Um AviD dazu zu zitieren:

Sicherheit auf Kosten der Benutzerfreundlichkeit geht zu Lasten der Sicherheit

If Wenn Sie es zu schwierig machen, eine Sicherheitsrichtlinie zu erfüllen, werden die Leute sie entweder ignorieren oder nach Lücken und Problemumgehungen suchen, die sie dem Buchstaben, aber nicht dem Geist entsprechen. Sie erreichen also das Gegenteil von dem, was Sie beabsichtigt haben, und schwächen die Sicherheit.

Eine Sicherheitsrichtlinie hierfür sollte:

• das Ziel haben, Menschen für Probleme sensibilisieren, anstatt Lösungen durchzusetzen .
• Ermutigen Sie die Menschen, Verantwortung für die Aufrechterhaltung einer guten Sicherheit zu übernehmen, anstatt blindlings den Anweisungen zu folgen.
• Seien Sie meistens Richtlinien und nicht MUSS Richtlinien, damit die Menschen auseinander gehen können, wenn sie gute Gründe haben / li>
• Finden Sie einen vernünftigen Kompromiss zwischen Sicherheit und Benutzerfreundlichkeit.

Anekdote: Ich, ein Freund von mir, arbeitete in einem Team, das ein sehr strenges System unterhielt Kennwortrichtlinie. Es erforderte nicht nur regelmäßige Kennwortänderungen, eine Mindestlänge und die Verwendung von Zahlen, Klein-, Groß- und Sonderzeichen, sondern auch eine Reihe von Regeln, die verhindern sollten, dass Kennwörter den vorherigen zu ähnlich sind Passwörter. Das Ergebnis war, dass man normalerweise Papiere in den Behältern oder im Büro finden konnte, wo Leute versuchten, Passwörter zu erstellen, die diesen strengen Richtlinien entsprachen. Dank der Passwortrichtlinie wäre es lächerlich einfach gewesen, Passwörter durch Müllcontainertauchen zu erhalten.

Einige Ratschläge von jemandem, der viele Richtlinien geschrieben hat:

Regel Nr. 1.

Dies ist die wichtigste Regel. In der Tat ist es eine Anforderung, jeden anderen Prozess zu starten. Wenn Ihr Managementteam die Richtlinien nicht unterstützt, ist es Ihre Zeit nicht wert, die Zeit des Unternehmens, geschweige denn die Zeit der Benutzer, etwas zu unternehmen. Ich spreche von Ihrem C-Level. Wenn sie nicht an Bord sind, hören Sie jetzt auf. Speichern Sie Ihre seelische Qual.

Richtlinie, Standard, Verfahren, Richtlinie

Es gibt einen drastischen Unterschied zwischen ihnen, und Sie sollten sich darüber informieren, aber kurz gesagt:

• Richtlinie - Warum brauchen wir das?
• Standard - Was wird dafür benötigt?
• Vorgehensweise - Wie führen wir das aus?
• Richtlinien - Best Practices, wichtige Fußnoten usw.

Richtlinien sind Ziele

Richtlinien sind das, wonach Sie in Ihrem Unternehmen streben . Es treten jedoch Situationen auf, in denen Sie das Ziel Ihrer Richtlinien nicht immer erreichen können. Wir nennen diese Ausnahmen, und es gibt normalerweise Teams, die das Risiko analysieren, die Anforderungen nicht zu erfüllen. Einige Unternehmen können Ausnahmen von einer sinnlosen Sicherheitsrichtlinie (sehr schlecht) machen. Andere Unternehmen sind so stark reguliert (Think Banking), dass die Nichteinhaltung der Richtlinie große Auswirkungen auf die Geschäftstätigkeit des Unternehmens haben kann.

Benutzer sind wichtig ............ ish

Je größer die Organisation, desto mehr Benutzer, desto mehr Meinungen, desto schwieriger ist es, Änderungen vorzunehmen. Ab einer bestimmten Ebene werden Änderungen vom Management mit Hilfe der Mitarbeiter vorgenommen. Kleinere Organisationen können von Mitarbeitern mit Genehmigung des Managements erlassen werden. Das klingt ähnlich, kann aber für Interaktionen sehr unterschiedlich sein.

Informationssicherheit hat es mit der Politik ziemlich schwer, weil wir normalerweise andere Gruppen dazu zwingen, unsere Mandate einzuhalten. In großen Unternehmen ist IS nicht für die Implementierung verantwortlich, wenn Richtlinien wie Kennwortanforderungen erzwungen werden. Es ist normalerweise ein OPS-Team oder ein Anwendungsinhaber.

Nicht jeder benötigt eine Richtlinie, aber sie wirkt sich auf ihn aus.

Jenny im Rechnungswesen ist es egal, dass Frank in der IT von Paul in der Informationssicherheit benötigt wird, um sicherzustellen, dass der Server vorhanden ist Ausführen von TLS oder Implementieren eines Mindestkennworts für die Buchhaltungsanwendung. Jenny wird es interessieren, wenn Sie keine Richtlinie haben und eines Tages muss Jennys Passwort von 1234 auf magische Weise 8 alphanumerische Zeichen enthalten. Dies ist keine Richtlinie, dies ist eine Auswirkung, und Sie können Teil des Umgangs damit sein oder auch nicht. Einfacher Hinweis, HR ist dein Freund.

Grundsätzlich haben Sie hier zwei Möglichkeiten: 1) Sie berücksichtigen die Fähigkeit und haben einen Prozess für Ausnahmen oder 2) Sie weigern sich, mit jemandem zusammenzuarbeiten, der Ihre Richtlinien nicht implementieren kann.

Wenn Sie dies nicht tun 1 ) und kann nicht 2) bedeutet, dass Ihre Richtlinien nur auf Papier existieren. Wenn Sie nicht die Macht haben, 2) zu verwirklichen, müssen Sie die Fähigkeiten in Betracht ziehen. Ich würde jedoch sagen, dass Sie die Fähigkeit haben müssen, streng zu sein. Wenn ein Anbieter nicht mindestens 12 Zeichen ausführen kann, können Sie dies möglicherweise akzeptieren, wenn Sie andere Minderungsstrategien anwenden, aber Sie möchten nicht wirklich ungeheure Probleme berücksichtigen, z. ein fest codiertes Administratorkennwort.

Je nachdem, für welche Richtlinien Sie sich entscheiden, können Sie möglicherweise festlegen, dass sich Ihre Richtlinien ergänzen, wobei die Implementierung einer Richtlinie einfacher und / oder sicherer wird, wenn Sie auch eine andere Richtlinie implementieren.

Beispiel: Sie geben die Beispielrichtlinie für Kennwortanforderungen an. Wenn Sie neben dieser Richtlinie auch die Richtlinie haben, dass Ihre Benutzer einen Kennwortmanager verwenden müssen, mit dem ein ordnungsgemäßes Kennwort auf sichere Weise erstellt und gespeichert werden kann, sind Ihre Benutzer weniger geneigt, das System zu spielen, da sie das System nicht spielen ist einfacher.

Ein weiteres Beispiel: Wenn Ihre Benutzer TLS auf ihren Frontend-Servern verwenden müssen, führen einige von ihnen möglicherweise eine fehlerhafte Implementierung mit abgelaufenen oder unsicheren Zertifikaten durch. Eine ergänzende Richtlinie wäre die Verwendung von Let's Encrypt, um die Handhabung von Zertifikaten zu vereinfachen.

Sie können die Benutzer gleichzeitig dazu ermutigen, Richtlinien durch finanzielle Anreize ordnungsgemäß umzusetzen. Ich spreche nicht davon, Gebühren oder Geldstrafen an diejenigen zu verteilen, die schlechte Arbeit leisten, sondern eher davon, einen kleinen Rabatt (wie 1% oder so etwas) auf Dinge wie Lizenz- oder Supportgebühren zu gewähren, die auf bestimmten quantifizierbaren und fairen Zielen basieren. Beispiel: Wenn die Website, auf der Ihr TLS-erforderliches Produkt ausgeführt wird, ein A für Qualys erhält (was trivial zu überprüfen ist), erhalten sie 1% Rabatt auf ihre nächste Lizenzverlängerung (es sei denn, Sie sind derjenige, der die Website verwaltet). natürlich).

Sie schreiben Ihre Richtlinie also so, dass sich Segmente gegenseitig verstärken und diejenigen belohnen, die über die Pflicht hinausgehen.

Die Antwort hängt davon ab, warum Sie überhaupt daran denken, ein Limit von 12 Zeichen festzulegen.

Wenn das System bekanntermaßen trivial ist, mit Passwörtern mit 11 Zeichen anzugreifen, und dies nachweislich der Fall ist Mit 12-stelligen Passwörtern und den vorhersehbaren Rechenressourcen des Planeten rechnerisch nicht angreifbar, dann machen Sie es zu einer absoluten Voraussetzung. Jeder, der dieses Limit nicht implementieren kann oder will, erfüllt einfach nicht Ihre Sicherheitsrichtlinien, und das ist es auch. Die Konsequenzen für sie können sehr schlimm sein (sie können ihr Produkt nicht verkaufen), sie können überschaubar oder absolut unbedeutend sein (sie verwenden ein anderes System, das für seine Sicherheit auf etwas anderem als 12-Zeichen-Beschränkungen beruht und daher eine andere Richtlinie hat ), aber diese Konsequenzen sind gerechtfertigt.

Wenn Sie ein Limit von 12 Zeichen festlegen, weil Sie keine Ahnung haben, welches Limit Sie festlegen sollten, und 6 ist in Ordnung, aber nicht genug Für immer, also haben Sie es verdoppelt, dann sollten Sie in der Tat berücksichtigen, was praktisch zu implementieren ist. Vermutlich möchten Sie, dass die Leute Ihre Richtlinien anwenden (vorzugsweise: wenn sie ein Mitarbeiter sind, der einen Job bekommt, der sie nicht mit unmöglichen Anforderungen verrückt macht; wenn sie der CEO sind, der sie ignoriert und etwas kauft, das keinen Teil erfüllt Ihrer Police, wenn es sich um einen Anbieter handelt, der einen anderen Kunden findet oder dessen Preise verdoppelt, um den zusätzlichen Aufwand zu decken). Wenn die Richtlinie willkürliche und belastende Anforderungen enthält, riskieren Sie unnötig, dass diese Dinge passieren.

In der Praxis befinden Sie sich irgendwo zwischen diesen beiden Extremen. Sobald Sie jedoch wissen, warum Sie die Anforderung stellen, können Sie entscheiden:

• Es ist eine schwierige Anforderung. Alles, was es nicht erfüllt, stimmt nicht mit der Richtlinie überein.
• Es ist eine Empfehlung, die Sie für erreichbar halten, und Sie erklären die Konsequenzen, wenn Sie sie nicht erfüllen.
• es ist halbgebacken. Sie müssen mehr Arbeit leisten, um die Anforderungen festzulegen, bevor Sie Richtlinien festlegen.

Berücksichtigen Sie auch das Ziel der Richtlinie. Wenn das Ziel der Übung darin besteht, sicherzustellen, dass Sie keine Anbieter mit schlechten oder durchschnittlichen Sicherheitseinstellungen verwenden, ist es von Vorteil, Anbieter auszuschließen, die aufgrund ihrer geringen Größe oder auf andere Weise keine guten Sicherheitseinstellungen haben einer Anforderung, die nur von Personen mit guter Sicherheit erfüllt werden kann. Die Richtlinie dient dazu, Menschen anzuleiten, und sie dient auch dazu, Menschen auszuschließen, die sie nicht erfüllen können.

Wer wird beschuldigt, wenn etwas passiert? Das Sicherheitsteam richtig?

Ja, und es gibt zwei Möglichkeiten, wie Ihre Richtlinie fehlschlagen kann, und Sie werden beschuldigt. Es kann sich um jemanden handeln, der im Nachhinein klar ist, dass dies ausgeschlossen werden sollte, und Sie werden für eine Sicherheitsverletzung verantwortlich gemacht. Es kann jemanden ausschließen, der im Nachhinein erkennt, dass es hätte einbezogen werden sollen, und Sie werden beschuldigt, das Geschäft des Unternehmens behindert zu haben. Ein kritisches System schneidet in beide Richtungen - Sie möchten nicht, dass es unsicher ist, und Sie möchten auch nicht, dass es niemals erstellt wird, weil es zu schwierig ist, die Richtlinie einzuhalten. Ihre Aufgabe ist es, etwas zu finden, das sowohl angemessen als auch erreichbar ist (oder, wenn Sie das nicht können, zumindest zu erklären, warum nicht, damit sich jemand anderes an der Änderung der Einschränkungen beteiligen kann, mit denen Sie arbeiten).

Eine massive Sicherheitsverletzung ist schlimm, aber wenn sie von Natur aus schlimmer wäre als Insolvenzunternehmen, würden sie "auf Nummer sicher gehen", indem sie (zum Beispiel) überhaupt nichts im Internet anhängen und alle pleite gehen. Aus offensichtlichen Gründen entscheiden sie sich nicht dafür. Daher müssen die Bestimmungen der Richtlinie begründet werden, und die Begründungen müssen später zur Überprüfung verfügbar sein, sodass sie selbst dann, wenn etwas schief geht, angesichts der zum Zeitpunkt Ihrer Entscheidung bekannten Entscheidungen als einigermaßen gute Entscheidungen erscheinen.