Essential Eight के लिए अपना लक्ष्य परिपक्वता स्तर चुनना

ASD का Essential Eight Maturity Model आठों शमन रणनीतियों के लिए तीन स्तर तय करता है। एक आम गलती यह है कि इन्हें ग्रेड मान लिया जाए, जिसमें हर किसी का लक्ष्य Level Three हो। ये ग्रेड नहीं हैं। हर स्तर एक अलग तरह के प्रतिद्वंद्वी को रोकने के लिए बनाया गया है, और सही लक्ष्य आपके खतरे के परिवेश पर निर्भर करता है।

यह हर स्तर किसके लिए है

• Level One सामान्य (commodity) tradecraft से अवसरवादी तौर पर हमला करने वाले प्रतिद्वंद्वियों को रोकता है: व्यापक रूप से उपलब्ध exploits, चुराए गए credentials, और किसी को भी भेजे गए दुर्भावनापूर्ण दस्तावेज़।
• Level Two उन प्रतिद्वंद्वियों को रोकता है जो अधिक समय और प्रयास लगाने को तैयार हैं, और किसी संगठन को निशाना बनाने के लिए तैयार हैं, लेकिन फिर भी ज़्यादातर ज्ञात तकनीकों पर निर्भर रहते हैं।
• Level Three उन अनुकूली (adaptive) प्रतिद्वंद्वियों को रोकता है जो सार्वजनिक उपकरणों पर कम निर्भर रहते हैं, नई vulnerabilities का तेज़ी से फ़ायदा उठाते हैं और detection से बचने का प्रयास करते हैं।

हर स्तर पर आवश्यकताएँ और कड़ी होती जाती हैं: patching की समय-सीमा छोटी होती है, अधिक users और systems के लिए MFA लागू होता है और phishing-resistant तरीके अपनाए जाते हैं, अधिक systems और file types पर application control लागू होता है, और administrative privileges व backups पर सख्त प्रतिबंध लगते हैं।

सही स्तर कैसे चुनें

1. खतरे से शुरू करें। कोई आपके पास जो है वह क्यों चाहेगा? सरकारी डेटा, critical infrastructure, financial services और उच्च-मूल्य वाली बौद्धिक संपदा अधिक सक्षम प्रतिद्वंद्वियों को आकर्षित करते हैं।
2. दायित्वों की जाँच करें। Australian Government की non-corporate Commonwealth entities से Maturity Level Two तक पहुँचने की अपेक्षा है। ग्राहक, नियामक और बीमाकर्ता अपनी अलग अपेक्षाएँ तय कर सकते हैं।
3. क्षमता के बारे में यथार्थवादी रहें। Level Three के लिए engineering प्रयास और operational discipline चाहिए, जिसे एक छोटी IT टीम शायद लंबे समय तक न बनाए रख सके।
4. आठों के लिए एक ही लक्ष्य चुनें। ASD सुझाव देता है कि किसी भी रणनीति को ऊपर ले जाने से पहले सभी रणनीतियों पर एक ही स्तर तक पहुँचा जाए। Level Three patching कार्यक्रम के साथ Level Zero application control हो, तो दरवाज़ा अब भी खुला रहता है।

सामान्य रास्ते

• अधिकांश संगठन: आठों पर Level One, फिर Level Two।
• संवेदनशील सरकारी या critical डेटा संभालने वाले संगठन: Level Two को आधार मानें, और सबसे अधिक जोखिम वाले systems पर चुनिंदा Level Three आवश्यकताएँ लागू करें।
• उच्च-खतरे वाले परिवेश: Level Three, आमतौर पर system-दर-system तक पहुँचा जाता है।

निर्णय दर्ज करना

यदि आप ISO 27001 ISMS चलाते हैं, तो चुने गए स्तर और उसके तर्क को अपने risk assessment और Statement of Applicability में दर्ज करें। इससे auditors और assessors को औचित्य मिलता है, और Essential Eight मिलते-जुलते Annex A controls के लिए implementation standard बन जाता है, जैसा कि हमारा Essential Eight vs ISO 27001 analysis समझाता है।

लक्ष्य तय करते समय सामान्य गलतियाँ

• एक रणनीति पर Level Three का पीछा जबकि बाकी Level Zero पर हों। हमलावर सबसे मज़बूत नहीं, सबसे कमज़ोर रणनीति का इस्तेमाल करते हैं।
• कवरेज गिनना, प्रभावशीलता नहीं। आधी workstations पर लागू application control Level One नहीं है; हर आवश्यकता दायरे के सभी systems पर पूरी होनी चाहिए।
• अपवादों को नज़रअंदाज़ करना। हर अपवाद (कोई unpatched legacy system, या macro blocking से छूट प्राप्त user) के लिए एक owner, compensating controls और एक end date चाहिए, वरना परिपक्वता स्तर कल्पना मात्र है।
• Interview से आकलन। ASD का assessment guidance evidence को रैंक करता है: किसी control का सीधे परीक्षण सबसे मज़बूत है, documentation और interviews सबसे कमज़ोर। लोगों के कहे पर आधारित self-assessments परिपक्वता को बढ़ा-चढ़ाकर दिखाते हैं।
• लक्ष्य एक बार तय करना। खतरे बदलते हैं, और परिपक्वता मॉडल भी; ASD इसे समय-समय पर अपडेट करता है। लक्ष्य की समीक्षा अपने risk assessment के साथ सालाना करें।

मुख्य बातें

• हर परिपक्वता स्तर एक अलग प्रतिद्वंद्वी को निशाना बनाता है; खतरे और दायित्व के आधार पर चुनें।
• किसी भी रणनीति को ऊपर ले जाने से पहले आठों रणनीतियों पर एक ही स्तर तक पहुँचें।
• Level Two आमतौर पर पहला लक्ष्य होता है।

प्रगति मापना

हर रणनीति का आकलन ASD के Essential Eight Assessment Process Guide के अनुसार करें, जहाँ संभव हो system testing का उपयोग करते हुए; कोई रणनीति किसी स्तर तक तभी पहुँचती है जब उस स्तर और उससे नीचे की हर आवश्यकता पूरी हो। आठों में प्राप्त सबसे निचला स्तर अपनी मुख्य संख्या के रूप में ट्रैक करें।

हर रणनीति का पेज परिपक्वता स्तर के अनुसार उसके ISM controls सूचीबद्ध करता है, जैसे Patch applications और Multi-factor authentication। Essential Eight guide आकलन पर अधिक विस्तार से चर्चा करती है।

प्रश्न

हमें कौन सा Essential Eight परिपक्वता स्तर लक्ष्य बनाना चाहिए?

खतरे के आधार पर चुनें: सामान्य उपकरण इस्तेमाल करने वाले अवसरवादी हमलावरों के लिए Level One, अधिक प्रयास लगाने को तैयार प्रतिद्वंद्वियों के लिए Level Two, अनुकूली प्रतिद्वंद्वियों के लिए Level Three। Level Two आमतौर पर पहला लक्ष्य है और Australian Government की non-corporate Commonwealth entities के लिए यही अपेक्षा है।

क्या अलग-अलग रणनीतियाँ अलग परिपक्वता स्तरों पर हो सकती हैं?

उनका आकलन अलग-अलग किया जा सकता है, लेकिन ASD सुझाव देता है कि किसी को भी ऊपर ले जाने से पहले आठों रणनीतियाँ एक ही स्तर तक पहुँच जाएँ।

Maturity Level Two तक पहुँचने में कितना समय लगता है?

यह शुरुआती बिंदु और परिवेश के आकार पर निर्भर करता है। जो संगठन पहले से आठों रणनीतियों पर Level One पर हैं, वे अक्सर कुछ महीनों में Level Two तक पहुँच जाते हैं; जो शून्य से शुरू कर रहे हैं उन्हें रणनीति-दर-रणनीति अधिक समय की योजना बनानी चाहिए।