Uw bedrijf beschermen met NIST CSF-naleving
Tegenwoordig is het uitwisselen van content essentieel voor het bedrijfsresultaat van elke organisatie. Samenwerking met klanten, partners, adviseurs en andere stakeholders is cruciaal geworden voor zakelijk succes. Telkens wanneer content extern wordt gedeeld, neemt echter het risico op blootstelling toe. Het beheren van dat risico wordt nog lastiger als de content gevoelig is (wat vaak het geval is). Naast het blootstellingsrisico is het aantonen van naleving van regelgeving telkens wanneer gevoelige content wordt gedeeld, en dus buiten uw controle valt, lastig te bewijzen.
Bij Kiteworks begrijpen we dat er een inherent zakelijk probleem bestaat als het gaat om gevoelige content. Daarom ben ik enthousiast om te delen hoe wij binnen Kiteworks een aanpak hanteren om dit zakelijke pijnpunt op te lossen binnen ons Private Content Network.
Het NIST Cybersecurity Framework en Kiteworks
De afgelopen tien jaar heeft het National Institute of Standards and Technology (NIST) een cruciale rol gespeeld bij het identificeren en ontwikkelen van een cybersecurity framework voor vrijwillig gebruik ter ondersteuning van het algemene risicobeheer cyberbeveiliging voor elk bedrijf in de Verenigde Staten. Het doel van dit framework is om een essentiële ondersteunende structuur te bieden waarmee bedrijven hun huidige structuur kunnen uitbreiden tot iets dat nuttiger is om zichzelf te beschermen tegen een cyberaanval.
Voor Kiteworks-klanten passen wij dit framework toe op het beschermen van gevoelige content, zodat de juiste businessgroep die verantwoordelijk is voor het beheer van risicobeheer cyberbeveiliging volledige controle heeft. De toepassing van het NIST Cybersecurity Framework (NIST CSF) binnen het Kiteworks Private Content Network vult bestaande mogelijkheden aan en wordt beschikbaar gesteld aan alle Enterprise Package-klanten.
De kernprincipes van NIST CSF zijn: Identificeren, Beschermen, Detecteren, Reageren en Herstellen. Om cyberbeveiligingsrisico’s goed te beheren, is het belangrijk dat assets die beheerd moeten worden GEÏDENTIFICEERD worden, zodat passende maatregelen kunnen worden genomen om deze assets te BESCHERMEN. Zodra assets zijn geïdentificeerd en beschermd, kunnen bedrijven DETECTEREN welke activiteiten er rondom deze assets plaatsvinden. Dit maakt op zijn beurt tijdige REACTIE en HERSTEL mogelijk in het geval van een cyberaanval.
Uiteindelijk is risicobeheer een continu proces van het identificeren, beoordelen en reageren op risico’s ten opzichte van de kans dat een gebeurtenis zich voordoet. Kiteworks ondersteunt onze klanten bij het identificeren en beschermen van hun meest gevoelige content via asset management, waarmee we onze klanten een uniek hulpmiddel bieden.
Kernprincipes van het NIST Cybersecurity Framework afgestemd op Kiteworks
Hieronder vindt u een overzicht van de kernprincipes van NIST CSF en hoe de mogelijkheden van Kiteworks hiermee in lijn zijn.
Identificatie van gevoelige content voor cyberbescherming
Kiteworks hanteert een flexibele aanpak die helpt bij het identificeren van welke content als asset moet worden aangemerkt. Kiteworks-klanten die al hebben geïnvesteerd in data-classificatie (MIP, Titus, etc.) behouden deze classificatiemethode, waardoor de classifier kan worden ingezet als middel om die content als te beschermen asset te identificeren.
Zelfs als data-classificatie niet aanwezig is, kan Kiteworks content als asset identificeren op basis van andere attributen, zoals mapstructuur, content-eigenaar en bestandstype, onder andere. Daarnaast, als de content niet specifiek bekend is, kunt u identificeren wie met gevoelige content werkt, zodat alle content die zij aanraken als asset wordt beschouwd.
Kiteworks begrijpt dat klanten zich in verschillende fasen bevinden wat betreft asset-classificatie. Onze aanpak van asset-classificatie is erop gericht om te voldoen aan klantvereisten, ongeacht het huidige gebruik van data-classificatie.
Kiteworks beschikt over een lange lijst van behaalde compliance- en certificeringsprestaties.
Bescherming van gevoelige content met contentgebaseerde risicobeleid
Zodra assets die via Kiteworks lopen zijn geïdentificeerd, bestaat de volgende stap uit het specificeren en toepassen van contentgebaseerde risicobeleid om die assets op de juiste manier te beschermen. In gesprekken met klanten begrijpen we dat elke assetklasse verschillende niveaus van risico met zich meebrengt, afhankelijk van wie toegang heeft tot de content; daarom zijn er verschillende niveaus van contentcontrole nodig.
In 2023 ondersteunen we drie belangrijke contentgebaseerde risicobeleid die volledig kunnen worden aangepast aan de behoeften van de klant. Voor elk beleid kunnen gebruiker, actie en asset verder worden gedefinieerd:
- Verzamelen van rechtvaardiging voor toegang
[BELEID] Sta iemand toe om een actie uit te voeren op de asset zolang de reden voor toegang wordt verzameld en vastgelegd in de asset audit log.
Bestaande Kiteworks-klanten gebruiken dit beleid om de reden voor toegang tot een asset buiten Kiteworks te verzamelen, wat wordt geregistreerd naast het download-evenement in de audit log. Voor compliance maakt deze verbeterde audittrail een groot verschil wanneer het tijd is om bewijs te verzamelen en te tonen voor gerechtvaardigde toegang tot gevoelige content.
- Niveau van toegang aanpassen
[BELEID] Sta iemand toe om een actie uit te voeren op de asset zolang het toegangsniveau voldoet aan de compliance-vereiste, ongeacht eerder toegekende toegangsrechten.
Kiteworks next-generation digital rights management wordt aangedreven door SafeVIEW en SafeEDIT. SafeVIEW stelt gebruikers in staat om documenten veilig te bekijken binnen een gecontroleerde omgeving, waarbij toegangsbeleid wordt afgedwongen op basis van gebruikers- en documentattributen. Het voorkomt ongeautoriseerd downloaden, afdrukken of delen van gevoelige informatie. SafeEDIT daarentegen stelt geautoriseerde gebruikers in staat om documenten samen te bewerken, terwijl dezelfde granulaire toegangscontrole behouden blijft. Het zorgt ervoor dat alleen gebruikers met de juiste attributen specifieke delen van een document kunnen wijzigen. Beide functies zijn afhankelijk van door de beheerder gedefinieerde beleidsregels die dynamisch toegang controleren op basis van attributen, zodat gevoelige data gedurende de hele levenscyclus veilig blijft.
- Toegang blokkeren en toestaan dat toegang kan worden aangevraagd
[BELEID] Sta iemand toe om een actie uit te voeren op de asset zolang hij of zij compliance-goedkeuring heeft ontvangen voor de aangevraagde toegang.
Voor Kiteworks-klanten die meer gecontroleerd beheer willen over wie wel of geen toegang krijgt tot een asset op basis van behoefte, biedt dit beleid een kanaal om toegang aan te vragen en later goed- of af te keuren door een compliance officer. Extra beleidsinstellingen helpen om goedgekeurde toegang te laten verlopen na een bepaalde periode of na een vastgesteld aantal weergaven.
Detecteren van beweging van gevoelige content via rapportage-inzichten
Terwijl we de identificatie- en beschermingsmogelijkheden van het NIST CSF in het Kiteworks Private Content Network verder ontwikkelen, staat de manier waarop asset management compliance wordt weergegeven in een audit log centraal in ons ontwikkelproces. Deze audit log biedt volledige transparantie over de toewijzing van een assetklasse, waardoor volledige tracking en rapportage van gebeurtenissen rond een assetklasse mogelijk wordt. Daarnaast wordt alle unieke informatie die als onderdeel van het contentbeleid wordt verzameld, opgenomen en weergegeven in de audittrail.
Dit biedt een mate van transparantie rondom de beweging van gevoelige content die voor de meeste bedrijven anders extreem moeilijk te realiseren is.
Hoe organisaties ontwikkelingspartners kunnen worden
Als deze blog post aansluit bij zakelijke problemen binnen uw organisatie, kunt u input leveren aan ons productteam door ontwikkelingspartner te worden. Voordelen zijn onder andere vroege toegang tot feature-ontwikkeling en direct contact met ons product- en designteam. Neem contact met mij op via victoria.foster@kiteworks.com.