L'Agenzia per la sicurezza informatica (CSA) di Singapore ha pubblicato i Codici di condotta o le Norme di performance, emessi dal Commissario per la sicurezza informatica per la regolamentazione dei proprietari di infrastrutture informatiche critiche (CII), in conformità con il Cybersecurity Act. Il Codice di condotta per le infrastrutture informatiche critiche - Seconda edizione (CCoP2.0) è entrato in vigore il 4 luglio 2022, sostituendo le versioni precedenti del Codice.
Panoramica del Codice di condotta sulla sicurezza informatica per le infrastrutture informatiche critiche (CCoP) Scopo del CCoP2.0
Il CCoP2.0 ha lo scopo di specificare i requisiti minimi che il proprietario delle infrastrutture informatiche critiche (CIIO) deve implementare per garantire la sicurezza informatica delle CII. Al CIIO è richiesto di implementare misure che vadano oltre quelle previste dal presente Codice per rafforzare ulteriormente la sicurezza informatica delle CII in base al profilo di rischio per la loro sicurezza informatica.
- Rafforzare le difese di sicurezza informatica delle CII contro attacchi informatici avanzati e sofisticati.
- Fornire un quadro di riferimento per consentire alle CII di affrontare le nuove sfide presentate da tecnologie come il cloud computing, l'intelligenza artificiale (IA) e il 5G.
- Aumentare la capacità delle CII di rispondere ai rischi e agli incidenti di sicurezza informatica in rapida evoluzione.
- Promuovere una migliore collaborazione e condivisione delle informazioni tra il governo e il settore privato per identificare e rispondere rapidamente alle minacce informatiche.
- Migliorare la resilienza complessiva delle CII di Singapore contro eventi informatici destabilizzanti.
Il Cybersecurity Act fornisce un quadro per la designazione delle infrastrutture informatiche critiche (CII), e ai proprietari delle CII negli 11 settori critici è richiesto di rispettare le pratiche obbligatorie di igiene informatica previste dal CCoP2.0 per garantire una solida base di sicurezza informatica per i settori delle CII.
- 11 settori critici: settore energetico, dell'informazione e della comunicazione, idrico, sanitario, bancario e finanziario, dei servizi di sicurezza e di emergenza, dell'aviazione, dei trasporti terrestri, dei trasporti marittimi, governativo e dei media.
- Un insieme di pratiche obbligatorie di sicurezza informatica specifiche per la tecnologia operativa (OT) è stato introdotto come addendum al CCoP2.0 con l'obiettivo di elevare lo stato di sicurezza informatica per la OT delle CII.
Panoramica sulla conformità
Conformità al Codice di condotta sulla sicurezza informatica per le infrastrutture informatiche critiche (CCoP2.0) a Singapore
Scopri come le CII sono conformi al CCoP2.0 attraverso le nostre soluzioni di sicurezza informatica complete e ottieni maggiori informazioni sui requisiti.
Come Thales contribuisce al CCoP2.0 a Singapore
Le soluzioni Thales aiutano le CII ad affrontare i requisiti del CCoP2.0, concentrandosi sulle clausole di protezione e rilevamento, semplificando la conformità e automatizzando la sicurezza con visibilità e controllo, riducendo il carico di lavoro dei team che si occupano di sicurezza e conformità.
Il CCoP2.0 nelle soluzioni di conformità di Singapore
Sicurezza delle applicazioni
Proteggi applicazioni e API su larga scala nel cloud, on-premise o in un modello ibrido. La nostra suite di prodotti leader di mercato comprende firewall per applicazioni web (WAF), protezione contro attacchi Distributed Denial of Service (DDoS) e BOT dannosi, sicurezza per API e una rete di distribuzione dei contenuti (CDN) sicura.
Data Security
Scopri e classifica i dati sensibili in un ambiente informatico ibrido e proteggili automaticamente ovunque, che siano inattivi, in movimento o in uso, utilizzando la tokenizzazione criptata e la gestione delle chiavi. Le soluzioni di Thales identificano, valutano e stabiliscono le priorità dei potenziali rischi per una loro valutazione accurata, oltre a individuare comportamenti anomali e monitorare le attività per verificarne la conformità. In tal modo, le organizzazioni possono stabilire dove concentrare principalmente i propri sforzi.
Gestione delle identità e degli accessi
Un accesso fluido, sicuro e affidabile alle applicazioni e ai servizi digitali per clienti, dipendenti e partner. Le nostre soluzioni limitano l'accesso degli utenti interni ed esterni in base ai loro ruoli e al contesto con criteri di accesso granulari e autenticazione a più fattori che aiutano a garantire che l'utente giusto possa accedere alla risorsa giusta, al momento giusto.
Affrontare la clausola del CCoP2.0
Come Thales contribuisce:
- Limita l'accesso degli utenti interni ed esterni ai sistemi e ai dati in base ai ruoli e al contesto tramite le politiche.
- Applica misure di sicurezza contestuali basate sul punteggio di rischio.
- Centralizza i criteri di accesso e l'applicazione a più ambienti ibridi in un unico pannello di controllo.
- Unifica le operazioni di gestione delle chiavi con il controllo degli accessi basato sui ruoli.
- Protegge e automatizza l'accesso ai segreti attraverso gli strumenti DevOps.
- Offre l'autenticazione a più fattori (MFA) per garantire che chi accede al sistema sia realmente autorizzato.
- Utilizza Single Sign-On (SSO) per consentire agli utenti di accedere in modo sicuro a più sistemi con un'unica autenticazione.
- Imposta criteri di accesso in base ai ruoli, alle responsabilità e ai rischi degli utenti.
Soluzioni:
Sicurezza dei dati
Monitoraggio dell'attività dei dati
Monitoraggio dell'attività dei file
Gestione delle identità e degli accessi
Come Thales contribuisce:
- Ti fa ottenere la visibilità completa delle attività sui dati sensibili, monitora gli utenti che ne hanno accesso, esegue audit su ciò che fanno e documenta.
- Fornisce opzioni di autenticazione flessibili per flussi di lavoro automatizzati per ridurre la dipendenza dalle password.
- Estende l'autenticazione Single Sign-On alle applicazioni cloud, consentendo un accesso centralizzato e sicuro con un'identità protetta.
- Applica il controllo degli accessi con autorizzazioni ai dati sensibili.
- Abilita la completa gestione dei segreti di credenziali, certificati e chiavi, inclusi segreti statici, dinamici, chiavi SSH, chiavi API e token che supportano l'accesso just-in-time (segreti dinamici) anziché quelli statici per gli account con autorizzazioni nel technology stack.
Soluzioni:
Gestione delle identità e degli accessi
Gestione dell'accesso del personale
Sicurezza dei dati
Come Thales contribuisce:
- Scopre e classifica i potenziali rischi per tutte le API pubbliche, private e shadow.
- Protegge le risorse di rete critiche dagli attacchi DDoS e dai Bad Bot, continuando a consentire il traffico legittimo.
- Monitora il traffico dati per individuare il rischio di loro perdite.
- Protegge dagli attacchi alla logica di business e da molte altre minacce che rientrano tra le principali dieci minacce API OWASP.
- Rileva e previene le minacce informatiche con il firewall per applicazioni web.
- Codifica i dati sensibili una volta creati e si assicura che i dati "cleartext" non vengano elaborati o archiviati da applicazioni e personale non autorizzati.
- Protegge e automatizza l'accesso ai segreti attraverso gli strumenti DevOps.
Soluzioni:
Sicurezza delle applicazioni
Sicurezza dei dati
Come Thales contribuisce:
- Abilita il controllo degli accessi degli utenti privilegiati per i dati sensibili e limita l'accesso non autorizzato con la progettazione a privilegi minimi.
- Offre la tokenizzazione / crittografia in blocco ad alta velocità, come PII a livello di colonna dall'origine alla destinazione.
- Unifica la gestione di chiavi e di certificati per i connettori e i dispositivi di terze parti, tra cui una varietà di client KMIP, agenti TDE e altro ancora.
- Ti fa ottenere la visibilità completa delle attività sui dati sensibili, monitora gli utenti che ne hanno accesso, esegue audit su ciò che fanno e documenta.
- Avvisa o blocca in tempo reale gli attacchi al database e le richieste di accesso anomale.
- Monitora continuamente i processi per rilevare attività I/O anomale e avvisare o bloccare le attività dannose.
- Monitora inoltre i processi attivi per rilevare il ransomware, identificando attività come l'accesso eccessivo ai dati, l'esfiltrazione, la crittografia non autorizzata o l'impersonificazione malevola di un utente, e avvisa / blocca quando viene rilevata tale attività.
Come Thales contribuisce:
- Esegue test di valutazione su archivi dati come MySQL o simili per individuare vulnerabilità note.
- Esegue la scansione dei database con oltre 1.500 test di vulnerabilità predefiniti, basati sui benchmark CIS per proteggere i database dalle minacce più recenti.
Come Thales contribuisce:
- Protegge le chiavi crittografiche in un ambiente FIPS 140-3 di livello 3.
- Semplifica la gestione delle chiavi negli ambienti cloud e on-premise con la gestione del ciclo di vita delle chiavi.
- Supporta un elenco crescente di provider IaaS, PaaS e SaaS per la gestione delle chiavi sul cloud. Le soluzioni SaaS includono Microsoft Office 365, Salesforce.com e Salesforce Sandbox, come anche SAP Data Custodian. Le soluzioni IaaS/PaaS supportate comprendono Microsoft Azure, cloud Microsoft Azure China, Microsoft Azure Stack, IBM Cloud, Google Cloud Platform e Amazon Web Services.
- Gestisce e protegge tutti i segreti e le credenziali sensibili.
- Conservare i dati crittografati e la relativa chiave di crittografia in luoghi diversi per rispettare il principio di separazione dei compiti.
- Adottare l'agilità post-quantistica per affrontare le minacce derivanti dall'informatica quantistica.
- Supportare BYOK e HYOK con gestione completa del ciclo di vita delle chiavi cloud native e delle chiavi generate dalle relative fonti.
Come Thales contribuisce:
- Utilizza l'analisi delle firme, dei comportamenti e della reputazione per bloccare tutti gli attacchi di malware injection.
- Rileva e previene le minacce informatiche con il firewall per applicazioni web.
- Ti fa ottenere visibilità monitorando e verificando tutte le attività del database nei sistemi cloud e on-premise.
- Protegge i dati con avvisi in tempo reale o bloccando l'accesso degli utenti in caso di violazioni dei criteri.
- Fornisce approfondimenti basati sulla sintesi dei comportamenti degli utenti, dell'applicazione e modelli di accesso API e contesto della fonte dati.
- Monitora l'accesso ai dati non strutturati in tempo reale su server, cloud e condivisioni di file.
- Rileva minacce e rischi interni con una visibilità approfondita e informazioni basate sull'intelligenza artificiale, tramite analisi intelligenti e contestualizzate.
Risorse correlate
Altre normative chiave su protezione e sicurezza dei dati
PCI HSM
MANDATO | ATTIVO ORA
Le specifiche del PCI HSM definiscono un insieme di standard di sicurezza logici e fisici per gli HSM, appositamente per il settore dei pagamenti. La certificazione di conformità al PCI HSM dipende dal rispetto di tali standard.
DORA
REGOLAMENTO | ATTIVO ORA
DORA si propone di rafforzare la sicurezza informatica delle entità finanziarie per garantire che il settore finanziario in Europa sia resiliente di fronte al crescente volume e alla crescente gravità degli attacchi informatici.
Norme sulla notifica delle violazioni dei dati
REGOLAMENTO | ATTIVO ORA
In tutto il mondo sono stati emanati obblighi di notifica delle violazioni dei dati in seguito alla perdita di informazioni personali. Variano a seconda della giurisdizione, ma quasi sempre includono una clausola "safe harbor".
GLBA
REGOLAMENTO | ATTIVO ORA
Il Gramm-Leach-Bliley Act (GLBA), conosciuto anche come Financial Services Modernization Act del 1999, impone alle istituzioni finanziarie di spiegare ai clienti le pratiche di condivisione delle informazioni e di salvaguardare i dati sensibili.