Cyberforsvarsmatrisen (eng. Cyber Defense Matrix, CDM) gir et todimensjonalt perspektiv på styring av cybersikkerhet. Det skiller den fra NISTs cybersikkerhetsrammeverk (eng. Cybersecurity Framework, CSF) som har et endimensjonalt perspektiv basert på de fem tekniske sikkerhetsfunksjonene IDENTIFISERE, BESKYTTE, OPPDAGE, HÅNDTERE og GJENOPPRETTE. Den andre dimensjonen i CDM er representert av de fem grunnleggende klassene av digitale verdier ENHETER, APPER, NETTVERK, DATA og BRUKERE. Selv om betydningen av klassene kan virke åpenbar ut fra navnene, er det nyttig å gi en kort beskrivelse av hver av dem. "Digitale verdier" kalles også "digitale eiendeler".
- ENHETER er maskinvareenheter og standardprogramvaren som kjører på dem. Det betyr fastvare, operativsystemer (OS) og standardapplikasjoner fra OS-leverandører. Det fins selvfølgelig et bredt spekter av enheter, fra håndholdte mobiltelefoner til servere som monteres i stativer. Det er også nyttig å skille mellom enheter som eies av forskjellige parter, som virksomheten, de ansatte (BYOD) eller skyleverandører. Nettverksenheter som svitsjer og rutere hører også til denne klassen, fordi de må patches og beskyttes, akkurat som andre enheter.
- APPER er forretningsapplikasjoner og prosesser spesielt utviklet av eller for virksomheten. Appene yter vanligvis tjenestene og produktene som utgjør organisasjonens forretningsprosesser. Derfor er kontinuiteten og integriteten til apper vanligvis kritisk.
- NETTVERK er kommunikasjonskanalene, rutene, protokollene og brannmurfiltreringene som gjør at trafikken flyter effektivt og sikkert. Merk at dette er forskjellig fra infrastrukturen til enhetene som nettverkene er bygd med. Med nettverk mener vi derfor vanligvis konfigurasjonen av nettverksenheter, konfigurering av DNS (Domain Name System) og PKI (Public Key Infrastructure), og nettverksruting, brannmurfiltrering, e-postfiltrering og VPN (Virtual Private Networks).
- DATA er alle typer forretningsdata, enten de er lagret (inaktive data), passerer gjennom (data i bevegelse) eller behandles (data i bruk) av verdiklasser som er beskrevet ovenfor. DATA-klassen inkluderer databaser, filsystemer og data som ligger i minnet, i mikroprosessorregistre, på disk og i skyen.
- BRUKERE er personer og KI-agenter som bruker verdiklassene som er beskrevet ovenfor, med tilknyttede akkreditiver (identiteter og autentikatorer). En KI-agent kunne kanskje betraktes som en enhet, men hvis den har egenskapene til en bruker, med sin egen ID, autentikatorer, tilgangsautorisasjoner og intelligent beslutningslogikk, bør den betraktes som en bruker.
Det er flere anvendelsesområder for CDM. Listen under gir noen eksempler:
- ressursallokering
- ansvarsfordeling
- måling og metrikker
- gapanalyse av sikkerhetstiltak
- strukturell forståelse og situasjonsforståelse
- klassifisering av ulike sikkerhetsprodukter og -tjenester fra leverandører
Ta som eksempel nåværende og ønsket profil av sikkerhetstiltak i en virksomhet. Vi kan bruke CDM til å gjøre en gapanalyse, som illustrert i figuren nedenfor.
Cyberforsvarsmatrisen for gapanalyse.
For eksempel kan den røde prikken i cellen for DATA og OPPDAGE bety at virksomheten har identifisert behov for å forebygge datatap (eng. Data Loss Prevention, DLP). Hensikten med DLP-verktøy er å oppdage potensielle datainnbrudd og/eller dataeksfiltrering og forhindre dem ved å overvåke, oppdage og blokkere tilfeller av uautorisert eller uregelmessig overføring av sensitive data. De blå rutene og de røde prikkene kan selvfølgelig erstattes av mer beskrivende symboler. Den grunnleggende ideen er at CDM er en tilnærming for å bygge et klart bilde av status og gjøre det lettere å prioritere og allokere ressurser, overvåke fremdriften og kommunisere til ledelsen og andre interessenter.
Et annet eksempel på bruk av CDM er å definere ansvarsfordeling av cybersikkerhetsoppgaver, dvs. ansvar for aktiviteter knyttet til cybersikkerhet. En typisk, men ofte urimelig forventning er at et cybersikkerhetsteam skal ta seg av alt vedrørende cybersikkerheten i en organisasjon. Imidlertid bør mange av aktivitetene som beskrives i f.eks. NIST CSF, utføres av andre avdelinger, det vil si av personell som til vanlig ikke jobber med sikkerhet. CDM er velegnet til å beskrive en fornuftig ansvarsfordeling for cybersikkerhet i en virksomhet, som vist i eksempelet i figuren nedenfor.
Cyberforsvarsmatrisen for ansvarsfordeling.
Spesielt illustrerer CDM-eksemplet ovenfor at sikkerhetsteamet (SOC/CERT/CSIRT) kun skal være ansvarlig for å oppdage og håndtere hendelser, og at alle andre sikkerhetsrelaterte aktiviteter utføres av andre avdelinger som en del av deres normale drift. I tillegg indikerer figuren at HR-avdelingen også har en viktig rolle å spille for cybersikkerhet, noe som blir oversett i mange virksomheter. For eksempel bør bevissthetstrening for cybersikkerhet og sikkerhetskultur være oppgaver for HR, i stedet for å gjøres av IT-avdelingen. Grunnleggende sikkerhetsferdigheter og bevissthet er viktig for alle i organisasjonen, derfor er det HRs ansvar.
Referanser:
- Cyber Defense Matrix (Cyberforsvarsmatrisen), Sounil Yu.
- Cybersecurity Framework (Cybersikkerhetsrammeverket), NIST.