你需要知道的最重要的事情
- 許多組織將安全策略的管理視為例行任務，導致關鍵基礎設施規模的後果，而新的監管要求則要求以與基礎設施層級相符的紀律來管理這些策略。
- 當前的政策環境會在不知不覺中積累，變得難以解釋，而僅靠文件記錄無法提供持續的保證，以證明實際訪問與預期意圖一致。
- 為了符合新的監管標準，各組織必須不斷驗證政策意圖是否與實際執行相符，在生產前測試擬議的變更，評估有效訪問以檢測偏差，並保留允許的內容作為證據的記錄。
在銀行業和公用事業領域，監管機構將某些系統定義為關鍵系統。關鍵系統是指一旦發生故障，可能對顧客、市場或公共安全造成無法容忍的損害的系統。例如，清算銀行的支付平台或電力分銷商的SCADA網路承擔著最高的監管義務，包括持續監控、記錄在案的變更管理以及可證明的復原能力。
策略環境——一套累積在防火牆、雲端控制和微隔離中的規則——決定了哪些系統可以相互存取、哪些通訊被阻止以及哪些例外情況仍然有效。這些規則共同構成了安全策略控制層：即治理層，它將業務目標轉換為跨分散式執行點的存取決策。
雲端遷移期間配置錯誤的雜湊規則可能會導致支付服務與其結算平台斷開連接；同樣，由於缺乏負責移除該規則的人員，允許從開發子網廣泛訪問生產環境的臨時規則可能會在實際運行後仍然有效數月。
防火牆規則、分段策略和存取決策都會直接影響營運風險，當策略環境故障時，管理該策略環境的關鍵服務也會隨之失效。
這使得政策環境本身成為一項至關重要的基礎設施。
它們仍然作為例行任務進行管理。
儘管如此，許多受監管組織仍然將政策環境的管理視為純粹的營運任務。規則透過變更請求添加，而累積效應很少與最初的意圖進行比對。隨著領導者角色的轉變，所有權變得分散，特定規則存在的理由只能在變更請求中找到，如果確實存在這樣的請求的話。
首席資訊安全長 (CISO) 絕不允許支付平台在缺乏持續監控或文件化依賴項的情況下運行，但他或許會接受在決定平台是否可訪問的策略環境中缺少這兩項。我們可以將這種情況描述為：基礎設施層級的後果卻只有日常治理層面。
在銀行業，任何導致結算系統間通訊中斷的政策錯誤都會對關鍵業務服務造成乾擾。金融行為監理局（FCA）將密切關注此類失誤，因為此類服務的缺失可能造成重大損失。
在醫療保健和能源領域，後果雖有不同，但機制相同：配置錯誤導致企業網路能夠存取英國國家醫療服務體系 (NHS) 機構的臨床系統，或能源分銷商的營運技術，從而造成關鍵服務交付方面的漏洞。這些並非假設性的風險，而是將關鍵基礎設施治理視為例行公事而導致的實際營運後果。如需更深入了解主動規劃的重要性，請參閱我們的文章《開始之前：關鍵基礎設施問題》。
監管機構的預測也證實了這個趨勢。
英國監管機構的期望日益提高，這也印證了同樣的結論：管理關鍵服務存取安全策略的嚴格程度必須與基礎設施的複雜程度相符。英國金融行為監理局 (FCA) 的營運彈性計畫要求受監管公司識別關鍵業務服務，並持續證明其支援基礎設施始終處於既定的影響容忍限度之內。
英國天然氣和電力市場監管機構（Ofgem）正根據國家網路安全中心（NCSC）的網路評估框架對關鍵服務提供者進行評估，以檢驗其是否持續達到特定的安全目標。預計今年稍後生效的《網路安全與韌性法案》將把類似的義務擴展到資料中心、託管服務提供者和關鍵供應商。
這些框架並非規定詳盡的規範；它們都沒有定義組織必須具備的防火牆規則，也沒有規定如何配置其零售策略。它們要求的是證據：策略環境允許的行為是否符合預期，以及組織能否持續證明這一點，而不是每次評估都重新建構證據。
為什麼現行製度無法達到這個標準？
大多數策略環境最初並非依照此標準建構。事實上，大多數策略環境甚至根本不是有意識或有意建構的。相反，策略往往是實施過程中的副產品。每個項目和遷移都會增加新的規則，而刪除的規則卻寥寥無幾。
隨著時間的推移，「政策表面」（即跨實施層面的完整規則和訪問決策集）變得比理解它的人群能夠處理的還要大，系統最終會達到可以運行但無法解釋的地步。
在銀行、能源和醫療保健等受監管行業，以往的監管框架下，這種做法尚可維持：定期評估、基於控制的審計以及合規框架，這些框架關注的是控制措施是否存在，而非其有效性。但如今，這些已不再足夠。新標準要求持續提供證據，證明訪問行為是故意的。
英國金融行為監理局 (FCA) 在經過一年的營運韌性自評後，其調查結果揭示了實際情況。在受監管公司報告其關鍵業務服務基礎設施中幾乎沒有或根本沒有未解決的安全漏洞的情況下，FCA 通常認為證據不足以確定這些漏洞究竟是根本不存在，還是僅僅尚未被發現。
這項教訓直接適用於安全策略治理：任何組織都不能可靠地聲稱其存取漏洞已受到控制，除非提供證據證明其策略允許什麼、如何測試以及漏洞是否已解決。
基礎設施層面的治理要求
通常，人們會要求提高透明度並完善文件記錄。但文件記錄只能反映特定時間點的情況，無法提供監管機構所期望的持續保證。
受監管企業的首席資訊安全長 (CISO) 需要的不僅僅是策略環境允許的內容記錄。配置和有效存取權限並非同一概念。安全團隊需要了解規則、路徑、物件和實作層之間的互動方式，才能確定哪些元件可以真正溝通。
要達到這個標準意味著要協調兩件事：證明環境實際上允許的事情是它原本打算允許的事情，並且能夠在沒有事先警告的情況下證明這一點。
我們將策略意圖的定義與執行的位置分開。意圖集中保存和維護，而執行則分散在混合雲、多雲和多廠商環境中的防火牆、雲端控制和微隔離等各個環節。
這種意圖並非僅在審查點進行檢查，而是持續驗證：擬議的變更在投入生產環境之前會根據策略進行測試，並且會持續評估有效訪問權限，以檢測不必要的暴露、不同實現層之間的不一致以及與業務意圖的偏差。已允許的內容和已更改的內容都會保留為證據。
同一位資訊安全官，如果一個支付平台沒有持續監控、經過驗證的變更控制和記錄在案的依賴關係，就絕不會接受它運行，那麼他也應該將此標準應用於決定平台是否可訪問的策略環境。
金融行為監管局 (FCA)、國家網路安全中心 (NCSC) 的網路評估框架以及網路安全和韌性法案都指向同一個根本問題：該組織能否持續證明其關鍵服務的基礎設施的管理符合這些服務所需的標準？
回答這個問題意味著要真正了解（而非假設或仔細推敲後的重構）政策環境在任何特定時刻允許什麼，以及它所允許的是否符合政策的預期。這些至關重要的基礎設施問題是這個問題的關鍵出發點。
評論被關閉。