Richten Sie Baseline-Steuerungen ein, um Steuerungen zu generieren und Anforderungen zu implementieren

Verwenden Sie die Baseline-Steuerungen, um eine Steuerung zu erben, eine Steuerung als allgemein zu markieren oder eine hybride Steuerung zu erstellen. Erstellen Sie eine hybride Steuerung, um Anforderungen teilweise von allgemeinen Steuerungen zu erben, und die verbleibenden Anforderungen werden für die Steuerung erstellt, die aus der Baseline-Steuerung generiert wurde.

Vorbereitungen

Erforderliche Rolle: sn_irm_cont_auth.system_owner, sn_irm_cont_auth.info_system_sec_officer, sn_irm_cont_auth.info_system_sec_manager

Warum und wann dieser Vorgang ausgeführt wird

Hybride Steuerungen bieten Ihnen nicht nur die Möglichkeit, Teilanforderungen von allgemeinen Steuerungen zu erben, sondern geben Ihnen auch die Flexibilität, die allgemeinen Steuerungsanforderungen optimal zu nutzen und gleichzeitig die verbleibenden Anforderungen für diese Steuerung selbst zu implementieren.

In CAMEs gibt zwei Möglichkeiten, Steuerungen von den Kontrollzielen zu erben, die aus NIST 800-53-r5 stammen:

Vom Anbieter erben

Die Steuerung wird direkt und vollständig geerbt. Wenn beispielsweise der allgemeine Anbieter, Gebäude A, ein Kontrollziel bereitstellt, das die Brandverhütung ist, und dieses Kontrollziel ungefähr drei verschiedene Anforderungen hat, nämlich Feueralarm, Raucherkennung und Sprengung, wird die Kontrolle direkt geerbt, indem sie als allgemeine Kontrolle identifiziert wird.

Hinweis:

Eine Steuerung, die einem Autorisierungspaket zugeordnet ist, kann ein allgemeiner Anbieter eines anderen Autorisierungspakets sein, wenn die Steuerung in ihrem Autorisierungspaket als allgemeiner Steuerungsanbieter markiert ist und dieses bestimmte Paket den Status „Überwachen“ aufweisen muss. Erst dann wird es als allgemeine Kontrolle bezeichnet.

Hybridvererbung

Die Steuerung ist teilweise geerbt. In diesem Fall werden nur eine oder einige der Anforderungen der Steuerung geerbt. Unter Berücksichtigung des obigen Beispiels ist die Hybridvererbung in den folgenden Kombinationen aktiviert:

• Eine der Anforderungen, z. B. Feueralarm, kann von Gebäude A übernommen werden, und die anderen beiden Anforderungen können selbst implementiert werden.
• Eine der Anforderungen wie Feueralarm kann von Gebäude A übernommen werden, und eine andere Anforderung wie Rauchmelder kann von Gebäude B übernommen werden. Der Rest kann selbst implementiert werden.
• Alle Anforderungen werden geerbt. Diese Vererbung ist keine teilweise Vererbung, da mindestens eine der Anforderungen geerbt und eine selbst implementiert werden muss. Daher kann diese Vererbung nicht als Hybridvererbung bezeichnet werden.

Hinweis:

Die Rolle und Verantwortlichkeit des Autorisierungspakets müssen einem Autorisierungsbeamten (AO) zugewiesen werden, der das Autorisierungspaket überprüfen und genehmigen muss, wenn es von einem Status in einen anderen wechselt. Der Informationssystemsicherheitsbeauftragte (ISSO) muss eine allgemeine Kontrolle markieren, eine hybride Kontrolle erstellen oder eine Kontrolle als nicht zutreffend identifizieren, da diese Kontrollziele von NIST bezogen werden. Nachdem der Autorisierungsbeamte (AO) die Genehmigung erteilt hat, wechselt das Autorisierungspaket in den Status „Implementieren“.

Prozedur

1. Navigieren zu Alle > Kontinuierliche Autorisierung und Überwachung > Alle Autorisierungspaketean.
2. Wählen Sie einen Autorisierungspaketdatensatz aus, der sich in befindet Wählen Sie Aus status und hat die Baseline-Steuerungen hinzugefügt.
   In Wählen Sie Aus status, werden alle Baseline-Steuerungen hinzugefügt, und Sie können die Rolle der einzelnen Baseline-Steuerungen identifizieren. Sie können ein Steuerelement erben, ein Steuerelement als allgemein markieren oder ein hybrides Steuerelement erstellen.
3. Um Baseline-Steuerungen von einem allgemeinen Steuerungsanbieter als allgemeine Steuerungen zuzuweisen, wählen Sie auf der Registerkarte Baseline-Steuerungen die Kontrollziele aus, die Sie als allgemeine Steuerungen zuweisen möchten.
   1. Wählen Sie Aus Als allgemein markieren Und wählen Sie dann aus OK Im Bestätigungs-Popup.
   2. Wählen Sie Aus Genehmigung anfordern Um eine Genehmigung anzufordern.
      Nach der Genehmigung wechselt das Autorisierungspaket in den Status „Implementieren“. Bevor Sie in den Status „Implementieren“ wechseln, wird Erstellt automatisch Steuerungen Die Option im Formular „Kontrollziel“ muss für alle Baseline- und Hybridsteuerungen „wahr“ sein. Andernfalls wird eine Fehlermeldung mit der Liste der Kontrollziele angezeigt, in der Sie aufgefordert werden, zu erstellen Erstellt automatisch Steuerungen Option als „wahr“.
   3. Wählen Sie den Link „Kontrollziele“ in der Nachricht aus, und aktivieren Sie Erstellt automatisch Steuerungen Option für alle Kontrollziele im entsprechenden Kontrollzielformular.
   Nachdem das Autorisierungspaket genehmigt wurde, werden die Steuerungen auf der Registerkarte „Steuerungen“ erstellt. Sie können dann das Autorisierungspaket in den Status „Bewerten“ verschieben. In diesem Status ist der Sicherheitskontrollbewerter (Security Control Assessor, SCA) als Interaktionsleiter erforderlich, bei dem die Interaktion erstellt wird, um die Steuerungen zu testen. Nach diesem Status wird das Autorisierungspaket in den Status „Autorisieren“ verschoben.

   Damit ein Autorisierungspaket als allgemeiner Steuerungsanbieter für andere Autorisierungspakete verfügbar ist, muss es sich im Status „Überwachen“ befinden. Nachdem das Autorisierungspaket in den Status „Überwachen“ verschoben wurde und die Kennzeichnung „Anbieter allgemeiner Kontrollen“ für einige der Baseline-Steuerungen auf „wahr“ festgelegt wurde, werden die Steuerungen, die für diese Baseline-Steuerungen generiert wurden, zu allgemeinen Kontrollanbietern für andere Autorisierungspakete.

4. Um die Anforderungen von einer gemeinsamen Steuerung eines bestimmten allgemeinen Steuerungsanbieters zu erben oder eine hybride Steuerung zu erstellen, wählen Sie auf der Registerkarte „Baseline-Steuerungen“ nur ein Kontrollziel aus.
   1. Wählen Sie Aus Erstellen Sie Hybrid .
      Das Popup „Hybridsteuerung erstellen“ listet die Entitäten in Gruppen auf. Die Gruppierung nach Entität hilft, wenn der Referenznummer eines Kontrollziels weitere Anforderungsnummern hinzugefügt werden. Sie können Anforderungen teilweise von einigen der Anbieter allgemeiner Kontrollen übernehmen und die restlichen Anforderungen selbst implementieren. Wenn Sie alle Steuerungsanforderungen aus allen Kategorien von Anbietern für die Übernahme ohne eine einzelne selbst implementierte Anforderung auswählen, werden die Anforderungen nicht teilweise geerbt, sondern werden zur vollständigen Übernahme aller Anforderungen, was nicht zulässig ist. Zum Erstellen einer hybriden Steuerung ist mindestens eine selbst implementierte Anforderung erforderlich.
   2. Wählen Sie die Anforderungen aus den Entitätsgruppierungen aus, und lassen Sie mindestens eine Anforderung für die Selbstimplementierung für dieses Steuerelement.
   3. Wählen Sie Hinzufügen.
      Die zugehörige Liste „Hybridsteuerungen“ wird mit den ausgewählten Baseline-Steuerungen angezeigt. Eine Baseline-Steuerung ist ein m2m-Element eines Kontrollziels und eines Autorisierungspakets.

      Abbildung : 1. UI-Aktionen für Baseline-Steuerungen

      

   4. Wählen Sie die Option hierarchische Listen anzeigen/ausblenden ( )-Symbol, um die geerbten Anforderungen anzuzeigen.
      Alle anderen Anforderungen, die hier nicht aufgeführt sind, werden selbst implementiert.

      Hinweis:

      Zum Erstellen hybrider Steuerungen können nur allgemeine Kontrollanbieter mit Steuerungsanforderungen verwendet werden.
5. Um Steuerungen von einem allgemeinen Anbieter zu erben, wählen Sie in der zugehörigen Liste „Baseline-Steuerungen“ ein Kontrollziel aus.
   1. Wählen Sie Aus Vom Anbieter übernehmen Und wählen Sie dann die Liste „Allgemeine Steuerung“ im Popup „von allgemeiner Steuerung übernehmen“ aus.
   2. Wählen Sie die Steuerungen aus, von denen Sie übernehmen möchten, und wählen Sie dann aus Bestätigen .
      Die Entitäten der von Ihnen ausgewählten Steuerungen werden zum allgemeinen Anbieter. Für jedes dieser Autorisierungspakete gibt es eine zugehörige Liste „geerbte Steuerungen“. Die Geerbt von Das Feld in dieser zugehörigen Liste enthält Informationen dazu, welche Kontrolle der allgemeine Kontrollanbieter ist.

      Hinweis:

      Zum Erben von einem Anbieter, bei dem es sich um eine direkte Vererbung handelt, ist möglicherweise keine Anforderung für die Steuerung vorhanden.
6. Wählen Sie eine Baseline-Steuerung aus, um eine bestimmte Baseline-Steuerung als nicht zutreffend zu markieren, damit sie außerhalb des Workflows liegt und keine Steuerungen generiert werden können
   1. Wählen Sie Aus Nicht Zutreffend .
   2. Geben Sie eine Notiz ein, um Ihre Aktion in zu begründen Begründung Feld und dann auswählen Bestätigen .
      Mit dieser Aktion wird der Status der ausgewählten Baseline-Steuerung in geändert Nicht implementiert .
   In Wählen Sie Aus status: Sie haben das Setup für den Typ der zu generierenden Steuerungen durchgeführt. Nachdem das Setup abgeschlossen ist, können Sie das Autorisierungspaket genehmigen.
7. Wählen Sie Aus Genehmigung anfordern .
   Das Autorisierungspaket wird dann zu verschoben Implementieren status. In diesem Status werden basierend auf dem Setup Steuerungen erstellt.