Australia: nghĩa vụ bảo mật tệp và kiểm toán

Bao gồm 22 lớp tài sản trên các lĩnh vực trọng yếu. Áp đặt đăng ký tài sản, báo cáo sự cố mạng bắt buộc, Chương trình Quản lý Rủi ro Hạ tầng Trọng yếu, và các nghĩa vụ tăng cường đối với các hệ thống có ý nghĩa quốc gia. Một sửa đổi năm 2024 làm rõ rằng các hệ thống lưu trữ dữ liệu cấu thành một tài sản chính đều thuộc phạm vi điều chỉnh.

Vì sao điều này quan trọng với bảo mật tệp. Làm rõ về hệ thống lưu trữ dữ liệu là quan trọng nhất. Các kho lưu trữ tài liệu và nơi chia sẻ tệp gắn với một tài sản trọng yếu sẽ thừa hưởng các nghĩa vụ của chương trình quản lý rủi ro, nghĩa là cách các tệp không đáng tin cậy đi vào những nơi lưu trữ đó trở thành một biện pháp kiểm soát phải đăng ký, phải báo cáo thay vì chỉ là lựa chọn CNTT.

Glasswall xử lý điều này như thế nào. Một Chương trình Quản lý Rủi ro Hạ tầng Trọng yếu phải mô tả cách từng rủi ro trọng yếu được giảm thiểu, và việc một hệ thống lưu trữ dữ liệu bị xâm nhập qua tệp là một trong những rủi ro dễ mô tả cụ thể nhất: các tệp không đáng tin cậy được tái tạo về trạng thái an toàn đã biết trước khi chúng đến kho lưu trữ. Bản ghi kết luận theo từng tệp hỗ trợ nghĩa vụ báo cáo sự cố bằng cách cung cấp cho bạn lịch sử xử lý để khôi phục khi cần báo cáo theo thời hạn luật định.

Content disarm and reconstructionPer-file verdict recordMicrosoft 365 storage protectionGlasswall Halo / Glasswall Meteor

Nguồn: CISC

Nền tảng gồm tám chiến lược giảm thiểu của ASD với bốn mức trưởng thành. Bắt buộc đối với các thực thể Khối Thịnh vượng chung không thuộc doanh nghiệp và được áp dụng rộng rãi làm nền tảng hợp đồng trên toàn chính quyền tiểu bang và hạ tầng trọng yếu.

Vì sao điều này quan trọng với bảo mật tệp. Hai trong số tám chiến lược là các biện pháp kiểm soát nội dung tệp. Tăng cường bảo vệ ứng dụng người dùng bao gồm chặn nội dung chủ động trong tài liệu và trình duyệt; cấu hình cài đặt macro của Microsoft Office bao gồm cụ thể bề mặt macro. Cả hai thường được đánh giá bằng cách hỏi điều gì xảy ra với một tài liệu đến từ bên ngoài tổ chức.

Glasswall xử lý điều này như thế nào. CDR loại bỏ và tái tạo nội dung chủ động trước khi tài liệu đến máy tính để bàn, qua đó củng cố các chiến lược tăng cường bảo vệ ứng dụng người dùng và macro của Office ở ranh giới thay vì chỉ dựa vào việc cấu hình điểm cuối được duy trì. Phân tích macro kiểm tra các macro mà chính sách giữ lại, mà không chạy chúng, khi một tổ chức có lý do nghiệp vụ để giữ lại một phần năng lực macro, vì vậy biện pháp kiểm soát không cần phải theo kiểu tất cả hoặc không gì.

Content disarm and reconstructionMacro analysisEmail relayGlasswall Halo / Glasswall Meteor

Nguồn: ASD/ACSC

Danh mục biện pháp kiểm soát của ASD cho các hệ thống xử lý thông tin của Chính phủ Australia, được cập nhật hàng quý. Bao gồm các biện pháp kiểm soát về lọc nội dung, xác thực nội dung, chuyển đổi nội dung và kiến trúc cổng/cross-domain.

Vì sao điều này quan trọng với bảo mật tệp. Các biện pháp kiểm soát xác thực nội dung và chuyển đổi nội dung mô tả việc tái tạo tệp theo một tiêu chuẩn an toàn đã biết, chính là cơ chế mà CDR triển khai. Các phần về cổng và xuyên miền điều chỉnh cách nội dung di chuyển giữa các miền bảo mật, và đó là nơi tái tạo xác định trên thực tế được mặc định phải có thay vì tùy chọn.

Glasswall xử lý điều này như thế nào. Meteor triển khai tại chỗ và trong các môi trường air-gapped, tái tạo nội dung khi nó di chuyển giữa các miền bảo mật, đúng với mô hình triển khai mà các biện pháp kiểm soát gateway và cross-domain của ISM mô tả. Safeware chuẩn bị bản đồ ranh giới tin cậy, tài liệu kiến trúc và ma trận trách nhiệm kiểm soát mà một đánh giá viên mong đợi. Kiến trúc được xây dựng để có thể đánh giá; IRAP là một quy trình đánh giá và chúng tôi không khẳng định đã hoàn thành quy trình đó.

Content disarm and reconstructionCross-domain and air-gapped transferPer-file verdict recordGlasswall Meteor

Nguồn: ASD/ACSC

Điều chỉnh cách các thực thể Chính phủ Australia bảo vệ con người, thông tin và tài sản, bao gồm phân loại, xử lý và chuyển giao thông tin chính thức.

Vì sao điều này quan trọng với bảo mật tệp. Các yêu cầu xử lý thông tin của PSPF có liên quan trực tiếp đến việc chuyển tài liệu giữa các miền đã phân loại và chưa phân loại, cũng như những gì phải được ghi lại khi việc đó xảy ra.

Glasswall xử lý điều này như thế nào. Chuyển giao cross-domain tái tạo nội dung di chuyển giữa các miền đã phân loại và chưa phân loại, với bản ghi kết luận cho từng tệp được chuyển để việc xử lý có thể được chứng minh. Chúng tôi tài liệu hóa vị trí triển khai so với các môi trường được căn chỉnh PROTECTED mà không đưa ra tuyên bố phê duyệt mà chúng tôi không nắm giữ.

Cross-domain and air-gapped transferContent disarm and reconstructionPer-file verdict recordGlasswall Meteor

Nguồn: Attorney-General's Department

Nguyên tắc Quyền riêng tư của Úc 11 yêu cầu thực hiện các bước hợp lý để bảo vệ thông tin cá nhân. Cơ chế NDB yêu cầu thông báo về các vụ vi phạm dữ liệu đủ điều kiện. Một chương trình cải cách nhiều giai đoạn vẫn đang tiếp tục tiến triển.

Vì sao điều này quan trọng với bảo mật tệp. Tài liệu là vật mang dữ liệu cá nhân thường xuyên không được kiểm soát. Giảm dữ liệu cá nhân được lưu trong các tệp rời làm giảm cả mức độ phơi nhiễm APP 11 lẫn số lượng tệp có khả năng tạo ra một vi phạm đủ điều kiện.

Glasswall xử lý điều này như thế nào. Chống thất thoát dữ liệu (DLP) loại bỏ các mẫu dữ liệu được đặt tên khỏi tài liệu trước khi chúng được lưu trữ hoặc chia sẻ, hỗ trợ bài kiểm tra các bước hợp lý của APP 11. Bảo vệ lưu trữ Microsoft 365 áp dụng cách xử lý tương tự cho các tệp được tải lên SharePoint và OneDrive.

Data loss preventionMicrosoft 365 storage protectionGlasswall Halo

Nguồn: OAIC

Trang này là tài liệu tham chiếu làm việc dành cho các tổ chức hoạt động tại Úc.

Đây không phải là tư vấn pháp lý. Nghĩa vụ pháp lý và quy định phụ thuộc vào việc một tổ chức được chỉ định như thế nào, tổ chức đó hoạt động trong lĩnh vực nào và hệ thống của tổ chức đó được kiến trúc ra sao; hãy tham khảo tư vấn địa phương trước khi dựa vào bất kỳ nội dung nào ở đây cho một quyết định tuân thủ. Khi chúng tôi mô tả Glasswall liên quan đến một nghĩa vụ như thế nào, chúng tôi đang mô tả một biện pháp kiểm soát, chứ không phải chứng nhận một kết quả.