新的英国政府网络安全标准

近日，英国政府内阁办公室发布了最低网络安全标准（MCSS）；他们计划将其纳入政府安全职能标准中的第一个技术标准。

该政策也称为 HMG 安全政策框架 (SPF)，规定了英国政府所有部门都必须实现的强制性保护性安全结果。然而，仅仅因为这项政策仅适用于英国政府，并不意味着不能从这项新标准中汲取宝贵的经验教训。事实上，它在很多方面为其他组织（不仅仅是英国的组织）制定了明确的框架，以改善其网络安全状况。

标准本身实际上并没有那么长，分为五个主要类别，我们将在下面介绍；识别、保护、检测、响应和恢复。

确定——谁负责？

本节旨在确定对敏感信息安全负有责任的个人，并确保制定明确的政策来指导特定部门采取保护此类数据的方法。

本节还重点强调依赖第三方供应商或供应链的部门。各部门必须要求这些第三方遵守与其自身相同的网络安全标准。这意味着要么确保他们遵守新政策，要么持有有效的网络必需品。

本标准没有详细讨论各部门改进其数据访问治理的过程。不过，内阁办公室严格要求的一个领域是，各部门必须确保其高级职员或负责保护敏感数据的任何人接受培训，并积极在整个组织内推广安全文化。这强调了网络安全意识培训作为提高数据安全的宝贵工具的重要性。

识别 - 您的敏感数据在哪里？

与 GDPR 框架类似，MCSS 要求组织准确了解他们存储或处理的敏感信息、存储或处理这些信息的原因、数据的位置以及涉及该数据的泄露可能产生的潜在影响。

对于那些没有适当的数据发现和分类解决方案的组织或部门来说，这不是一件容易的任务，尽管这并非不可能。文件服务器中内置的文件分类基础设施确实为您提供了发现、标记和分类敏感数据的能力；英国政府的许多部门很可能利用这一点来实现这一点。

确定 - 谁有权访问这些数据？

MCSS 明确表示，各部门必须确保用户获得对敏感信息或关键运营服务的绝对最低访问权限，即所谓的最小特权政策。此外，如果用户离开组织或更改角色，则需要定期审查权限，以确保保留适当的访问权限，并撤销过多的权限。

保护——身份验证和漏洞修补

正如您可以想象的那样，本节的重点是确保各部门采取可行的措施来保护他们存储和处理的敏感数据。这一点的很大一部分是关于访问权限的；具体来说，确保仅向“授权的、已知的和单独引用的用户或系统”提供访问权限。 ”

在用户或系统能够访问敏感信息之前，应该需要进行身份验证和识别。在数据敏感性至关重要的情况下（例如商业秘密），MCSS 还建议访问数据的设备需要身份验证。

从中吸取的重要教训是了解谁在访问您的数据以及他们对数据进行了哪些更改的重要性。如果用户复制、移动或修改包含敏感数据的文件/文件夹，您需要确保此操作已获得授权。

本节的后半部分围绕确保敏感数据周围的系统和帐户不易受到已知网络安全威胁的影响。 MCSS 要求各部门通过多种非常具体的方式来确保系统和服务受到保护，但共同的主题似乎围绕着确保安装最新的软件更新并定期扫描漏洞。

本节中特别指出了高特权帐户作为必须特别注意的区域。这些帐户应受到密切监控，尽可能要求多重身份验证，并具有高度复杂且定期轮换的密码。这些账户的用户还需要确保它们不被用于“高风险功能”，例如点击电子邮件中的链接或浏览未知网页。

检测 - 在造成损害之前发现网络攻击

现在，我们知道没有办法完全消除网络攻击的风险。攻击者太聪明了，而且攻击威胁演变得太快，因此这是不可能的。然而，认真对待网络安全的组织能够发现正在进行的潜在攻击并采取行动。

MCSS 要求政府部门捕获事件并针对已知的网络安全威胁进行调查。各部门需要制定适当的审计和监控解决方案，并准确了解必须保护的内容以及原因。监控解决方案需要与组织一起发展。例如，如果敏感数据转移到云平台，监控解决方案需要能够检测云中发生的变化。

攻击者应该无法在不被监控解决方案检测到的情况下访问敏感数据或对其进行任何更改。各部门如何选择监控其数据发生的变化由他们决定，但 MCSS 似乎表明各部门将需要第三方审核软件来满足要求。

响应——对网络攻击的快速响应是必要的

政府部门需要制定所谓的事件响应和管理计划。这样的计划需要清楚地概述发生事件时需要采取的所有关键角色、职责和行动。

最重要的是能够通知监管机构、部门新闻办公室、国家网络安全中心、政府安全小组、ICO 或执法部门以及受违规影响的个人。

事件响应计划需要定期更新，任何发生的事件都需要影响计划并根据需要通知计划的更改。其他组织可以从本节中吸取重要的教训，了解制定最坏情况计划的重要性。记录每个事件，无论严重程度如何，并用它来改进您的事件响应计划和整体网络安全策略。

更快地从网络攻击中恢复

如果发生系统故障或大规模数据泄露，您需要确保应急机制到位，以减少停机时间并尽快恢复业务连续性。事件发生后，各部门必须立即利用从攻击或失败中吸取的教训来改进未来的策略。

网络安全行业如何看待 MCSS？

MCSS 的发布得到了网络安全专业人士的广泛好评。 High Tech Bridge 首席执行官伊利亚·科洛琴科 (Ilia Kolochenko) 谈到该标准时表示： “该文件成功地将简单性和效率结合在一起。如今，许多政府实体甚至不知道从哪里以及如何开始网络安全，而这份文件肯定会帮助他们构建和管理数字风险并实施适当的网络安全流程。 ”

然而，并非所有人都相信。 Pinsent Masons 的网络安全专家 Ian Birdsey 仍然乐观，但也持怀疑态度：“在处理数据泄露时，通常会出现网络安全标准的问题。当监管机构在执法阶段断言有关组织未达到适当标准时，通常很难根据共同的最低标准来衡量该组织。虽然政府的新最低标准适用于英国政府部门，但随着时间的推移，观察它对其他领域监管机构的影响程度将会很有趣。 ”

Lepide（审计和监控解决方案提供商；Lepide 数据安全平台）首席执行官 Aidan Simsiter 担心，“英国政府各部门可能很难满足这些模糊的要求，无论这些要求在纸面上听起来多么简单。然而，组织可以从这些标准中汲取一些宝贵的经验教训，特别是在教育、培训和持续监控适合您的整体安全计划的情况下。 ”

有关 Lepide 数据安全平台如何通过持续主动的审核帮助您满足合规标准的更多信息，请单击此处。