Företagsöversikt
Vi genomförde framgångsrikt vår krypteringsbedömning för en av våra kunder, en Fortune 500-organisation inom finanssektorn. Organisationens portfölj bestod av flera banker och bankomater spridda över hela landet, och de hade specialisering inom kreditkort, billån, banktjänster och sparkonton. Den USA-baserade banken grundades för årtionden sedan och har flera platser över hela landet. Medan institutionen växte snabbt under loppet av några decennier och öppnade nya platser i staterna, möttes den snabba tillväxten av växande säkerhetsriskfaktorer som fortsatte att skapa nya säkerhetsluckor.
Med målet att accelerera sin tillväxt under de kommande åren sökte de en bedömning som gav dem en fullständig översikt över deras nuvarande säkerhetsarkitektur, identifierade sårbarheter, byggde en skräddarsydd strategi och ramverk för att hålla sina expansionsplaner i åtanke och uppfyllde alla nödvändiga efterlevnadsregler samtidigt som de skyddade dem från externa säkerhetsproblem. hot.
Utmaningar
För banker som hanterar finansiella transaktioner och register och skyddar känsliga uppgifter som PII och PCI, säkerhet är av yttersta prioritet. Organisationen stod inför flera problem i sitt kryptografiska ramverk som saknade en strukturerad och strategisk strategi.
De utsattes för cybersäkerhetsattacker som Man in the Middle på grund av bristen på kryptering av deras känsliga data över lagring, filer, databaser eller intern datakommunikation mellan olika IT-komponenter, såsom applikationer som ansluter till databaser eller tjänster som kommunicerar internt inom ett system. Det exponerade deras känsliga data för obehöriga parter som kunde läsa eller ändra den.
Det fanns ingen ordentlig nyckelhantering etablerad praxis, inklusive centraliserade nyckelhanteringsmetoder, eftersom inbyggda nyckelhanteringsfunktioner användes av olika leverantörsspecifika lagrings- och säkerhetskopieringsenheter som har begränsade nyckelrotation och genereringsrutiner.
Lösenord användes istället för säkrare nyckelbaserade SSH autentisering. Kryptografiska privata nycklar lagrades utan att tillämpa de minst privilegierade åtkomstkontrollerna. Dessutom exponerade avsaknaden av en definierad nyckelrotationspolicy för SSH-nycklarna systemet för risker i samband med utökad användning av föråldrade eller komprometterade nycklar.
Inkonsekventa krypteringsmetoder fanns på plats för olika molnbaserade plattformar, inklusive krypteringsnycklar som genererades och hanterades av respektive tjänsteleverantörer (AWS KMS och Azure Key Vaults). Som ett resultat av detta, Ta med egen nyckel (BYOK) Funktionen utnyttjades inte, vilket minskade organisationens kontroll över krypteringsnycklar. Dessa inkonsekvenser gjorde att känsliga data inte skyddades tillräckligt i molnlagringen.
Lösning
Vårt tillvägagångssätt fokuserade på att lösa alla identifierade utmaningar genom att skapa en strukturerad krypteringsbedömning som utvärderade hela deras kryptografiska ramverk, inklusive certifikat- och viktiga livscykelhanteringsmetoder för lokala och multimolnmiljöer. Vi började vår process genom att bygga en djupgående och omfattande förståelse av kryptografisk standarder och analyserade organisationens säkerhetsmiljös utmaningar.
Detta följdes av en uttömmande granskning av befintliga kryptografiska policyer, processer och standarder, samt djupgående workshops för att förstå alla deras krypteringsmöjligheter. Vi etablerade specifika användningsfall, såsom kryptering av databaser och stordataplattformar som Hadoop och Cassandra, vilket möjliggör TLS 1.2 och senare protokoll för data under överföring. Vi identifierade också luckor inom alla områden av deras tillämpade kryptografiska metoder som behövde förbättras.
Vår bedömning genomfördes för att uppfylla organisationens centrala säkerhetsmål, inklusive att centralisera och automatisera deras certifikat- och livscykelhanteringsprocesser för att lösa deras funktionsproblem, vilket i sin tur minskade deras operativa ineffektivitet, säkerställde snabba förnyelser och minimerade risken för avbrott.
Vi standardiserade deras datakryptering på olika tekniknivåer, inklusive men inte begränsat till applikationer, databaser, filer och mappar. Vi säkerställde också konsekvent användning av TLS 1.2- eller senare protokoll för att säkra data under överföring och dataöverföring, och vi säkerställde användningen av principerna för minst privilegierad åtkomst.
Vi säkerställde också att alla nödvändiga efterlevnads- och regelstandarder följs, såsom FIPS 140-2 / 3, NIST 2,0, NIS-2, DORA och fler, genom att granska, utvärdera och uppdatera kryptografiska kontroller och standarder och implementera dem inom organisationens kryptografiska ramverk.
Inverkan
Under projektets gång byggde vi upp en stark kommunikationskanal med kunden för att komma till roten av alla deras säkerhetsproblem och överbrygga klyftan mellan deras nuvarande miljö och deras säkerhetsmål. Vi anpassade deras strategi att stänga alla säkerhetshål i deras kryptografiska ramverk och bygga en åtgärdsplan som inte bara hjälper till att mildra alla deras omedelbara utmaningar utan också sätter dem på rätt väg att uppfylla sina långsiktiga säkerhets- och efterlevnadskrav. Vår strategi fokuserade på att stärka åtkomstkontrollen, förbättra riskhanteringen och integrera bästa praxis i deras dagliga verksamhet.
Det här är några av de många fördelar de upplevde som i slutändan ledde till att de uppnådde sitt mål om en säker, effektiv och skalbar säkerhetsarkitektur. De gynnades av minskad obehörig åtkomst genom användning av identitets- och åtkomsthantering (IAM) och rollbaserad åtkomstkontroll (RBAC). Vi minskade avsevärt Mänskligt misstag faktorer från säkerhetsekvationen genom att centralisera och automatisera alla sina certifikat- och nyckelhanteringsprocesser.
Vi granskade och uppdaterade noggrant alla deras kryptografiska policyer och standarder, vilket bidrog till att bygga en bättre förståelse och satte dem på rätt spår mot att bättre anpassa sig till avancerade kryptografiska kontroller som uppfyllde alla nödvändiga efterlevnads- och regelstandarder. Genom att införa alla nödvändiga säkerhetsåtgärder i deras organisations kryptografiska ramverk kunde vi hjälpa dem att bygga upp förmågan att bli mer kryptoagila och integrera kvantsäkra algoritmer i sin arkitektur så att de kunde navigera i framtida förändringar.
Vi säkerställde att ett skalbart kryptografiskt ramverk infördes som stödde både deras lokala och multimolnmiljöer (t.ex. AWS, Azure... etc.). Vi stödde också organisationen i att förbättra dess förmåga att hantera och standardisera kryptografiska kontroller, som att använda TLS 1.2-protokoll eller senare för att säkra data under överföring för flera applikationer och plattformar, vilket gör det möjligt för dem att vara i en mycket bättre position för att anpassa sig till sina växande operativa krav samtidigt som de alltmer sofistikerade hoten hålls borta.
Slutsats
För finansinstitut är förtroende själva kärnan i allt de gör. Krypteringsbedömning lyckades med att uppnå institutionens mål att omvandla kryptering från ett säkerhetsnät till en strategisk tillgång, inklusive att stärka nyckelhanteringspraxis, utveckla krypteringstekniker och säkerställa att digitala certifikat och nyckel livscykelhantering Våra metoder är i linje med bästa praxis i branschen. Vi hjälpte organisationen att omvandla sitt kryptografiska ramverk till en säker, skalbar och framtidsklar grund, vilket satte den på vägen mot en säkrare morgondag.