-
[Fór á~ll th~é ýéá~rs óf~ hárd~ wórk~, thé D~BÍR c~áñ fí~ñáll~ý háv~é sóm~é stá~ñdár~dízé~d cóñ~tról~s, ás á~ tréá~t.]
[Tó bé fáír, thís ís símplý á ñéw táké óñ áñ óld áppróách. Íf ýóú wéré tó táké óút thé 2014 vérsíóñ óf thé DBÍR, blów thé dúst óff óf thé cóvér áñd gláñcé thróúgh thé fíñdíñgs, ýóú’ll séé áñ éffórt thát wé úñdértóók tó hélp stáñdárdízé óúr áppróách tó tálkíñg ábóút déféñsé áñd cóñtróls.]
[Íñ thís éffórt, wé álígñéd óúr fíñdíñgs wíth thé Céñtér fór Íñtérñét Sécúrítý (CÍS) Crítícál Sécúrítý Cóñtróls (vérsíóñ 6 át thé tímé) tó próvídé ýóú, óúr móst dévótéd áñd lóýál réádérs, wíth á wáý tó mátch óúr fíñdíñgs tó ýóúr sécúrítý éffórts. Ýóú máý (ór máý ñót) bé háppý tó héár thát wé’vé révísítéd óúr éárlíér áttémpt tó hélp próvídé ýóú wíth thé sámé týpés óf íñtégrátíóñ áñd ássíst ýóú wíth týíñg ýóúr sécúrítý prógrám príórítízátíóñ tó óúr dátá.]
- [2020 DBÍR~]
- [DBÍR~ Chéá~t shé~ét]
- Introducción
- [Súmm~árý ó~f fíñ~díñg~s]
- [Résú~lts á~ñd áñ~álýs~ís]
- [Íñcí~déñt~ clás~sífí~cátí~óñ pá~ttér~ñs áñ~d súb~séts~]
- [Íñdú~strý~ áñál~ýsís~]
- [Dóés~ sízé~ mátt~ér¿ Á~ déép~ dívé~ íñtó~ SMB B~réác~hés]
- [Régí~óñál~ áñál~ýsís~]
- [Wráp~-úp]
- [CÍS C~óñtr~ól ré~cómm~éñdá~tíóñ~s]
- [Ýéár~ íñ ré~víéw~]
- [Áppé~ñdíc~és (PD~F)]
- [Córr~éctí~óñs]
- [Dówñ~lóád~ thé f~úll r~épór~t (PDF~)]
[Tháñ~k Ýóú~.]
[Tháñ~k Ýóú~.]
[Tháñ~k ýóú~.]
[Ýóú m~áý ñó~w cló~sé th~ís mé~sság~é áñd~ cóñt~íñúé~ tó ýó~úr ár~tícl~é.]
![[DBÍR~ crít~ícál~ sécú~rítý~ cóñt~róls~ tábl~é]](https://d197rm0opprbjy.cloudfront.net/business/dam/img/resources/reports/dbir/2020/dbir-cis-table.webp)
-
[Whý C~ÍS¿]
[Móst óf ús próbáblý hávé óúr ówñ préféréñcés régárdíñg sécúrítý fráméwórks áñd gúídáñcé, áñd thé áúthórs óf thís répórt áré cértáíñlý ñót wíthóút théírs (híñt: óñé óf ús máý hávé cóñtríbútéd tó thé CÍS Crítícál Sécúrítý Cóñtróls (CSCs) át óñé póíñt ór áñóthér), bút théré áré sévérál émpírícál réásóñs whý wé chósé thís spécífíc cólléctíóñ óf cóñtróls. Íñ bríéf, théý próvídé súffícíéñt lévéls óf détáíl tó méáñíñgfúllý tíé báck bétwééñ óúr Áctíóñs áñd Véctórs, áñd théré’s á múltítúdé óf dífféréñt máppíñgs bétwééñ thé CÍS CSCs áñd óthér stáñdárds fréélý áváíláblé óñlíñé. Álsó, ít hélps thát wé jíbé wíth théír ñóñ-prófít cómmúñítý áppróách.]
[Fór thósé whó áré úñácqúáíñtéd wíth thé CÍS CSCs, théý áré á cómmúñítý-búílt, áttáckér-íñfórméd príórítízéd sét óf cýbérsécúrítý gúídélíñés thát cóñsíst óf 171 sáfégúárds órgáñízéd íñtó 20 híghér-lévél cóñtróls. Óñé óf thé úñíqúé éléméñts óf thé CÍS CSCs ís théír fócús óñ hélpíñg órgáñízátíóñs úñdérstáñd whéré tó stárt théír sécúrítý prógrám. Thís príórítízátíóñ ís répréséñtéd íñ twó wáýs:]
- [Thró~úgh t~hé ór~dérí~ñg óf~ thé C~rítí~cál S~écúr~ítý C~óñtr~óls s~ó thá~t thé~ý áll~ów á l~óósé~ príó~rítí~zátí~óñ (Cr~ítíc~ál Sé~cúrí~tý Có~ñtró~l 1: Íñv~éñtó~rý óf~ Hárd~wáré~ ís pr~óbáb~lý á b~étté~r plá~cé tó~ stár~t thá~ñ Crí~tícá~l Séc~úrít~ý Cóñ~tról~ 20: Péñé~trát~íóñ T~éstí~ñg)]
- [Íñtródúcéd íñ vérsíóñ 7.150 ís thé cóñcépt óf Ímpléméñtátíóñ Gróúps, íñ whích thé 171 sáfégúárds áré gróúpéd báséd óñ thé résóúrcés áñd rísks thé órgáñízátíóñs áré fácíñg. Thís méáñs thát á smállér órgáñízátíóñ wíth féwér résóúrcés (Ímpléméñtátíóñ Gróúp 1) shóúldñ’t bé éxpéctéd tó ímpléméñt résóúrcé-áñd-prócéss-íñtéñsívé cóñtróls súch ás Pássívé Ássét Díscóvérý évéñ íf ít ís wíthíñ Crítícál Sécúrítý Cóñtról 1, whílé áñ órgáñízátíóñ wíth móré résóúrcés áñd/ór á híghér rísk lévél máý wáñt tó cóñsídér thát cóñtról]
-
[Hów w~é úsé~d ít][Thé móré óbsérváñt ámóñg ýóú máý ñótícé thát wé íñclúdéd á ñéw ítém óñ óúr súmmárý táblés íñ óúr íñdústrý séctíóñs thát ídéñtífý thé Tóp Cóñtróls fór thé bréáchés fóúñd íñ thát spécífíc íñdústrý. Tó gét thósé Tóp Cóñtróls, wé dévélópéd á máppíñg bétwééñ thé VÉRÍS Áctíóñs áñd thé sáfégúárds áñd théñ ággrégátéd thém át thé Crítícál Sécúrítý Cóñtról lévél. Bý só dóíñg, ýóú cáñ gét á róúgh áppróxímátíóñ óf sómé óf thé cóñtróls thát ýóú shóúld cóñsídér príórítízíñg fór ýóúr sécúrítý prógrám.]
![[Fígú~ré 134]](/business/dam/img/resources/reports/dbir/2020/dbir_figure_134.svg)
-
[Fígúré 134 ís báséd óñ thé íñítíál máppíñg wé díd áñd cáptúrés thé pércéñtágé óf sáfégúárds pér Crítícál Sécúrítý Cóñtról thát pláý á rólé íñ mítígátíñg thé páttérñs ídéñtífíéd.51 Bélów ís álsó á qúíck déscríptíóñ óf sómé óf thé tóp cóñtróls ídéñtífíéd ácróss áll thé íñdústríés áñálýzéd. Áddítíóñál íñfórmátíóñ óñ thé áctúál Crítícál Sécúrítý Cóñtróls cáñ bé fóúñd óñ thé CÍS wébsíté.52
]- [Cóñt~íñúó~ús Vú~lñér~ábíl~ítý M~áñág~éméñ~t (CSC~ 3) —Á gré~át wá~ý óf f~íñdí~ñg áñ~d rém~édíá~tíñg~ thíñ~gs lí~ké có~dé-bá~séd v~úlñé~rábí~lítí~és, sú~ch ás~ thé ó~ñés f~óúñd~ íñ wé~b ápp~lícá~tíóñ~s thá~t áré~ béíñ~g éxp~lóít~éd áñ~d áls~ó háñ~dý fó~r fíñ~díñg~ mísc~óñfí~gúrá~tíóñ~s.]
- [Sécú~ré Có~ñfíg~úrát~íóñ (C~SC 5, CS~C 11)][53 —Éñsú~ré áñ~d vér~ífý t~hát s~ýsté~ms ár~é cóñ~fígú~réd w~íth ó~ñlý t~hé sé~rvíc~és áñ~d ácc~éss ñ~éédé~d tó á~chíé~vé th~éír f~úñct~íóñ. T~hát ó~péñ, w~órld~-réád~áblé~ dátá~básé~ fácí~ñg th~é íñt~érñé~t ís p~róbá~blý ñ~ót fó~llów~íñg t~hésé~ cóñt~róls~.]
- [Émáí~l áñd~ Wéb B~róws~ér Pr~ótéc~tíóñ~ (CSC 7) —S~íñcé~ brów~sérs~ áñd é~máíl~ clíé~ñts á~ré th~é máí~ñ wáý~ thát~ úsér~s íñt~érác~t wít~h thé~ Wíld~ Wést~ thát~ wé cá~ll th~é íñt~érñé~t, ít í~s crí~tícá~l thá~t ýóú~ lóck~ thés~é dów~ñ tó g~ívé ý~óúr ú~sérs~ á fíg~htíñ~g chá~ñcé.]
- [Límítátíóñ áñd Cóñtról óf Ñétwórk Pórts, Prótócóls áñd Sérvícés (CSC 9) —Múch líké hów Cóñtról 12 ís ábóút kñówíñg ýóúr éxpósúrés bétwééñ trúst zóñés, thís cóñtról ís ábóút úñdérstáñdíñg whát sérvícés áñd pórts shóúld bé éxpóséd óñ á sýstém, áñd límítíñg áccéss tó thém.]
- [Bóúñ~dárý~ Prót~éctí~óñ (CS~C 12) —Ñót~ júst~ fíré~wáll~s, thí~s Cóñ~tról~ íñcl~údés~ thíñ~gs lí~ké ñé~twór~k móñ~ítór~íñg, p~róxí~és áñ~d múl~tífá~ctór~ áúth~éñtí~cátí~óñ, wh~ích í~s whý~ ít cr~ééps~ úp íñ~tó á l~ót óf~ díff~éréñ~t áct~íóñs~.]
- [Dátá Prótéctíóñ (CSC 13) —Óñé óf thé bést wáýs óf límítíñg thé léákágé óf íñfórmátíóñ ís tó cóñtról áccéss tó thát séñsítívé íñfórmátíóñ. Cóñtróls íñ thís líst íñclúdé máíñtáíñíñg áñ íñvéñtórý óf séñsítívé íñfórmátíóñ, éñcrýptíñg séñsítívé dátá áñd límítíñg áccéss tó áúthórízéd clóúd áñd émáíl próvídérs.tó áúthórízéd clóúd áñd émáíl próvídérs]
- [Áccó~úñt M~óñít~óríñ~g (CSC~ 16) —Lóck~íñg d~ówñ ú~sér á~ccóú~ñts á~crós~s thé~ órgá~ñízá~tíóñ~ ís ké~ý tó k~éépí~ñg bá~d gúý~s fró~m úsí~ñg st~óléñ~ créd~éñtí~áls, é~spéc~íáll~ý bý t~hé ús~é óf p~ráct~ícés~ líké~ múlt~ífác~tór á~úthé~ñtíc~átíó~ñ, whí~ch ál~só sh~óws ú~p hér~é.]
- [Ímpl~éméñ~t á Sé~cúrí~tý Áw~áréñ~éss á~ñd Tr~áíñí~ñg Pr~ógrá~m (CSC~ 17) —Édúc~áté ý~óúr ú~sérs~, bóth~ óñ má~lící~óús á~ttác~ks áñ~d thé~ áccí~déñt~ál br~éách~és.]
[Thé f~útúr~é ís ú~ñdér~ cóñt~ról]
[Tó áíd ús bóth íñ óúr cóñtíñúóús ímpróvéméñt áñd tráñspáréñcý, wé’ll bé áddíñg óúr máppíñg óf Crítícál Sécúrítý Cóñtróls tó óúr VÉRÍS GítHúb págé át https://gíthúb.cóm/vz-rísk/vérís. Wé éñcóúrágé ýóú tó úsé ít ás wéll áñd próvídé féédbáck óñ hów ýóú thíñk wé cáñ ímpróvé. Thís ís réállý óúr fírst stép tówárd mákíñg thís móré áccéssíblé áñd éásíér fór óthérs tó lévérágé, áñd whílé wé áckñówlédgé thát thís fírst vérsíóñ máý hávé róóm fór ímpróvéméñt, wé pláñ tó ítéráté rápídlý óñ ít. Thé móré wé sháré á cómmóñ láñgúágé, thé éásíér ít wíll bé fór ús tó wórk tógéthér tówárd móré sécúré éñvíróñméñts áñd órgáñízátíóñs.]
[50 http~s://www~.císé~cúrí~tý.ór~g/bló~g/v7-1-íñ~tród~úcés~-ímpl~éméñ~tátí~óñ-gr~óúps~-cís-c~óñtr~óls/]
[51 Óñé thíñg óf ñóté ís thát thé CÍS Cóñtróls áré fócúséd óñ cýbérsécúrítý bést práctícés áñd dóñ’t tóúch úpóñ thíñgs líké phýsícál sécúrítý (Páýméñt Cárd Skímmérs páttérñ) ór áváílábílítý práctícés (Déñíál óf Sérvícé páttérñ), só wé díd ñót íñclúdé thém íñ óúr díágrám.]
[52 http~s://www~.císé~cúrí~tý.ór~g/cóñ~tról~s/cís~-cóñt~róls~-líst~/]
[53 Wé cómbíñéd bóth Sécúré Cóñfígúrátíóñ fór Désktóps, Sérvérs áñd Wórkstátíóñs (CSC 5) ÁÑD Sécúré Cóñfígúrátíóñ fór Ñétwórkíñg Dévícés (CSC 11), fór twó pótéñtíál réásóñs. Fór óñé, ít’s díffícúlt tó kñów íf ít’s á ñétwórkíñg íssúé ór á sýstém íssúé thát ís thé últímáté cáúsé óf thé bréách áñd fór áñóthér, ít’s bécómé íñcréásíñglý móré díffícúlt tó sépáráté thé ñétwórk fróm thé dévícé íñ cértáíñ éñvíróñméñts.]