Configure controles de linha de base para gerar controles e implementar requisitos

Use os controles de linha de base para herdar um controle, marcar um controle como comum ou criar um controle híbrido. Crie um controle híbrido para herdar requisitos parcialmente de controles comuns e os requisitos restantes serão criados para o controle gerado a partir do controle de linha de base.

Antes de Iniciar

Função necessária: sn_irm_cont_auth.system_owner, sn_irm_cont_auth.info_system_sec_officer, sn_irm_cont_auth.info_system_sec_manager

Por Que e Quando Desempenhar Esta Tarefa

Os controles híbridos não apenas oferecem a capacidade de herdar requisitos parciais de controles comuns, mas também oferecem a flexibilidade de fazer o melhor uso dos requisitos de controle comuns e implementar automaticamente os requisitos restantes para esse controle.

Em CAMHá duas maneiras de herdar controles dos objetivos de controle obtidos do NIST 800-53-r5:

Herde do provedor

O controle é herdado direta e completamente. Por exemplo, se o provedor comum, Edifício A, fornecer um objetivo de controle que é a prevenção de incêndio, e esse objetivo de controle tiver cerca de três requisitos diferentes, ou seja, alarme de incêndio, detecção de fumaça e aspersão, o controle será herdado diretamente identificando-o como controle comum.

Nota:

Um controle associado a um pacote de autorização pode ser um provedor comum para outro pacote de autorização se o controle estiver marcado como um provedor de controle comum em seu pacote de autorização e esse pacote específico precisar estar no estado Monitorar. Só então é chamado como um controle comum.

Herança híbrida

O controle é parcialmente herdado. Neste caso, apenas um ou alguns dos requisitos do controle são herdados. Considerando o exemplo anterior, a herança híbrida está habilitada nas seguintes combinações:

• Um dos requisitos, como alarme de incêndio, pode ser herdado do Edifício A, e os outros dois requisitos podem ser auto-implementados.
• Um dos requisitos, como o alarme de incêndio, pode ser herdado do Edifício A, e outro requisito, como a deteção de fumaça, pode ser herdado do Edifício B. O restante dos quais pode ser autoimplementado.
• Todos os requisitos são herdados. Esta herança não é uma herança parcial porque pelo menos um dos requisitos deve ser herdado e um deve ser autoimplementado. Portanto, esta herança não pode ser denominada como herança híbrida.

Nota:

A função e a responsabilidade do pacote de autorização devem ser atribuídas a um funcionário de autorização (AO) que deve revisar e aprovar o pacote de autorização quando ele passar de um estado para outro. O diretor de segurança do sistema de informação (ISSO) deve marcar um controle comum, criar um controle híbrido ou identificar um controle como não aplicável, pois esses objetivos de controle são fornecidos pelo NIST. Depois que o oficial de autorização (AO) fornece a aprovação, o pacote de autorização passa para o estado Implementar.

Procedimento

1. Navegar até Tudo > Autorização e monitoramento contínuos > Todos os pacotes de autorização.
2. Selecione um registro de pacote de autorização que esteja em um Selecione E tem os controles de linha de base adicionados.
   Em Selecione , todos os controles de linha de base são adicionados e você pode identificar a função de cada controle de linha de base. Você pode herdar um controle, marcar um controle como comum ou criar um controle híbrido.
3. Para atribuir controles de linha de base de um provedor de controle comum como controles comuns, selecione os objetivos de controle na guia Controles de linha de base que você deseja atribuir como controles comuns.
   1. Selecione Marcar como Comum e, em seguida, selecione OK No pop-up Confirmação.
   2. Selecione Aprovação da solicitação para solicitar aprovação.
      Após a aprovação, o pacote de autorização passa para o estado Implementar. Antes de passar para o estado Implemento, o. Cria controles automaticamente a opção no formulário de objetivo de controle deve ser verdadeira para todos os controles de linha de base e controles híbridos. Caso contrário, uma mensagem de erro será exibida com a lista de objetivos de controle solicitando que você faça o. Cria controles automaticamente opção como verdadeira.
   3. Selecione o link Objetivos de controle na mensagem e habilite o. Cria controles automaticamente opção para todos os objetivos de controle no respectivo formulário de objetivo de controle.
   Após a aprovação do pacote de autorização, os controles são criados na guia Controles. Em seguida, você pode mover o pacote de autorização para o estado Avaliar. Neste estado, o Avaliador de controle de segurança (SCA) é necessário como líder de compromisso, em que o compromisso é criado para testar os controles. Após este estado, o pacote de autorização é movido para o estado Autorizar.

   Para que um pacote de autorização esteja disponível como um provedor de controle comum para outros pacotes de autorização, ele deve estar no estado Monitorar. Depois que o pacote de autorização é movido para o estado Monitorar e o sinalizador Provedor de controle comum é definido como verdadeiro para alguns dos controles de linha de base, os controles gerados para esses controles de linha de base se tornam provedores de controle comuns para outros pacotes de autorização.

4. Para herdar os requisitos de um controle comum de um provedor de controle comum específico ou criar um controle híbrido, selecione somente um objetivo de controle na guia Controles de linha de base.
   1. Selecione Criar híbrido .
      O pop-up Criar controle híbrido lista as entidades em grupos. O agrupamento por entidade ajuda quando há mais números de requisitos adicionados ao número de referência de um objetivo de controle. Você pode herdar requisitos parcialmente de alguns dos provedores de controle comuns e implementar automaticamente o restante dos requisitos. Se você selecionar todos os requisitos de controle de todas as categorias de provedores para herança sem um único requisito autoimplementado, os requisitos não serão parcialmente herdados, mas se tornarão herança completa de todos os requisitos, o que não é permitido. Pelo menos um requisito autoimplementado é necessário para criar um controle híbrido.
   2. Selecione os requisitos nos agrupamentos de entidades, deixando um ou mais requisitos para autoimplementação para esse controle.
   3. Selecione Adicionar.
      A lista relacionada Controles híbridos aparece com os controles de linha de base selecionados. Um controle de linha de base é um m2m de um objetivo de controle e um pacote de autorização.

      Figura 1. Ações de IU nos controles de linha de base

      

   4. Selecione Exibir/ocultar listas hierárquicas ( ) para ver os requisitos herdados.
      Todos os outros requisitos que não estão listados aqui são implementados automaticamente.

      Nota:

      Somente provedores de controle comuns com requisitos de controle podem ser usados para criar controles híbridos.
5. Para herdar controles de um provedor comum, selecione um objetivo de controle na lista relacionada Controles de linha de base.
   1. Selecione Herdar do provedor E, em seguida, selecione a lista de controle Comum no pop-up Herdar do controle comum.
   2. Selecione os controles dos quais você deseja herdar e selecione Confirmar .
      As entidades dos controles selecionados se tornam o provedor comum. Para cada um desses pacotes de autorização, há uma lista relacionada de controles herdados. . Herdado de o campo nesta lista relacionada fornece informações sobre qual controle é o provedor de controle comum.

      Nota:

      Para herdar de um provedor, que é uma herança direta, pode não haver nenhum requisito para o controle.
6. Para marcar um controle de linha de base específico como não aplicável para que ele fique fora do fluxo de trabalho e não permita que os controles sejam gerados, selecione um controle de linha de base
   1. Selecione Não aplicável .
   2. Insira uma anotação para justificar sua ação no Justificativa e selecione Confirmar .
      Esta ação muda o status do controle de linha de base selecionado para Não implementado .
   Em Selecione estado, você fez a configuração para o tipo de controles a serem gerados. Após a conclusão da configuração, você pode aprovar o pacote de autorização.
7. Selecione Aprovação da solicitação .
   Em seguida, o pacote de autorização é movido para Implementar estado. Neste estado, com base na configuração, os controles são criados.