什么是安全合规管理？

安全合规管理是定义安全策略、根据这些策略审核合规性并确保解决合规违规行为的持续过程。必须根据为特定组织制定的政策来管理合规违规行为。

组织实施合规管理系统来管理整个合规流程。这包括对组织的审计合规能力、遵守自身政策和程序的能力以及遵守外部法规和标准的能力进行独立测试。

在本文中：

• 为什么安全合规性很重要？
• 您应该了解的 10 条安全合规法律和标准
  • 通用数据保护条例
  • CCPA 和 CPRA
  • SOC
  • 健康保险流通与责任法案
  • FISMA
  • PCI数据安全标准
  • ISO/IEC 27001
  • 阿帕
  • 美联储RAMP
  • HITRUST
• 4 安全合规性最佳实践
  • 制定风险评估计划
  • 建立有效的安全控制
  • 促进团队沟通
  • 利用安全合规自动化解决方案

为什么安全合规性很重要？

出于多种原因，合规性很重要，包括信任、声誉、安全性和数据完整性。它还会影响公司的利润。

根据Ponemon Institute 最近发布的数据泄露成本报告，合规性是数据泄露成本的首要因素。不合规组织发现数据泄露的平均成本比合规组织高出 230 万美元。与合规相关的数据泄露的平均成本为 565 万美元。

不合规导致更高成本的原因是，违反合规行为可能导致罚款和诉讼，以及间接的声誉损害。医疗保健、能源和金融等受到高度监管的行业中的组织，即使在最初的违规事件发生多年后，也往往会承受这些额外的成本。

您应该了解的 10 条安全合规法律和标准

1.GDPR

欧盟于 2018 年颁布了《通用数据保护条例》(GDPR)。该条例为处理欧盟居民个人数据的组织设定了标准。GDPR 不仅适用于欧洲公司，还适用于处理属于欧盟公民的数据的任何组织。

GDPR 要求企业以防止未经授权的数据收集、处理、丢失或损坏的方式处理个人数据。如果不这样做，罚款最高可达年收入的 4% 或 2000 万欧元，以较高者为准。

2. CCPA 和 CPRA

《加州消费者隐私法》(CCPA) 适用于收入超过 2500 万美元的组织，或拥有超过 50,000 人数据的组织。根据该法律，所有加州居民都有权查看公司以及与公司共享这些数据的任何第三方存储的任何个人数据。如果消费者认为自己的数据违反了 CCPA，他们有权起诉公司。不遵守 CCPA 可能会导致诉讼和罚款。

与 GDPR 一样，CCPA 适用于与加州公民开展业务的任何组织。因此，即使您的组织不在加利福尼亚州且没有实际存在，也可能受到 CCPA 的保护。

加州选民最近通过了 CCPA 的更新版，称为《加州隐私法》(CPRA)，该法案将于 2023 年初生效。CPRA 扩展了 CCPA，使某些方面更具限制性，但将小型企业排除在其管辖范围之外。与 CCPA 相比，CPRA 引入的具体变化包括禁止企业保留客户数据超过必要的时间，并扩大客户反对数据收集的权利。

请参阅我们的 CCPA 详细指南（即将推出）了解更多信息

3. 系统芯片

SOC 合规性证明服务组织已完成第三方审核并实施了某些安全控制。有多个合规级别，称为 SOC 1、SOC 2 和 SOC 3。

SOC 合规性旨在向服务提供商的客户证明该公司有能力提供合同服务。在大多数情况下，企业客户不了解其环境的详细信息，因此很难相信企业正在充分保护敏感数据。SOC 审核可以验证服务提供商的控制和系统以提供必要的服务。

与其他合规性法规不同，SOC 合规性是自愿的，某些行业并不强制要求。遵守 SOC 的触发因素通常是组织客户的要求。

4.健康保险流通与责任法案

美国健康保险流通与责任法案 (HIPAA) 要求医疗保健提供者确保数字健康信息在存储或传输时保持机密和安全。此外，医疗保健提供者必须做出合理的努力来防止威胁、安全漏洞和健康数据的不当使用。

不遵守 HIPAA 可能会导致每次违规最高 50,000 美元的罚款或每年 150 万美元的罚款。某些违反 HIPAA 的行为可能会导致最高 10 年的监禁。

5. FISMA

《联邦信息安全管理法》(FISMA) 规范美国联邦系统，以保护对美国经济和国家安全具有重要意义的信息、运营和资产。它于 2002 年发布，是政府机构和企业利益相关者管理和实施风险管理治理的广泛框架。

FISMA 定义了最低安全要求，以维持政府机构免受威胁的保护。该法案与信息安全计划解决网络安全合规问题的现有法律、行政命令和指南一致。

该框架的范围包括进行信息系统清单、维护系统安全计划和控制、进行风险评估以及确保持续监控。

6.支付卡行业数据安全标准

支付卡行业数据安全标准 (PCI DSS) 是一项非政府信息安全要求，重点保护信用卡持卡人数据。该标准由主要信用卡提供商和 PCI 安全标准委员会管理。其主要目标是保护持卡人数据。

PCI DSS 标准适用于处理支付信息的商户，无论每月交易或信用卡交易的数量如何。企业主必须遵守 12 项要求，包括防火墙配置、密码保护、数据加密、限制对信用卡信息的访问以及制定和维护安全
策略。

不遵守规定的企业可能会失去其商业许可证，这意味着他们将在几年内无法接受信用卡付款。此外，不遵守 PCI DSS 的公司可能成为网络攻击、声誉受损以及最终巨额监管罚款的潜在目标。

7. ISO/IEC 27001

ISO/IEC 27001 是用于实施和管理信息安全管理系统 (ISMS) 的国际标准。它作为国际标准化组织 (ISO) 和国际电工委员会 (IEC) 27000 系列标准的一部分发布。

ISO27001 标准的“商业认证”意味着组织在其技术环境的各个层面（包括人员、流程、工具和系统）均符合要求，并确保客户个人数据的完整性和保护。该标准确保有严格的操作行为和实践来构建有弹性且可靠的网络安全管理系统。

请参阅我们的 ISO 27001 详细指南（即将推出）了解更多信息

8. 阿帕

澳大利亚审慎监管局（APRA）是澳大利亚政府的法律机构，也是澳大利亚金融服务业的审慎监管机构。APRA 目前为澳大利亚储户、保单持有人和养老基金成员监管着 7.6 万亿澳元的资产。

ARPA 监管银行、信用社、住房协会、协会、财产和意外伤害保险、健康保险、再保险公司、人寿保险公司以及养老金行业的大多数公司。其主要目标是确保这些机构履行其财务承诺——确保它们财务状况良好，并能够履行对储户、基金成员和投保人的义务。

9.联邦RAMP

联邦风险和权利管理计划 (FedRAMP) 是一项美国联邦政府计划，为云产品和服务的安全评估、授权和持续监控提供标准化方法。希望向美国政府提供云服务产品 (CSO) 的云服务提供商 (CSP) 必须证明 FedRAMP 合规性。

FedRAMP 使用 NIST 特别出版物 800 系列，云服务提供商完成 3PAO（第三方评估组织）的独立安全评估，以确保批准符合联邦信息安全管理法案 (FISMA)。

在我们的 FedRAMP 详细指南（即将推出）中了解更多信息

10. HITRUST

HITRUST 代表健康信息信任联盟。该联盟成立于 2007 年，帮助组织（特别是但不限于医疗保健组织）有效管理数据、信息风险和合规性。

HITRUST 认证允许供应商和相关组织基于标准化框架证明其符合 HIPAA 要求。

HITRUST 为医疗保健行业提供了跨独立保证评估解决信息风险管理的选项，以减少甚至可能消除多次审计的需要。HITRUST 旨在帮助组织“评估一次，报告多次”。

创建、访问、存储或交换敏感信息的组织可以使用 HITRUST 通用安全框架 (CSF) 评估作为数据安全性和合规性的路线图。CSF 是一种可验证的标准，旨在作为基于风险的组织安全方法，而不是基于合规性的方法。HITRUST CSF 保证计划结合了 ISO、NIST、PCI 和 HIPAA 等流行安全框架的各个方面。

4 安全合规性最佳实践

1. 制定风险评估计划

应在所有业务职能范围内进行风险评估，包括监管合规性。这是识别 IT 安全系统中的漏洞并在安全风险出现之前采取主动措施的最佳方法。了解您的弱点可以帮助您在合规相关领域做出明智的决策。

合规性包括强化您的 IT 基础设施，以保护敏感的客户和业务数据免遭未经授权的访问。全面的风险评估可以考虑所有功能的安全性和合规性。

实施风险评估计划时，请考虑以下事项：

• 您拥有什么类型的数据以及每个数据的风险有多大
• 在哪里存储您的数据
• 谁有权访问您的信息
• 评估网络和信息系统的健康状况

2. 建立有效的安全控制

实施安全控制以帮助管理风险。合规性只是一种报告功能，表明企业满足一组要求。为了合规，您必须积极创建安全控制。

即使您完全合规，您仍然面临安全漏洞的风险。确保您在合规性和安全性之间取得平衡。设置 IT 安全控制时需要重点关注的领域包括：

• 网络访问控制
• 数据加密和密钥管理
• 系统补丁计划维护
• 防火墙和路由器管理
• 事件响应计划

3.促进团队沟通

当团队被隔离时，安全合规性变得更加复杂。您的 IT 或安全团队凭借数据泄露、攻击和预防解决方案处于网络安全的最前沿。但是，您团队的某些部分可能不了解合规性或监管要求的详细信息。

同样，合规官员可能熟悉监管要求，但不熟悉当前的技术能力。这需要团队合作和协作，以确保实施最佳解决方案以保护组织的最大利益。

4.利用安全合规自动化解决方案

自动化是减少保持合规所需时间的最佳工具。自动化安全合规性的常见方法包括：

• 定期生成证明合规性或传达风险缓解控制有效性所需的报告。
• 通过回答跨越多个框架和法规的调查来减少多余的工作。
• 集中来自框架和监管机构的更新，而不是手动寻找更改。

IT 和安全部门有许多潜在的自动化机会。检查重复性任务以确定是否可以实现自动化。这可以节省时间并使合规流程更加高效。

LvBug 如何加强安全合规性

安全合规性提供了一套必要的保障措施，以最大限度地减少网络犯罪的影响。专注于威胁防御或违规后修复的自动化工具和安全解决方案并不总是能够有效应用调查结果来提高安全合规性。安全专家对应用程序的主动测试增加了一层保护，可以防止攻击面受到攻击并增强合规性流程。

组织可以选择由经过审查的道德黑客精英团队进行渗透测试的方法和频率。Pentest 即服务 (PTaaS) 活动通过 LvBuG 平台进行管理，该平台专为协作、跟踪和报告而构建，以提供更好的安全合规性。