Темы безопасности, которые реже всего требуют стандарты, и почему это важно

Программа безопасности, построенная только на требованиях соответствия, обычно сильнее всего там, где стандарты совпадают, и слабее всего там, где они молчат. Мы ранжировали все пятьдесят тем ControlMapping по тому, сколько из одиннадцати стандартов сопоставляют им требование. Нижняя часть этого списка — то место, где программа, ориентированная на стандарты, с наибольшей вероятностью имеет слепые зоны.

Темы, которым реже всего уделяется внимание

Тема	Сопоставлено в	Нет сопоставления в
Безопасность DNS	4 из 11	SOC 2, PCI DSS, CMMC, HIPAA, GDPR, NIS2, Essential Eight
Безопасность API	5 из 11	SOC 2, CMMC, HIPAA, GDPR, NIS2, Essential Eight
Бизнес-среда	5 из 11	CIS v8.1, CMMC, HIPAA, GDPR, NIS2, Essential Eight
Разведка угроз	5 из 11	CIS v8.1, SOC 2, HIPAA, GDPR, NIS2, Essential Eight
WAF	6 из 11	CMMC, HIPAA, GDPR, NIS2, Essential Eight
Безопасность веб-приложений	7 из 11	HIPAA, GDPR, NIS2, Essential Eight
Безопасность мобильных устройств	7 из 11	PCI DSS, GDPR, NIS2, Essential Eight
Коммуникация	7 из 11	PCI DSS, HIPAA, GDPR, Essential Eight
Криминалистический анализ	7 из 11	CIS v8.1, HIPAA, GDPR, Essential Eight
DLP	8 из 11	HIPAA, GDPR, Essential Eight

Почему эти темы отсутствуют

Стандарты пишутся на уровне выше технологий. ISO 27001, SOC 2 и GDPR описывают результаты («защита информации в сетях», «безопасная разработка»), которые применимы к любой технологии, поэтому они редко называют DNS, API или межсетевые экраны веб-приложений. Эти темы покрываются неявно, через широкие меры контроля, если ваша оценка рисков их учитывает.

Стандарты отстают от ландшафта угроз. Многие из них составлялись тогда, когда периметр был межсетевым экраном, а приложения — установленным ПО. API, облачные веб-приложения и злоупотребление DNS стали распространёнными путями атак быстрее, чем стандарты пересматривались. ISO 27001:2022 добавил в качестве новых мер анализ угроз и веб-фильтрацию; CSF 2.0 усилил безопасность цепочки поставок и платформ. Другие темы пока не нашли отражения.

Некоторые темы — это контекст, а не меры контроля. «Бизнес-среда» (понимание миссии, заинтересованных сторон и зависимостей) — это подготовительная работа в рамках управления. Стандарты предполагают её наличие, но не требуют её отдельно.

Почему это важно

Атакующие не читают стандарты. Некоторые из наименее требуемых тем на практике входят в число наиболее эксплуатируемых: открытые API, уязвимые веб-приложения и манипуляции с DNS. Программа, которая реализует только то, что запрашивают аудиторы, может успешно пройти любой аудит и при этом оставить эти направления открытыми.

Темы в нижней части списка — это место, где ваша собственная оценка рисков должна делать ту работу, которую стандарты не делают.

Ключевые выводы

• Безопасность DNS, анализ угроз, безопасность API и защита веб-приложений реже всего требуются стандартами из тех, что мы сопоставляем.
• Это в основном объясняется тем, что стандарты пишутся выше уровня технологий и пересматриваются медленно, а не тем, что эти темы менее важны.
• Несколько наименее требуемых тем входят в число наиболее эксплуатируемых путей атак на практике.
• Ваша собственная оценка рисков должна охватывать то, что стандарты оставляют без внимания, а обоснованное решение следует зафиксировать в любом случае.

Что делать

• Сверьте нижнюю часть списка с вашей поверхностью атаки. Если у вас есть публичные API или веб-приложения, безопасность API и безопасность веб-приложений важны независимо от того, что говорят ваши стандарты.
• Берите за основу наиболее конкретный стандарт, который покрывает тему, даже если вы не сертифицированы по нему. CIS Controls и PCI DSS часто конкретнее ISO 27001 в технических вопросах; страницы тем показывают, кто что требует.
• Фиксируйте решение. Если оценка рисков показывает, что тема неприменима, запишите причину. Аудиторы принимают обоснованное исключение; атакующим это безразлично.

Матрица соответствий показывает все пятьдесят тем в сравнении со всеми одиннадцатью стандартами. Противоположный конец списка см. в статье темы, которые требуют все стандарты.

Вопросы

Какие темы безопасности реже всего требуют стандарты?

По данным ControlMapping, безопасность DNS, анализ угроз, безопасность API, бизнес-среда и межсетевые экраны веб-приложений реже всего сопоставляются из 11 стандартов.

Если стандарт не требует меру контроля, можно ли её пропустить?

С точки зрения соответствия, возможно; с точки зрения безопасности — редко. Большинство стандартов основаны на рисках, поэтому отсутствующая тема обычно означает «покрывается вашей оценкой рисков», а не «не нужна».

Какой стандарт лучше всего покрывает безопасность API?

Ни один не покрывает её полностью. Мера CIS Controls по безопасности прикладного ПО и требования PCI DSS к безопасной разработке и публичным веб-приложениям относятся к числу наиболее конкретных; OWASP API Security Top 10 — обычный технический ориентир.