala per la valutazione della sensibilità dei dati.
🔲 Implementa uno strumento di valutazione della sicurezza per identificare rapidamente i rischi per la sicurezza della supply chain.
Scopri di più sulle classificazioni di sicurezza.
4. Pubblicare la documentazione del programma di sicurezza informatica e privacy
🔲 Documenta il programma e le politiche SCRM e distribuiscili a livello aziendale.
🔲 Mappare i criteri SCRM al framework di gestione dei rischi aziendali dell'organizzazione.
🔲 Associa le policy SCRM ai processi aziendali per stabilire una cultura della sicurezza del sistema della supply chain.
🔲 Istruisci il personale su come seguire le direttive SCRM per ridurre al minimo le interruzioni dovute agli attacchi alla supply chain.
🔲 Assicurarsi che la documentazione SCRM sia prontamente disponibile per tutte le parti esterne che ne fanno richiesta.
🔲 Definisci le policy di gestione della configurazione per ridurre il potenziale di perdite di dati.
Scopri la differenza tra fughe di dati e violazioni dei dati.
5. Designare i proprietari e gli operatori del controllo
🔲 Assegna alle parti interessate e ai team di sicurezza la responsabilità di ogni controllo della privacy.
🔲 Assegnare un "operatore di controllo" responsabile dell'esecuzione di ciascun controllo sulla protezione dei dati
🔲 Sviluppare procedure operative standardizzate (SOP) per tutte le famiglie di controlli.
🔲 Stabilire un piano di risposta agli incidenti e un piano di emergenza per affrontare i rischi della catena di approvvigionamento.
🔲 Definisci criteri di convalida degli accessi rigorosi per le risorse governative critiche.
Scopri come creare un piano di risposta agli incidenti.
6. Mantenere la prontezza alle minacce della supply chain
🔲 Implementa una soluzione di monitoraggio della superficie di attacco in tempo reale per scoprire i rischi emergenti per la sicurezza della supply chain.
🔲 Semplifica il programma di gestione del rischio dei fornitori con funzionalità che supportano la scalabilità, come l'automazione delle valutazioni dei fornitori.
Scopri come automatizzare la gestione del rischio di terze parti.
🔲 Mappa la tua impronta digitale per identificare tutte le risorse di inventario dei dati nel tuo ecosistema di tecnologie dell'informazione e della comunicazione.
Scopri come mappare la tua impronta digitale.
🔲 Mappa tutti i potenziali percorsi di accesso ai dati sensibili, compresi quelli provenienti da aziende del settore privato.
🔲 Stabilisci una strategia di correzione che dia priorità ai rischi più critici per il tuo livello di sicurezza.
Scopri come ottimizzare la pianificazione della correzione dei rischi.
🔲 Stabilisci un inventario di tutti i contratti dei fornitori di servizi mappati alle risorse sensibili.
🔲 Designare le principali parti interessate che valuteranno gli sforzi di conformità nelle revisioni trimestrali.
🔲 Designare le principali parti interessate per la gestione delle questioni relative all'SCRM.