ISO/IEC 27040

ISO/IEC 27040[1] ist Teil einer wachsenden Familie internationaler Standards, die von der veröffentlicht wurden Internationale Standardisierungsorganisation (ISO) und die Internationale Elektrotechnische Kommission (IEC) im Bereich der Sicherheitstechniken; Der Standard wird von entwickelt von Subcommitee 27 (SC27) - IT -Sicherheitstechniken des ersten gemeinsamen technischen Komitees 1 (JTC 1) der ISO/IEC. Ein wichtiges Element von SC27 Das Programm der Arbeit umfasst internationale Standards für Informationssicherheitsmanagementsysteme (ISMS), die häufig als das bezeichnet werden.ISO/IEC 27000-Serie'.

Der vollständige Titel von ISO/IEC 27040 ist Informationstechnologie - Sicherheitstechniken - Speichersicherheit (ISO/IEC 27040: 2015)

Übersicht und Einführung

Der Zweck von ISO/IEC 27040 besteht darin, Sicherheitsanleitungen für Speichersysteme und Ökosysteme sowie für den Schutz von Daten in diesen Systemen bereitzustellen. Es unterstützt die allgemeinen Konzepte in ISO/IEC 27001.

Dieser internationale Standard ist für Manager und Mitarbeiter relevant, die sich mit dem Risikomanagement des Informationssicherheitsrisikos innerhalb einer Organisation befassen, und gegebenenfalls externe Parteien, die solche Aktivitäten unterstützen. Die Ziele für diesen internationalen Standard sind:

  • Veröffentlichung der Risiken,
  • Unterstützung Organisationen bei der besseren Sicherung ihrer Daten.
  • Bieten Sie eine Grundlage für das Entwerfen und Auditieren von Speichersicherungssteuerungen für Speicher.

ISO/IEC 27040 bietet spezifische, detaillierte Implementierungsanleitungen, ISO/IEC 27002.

Dieser internationale Standard ist kein Referenz- oder normatives Dokument für regulatorische und gesetzgeberische Sicherheitsanforderungen, da sie je nach Land variieren.

Geschichte

Im Herbst 2010 begannen die Arbeiten an ISO/IEC 27040, nachdem der SC27 Treffen in Redmond, WA. Das Projekt wurde auf die erweiterte Zeitleiste gelegt, sodass bis zu 48 Monate der Standard und nicht die normalen 36 Monate entwickelt wurden. Der ISO/IEC 27040 Standard wurde am 5. Januar 2015 veröffentlicht.

Während der Entwicklung von ISO/IEC 27040 Organisationen wie die Association der Speicher -Networking Industry (SNIA) mit Speichersicherheit beste aktuelle Praktiken (BCPS),[2][3] das Trusted Computing Group (TCG) Speicherarbeitsgruppe mit ihrer Arbeit an selbstverschlüsselten Laufwerken und Einschnitte'Speicherorientierte technische Ausschüsse (T10, T11, und T13) Lieferte wichtige Kommentare[wer?] und Beiträge.

Eric Hibbard Diene als ISO -Redakteur während der Entwicklung von ISO/IEC 27040.

Struktur des Standards

27040: 2015 hat sieben kurze Klauseln und drei Anhänge, die Cover:

1. Umfang des Standards
2. Eine Liste anderer Standards, die für das Verständnis und die Verwendung von ISO/IEC 27040 unverzichtbar sind
3. Terminologie, die entweder aus anderen Standards importiert oder in diesem Standard definiert ist
4. Eine Liste der verwendeten Abkürzungen und Akronyme, die im Standard verwendet werden
5. Ein Überblick über die wichtigsten Konzepte für Speicher- und Speichersicherheitskonzepte sowie Informationen zu den zugehörigen Risiken
6. Beschreibt die Steuerelemente, die die technischen Architekturen für Speichersicherung unterstützen, einschließlich direkter beigefügter Speicher (DAS), Speicher-Netzwerk, Speicherverwaltung, blockbasiertem Speicher, dateibasiertem Speicher, objektbasiertem Speicher und Sicherheitsdiensten.
7. Bietet Richtlinien für die Gestaltung und Implementierung der Speichersicherheit (z. B. Entwurfsprinzipien; Datenzuverlässigkeit, Verfügbarkeit und Belastbarkeit; Datenbindung; Daten Vertraulichkeit und Integrität von Daten; Visualisierung und Überlegungen zur Entwurfs- und Implementierung)
Annex A. Medienspezifische Leitlinien für die Desinfektion, einschließlich kryptografischer Löschung (Parallelen NIST SP 800-88R1)
Anhang B. Tabellen zur Auswahl geeigneter Sicherheitskontrollen basierend auf Datenempfindlichkeit oder Sicherheitsprioritäten (Vertraulichkeit, Integrität oder Verfügbarkeit)
Anhang C. Beschreibungen wichtiger Sicherheits- und Speicherkonzepte (Mini-Tutorials)
Literaturverzeichnis. Eine Liste von Standards und Spezifikationen, die einen Einfluss auf die Materialien in ISO/IEC 27040 hatten

Es ist erwähnenswert, dass die Bibliographie eine der umfassenderen Listen von Referenzen zur Speichersicherheit ist.

Unterstützende Steuerelemente für die Speichersicherheit

Ein Hauptelement des ISO/IEC 27040 -Standards konzentriert sich auf die Identifizierung von Sicherheitskontrollen für verschiedene Arten von Speichersystemen und Architekturen, einschließlich der folgenden:

  • Empfehlungen zur Sicherung des direkten beigefügten Speichers (DAS)
  • Breite Abdeckung der Sicherheit für Speicher -Netzwerktechnologien und -Topologien mit Schwerpunkt auf Speichergebietsnetzwerken oder SAN (z. B. Faserkanal, ISCSI, FCOE usw.) und Netzwerk beigefügte Speicher oder NAS (z. B. NFS und SMB/CIFs)
  • Identifizierung wichtiger Sicherheitsprobleme und Leitlinien für das Speichermanagement
  • Sicherheit für blockbasierte Speichersysteme mit Glasfaskanal- und IP-Schnittstellen (über die Materialien für Speicher-Netzwerke hinaus)
  • Sicherheit für dateibasierte Speichersysteme mit NFS, SMB/CIFS und PNFS-Schnittstellen (über die Speicher-Netzwerkmaterialien hinaus)
  • Sicherheit für Cloud-Speicher, objektbasierter Speicher (OSD) und Content adressierbarer Speicher (CAS)
  • Empfehlungen für Speichersicherheitsdienste (Sanitalisierung, Vertraulichkeit und Datenreduzierungen)

Entwurfs- und Implementierungsanleitung für die Speichersicherheit

Trotz der erhöhten Leistung von Personalcomputern und Abteilungsarbeitsstationen gibt es weiterhin eine Abhängigkeit von zentralisierten Rechenzentren, da die Datenintegration, Datenkonsistenz und Datenqualität benötigt werden. Mit dem enormen Wachstum kritischer Datenvolumina haben viele Organisationen speicherorientierte Architekturen für ihre IKT-Infrastruktur übernommen. Infolgedessen spielt die Speichersicherheit eine wichtige Rolle bei der Sicherung dieser Daten und dient in vielen Fällen als letzte Verteidigungslinie von internen und externen Gegnern.

Das Design von Speichersicherheitslösungen wird von den Kernsicherheitsprinzipien unter Berücksichtigung der Datenempfindlichkeit, Kritikalität und des Werts geleitet. Abschnitt 6 des Standards (Support-Steuerelemente) enthält Anleitungen zur Anwendung speicherrelevanter Steuerelemente bei der Implementierung der entworfenen Lösung. Die Materialien in diesem Abschnitt sind weiter unterteilt in:

  • Aufbewahrungsgrundsätze für Sicherheitsentwurf (Verteidigung in Tiefe, Sicherheitsdomänen, Design -Resilienz und sichere Initialisierung)
  • Datenzuverlässigkeit, Verfügbarkeit und Widerstandsfähigkeit (einschließlich Sicherungen und Replikation sowie Katastrophenwiederherstellung und Geschäftskontinuität)
  • Datenbindung (langfristige und kurze bis mittelfristige Aufbewahrung)
  • Daten Vertraulichkeit und Integrität
  • Virtualisierung (Speicher Virtualisierung und Speicher für virtualisierte Systeme)
  • Überlegungen zum Entwurf und Implementierung (Verschlüsselungs- und Schlüsselmanagementprobleme, Speicher und Richtlinien, Compliance, sichere Multi-Messen, sichere autonome Datenbewegungen)

Medienentsorgung

"Bereinigung"Ist der technische Begriff, um das zu versichern Daten, die zum Speicher gelten Am Ende seiner Nutzungsdauer wird für ein bestimmtes Maß an Anstrengung unzugänglich. Anders ausgedrückt, die Sanitisierung ist der Prozess, der versichert, dass eine Organisation keine Datenverletzung begeht, indem Speichergeräte verwendet, verkauft oder verworfen werden.

Die Bereinigung kann je nach Sensibilität der Informationen und des Aufwandsniveaus, den ein wahrscheinlicher Gegner investieren würde, in die Empfindlichkeit der Informationen investieren, um die Informationen wiederherzustellen. Die in der Desinfektion verwendeten Methoden reichen von einfach überschreiben zur Zerstörung der kryptografischen Schlüssel für verschlüsselte Daten (die Technik ist als bekannt als Kryptografisches Löschen) zur körperlichen Zerstörung der Speichermedien. Dieser Standard bietet Anleitungen, mit denen Unternehmen die ordnungsgemäßen Desinfektionsmethoden für ihre Daten auswählen können.

Die spezifischen Details zur Desinfektion sind in einer Reihe von Tabellen in Anhang A bereitgestellt, die auf der NIST Special Publication 800-88 Revision 1 basieren.[4] Die Tabellen wurden so konzipiert, dass Anbieter spezifische Verweise auf diese basierend auf der Art der Medien geben können, anstatt veraltete Quellen wie z. DOD 5220,22 m (ab 1995).

Auswählen geeigneter Speichersicherungssteuerungen für Speicherspeicher

Die Entwickler von ISO/IEC 27040 hatten nicht vor, dass alle Leitlinien implementiert werden mussten (d. H. Alles oder nichts).[wer?] Infolgedessen wurde Anhang B erstellt, um Organisationen zu helfen, die entsprechenden Steuerelemente basierend auf der Datenempfindlichkeit (hoher oder niedriger) oder Sicherheitsprioritäten auf der Grundlage von Vertraulichkeit, Integrität und Verfügbarkeit auszuwählen.[wer?] Um diese Auswahl zu unterstützen, werden alle Speichersicherungspositionen in ISO/IEC 27040 in 13 verschiedenen Tabellen sowie Informationen aufgeführt, die zeigen, wie jede Steuerung sowohl aus der Datenempfindlichkeit als auch aus der Sicherheitspriorisierung der Sicherheit relevant ist.

Es ist erwähnenswert, dass, obwohl Anhang B informativ ist, es sehr wahrscheinlich ist, dass die Prüfer es als Grundlage für Checklisten verwenden, wenn sie die Sicherheit von Speichersystemen und Ökosystemen überprüfen.[wer?]

Wichtige Sicherheitskonzepte

Eine der Herausforderungen bei der Entwicklung von ISO/IEC 27040 bestand darin, dass es zwei unterschiedliche Zielgruppen gab: 1) Speicherprofis und 2) Sicherheitsfachleute. Um beider Gemeinden zu helfen, wurde Anhang C mit nützlichen Tutorialinformationen bevölkert[wer?] für den folgenden:

Verweise

  1. ^ "ISO/IEC 27040". ISO -Standardkatalog. ISO. Abgerufen 2014-06-15.
  2. ^ Eric A. Hibbard; Richard Austin (2007). "SNIA Storage Security Best Current Practices (BCPS)". Storage Network Industry Association.
  3. ^ Eric A. Hibbard (2012). "SNIA Security Tutorial: Speichersicherheit - Der ISO/IEC -Standard" (PDF). Storage Network Industry Association.
  4. ^ "Spezielle Veröffentlichung 800-88R1" (PDF). Nationales Institut für Standards und Technologie (NIST).