Standardy kybernetické bezpečnosti jsou digitální bezpečnostní techniky vyvinuté k zabránění nebo zmírnění kybernetických útoků. Tyto příručky obsahují obecné obrysy, jakož i specifické techniky pro implementování kybernetické bezpečnosti. Pro určité normy lze získat certifikaci akreditovaným orgánem. Existuje mnoho výhod, které stojí za získání certifikace včetně možnosti získání kybernetického pojištění.
V anglickém jazyce je možné pojem „kybernetická bezpečnost“ napsat odděleně (cyber security) nebo dohromady (cybersecurity). Záviselo to na instituci, ve které byly rozpory se staršími dokumenty. Avšak poté, co bylo vládou USA vydáno nařízení k tomuto tématu (viz U.S. Federal Executive Order (EO) 13636) s názvem “Improving Critical Infrastructure Cybersecurity” (Česky: Zlepšení kritické infrastruktury kybernetické bezpečnosti), většina internetových fór a médií přijala výraz „cybersecurity“ jako jediné slovo.
Historie Normy kybernetické bezpečnosti byly v nedávné době vytvořeny proto, že se nyní často ukládají citlivé informace na počítače, připojené k internetu, přes který mohou být tyto informace napadeny. Také se na počítačích provádí mnoho úloh, které nejsou spuštěny jejich uživateli, ale samotnými počítači (např. tzv. updates). Proto je potřeba nějakým způsobem zajišťovat informace (Information assurance) a bezpečnost.
ISO 27001 a ISO 27002
'ISO / IEC 27001: 2013' , který je součástí rostoucí ISO / IEC 27000 rodiny standardů, je systém řízení bezpečnosti informací (ISMS) standard zveřejněn v říjnu roku 2013 na Mezinárodní organizace pro normalizaci (ISO) a Mezinárodní elektrotechnické komise (IEC). Jeho celé jméno je ISO / IEC 27001: 2013 - Informační technologie - Bezpečnostní techniky - Systémy managementu bezpečnosti informací - Požadavky . Anglicky: ISO/IEC 27001:2013 – Information technology – Security techniques – Information security management systems – Requirements
ISO / IEC 27001: 2013 formálně určuje systém řízení, který je určený k dosažení bezpečnosti informací v rámci explicitní kontroly managementu.
ISO / IEC 27002 zahrnuje zejména část 1 ze BS 7799. Nejnovější verze BS7799 je BS7799-3. Někdy je ISO / IEC 27002 proto označován jako ISO 17799 nebo BS 7799 část 1 a někdy se vztahuje k části 1 a části 7. BS 7799 část 1 poskytuje přehled nebo dobrou praktickou příručku pro správu kybernetické bezpečnosti; zatímco BS 7799 část 2 a ISO 27001 jsou normativní, a proto poskytují rámec pro certifikaci. ISO / IEC 27002 je kvalitní průvodce kybernetické bezpečnosti. Nejvíce prospěšný je díky vysvětleným pokynům pro řízení organizace a pro získaní certifikace podle normy ISO 27001. Jednou získaná certifikace trvá tři roky. V závislosti na auditorské organizaci, žádný nebo některé pokročilé audity mohou být prováděny během tří let.
ISO 27001 (ISMS) nahrazuje BS 7799 část 2, ale protože je zpětně kompatibilní, jakákoliv organizace která pracuje na BS 7799 části 2 může snadno přejít do certifikačního procesu ISO 27001. K dispozici je také pro zjednodušení přechodný audit. Jakmile je organizace certifikovaná BS 7799 částí 2, získává ISO 27001 certifikaci. ISO / IEC 27002 poskytuje doporučení na osvědčený postup v oblasti řízení bezpečnosti informací pro použití osoby odpovědné za iniciování, zavedení nebo udržování systémů řízení informační bezpečnosti (ISMS). Od systémů informační bezpečnosti je požadováno, aby implementovaly ISO 27002 kontrolní cíle. Bez ISO 27001, jsou ISO 27002 kontrolní cíle neúčinné. ISO 27002 kontrolní cíle jsou začleněny do ISO 27001 v příloze A.
ISO / IEC 21827 (SSE-CMM – ISO / IEC 21827), je mezinárodní norma vycházející z bezpečnostních systémů Engineering Capability Maturity Model (SSE-CMM), který může měřit platnosti ISO kontrolních cílů.
Standard of Good Practice
V letech 1990-1999, Information Security Forum (ISF) zveřejnil úplný seznam osvědčených postupů pro bezpečnost informací, publikovaný jako Standards of Good Practice (SoGP). ISF pokračoval v aktualizacích SoGP každé dva roky. Poslední verze byla zveřejněna v roce 2013.
Původně Standards of Good Practice byl soukromý dokument k dispozici pouze pro členy ISF, ale po vytvoření úplného dokumentu, byl tento dokument k prodeji pro širokou veřejnost. Navíc je důležité pro ty, kteří mají na starosti řízení bezpečností.
NERC
North American Electric Reliability Corporation (NERC) vytvořila mnoho standardů. Nejvíce široce uznávána je NERC 1300, která je modifikací / aktualizací NERC 1200. Nejnovější verze NERC 1300 se nazývá CIP-002-3 prostřednictvím CIP-009-3 (CIP = ochrana kritické infrastruktury). Tyto normy se používají k zajištění hromadných elektrických systémů, i když NERC vytvořila standardy v rámci jiných oblastí. Standardy hromadných elektrických systémů také poskytují administrativu zabezpečení sítě, zatímco stále podporují osvědčené postupy průmyslových procesů. .
NIST
Speciální publikace 800-12 poskytuje široký přehled o počítačové bezpečnosti a kontrolních oblastí. Také zdůrazňuje význam bezpečnostních kontrol a způsobů jejich provedení. Původně tento dokument byl zaměřen na federální vládu, i když většina postupů v tomto dokumentu mohou být použity v soukromému sektoru. Konkrétně to bylo psáno pro lidi ve federální vládě, kteří jsou odpovědní za manipulaci s citlivými systémy. Speciální publikace 800-14 popisuje společné bezpečnostní zásady, které jsou používány. Ta poskytuje kvalitní popis toho, co by mělo být začleněno do politiky počítačové bezpečnosti a popisuje, co lze udělat pro zlepšení stávajícího zabezpečení a jak vyvinout novou bezpečnostní praxi. V tomto dokumentu je popsáno osm principů a čtrnáct praktik. Speciální publikace 800-26 poskytuje rady o tom, jak řídit IT bezpečnost. Tento dokument zdůrazňuje sebehodnocení a hodnocení rizik. Speciální publikace 800-37, aktualizované v roce 2010 poskytuje nový přístup k rizikům: "Příručka pro uplatňování rámce řízení rizik pro Federální Informační Systemy", anglicky "Guide for Applying the Risk Management Framework to Federal Information Systems" Speciální publikace 800-53 rev4, "Bezpečnostní a soukromé kontroly pro Federální Informační systémy a organizace", anglicky "Security and Privacy Controls for Federal Information Systems and Organizations." To bylo publikováno 04. 2013 a doplněno o aktualizace z 15. ledna 2014, speciálně se zaměřuje na 194 bezpečnostních kontrol, které jsou použity na systémy, za účelem vylepšit jejich „bezpečnost.“
ISO 15408
Tato norma rozvijí to, co se nazývá "Common Criteria". Ta umožňuje mnoho různým softwarovým aplikacím být integrovány a testovány bezpečným způsobem.
RFC 2196 RFC (Request for Comments) 2196 je memorandum publikováno komisí Internet Engineering Task Force pro vyvíjení bezpečnostních zásad a postupů pro informační systémy připojené k Internetu. RFC 2196 poskytuje obecný a široký přehled o informační bezpečnosti, včetně zabezpečení sítě, reakce na incidenty, nebo zásady zabezpečení. Dokument je velmi praktický a zaměřuje se na každodenní operace.
ISA/IEC-62443 (původně ISA-99) ISA / IEC-62443 je řada norem, technických zpráv a souvisejících informací, které definují postupy pro implementování elektronického zabezpečení průmyslové automatizace a kontrolních systémů (IACS). Tyto pokyny se vztahují na koncového uživatele (tj vlastníka majetku), systémové integrátory, bezpečnostní praktiky, a výrobce řídicích systémů odpovědné za výrobu, projektování, implementování, nebo řízení průmyslové automatizace a kontrolních systémů.
Tyto dokumenty byly původně značeny jako ANSI/ISA-99 nebo ISA99 standardy, protože byly vytvořeny Mezinárodní společností pro automatizaci (ISA) a veřejně vydaný Americkým Národním standardizačním institutem (ANSI). V roce 2010 byly nově označeny jako ANSI/ISA-62443. Tato změna byla určena k uspořádání ISA a ANSI dokumentů a k označení těchto dokumentů podle odpovídajících norem z Mezinárodní elektrotechnické komise.
Všechny pracovní ISA produkty jsou nyní očíslovány pomocí konvence "ISA-62443-xy" a předchozí ISA99 nomenklatura se udržuje pouze pro kontinuitu. Odpovídající dokumenty IEC jsou uváděný jako "IEC 62443-xy". Schválené verze IEC a ISA jsou obecně shodné pro všechny funkční účely.
ISA99 zůstal název od výboru průmyslové automatizace a výboru systému řízení bezpečnosti ISA. Od roku 2002, výbor vyvíjí multi-part série norem a technických zpráv na toto téma. Tyto pracovní produkty jsou pak poslány do ISA ke schválení a publikaci pod ANSI. Také jsou také poslány do IEC k posouzení a schválení jako standardy a specifikace v souboru IEC 62443.
náhled|vpravo|alt=The numbering and organization of ISA99 work products into categories.|Naplánované a publikované ISA-62443 pracovní produkty pro IACS Security. Všechny ISA-62443 standardy a technické zprávy jsou uspořádány do čtyř hlavních kategorií zvaných General, Policies and Procedures, System, and Component. První (top) kategorie zahrnuje obecné nebo základní informace, jako jsou koncepty, modely a terminologie. Zahrnuty jsou také pracovní produkty, které popisují bezpečnostní metriky a bezpečnostní životní cykly pro IACS. Druhá kategorie pracovních produktů se zaměřuje na majetek vlastníka. Ty řeší různé aspekty vytváření a udržování efektivního bezpečnostního programu IACS. Třetí kategorie zahrnuje pracovní výrobky, které popisují pokyny návrhu systému a požadavky pro bezpečnou integraci řídicích systémů. Čtvrtá kategorie zahrnuje pracovní produkty, které popisují specifický vývoj produktů a technických požadavků systému kontrolování produktů. Toto je primárně určeno pro kontrolu dodavatelů produktů, ale může být použit integrátorem a vlastníků majetku pro pomáhání při zadávání veřejných zakázek bezpečných produktů.
Plánované a publikované ISA-62443 dokumenty jsou:
Group 1: General ISA-62443-1-1 (IEC/TS 62443-1-1) (dříve označován jako "ISA-99 Part 1") byl původně publikován jako norma ISA ANSI / ISA-99.00.01-2007, jakož i IEC technické specifikace IEC / TS 62443-1-1. ISA99 výbor to v současné době přehodnocuje, aby byl v souladu s ostatními sériemi dokumentů, a pro objasnění normativního obsahu. ISA-TR62443-1-2 (IEC 62443-1-2) je hlavní slovníček pojmů používaných v ISA99 výboru. Tento dokument je pracovní koncept, ale obsah je k dispozici na ISA99 committee Wiki. ISA-62443-1-3 (IEC 62443-1-3) identifikuje sadu dodržovacích metrik pro IACS bezpečnost. Tento dokument je v současné době ve fázi vývoje, a výbor bude uvolňovat návrh k podání připomínek v roce 2013. ISA-62443-1-4 (IEC/TS 62443-1-4) definuje bezpečnost životních cyklů a případy užití IACS. Tento pracovní produkt byl navržen jako součást série, ale od ledna 2013 dosud nezačal vývoj. Group 2: Policy and Procedure ISA-62443-2-1 (IEC 62443-2-1) (formerly referred to as "ANSI/ISA 99.02.01-2009 or ISA-99 Part 2") řeší, jak vytvořit IACS bezpečnostní program. Tato norma je schválena a vydána IEC jako IEC 62443-2-1. Nyní probíhá revize, která umožní užší sbližování se sérií norem ISO 27000. ISA-62443-2-2 (IEC 62443-2-2) řeší, jak provozovat IACS bezpečnostní program. Tato norma je v současné době ve vývoji. ISA-TR62443-2-3 (IEC/TR 62443-2-3) je technická zpráva na téma oprava managementu v IACS prostředí. Tato zpráva je v současné době ve vývoji. ISA-62443-2-4 (IEC 62443-2-4) se zaměřuje certifikaci IACS dodavatelů bezpečnostních zásad a praktik. Tento dokument byl převzat z organizace WIB a nyní je pracovní produkt IEC TC65 / WG10 výboru. Navrhovaná ISA verze bude národní publikace US normy IEC. Group 3: System Integrator ISA-TR62443-3-1 (IEC/TR 62443-3-1) je technická zpráva na téma vhodné technologie pro IACS bezpečnost. Tato zpráva je schválena a publikována jako ANSI / ISA-TR99.00.01-2007 a je v současné době revidovaná. ISA-62443-3-2 (IEC 62443-3-2) řeší, jak definovat úrovně zajišťování bezpečnosti pomocí zón a vedení koncepce. Tato norma je v současné době ve vývoji.