¿Cuál es la ventaja de usar un marco de implementación específico frente a los pasos genéricos presentados en los marcos de seguridad más desarrollados?

2

Información de fondo: Esta publicación es para algunas investigaciones en las que estoy trabajando para un curso que tomo en la Universidad de Tecnología Avanzada como estudiante de Seguridad de la Red. Estoy investigando algunos marcos de implementación para la seguridad. Un artículo que estamos usando como referencia en la clase es enlace . Uno de los marcos de implementación mencionados en este artículo se llama Conocimiento de seguridad en la práctica o el método SKiP. Ahora, una de las razones por las que elegí estudiar esto más a fondo es debido a cómo el artículo mencionado anteriormente hablaba de ello. Una de las primeras cosas que el artículo menciona acerca de este método son los proveedores y la búsqueda de ese dispositivo que lo hace todo. El artículo hace una nota para mencionar las implicaciones de seguridad que trae un conjunto de dispositivos para que algunos servicios puedan brindarle, incluida la introducción de sus propios servicios mal configurados (a veces) que presentan más vulnerabilidades, solo que ahora están directamente vinculados a las medidas de seguridad de la empresa. De todos modos, siempre he pensado que la seguridad se debe lograr endureciendo lo que existe primero, antes de intentar encontrar algo que afirme que traerá seguridad. Dicho esto, no tengo nada en contra de los dispositivos, aunque en general prefiero las soluciones de código abierto, ya que soy más de una tecnología práctica y realmente disfruto del aspecto DIY que viene con el código abierto. Eso y el hecho de que puedo ver el código si es necesario para arreglar o adaptar la solución a mis necesidades.

Pregunta: Ahora, esta asignación es más una tarea basada en la discusión que no se ajusta a la línea de los sitios de tipo Q & A, así que voy a intentar preguntar. Pregunta específica para cumplir con las reglas de publicación, pero cualquier persona que quiera compartir su experiencia con los marcos de implementación sería muy bienvenido. Ahora, no tengo ninguna duda sobre la efectividad de SKiP, pero algo de eso me pareció muy similar a la mayoría de los otros enfoques. Asegure lo que tiene y luego ingrese al ciclo de preparación, detección, respuesta y mejora que la mayoría de los marcos de seguridad parecen seguir. Entonces, mi pregunta es ¿qué tan necesario es seguir incluso algo que es aproximadamente el mismo ciclo que la mayoría de los otros marcos? ¿No se apegaría a lo básico y seguiría siendo un trabajo simple igual de bien? De acuerdo, el ciclo debe aprenderse en algún lugar, pero ¿realmente necesita un nombre para hacerlo efectivo? ¿O son estos marcos sofisticados solo maneras de apaciguar a los miembros más altos con un proceso paso a paso, independientemente de cómo sea el cortador de galletas?

Aprecio cualquier comentario.

    
pregunta Patrick 20.05.2012 - 05:08
fuente

1 respuesta

1

Estoy familiarizado, espero, con la primera regla del club de seguridad de la información; no ruede su propio cripto. Resulta que esta regla tiene implicaciones más amplias; Realmente no deberías rodar tus propios marcos de seguridad tampoco.

Un marco bien establecido ha tenido un montón de personas inteligentes que lo buscan en busca de vacíos, y en un nivel más práctico se ha implementado mucho en el mundo real y ha traído beneficios. ( Realmente no creo que SKIP sea un marco bien establecido, pero ese no es realmente el punto de su pregunta .)

Además, no es una crítica a un marco que recuerde a otros marcos: una buena práctica de seguridad es una buena práctica de seguridad. SKIP parece ser un intento de aplicar un proceso PDCA al equipo suministrado por el proveedor; naturalmente, se parecerá mucho a otros marcos basados en PDCA.

Además, el uso de un marco estándar hace que sea mucho más fácil (y por lo tanto más barato) realizar auditorías externas, ya que puede contratar a un auditor que ya conoce el marco.

    
respondido por el Graham Hill 30.10.2012 - 12:30
fuente

Lea otras preguntas en las etiquetas