सबसे कम फ़्रेमवर्क द्वारा आवश्यक सुरक्षा विषय, और यह क्यों मायने रखता है

अकेले अनुपालन आवश्यकताओं से बना सुरक्षा कार्यक्रम वहीं सबसे मज़बूत होता है जहाँ फ़्रेमवर्क एकमत हैं, और वहीं सबसे कमज़ोर जहाँ वे चुप हैं। हमने ControlMapping के सभी पचास विषयों को इस आधार पर क्रमबद्ध किया कि ग्यारह फ़्रेमवर्क में से कितने उनके लिए कोई आवश्यकता मैप करते हैं। इस सूची के निचले हिस्से में वे विषय हैं जहाँ फ़्रेमवर्क-आधारित कार्यक्रम में ब्लाइंड स्पॉट होने की सबसे अधिक संभावना है।

सबसे कम आवश्यक विषय

विषय	में मैप किया गया	में कोई मैपिंग नहीं
DNS सुरक्षा	11 में से 4	SOC 2, PCI DSS, CMMC, HIPAA, GDPR, NIS2, Essential Eight
API सुरक्षा	11 में से 5	SOC 2, CMMC, HIPAA, GDPR, NIS2, Essential Eight
थ्रेट इंटेलिजेंस	11 में से 5	CIS v8.1, SOC 2, HIPAA, GDPR, NIS2, Essential Eight
व्यावसायिक परिवेश	11 में से 5	CIS v8.1, CMMC, HIPAA, GDPR, NIS2, Essential Eight
WAF	11 में से 6	CMMC, HIPAA, GDPR, NIS2, Essential Eight
फ़ॉरेंसिक	11 में से 7	CIS v8.1, HIPAA, GDPR, Essential Eight
मोबाइल सुरक्षा	11 में से 7	PCI DSS, GDPR, NIS2, Essential Eight
वेब सुरक्षा	11 में से 7	HIPAA, GDPR, NIS2, Essential Eight
संचार	11 में से 7	PCI DSS, HIPAA, GDPR, Essential Eight
DLP	11 में से 8	HIPAA, GDPR, Essential Eight

ये विषय क्यों गायब हैं

फ़्रेमवर्क तकनीक से एक स्तर ऊपर लिखे जाते हैं। ISO 27001, SOC 2 और GDPR ऐसे परिणामों का वर्णन करते हैं ("नेटवर्क में सूचना की सुरक्षा करें", "सुरक्षित विकास") जो किसी भी तकनीक पर लागू होते हैं, इसलिए वे शायद ही कभी DNS, API या वेब एप्लिकेशन फ़ायरवॉल का नाम लेते हैं। यदि आपका जोखिम आकलन इन्हें शामिल करता है, तो ये विषय व्यापक नियंत्रणों के माध्यम से अप्रत्यक्ष रूप से कवर होते हैं।

फ़्रेमवर्क खतरे के परिदृश्य से पीछे रहते हैं। इनमें से कई तब लिखे गए थे जब परिधि का मतलब एक फ़ायरवॉल था और एप्लिकेशन इंस्टॉल किया हुआ सॉफ़्टवेयर होते थे। APIs, क्लाउड-होस्टेड वेब एप्लिकेशन और DNS का दुरुपयोग हमलों के आम रास्ते बन गए, और मानकों में संशोधन उससे धीमी गति से हुआ। ISO 27001:2022 ने थ्रेट इंटेलिजेंस और वेब फ़िल्टरिंग को नए नियंत्रणों के रूप में जोड़ा; CSF 2.0 ने आपूर्ति श्रृंखला और प्लेटफ़ॉर्म सुरक्षा को मज़बूत किया। अन्य अभी तक पीछे हैं।

कुछ विषय नियंत्रण नहीं, संदर्भ हैं। "व्यावसायिक वातावरण" (आपके मिशन, हितधारकों और निर्भरताओं को समझना) शासन की बुनियाद है। फ़्रेमवर्क इसे आवश्यक बनाने के बजाय मान लेते हैं।

यह क्यों मायने रखता है

हमलावर फ़्रेमवर्क नहीं पढ़ते। सबसे कम आवश्यक विषयों में से कुछ व्यवहार में सबसे अधिक शोषित होने वाले विषयों में हैं: खुले APIs, कमज़ोर वेब एप्लिकेशन और DNS में हेरफेर। ऐसा कार्यक्रम जो केवल वही लागू करता है जो ऑडिटर पूछते हैं, हर ऑडिट पास कर सकता है और फिर भी ये खामियाँ खुली छोड़ सकता है।

सूची के निचले विषयों पर आपके अपने जोखिम आकलन को वह काम करना होगा जो फ़्रेमवर्क नहीं करते।

मुख्य बातें

• DNS सुरक्षा, थ्रेट इंटेलिजेंस, API सुरक्षा और वेब एप्लिकेशन संरक्षण वे विषय हैं जिन्हें हमारे मैप किए गए फ़्रेमवर्क में सबसे कम आवश्यक बनाया गया है।
• इसका मुख्य कारण यह है कि फ़्रेमवर्क तकनीक से ऊपर लिखे जाते हैं और धीरे संशोधित होते हैं, न कि इसलिए कि ये विषय कम महत्वपूर्ण हैं।
• सबसे कम आवश्यक कई विषय व्यवहार में सबसे अधिक शोषित हमला-मार्गों में आते हैं।
• आपके अपने जोखिम आकलन को वह कवर करना होगा जो फ़्रेमवर्क छोड़ते हैं, और किसी भी स्थिति में एक तर्कसंगत निर्णय दर्ज किया जाना चाहिए।

क्या करें

• सूची के निचले विषयों की तुलना अपने अटैक सरफ़ेस से करें। यदि आप सार्वजनिक APIs या वेब एप्लिकेशन चलाते हैं, तो API सुरक्षा और वेब सुरक्षा इस बात से स्वतंत्र रूप से मायने रखते हैं कि आपके फ़्रेमवर्क क्या कहते हैं।
• किसी विषय को कवर करने वाले सबसे विशिष्ट फ़्रेमवर्क को अपना मानक बनाएँ, भले ही आप उसके प्रति प्रमाणित न हों। तकनीकी विषयों पर CIS Controls और PCI DSS अक्सर ISO 27001 से अधिक विशिष्ट होते हैं; विषय पृष्ठ दिखाते हैं कि कौन क्या आवश्यक बनाता है।
• निर्णय दर्ज करें। यदि आपका जोखिम आकलन यह निष्कर्ष निकालता है कि कोई विषय लागू नहीं होता, तो कारण लिखें। ऑडिटर तर्कसंगत अपवर्जन स्वीकार करते हैं; हमलावरों को दोनों तरह से कोई फ़र्क नहीं पड़ता।

कवरेज मैट्रिक्स सभी पचास विषयों को ग्यारहों फ़्रेमवर्क के मुकाबले एक नज़र में दिखाता है। सूची के दूसरे छोर के लिए, वे विषय जिन्हें हर फ़्रेमवर्क साझा करता है देखें।

प्रश्न

कौन से सुरक्षा विषय सबसे कम फ़्रेमवर्क आवश्यक बनाते हैं?

ControlMapping के डेटा में, DNS सुरक्षा, थ्रेट इंटेलिजेंस, API सुरक्षा, व्यावसायिक वातावरण और वेब एप्लिकेशन फ़ायरवॉल ग्यारह फ़्रेमवर्क में से सबसे कम में मैप किए गए हैं।

यदि कोई फ़्रेमवर्क किसी नियंत्रण को आवश्यक नहीं बनाता, तो क्या मैं उसे छोड़ सकता हूँ?

अनुपालन की दृष्टि से शायद; सुरक्षा की दृष्टि से शायद ही कभी। अधिकतर फ़्रेमवर्क जोखिम-आधारित होते हैं, इसलिए कोई विषय गायब होने का आम तौर पर मतलब होता है 'आपके जोखिम आकलन द्वारा कवर', न कि 'अनावश्यक'।

API सुरक्षा को कौन सा फ़्रेमवर्क सबसे अच्छी तरह कवर करता है?

कोई भी इसे व्यापक रूप से कवर नहीं करता। CIS Controls का एप्लिकेशन सॉफ़्टवेयर सुरक्षा नियंत्रण और PCI DSS की secure development और सार्वजनिक-मुखी वेब एप्लिकेशन आवश्यकताएँ सबसे विशिष्ट में से हैं; OWASP का API Security Top 10 सामान्य तकनीकी संदर्भ है।