Kepatuhan bukan keamanan, tetapi crosswalk membantu keduanya

Ini adalah salah satu pengamatan tertua di profesi ini: kepatuhan bukan keamanan. Laporan pelanggaran data secara rutin menampilkan organisasi yang memegang sertifikat yang tepat dan lulus audit. Pengamatan itu benar, tetapi kesimpulan yang biasa diambil, bahwa kepatuhan hanyalah sandiwara, keliru. Kepatuhan dan keamanan tumpang tindih cukup banyak. Masalahnya terletak pada apa yang terjadi di batas-batasnya, dan berapa banyak waktu yang dihabiskan kepatuhan.

Di mana keduanya selaras

Kerangka kerja sepakat tentang hal-hal mendasar karena hal-hal mendasar itu memang efektif. Setiap dari sebelas kerangka kerja yang kami petakan mensyaratkan manajemen aset, manajemen kerentanan, cadangan dan pemulihan, respons insiden, serta pelaporan insiden (inti bersama). Sebagian besar mensyaratkan MFA, logging, tinjauan akses, dan keamanan pemasok. Organisasi yang benar-benar menjalankan hal-hal ini jauh lebih sulit dibobol dibanding yang tidak, terlepas dari ada atau tidaknya sertifikat.

Di mana keduanya berbeda

• Lingkup. Audit mencakup sistem yang telah ditentukan. Penyerang tidak menghormati lingkup: pelanggaran datang melalui laptop kantor, server uji yang terlupakan, atau pemasok di luar batas.
• Titik waktu. Kontrol yang beroperasi pada sampel audit mungkin tidak beroperasi di mana-mana, setiap hari.
• Desain versus efektivitas. Sebuah kontrol bisa ada, terdokumentasi, dan teruji, namun tetap tidak menghentikan serangan yang dimaksudkan untuknya: MFA yang bisa diphishing, pemindai yang tidak melihat separuh dari infrastruktur.
• Apa yang ditinggalkan kerangka kerja. Beberapa jalur serangan yang paling sering dieksploitasi (API, aplikasi web, DNS) hanya diwajibkan oleh sedikit kerangka kerja, sebagaimana ditunjukkan oleh analisis kami tentang topik yang terlewatkan oleh kerangka kerja.

Biaya sebenarnya: waktu

Masalah yang lebih besar bukanlah bahwa kepatuhan itu keliru; masalahnya adalah ia mahal. Organisasi dengan tiga atau empat kerangka kerja dapat menghabiskan sebagian besar upaya keamanannya untuk pemetaan, bukti, dan audit, banyak di antaranya terduplikasi. Setiap jam yang dihabiskan untuk membuat tinjauan akses yang sama dalam tiga format adalah satu jam yang tidak digunakan untuk threat hunting, pengerasan, atau permukaan serangan yang tidak pernah diperiksa auditor.

Bagaimana crosswalk membantu keduanya

Di sinilah pemetaan membuktikan nilainya. Jika Anda tahu bahwa satu kontrol memenuhi ISO 27001, SOC 2, PCI DSS, dan NIS2 sekaligus, Anda cukup menerapkannya sekali, membuktikannya sekali, dan berhenti membayar 'pajak kepatuhan' tiga kali. Waktu yang Anda hemat adalah waktu yang dibutuhkan keamanan. Crosswalk yang baik juga menunjukkan di mana kerangka kerja tidak memberikan panduan, dan justru di situlah penilaian risiko Anda sendiri harus mengarah.

Arah	Dipetakan	Terkait secara longgar	Tidak ada pemetaan
Miliki ISO 27001 → butuhkan SOC 2	41 dari 61 (67%)	0	20	laporan →
Miliki SOC 2 → butuhkan ISO 27001	98 dari 123 (80%)	21	4	laporan →

Tanda-tanda program hanya berorientasi kepatuhan

• Pekerjaan keamanan dijadwalkan berdasarkan tanggal audit, bukan ancaman.
• Kontrol hanya ada dalam lingkup audit; sisa infrastruktur dibiarkan begitu saja.
• Metrik mengukur dokumen dan tingkat penyelesaian, bukan hasil seperti waktu untuk menambal atau waktu untuk mendeteksi.
• Tim dapat menyebutkan persyaratan kerangka kerja mana yang dipenuhi suatu kontrol, tetapi tidak serangan mana yang dihentikannya.
• Temuan ditutup dengan mengubah dokumen, bukan mengubah sistem.

Jika beberapa poin ini terdengar familiar, solusinya bukan membuang kepatuhan; melainkan mengotomatisasinya dan mengalihkan waktu yang dihemat.

Poin-poin utama

• Kepatuhan dan keamanan berbagi hal-hal mendasar tetapi berbeda di batas-batasnya.
• Biaya terbesar kepatuhan adalah upaya yang terduplikasi.
• Petakan sekali, otomatisasi bukti, dan gunakan waktu yang dihemat untuk keamanan.

Yang harus dilakukan

1. Bangun satu kumpulan kontrol yang dipetakan ke setiap kerangka kerja yang harus Anda penuhi, alih-alih satu program per kerangka kerja.
2. Otomatisasi bukti di mana pun sistem dapat menghasilkannya.
3. Gunakan waktu yang dihemat untuk hal-hal yang tidak dilihat audit: manajemen permukaan serangan, rekayasa deteksi, pengujian.
4. Ukur keamanan secara terpisah dari kepatuhan: insiden, waktu untuk menambal, ketahanan terhadap phishing, waktu pemulihan.

Kepatuhan adalah lantai, bukan atap. Gunakan crosswalk untuk mencapai lantai itu seefisien mungkin, lalu bangun di atasnya. Analisis kesenjangan dan matriks cakupan adalah tempat untuk memulai.

Pertanyaan

Apakah organisasi yang patuh itu aman?

Belum tentu. Kepatuhan menunjukkan bahwa kontrol tertentu ada dan beroperasi dalam lingkup yang telah ditentukan; penyerang menargetkan apa pun yang paling lemah, baik di dalam maupun di luar lingkup tersebut.

Apakah kepatuhan sama sekali meningkatkan keamanan?

Ya: kerangka kerja memberlakukan hal-hal dasar yang banyak organisasi mungkin lewatkan, seperti inventaris aset, penambalan, tinjauan akses, dan rencana insiden. Masalahnya muncul ketika kepatuhan menjadi keseluruhan program.