证券简称:天融信 证券代码:002212
全天候7x24小时服务: 400-777-0777

融信译站 | 跟踪美国“国家网络安全的总统行政命令”的进展 关注“关键软件”供应链安全-凯发

2021年6月25日,美国发布了《行政命令14028下的“关键软件”定义》,并于7月9日发布了《根据行政命令(eo)14028“eo关键软件”应用的安全措施》。
发布时间:2021-08-13
浏览次数:1883
分享:

2021年6月25日,美国发布了《行政命令14028下的“关键软件”定义》,并于7月9日发布了《根据行政命令(eo)14028“eo关键软件”应用的安全措施》。《根据行政命令(eo)14028“eo关键软件”应用的安全措施》指南适用于美国联邦机构对“eo关键软件”的使用场景,“eo关键软件”的开发和采购不在范围内,这些安全措施旨在保护各机构运行环境中已部署的“eo关键软件”的使用过程。

nist《根据行政命令(eo)14028“eo关键软件”应用的安全措施》及翻译

nist为安全措施定义了以下目标:

1.保护“eo关键软件”和“eo关键软件平台”(运行“eo关键软件”的平台,如终端、服务器、云资源等)免受未经授权的访问和使用;

2.保护“eo关键软件”和“eo关键软件平台”使用的数据的机密性、完整性和可用性;

3.识别和维护“eo关键软件平台”和部署在这些平台上的软件,以保护“eo关键软件”免被利用;

4.快速检测、响应和恢复涉及“eo关键软件”和“eo关键软件平台”的威胁和事件;

5.加强对人员行为的理解和绩效,促进“eo关键软件”和“eo关键软件平台”的安全性。

从这些目标可以看出,“eo关键软件”需要从基础环境保护、数据安全保护、脆弱性保护、威胁监测及响应、人员管控及教育等多方面综合入手。具体措施清单如下:

目标1:保护“eo关键软件”和“eo关键软件平台”免受未经授权的访问和使用

l sm 1.1:对“eo关键软件”和“eo关键软件平台”的所有用户和管理员采用多因素身份验证,该身份验证应能抗伪造。(参见翻译全文faq#7)

l sm 1.2:唯一标识并鉴别试图访问“eo关键软件”或“eo关键软件平台”的每个服务。

l sm 1.3:对基于网络的“eo关键软件”或“eo关键软件平台”管理,应遵循特权访问管理原则。

l sm 1.4:采用适当的边界保护技术,尽量减少对“eo关键软件”、“eo关键软件平台”和相关数据的直接访问。

目标2:保护“eo关键软件”和“eo关键软件平台”使用的数据的机密性、完整性和可用性

l sm 2.1:建立和维护“eo关键软件”和“eo关键软件平台”的数据清单。

l sm2.2:对“eo关键软件”和“eo关键软件平台”所使用的数据和资源进行细粒度访问控制,尽可能执行最小特权原则。

l sm 2.3:保护静态数据,对“eo关键软件”和“eo关键软件平台”使用的敏感数据,采用符合nist标准的加密。

l sm 2.4:保护传输中的数据,对“eo关键软件”和“eo关键软件平台”的敏感数据通信,在可行的情况下采用双向鉴别,以及符合nist标准的加密。

l sm 2.5:备份数据,执行恢复演练,随时准备从备份中恢复“eo关键软件”和“eo关键软件平台”使用的数据。

目标3:识别和维护“eo关键软件平台”和部署在这些平台上的软件,以保护“eo关键软件”免被利用

l sm 3.1:建立和维护软件清单,包括所有运行的“eo关键软件平台”和部署到这些平台的所有软件(eo关键和非eo关键)。

l sm 3.2:采取补丁管理实践维护“eo关键软件平台”和部署到这些平台的所有软件。

l sm 3.3:采取配置管理实践来维护“eo关键软件平台”和部署到这些平台的所有软件。

目标4:快速检测、响应和恢复涉及“eo关键软件”和“eo关键软件平台”的威胁和事件

l sm 4.1:配置日志记录,记录涉及“eo关键软件平台”和在这些平台上运行的所有软件的安全事件的必要信息。

l sm 4.2:持续监控“eo关键软件平台”和所有在这些平台上运行的软件的安全性。

l sm 4.3:在“eo关键软件平台”上采用终端安全保护,保护平台及其上运行的所有软件。

l sm 4.4:采用网络安全保护,监控进出“eo关键软件平台”的网络流量,保护使用网络的平台及其软件。

l sm 4.5:针对所有安全运营人员和事件响应团队成员,根据其角色和职责,培训如何处理涉及“eo关键软件”和“eo关键软件平台”的事件。

目标5:加强对人员行为的理解和绩效,促进“eo关键软件”和“eo关键软件平台”的安全性

l sm 5.1:针对“eo关键软件”的所有用户,根据其角色和职责,培训如何安全地使用软件和“eo关键软件平台”。

l sm 5.2:针对所有“eo关键软件”和“eo关键软件平台”的管理员,根据其角色和职责,培训如何安全地管理软件和/或平台。

l sm 5.3:经常开展宣传活动,加强对“eo关键软件和平台”的所有用户和管理员的培训,并衡量培训的有效性,以便持续改进。

详细内容请参见翻译文档。天融信将持续关注软件供应链安全及其应用过程的前沿进展,后续将为您带来更多精彩内容。

扫描二维码,阅读完整版译文

翻译为公益性质,仅供信息安全产业相关研究人员、管理人员参考,如有错漏敬请指正。

关键词标签:
融信译站 网络安全 eo关键软件
在线咨询





在线留言





客户服务热线

400-777-0777
7*24小时服务

联系邮箱

servicing@topsec.com.cn

扫码关注
网站地图