NIST 800-53, Fisma ve FedRamp için Pentesting

NIST 800-53, Fisma ve FedRamp’a Genel Bakış

Ulusal Standartlar ve Teknoloji Enstitüsü (NIST), federal ajansları ve özel sektör kuruluşlarını destekleyen siber güvenlik de dahil olmak üzere çeşitli alanlar için teknoloji standartlarını ve yönergelerini geliştirmek ve teşvik etmekten sorumlu bir ABD federal ajansıdır. NIST’in amacı, kuruluşların siber güvenlik risklerini azaltmasına, verileri ve bilgileri korumalarına ve genel güvenlik duruşlarını geliştirmelerine yardımcı olmaktır.

NIST 800-53

Bunu ve diğer güvenlik çabalarını desteklemek için NIST bir dizi yayın yayınladı. Böyle bir yayın olan NIST Özel Yayın 800-53, “Federal Bilgi Sistemleri ve Kuruluşları için Güvenlik ve Gizlilik Kontrolleri”, bilgi sistemlerini güvence altına almak için uygulanabilecek kapsamlı bir güvenlik kontrolleri ve yönergeleri kataloğu sunar. NIST 800-53, kuruluşların güvenlik programlarının geliştirilmesinde ve Fisma ve FedRamp dahil güvenlik düzenlemelerine ve standartlara uyumu kolaylaştırması için temel bir kaynaktır.

Balık

Federal Bilgi Güvenliği Modernizasyon Yasası (Fisma), federal kurumların ajansın operasyonlarını ve varlıklarını destekleyen bilgi ve bilgi sistemleri için güvenlik sağlamak için ajans çapında programlar geliştirmeye, belgelemeye ve uygulamaya zorlayan bir ABD yasasıdır. Fisma kapsamında kuruluşların NIST 800-53’te tanımlandığı gibi önerilen minimum bilgi güvenliği kontrollerini uygulamaları gerekmektedir.

Fedramp

Federal Risk ve Yetkilendirme Yönetimi Programı (FedRamp), hükümet bilgilerini ve sistemlerini korumak ve bilgi sistemlerindeki siber güvenlik risklerini azaltmak için Fisma ile aynı temel hedefe sahiptir. Ancak Fisma tüm federal bilgi sistemleri için geçerli olsa da, FedRamp sadece bulutla ilgili bilgi işlem ve hizmetlerle ilgilenir. FedRamp, bulut bilişimin benzersiz öğelerini ele almak için NIST 800-53’te belirtilen temel kontrollerin ötesinde ek kontroller de dahil olmak üzere güvenlik değerlendirmesi, yetkilendirme ve izlemeye standart bir yaklaşım sunar.

NIST 800-53 uyumluluğu hakkında temel bilgiler

NIST 800-53 uyumluluğu ABD federal ajansları için zorunludur ve genellikle hükümet bilgi sistemlerini veya hassas bilgileri idare eden veya erişen federal yükleniciler için gereklidir.

NIST 800-53, beş ana alanda kategorize edilebilen güvenlik politikalarını ve kontrollerini kapsar:

• Tanımlamak: Risk yönetimi dahil varlıkların tanımlanması ve yönetimi
• Korumak: Kullanıcı erişim kontrolü ve en az ayrı erişim kontrolleri dahil varlıkların ve veri güvenliğinin korunması
• Tespit etmek: Anormal aktivitelerin sürekli izlenmesi ve keşfi
• Yanıtlamak: Tehditleri tanımlamak ve azaltmak için yöntemler ve stratejiler
• İyileşmek: Bir sistem arızasından veya saldırısından kurtulmak için restorasyon prosedürleri

NIST 800-53 uyumluluğunu elde etmek için kuruluşun siber güvenlik gereksinimleri, politikaları ve programları hakkında ayrıntılı bir değerlendirme yapması gerekmektedir. Kuruluşlar uyum yollarını bireysel operasyonlarıyla uyumlu hale getirmek için uyarlar, ancak hepsi aşağıdaki adımları göz önünde bulundurmalıdır.

• Kapsamı tanımla: NIST 800-53 gereksinimlerini anlayın. Hangi sistemlerin ve uygulamaların kapsamda olduğunu belirleyin.
• Risk değerlendirmesi yapmak: Güvenlik açıklarını ve güvenlik risklerini belirleyin. Azaltma çabalarına öncelik verin.
• Kontrolleri uygulayın ve test edin: NIST 800-53 çerçevesinden geçerli kontrolleri seçin ve uygulayın. Politikaları ve prosedürleri gerektiği gibi güncelleyin. Uyum denetimlerini kolaylaştırmak için belge kontrolleri.
• Sürekli izleyin: Güvenlik kontrollerinin sürekli izlenmesi için planlar geliştirin
• Olay Yanıt Planları Geliştirin: Bir siber güvenlik olayından tespit, yanıt vermek ve iyileşme planları geliştirin.
• Düzenli denetimler yapın: Uyum gereksinimlerini karşılamak ve siber güvenlik duruşunu artırmak için düzenli denetimler yapın.

NIST 800-53 ve Fisma Standartlarını karşılamak için Hackerone Pentest’ten yararlanıyor

Hackerone Pentest, kuruluşların NIST 800-53 ve Fisma standartlarına uygun bir şekilde uyum sağlamasına yardımcı olmak için kanıtlanmış bir yaklaşım sunmaktadır. Hackerone Pentest, elit, veteriner pentester’lerin uzmanlığından yararlanarak, temel teknik kontrollerin hedefli doğrulamalarını yürütür ve güvenlik duruşunu güçlendirmek için eyleme geçirilebilir bilgiler sağlar. Pentesting hizmetlerimiz aşağıdaki alanlara yardımcı olur:

• Erişim Kontrolü Doğrulama: Etkili kimlik doğrulama ve yetkilendirme mekanizmaları yoluyla en az ayrıcalığın ve görevlerin ayrılmasının uygulanmasını değerlendirin. Bu, yalnızca yetkili kullanıcıların hassas kaynaklara erişebilmesini ve yetkisiz erişim veya ayrıcalık artış riskini azaltmasını sağlar.
• Olay Yanıt Değerlendirmesi: Hazırlıktan iyileşmeye kadar kapsamlı bir olay tepkisi yaşam döngüsü için yetenekleri değerlendirin. Bu kapsamlı değerlendirme, kuruluşun potansiyel tehditlere etkili bir şekilde yanıt vermesini sağlayarak boşlukların ve iyileştirme alanlarının belirlenmesine yardımcı olur.
• Risk değerlendirmesi: Güvenlik açıklarını belirlemek ve kontrol uygulamalarını bilgilendirmek için derinlemesine risk değerlendirmeleri yapın. Tecrübeli pentesterlerin uzmanlığından yararlanarak, kuruluşlar risk manzaralarını net bir şekilde anlayabilir ve iyileştirme çabalarına etkili bir şekilde öncelik verebilirler.
• Sistem ve iletişim koruması: Güvenli iletişim kanalları ve kontrol arayüzleri, gerektiğinde kriptografik korumalar kullanın. Bu, iletim sırasında gizli verilerin güvenli kalmasını ve kontrol arayüzlerinin yetkisiz erişim veya manipülasyona karşı sertleştirilmesini sağlar.
• Denetim ve Hesap Verebilirlik Doğrulaması: Kullanıcı faaliyetlerinin izlenebilmesini ve yetkisiz erişim veya değişikliklerin hemen algılanabileceğini ve ele alınabilmesini sağlayarak kuruluşun denetim ve hesap verebilirlik mekanizmalarını değerlendirin. Bu, sistemin bütünlüğünün korunmasına yardımcı olur ve bir güvenlik olayı durumunda adli araştırmaları destekler.

“Mod, tasarım yoluyla güvence altına alma stratejisini benimsedi, şeffaflık geliştirme sürecinde iyileştirme alanlarını tanımlamak için ayrılmaz bir şekilde. Etik hackleme topluluğuyla çalışmak, teknoloji yeteneklerimizi oluşturmamızı ve korumak ve daha çeşitli perspektifler getirmemizi sağlar. Varlıklarımızın nerede olduğunu anlamak ve bunları tanımlamak ve düzeltmek için daha geniş etik hack topluluğu ile çalışmak, siber riski azaltmak ve esnekliği iyileştirmek için önemli bir adımdır. “
– Christine Maxwell, Ciso, Savunma Bakanlığı (MOD)

Basın bülteninin tamamını okuyun.

HackerOne ile FedRamp Uyumluluğunda Gezinme

HackerOne’un Pentesting Hizmetleri, kuruluşların başarılı FedRamp uyumluluğuna ulaşmalarına yardımcı olmak için ustalıkla uyarlanmıştır. Tekliflerimiz aşağıdaki alanlara odaklanır:

• Buluta özgü kontroller: Pentest’lerimiz, çok kiracılık, hem dinlenme ve transitte veri şifrelemesi ve sanallaştırma güvenliği gibi buluta özgü endişeleri hedefleyerek NIST 800-53’ün ötesine uzanıyor.
• Üçüncü Taraf Değerlendirme Organizasyonu (3PAO): Hackerone 3PAO olmasa da, güvenlik kontrollerimizin ve uyumluluk çabalarımızın tarafsız ve kapsamlı bir değerlendirmesini sunmak için pentestlerimiz sırasında bağımsız değerlendiricilerle işbirliği yapıyoruz.
• Yetkilendirme Paketleri Belgeleri: Pentests’imizi takiben, Sistem Güvenlik Planı (SSP), Güvenlik Değerlendirme Raporu (SAR) ve Eylem Planı ve Kilometre Taşları (POA & M) dahil olmak üzere ayrıntılı belgeler üretiyoruz. Bu belgeler, güvenlik önlemlerimizi ve bulgularımızı ifade ederek kuruluşlara belirlenen güvenlik açıklarını ele almak ve FedRamp uyumluluğunu sağlamak için net bir yol haritası sağlıyor.

Diyerek şöyle devam etti: “VDP’nin uygulanması, triyajı yapmamıza yardımcı oldu ve inşa ettiğimiz dahili ekibi desteklememize yardımcı oldu. Federal hükümetin ajansları için VDP politikalarını zorunlu kıldığını da biliyorduk ve bu güvenlik politikasını kendi bileşenlerimiz için kucaklamanın ön planında olmak istedik.”
– Jillian Burner, Ciso, Ohio Dışişleri Bakanı

Hikayenin tamamını okuyun.

Ek Hackerone Hizmetleri

• Güvenlik Açığı Açıklama Programı (VDP) ile halka açık raporlama kanalı: Risk Değerlendirme Kontrolü RA-5 (11), kuruluşların harici güvenlik açığı raporlarını almak için bir genel kanal kurmasını gerektirir, hackerone yanıtı, kontrolün yerine getirilmesine yardımcı olmak için bir güvenlik açığı açıklama programı (VDP) sunar. Kuruluşların dış taraflar tarafından bildirilen güvenlik açıklarını almak ve ele almak için yapılandırılmış bir süreç oluşturmalarını sağlayarak, kuruluşlar gereksinimleri karşılamak ve genel risk yönetimini ve uyum çabalarını geliştirmek için yolda olabilirler.
• Bir hata ödül programı ile sürekli izleme: Pentesting’imiz derin, hedefli FedRamp değerlendirmeleri sunarken, Hackerone Bounty bu yeteneği genişleterek, sürekli, kitle kaynaklı güvenlik testi sağlar ve sistemlerinizin sürekli yeni ve ortaya çıkan tehditlere karşı test edilmesini sağlar. Bu sürekli yaklaşım, FedRamp’ın sürekli izleme vurgusu ile uyumlu olarak, yıl boyunca güvenlik açıklarını tanımlamak ve azaltmak için çevik, duyarlı bir çerçeve sunar.