Unternehmen
Wir haben unsere Verschlüsselungsbewertung Für einen unserer Kunden, ein Fortune 500-Unternehmen aus dem Finanzsektor, wurde ein Projekt durchgeführt. Das Portfolio des Unternehmens umfasste mehrere Banken und Geldautomaten im ganzen Land und war auf Kreditkarten, Autokredite, Bankgeschäfte und Sparkonten spezialisiert. Die US-Bank wurde vor Jahrzehnten gegründet und verfügt über mehrere Standorte im ganzen Land. Während das Institut über mehrere Jahrzehnte hinweg schnell wuchs und neue Standorte in den USA eröffnete, standen diesem rasanten Wachstum auch wachsende Sicherheitsrisiken gegenüber, die immer neue Sicherheitslücken öffneten.
Mit ihrem Ziel, ihr Wachstum in den kommenden Jahren zu beschleunigen, suchten sie nach einer Bewertung, die ihnen einen vollständigen Überblick über ihre aktuelle Sicherheitsarchitektur verschaffte, Schwachstellen identifizierte, eine maßgeschneiderte Strategie und einen Rahmen entwickelte, um ihre Expansionspläne im Auge zu behalten und alle notwendigen Compliance-Vorschriften zu erfüllen, während sie gleichzeitig vor externen Bedrohungen.
Challenges
Für Banken, die Finanztransaktionen und Aufzeichnungen durchführen und sensible Daten schützen, wie PII als auch PCISicherheit hat höchste Priorität. Das Unternehmen hatte mit mehreren Problemen in seinem kryptografischen Framework zu kämpfen, denen ein strukturierter und strategischer Ansatz fehlte.
Sie waren Cybersicherheitsangriffen wie Man in the Middle ausgesetzt, da sie nicht über Verschlüsselung Ihre sensiblen Daten werden über Speicher, Dateien, Datenbanken oder die interne Datenkommunikation zwischen verschiedenen IT-Komponenten verteilt, z. B. zwischen Anwendungen, die sich mit Datenbanken verbinden, oder zwischen Diensten, die intern innerhalb eines Systems kommunizieren. Dadurch werden ihre sensiblen Daten unbefugten Dritten ausgesetzt, die sie lesen oder verändern können.
Es gab keine richtige Schlüsselverwaltung Es hat sich eine Praxis etabliert, darunter auch Verfahren zur zentralen Schlüsselverwaltung, da native Schlüsselverwaltungsfunktionen von verschiedenen anbieterspezifischen Speicher- und Sicherungsgeräten genutzt wurden, die nur über eingeschränkte Verfahren zur Schlüsselrotation und -generierung verfügen.
Passwörter wurden anstelle von sichereren schlüsselbasierten SSH Authentifizierung. Kryptografische private Schlüssel wurden ohne die Anwendung der geringsten Zugriffsrechte gespeichert. Darüber hinaus setzte das Fehlen einer definierten Schlüsselrotationsrichtlinie für die SSH-Schlüssel das System Risiken aus, die mit der längeren Verwendung veralteter oder kompromittierter Schlüssel verbunden waren.
Für verschiedene Cloud-basierte Plattformen gab es inkonsistente Verschlüsselungspraktiken, einschließlich der von den jeweiligen Dienstanbietern generierten und verwalteten Verschlüsselungsschlüssel (AWS-KMS und Azure Key Vaults). Infolgedessen Bringen Sie Ihren eigenen Schlüssel mit (BYOK) Die Funktion wurde nicht genutzt, wodurch die Kontrolle des Unternehmens über die Verschlüsselungsschlüssel eingeschränkt wurde. Diese Inkonsistenzen führten dazu, dass vertrauliche Daten im Cloud-Speicher unzureichend geschützt waren.
Lösung
Unser Ansatz konzentrierte sich auf die Lösung aller identifizierten Herausforderungen durch die Erstellung einer strukturierten Verschlüsselungsbewertung, die das gesamte kryptografische Framework, einschließlich der Zertifikats- und Schlüssellebenszyklusverwaltungspraktiken für lokale und Multi-Cloud-Umgebungen, bewertete. Wir begannen unseren Prozess mit dem Aufbau eines tiefen, umfassenden Verständnisses der kryptographisch Standards und analysierte die Herausforderungen der Sicherheitsumgebung der Organisation.
Anschließend folgte eine umfassende Überprüfung der bestehenden kryptografischen Richtlinien, Prozesse und Standards sowie ausführliche Workshops, um alle Verschlüsselungsmöglichkeiten zu verstehen. Wir ermittelten spezifische Anwendungsfälle, beispielsweise die Verschlüsselung von Datenbanken und Big-Data-Plattformen wie Hadoop und Cassandra sowie die Aktivierung von TLS 1.2 und höher für die Datenübertragung. Darüber hinaus identifizierten wir in allen Bereichen der angewandten kryptografischen Verfahren Lücken, die verbessert werden mussten.
Unsere Bewertung wurde durchgeführt, um die zentralen Sicherheitsziele der Organisation zu erreichen. Dazu gehörte die Zentralisierung und Automatisierung ihrer Zertifikats- und Schlüssellebenszyklus-Managementprozesse, um ihre Funktionsprobleme zu lösen. Dies reduzierte wiederum ihre betrieblichen Ineffizienzen, stellte rechtzeitige Erneuerungen sicher und minimierte gleichzeitig das Ausfallrisiko.
Wir haben die Datenverschlüsselung auf allen Technologieebenen standardisiert, unter anderem für Anwendungen, Datenbanken, Dateien und Ordner. Darüber hinaus stellen wir die konsistente Verwendung von TLS 1.2 oder höher sicher, um Daten während der Übertragung und des Transports zu sichern, und gewährleisten die Anwendung der Prinzipien des geringsten privilegierten Zugriffs.
Wir haben außerdem die Einhaltung aller erforderlichen Compliance- und Regulierungsstandards sichergestellt, wie beispielsweise FIPS 140-2 / 3, NIST 2,0, NIS-2, DORA und mehr, indem wir die kryptografischen Kontrollen und Standards überprüfen, bewerten und aktualisieren und sie im kryptografischen Rahmen der Organisation implementieren.
Auswirkungen
Im Laufe des Projekts haben wir einen starken Kommunikationskanal mit dem Kunden aufgebaut, um allen Sicherheitsproblemen auf den Grund zu gehen und die Lücke zwischen seiner aktuellen Umgebung und seinen Sicherheitszielen zu schließen. Wir haben ihre Strategie angepasst Wir wollten alle Sicherheitslücken in unserem kryptografischen Framework schließen und einen Sanierungsplan entwickeln, der nicht nur die unmittelbaren Herausforderungen meistert, sondern uns auch dabei unterstützt, unsere langfristigen Sicherheits- und Compliance-Anforderungen zu erfüllen. Unsere Strategie konzentrierte sich auf die Stärkung der Zugriffskontrolle, die Verbesserung des Risikomanagements und die Integration bewährter Verfahren in den täglichen Betrieb.
Dies sind nur einige der vielen Vorteile, die ihnen letztendlich zum Erreichen ihres Ziels einer sicheren, effizienten und skalierbaren Sicherheitsarchitektur verhalfen. Sie profitierten von der Reduzierung unbefugter Zugriffe durch den Einsatz von Identity and Access Management (IAM) und Role Based Access Control (RBAC). Wir haben die menschliches Versagen Faktoren aus der Sicherheitsgleichung durch Zentralisierung und Automatisierung aller Zertifikats- und Schlüsselverwaltungsprozesse.
Wir haben alle kryptografischen Richtlinien und Standards gründlich überprüft und aktualisiert. Dies trug zu einem besseren Verständnis bei und ermöglichte eine bessere Anpassung an erweiterte kryptografische Kontrollen, die alle erforderlichen Compliance- und Regulierungsstandards erfüllen. Durch die Integration aller erforderlichen Sicherheitsmaßnahmen in das kryptografische Framework des Unternehmens konnten wir das Unternehmen dabei unterstützen, krypto-agiler zu werden und quantensichere Algorithmen in seine Architektur zu integrieren, um zukünftige Veränderungen zu meistern.
Wir stellten sicher, dass ein skalierbares kryptografisches Framework implementiert wurde, das sowohl ihre lokalen als auch ihre Multi-Cloud-Umgebungen unterstützte (z. B. AWS, Azure, etc.). Wir unterstützten die Organisation auch dabei, ihre Fähigkeit zur Verwaltung und Standardisierung kryptografischer Kontrollen zu verbessern, wie z. B. die Verwendung von TLS 1.2 oder höheren Protokollen, um Daten während der Übertragung für mehrere Anwendungen und Plattformen zu sichern. Dadurch ist sie in einer viel besseren Position, sich an die wachsenden betrieblichen Anforderungen anzupassen und gleichzeitig die immer raffinierteren Bedrohungen in Schach zu halten.
Fazit
Für Finanzinstitute steht Vertrauen im Mittelpunkt ihres Handelns. Unsere Verschlüsselungsbewertung Das Ziel der Institution, die Verschlüsselung von einem Sicherheitsnetz in ein strategisches Gut umzuwandeln, wurde erfolgreich erreicht. Dazu gehörten die Stärkung der Schlüsselverwaltungspraktiken, die Weiterentwicklung der Verschlüsselungstechnologien und die Gewährleistung, dass digitale Zertifikate und Schlüssel Lifecycle-Management Die Praktiken orientieren sich an den Best Practices der Branche. Wir haben das Unternehmen dabei unterstützt, sein kryptografisches Framework in eine sichere, skalierbare und zukunftsfähige Grundlage zu verwandeln und so den Weg in eine sicherere Zukunft zu ebnen.