เดือนแห่งการรับรู้ความปลอดภัยทางไซเบอร์: การจัดการตัวตนและการเข้าถึงที่ปลอดภัย – 12 ตุลาคม 2021เครื่องเล่นเสียงใช้แป้นลูกศรขึ้น/ลงเพื่อเพิ่มหรือลดระดับเสียงดาวน์โหลดเสียงการจัดการข้อมูลประจำตัวและการเข้าถึง พร้อมด้วยสถาปัตยกรรมแบบ Zero Trust และการจัดการความเสี่ยงด้านห่วงโซ่อุปทาน เป็นประเด็นพื้นฐานสำคัญของคำสั่งผู้บริหารด้านความปลอดภัยทางไซเบอร์ของประธานาธิบดีที่ออกเมื่อเดือนพฤษภาคม หลังจากการโจมตีทางไซเบอร์ที่มีชื่อเสียงหลายครั้งได้โจมตีเครือข่ายภาครัฐและเอกชนในลักษณะที่ส่งผลกระทบต่อแนวกว้างของ ประเทศ.
แต่การจัดการข้อมูลประจำตัวและการเข้าถึงข้อมูลประจำตัว
ก็เป็นกุญแจสำคัญในการได้รับความไว้วางใจเป็นศูนย์“ส่วนหนึ่งของสถาปัตยกรรม Zero trust สันนิษฐานว่าคุณถูกละเมิด ดังนั้นจึงไม่ต้องเผชิญหน้ากันอีกต่อไป ทำให้แน่ใจว่าเรากำลังยืนยันตัวตนและการเข้าถึงทั้งภายในและตลอดเวลา” สก็อตต์ เดวิส รักษาการหัวหน้าเจ้าหน้าที่รักษาความปลอดภัยข้อมูลของกรมศุลกากรและป้องกันชายแดนสหรัฐฯ กล่าวใน Federal Monthly Insights — Cybersecurity Awareness Month : การจัดการตัวตนและการเข้าถึงที่ปลอดภัย “ดังนั้นจึงมีการเฝ้าติดตามสิ่งเหล่านั้นอย่างต่อเนื่อง แต่เราทำงานร่วมกับ [the Cybersecurity and Infrastructure Security Agency] — พวกเขาได้ให้คำชี้แนะแก่เรา ไม่ว่าจะเป็นคำสั่งหรือการรายงาน จากนั้นจึงแจ้งเตือนเกี่ยวกับความเสี่ยงและภัยคุกคามที่กำลังจะตามมา”
เป้าหมายของโปรแกรมการจัดการข้อมูลประจำตัวและการเข้าถึงของ CBP จะต้องเป็นการปกป้องระบบข้อมูล หน่วยงานกำลังติดต่อกับผู้รับเหมาภายนอกของรัฐบาลกลาง หน่วยงานอื่นๆ และบุคคลทั่วไปผ่านแอปพลิเคชันต่างๆ เช่น โปรแกรมนักเดินทางที่เชื่อถือได้
เดวิสซึ่งกลายเป็นรักษาการ CISO ในช่วงฤดูร้อนหลังจาก
ที่ Alma Cole ออกจากงานภาคเอกชน อธิบายถึงเครือข่ายที่ซับซ้อนของพนักงานและผู้ใช้ซึ่งการเข้าถึงจำเป็นต้องได้รับการจัดการ
“เห็นได้ชัดว่าเรามีคนที่เป็นตำรวจตระเวนชายแดน เรายังมีคนที่กำลังปฏิบัติการทางอากาศทางทะเล เรามีคนที่ทำงานเกี่ยวกับการค้า ดังนั้นจึงมีคนที่ทำงานกับคู่ค้าของเรา และสิ่งของต่างๆ เข้าและออกจากท่าเรือ นอกจากนี้ เรายังมีผู้โดยสาร ดังนั้นผู้ที่เดินทางโดยเครื่องบินหรือล่องเรือ คนที่ท่าเรือเพื่อสิ่งนั้น — สิ่งต่างๆ ในลักษณะนั้น” เขากล่าวในFederal Drive กับ Tom Temin
ด้วยพนักงานประมาณ 68,000 คนระหว่างสำนักงานใหญ่ ในต่างประเทศ หรือในการปฏิบัติงานภาคสนาม CBP จำเป็นต้องสร้างสมดุลระหว่างการจัดการข้อมูลประจำตัวและการรักษาความปลอดภัยเครือข่ายด้วยความสามารถในการเข้าถึง นั่นหมายถึงการผสมผสานระหว่างการลงชื่อเข้าใช้แบบง่ายหรือการลงชื่อเข้าใช้ครั้งเดียว เพื่อให้ผู้ใช้ไม่จำเป็นต้องจำรหัสประจำตัวหรือรหัสผ่านหลายร้อยรายการ และการยืนยันตัวตนแบบหลายปัจจัย CBP เป็นส่วนหนึ่งของโปรแกรมการวินิจฉัยและบรรเทาผลกระทบอย่างต่อเนื่อง (CDM) ของ Department of Homeland Security เพื่อให้แน่ใจว่าเฉพาะผู้ใช้ที่ได้รับอนุญาตซึ่งมีบทบาทเฉพาะเท่านั้นที่สามารถเข้าถึงระบบเหล่านั้นได้
การรับรองความถูกต้องด้วยหลายปัจจัยเป็นจุดเด่นของสถาปัตยกรรมแบบ Zero-Trust ซึ่งเป็นแนวคิดที่โด่งดังที่สุดในการรักษาความปลอดภัยในโลกไซเบอร์ในขณะนี้ Davis กล่าวว่าช่วยให้ CBP สามารถแบ่งส่วนสิ่งต่างๆ รวมถึงไฟล์การเข้าถึง โครงสร้าง และอื่นๆ ของผู้ใช้
แอปพลิเคชันที่เปิดเผยต่อสาธารณะ เช่น TSA PreCheck โปรแกรมนักเดินทางที่เชื่อถือได้ Global Entry เป็นส่วนหนึ่งของ ID และแผนการจัดการการเข้าถึงของ CBP จำเป็นต้องมีการพิสูจน์ตัวตนสำหรับผู้ใช้โปรแกรมเหล่านั้น พวกเขาจะต้องมีข้อมูลรับรองอื่น ๆ บางอย่าง
“คุณจะต้องระบุหมายเลขผู้เดินทางที่รู้จัก ข้อมูลหนังสือเดินทาง หมายเลขหนังสือเดินทาง เพื่อยืนยันว่าคุณเป็นใคร” เดวิสกล่าว
“แล้วเราก็ใช้ Login.gov ของ General Services Administration นั่นคือความสามารถที่ผู้คนสามารถสร้างตัวตนและ ID ผู้ใช้ จากนั้นจึงมีการยืนยันตัวตนแบบหลายปัจจัย ดังนั้น — คุณระบุ ID ของคุณ จากนั้นคุณสามารถรับข้อความหรือโทรศัพท์พร้อมหมายเลขเพื่อยืนยันว่าคุณเป็นใคร ”
CBP ใช้คลาวด์แบบไฮบริดและสถาปัตยกรรมข้อมูลในสถานที่สำหรับการจัดการการเข้าถึง แม้ว่า Davis กล่าวว่าพวกเขาเปลี่ยนไปสู่คลาวด์มากขึ้นเนื่องจากความยืดหยุ่นและความปลอดภัยที่ได้รับการปรับปรุง แต่ไดเรกทอรีที่ใช้งานอยู่ของเอเจนซีสำหรับการเข้าถึงตามบทบาทของผู้คนนั้นอยู่ในองค์กรเป็นหลัก
ในฐานะผู้นำด้านความปลอดภัยในโลกไซเบอร์ เดวิสได้รับคำแนะนำในการจัดการข้อมูลประจำตัวจาก National Institute of Standards and Technology’s Special Publication 800-63B ซึ่งตีพิมพ์ในปี 2560 และอัปเดตเมื่อปีที่แล้ว รวมถึงมาตรฐานการประมวลผลข้อมูลของรัฐบาลกลาง 201-2 ของ NIST
