NIST SP 800-53 Rev. 5: Bilgi Sistemleri ve Kuruluşlar İçin Güvenlik ve Gizlilik Kontrolleri

Özet

Rev. 5, güvenlik ve gizlilik kontrollerini genel amaçlı bilgisayar sistemlerinden bulut, mobil, IoT, endüstriyel kontrol ve çevre kontrol sistemlerine kadar tüm bilişim platformları için tek bir katalogda toplar. Amaçlar, sistemleri saldırılara daha dirençli kılmak, saldırı hasarını sınırlamak, siber dayanıklılık ve hayatta kalabilirlik sağlamak ve bireylerin mahremiyetini korumaktır. En önemli değişiklikler: kontroller sonuç odaklı hale getirilmiş, sorumlu varlık (sistem, kurum) ifadesi kontrol metninden çıkarılmış, güvenlik ve gizlilik kontrolleri tek katalogda birleştirilmiş, yeni bir Tedarik Zinciri Risk Yönetimi ailesi eklenmiş, kontrol seçimi süreci kontrollerden ayrılmış, kontrol temelleri (baseline) ve uyarlama rehberi SP 800-53B'ye taşınmış, siber dayanıklılık ve güvenli sistem tasarımı gibi güncel kontroller eklenmiştir.

Bölüm 2 yapıyı açıklar. Kontroller 20 ailede düzenlenir ve her ailenin iki harfli bir kodu vardır: AC, AT, AU, CA, CM, CP, IA, IR, MA, MP, PE, PL, PM, PS, PT, RA, SA, SC, SI ve SR. Ailede temel kontroller ve onları güçlendiren veya özelleştiren kontrol geliştirmeleri (enhancement) bulunur; 20 ailenin 17'si FIPS 200 asgari güvenlik gereksinimleriyle uyumludur, PM, PT ve SR ise sonradan ortaya çıkan federal gereksinimleri karşılar. Kontroller organizasyon tarafından tanımlanan parametre değerleriyle (örneğin 'Atama' ve 'Seçim' alanları) uyarlanır. Bölüm 2 ayrıca kontrol uygulama yaklaşımlarını, güvenlik ve gizlilik kontrol ilişkisini ve güvenilirlik ile güvence kavramlarını ele alır.

Bölüm 3, 20 aile için kontrol metinlerini, tartışmaları ve ilgili kontrolleri sunar. Veri merkezi tasarımı için en doğrudan olanlar PE ailesidir: PE-9 güç ekipmanı ve kablolama (fiziksel olarak ayrılmış yedekli kablo yolları, otomatik gerilim kontrolleri), PE-10 acil güç kesme, PE-11 acil güç (UPS ile düzenli kapatma veya uzun vadeli alternatif güce geçiş), PE-13 yangın koruma, PE-14 çevresel kontroller (sıcaklık, nem, basınç, radyasyon düzeylerinin korunması ve izlenmesi), PE-15 su hasarı koruması ve PE-23 tesis konumu (sel, yangın, kasırga, deprem gibi fiziksel ve çevresel tehlikelerin yer seçiminde dikkate alınması).

CP ailesi acil durum planı, test, alternatif depolama sitesi (CP-6), alternatif işleme sitesi (CP-7), telekomünikasyon hizmetleri (CP-8), sistem yedekleme (CP-9), kurtarma ve yeniden yapılandırma (CP-10) ve güvenli mod (CP-12) kontrollerini içerir. CP-7, alternatif işleme sitesinin birincil siteden coğrafi olarak ayrı olmasını, kurtarma süresi ve kurtarma noktası hedefleriyle tutarlı bir sürede işlemin devralınmasını ve ikincil sitedeki kontrollerin birincil sitedekilere eşdeğer olmasını ister. Ek C kontrol özetlerini sunar.

Öne çıkan noktalar

1. Kontroller 20 ailede toplanır; güvenlik ve gizlilik kontrolleri tek katalogdadır.
2. Yeni Tedarik Zinciri Risk Yönetimi (SR) ailesi eklenmiştir.
3. Kontrol temelleri (baseline) ve uyarlama rehberi SP 800-53B'ye taşınmıştır.
4. Kontrol metinleri sonuç odaklıdır; sorumlu varlık ifadesi kaldırılmıştır.
5. 20 ailenin 17'si FIPS 200 asgari güvenlik gereksinimleriyle uyumludur; PM, PT ve SR sonradan gelen federal gereksinimleri karşılar.
6. Her aile iki harfli kodla anılır; temel kontroller ve kontrol geliştirmeleri vardır.
7. PE-9: güç ekipmanı ve kablolamanın korunması; geliştirmeler fiziksel olarak ayrılmış yedekli kablo yolları ve otomatik gerilim kontrolleridir.
8. PE-11: UPS, birincil güç kaybında düzenli kapatma veya uzun vadeli alternatif güce geçişi sağlar; UPS, jeneratörden farklı olarak neredeyse anında koruma sunar.
9. PE-14: sıcaklık, nem, basınç ve radyasyon düzeyleri izlenir; PE-23: tesis konumu fiziksel ve çevresel tehlikelere göre planlanır.
10. CP-7: alternatif işleme sitesi birincil siteden coğrafi olarak ayrı olmalı ve eşdeğer kontrollere sahip olmalıdır.

Tasarımda kullanımı

• Veri merkezi güç tasarımında PE-9 uyarınca fiziksel olarak ayrılmış yedekli kablo yolları ve kritik bileşenler için otomatik gerilim kontrolü gereksinimlerini belirleyin; ayrım mesafesini kurumsal parametre olarak tanımlayın.
• UPS ve alternatif güç tasarımını PE-11'e göre, düzenli kapatma süresi veya uzun vadeli alternatif güce geçiş senaryosuyla birlikte boyutlandırın.
• Yer seçiminde PE-23 kapsamında sel, yangın, kasırga ve deprem gibi tehlikeleri risk stratejisine kaydedin ve CP-7 için coğrafi olarak ayrı ikincil site belirleyin.
• PE-14 için sıcaklık ve nem kabul edilebilir düzeylerini ve izleme sıklığını parametre olarak tanımlayın.
• Acil güç kesme (PE-10) anahtarlarının konumunu yetkili personele erişilebilir ancak yetkisiz etkinleştirmeye karşı korunmuş şekilde tasarlayın.
• Kontrol seçimi ve temel (baseline) belirlemek için SP 800-53B'yi, BMS/SCADA gibi sistemler için OT bindirmesini birlikte kullanın.

Kimler okumalı

Bilgi güvenliği ve gizlilik mühendisleri, sistem mimarları, risk yöneticileri, denetçiler ve fiziksel altyapıyı tasarlayan mühendisler.

Belgenin bölümleri

1. Executive Summary (Yönetici Özeti)
2. Chapter One: Introduction (Giriş)
3. 1.1 Purpose and Applicability
4. 1.3 Organizational Responsibilities
5. Chapter Two: The Fundamentals (Temeller)
6. 2.1 Requirements and Controls
7. 2.2 Control Structure and Organization
8. 2.3 Control Implementation Approaches
9. 2.4 Security and Privacy Controls
10. 2.5 Trustworthiness and Assurance
11. Chapter Three: The Controls (Kontroller)
12. 3.1 Access Control (AC)
13. 3.3 Audit and Accountability (AU)
14. 3.5 Configuration Management (CM)
15. 3.6 Contingency Planning (CP)
16. 3.8 Incident Response (IR)
17. 3.11 Physical and Environmental Protection (PE)
18. 3.18 System and Communications Protection (SC)
19. 3.20 Supply Chain Risk Management (SR)
20. Appendix C. Control Summaries (Kontrol Özetleri)

İlgili standartlar

• NIST SP 800-53B
• FedRAMP
• NIST CSF 2.0

Belgeyi okuyun

Yayın bilgileri

Yazarlar

Joint Task Force

Yayıncı

National Institute of Standards and Technology

Yıl

2020

Belge numarası

NIST SP 800-53 Rev. 5

Belge dili

İngilizce

Kaynak türü

Uzman / topluluk

Erişim

Açık lisans — indirilebilir

DOI

10.6028/NIST.SP.800-53r5

Lisans

ABD kamu malı — ABD kamu kurumu yayını; serbestçe kullanılabilir

Lisans kanıtı

www.copyright.gov

Künye