Richten Sie Baseline-Steuerungen ein

Verwenden Sie die Baseline-Steuerungen, um eine Steuerung zu erben, eine Steuerung als allgemein zu markieren oder eine hybride Steuerung zu erstellen. Erstellen Sie eine hybride Steuerung, um Anforderungen teilweise von allgemeinen Steuerungen zu erben, und die verbleibenden Anforderungen werden für die Steuerung erstellt, die aus der Baseline-Steuerung generiert wurde.

Vorbereitungen

Erforderliche Rolle: sn_irm_CONT_auth.System_owner, sn_irm_cont_auth.info_system_sec_officer, sn_irm_cont_auth.info_system_sec_manager

Warum und wann dieser Vorgang ausgeführt wird

Hybride Steuerungen bieten Ihnen nicht nur die Möglichkeit, Teilanforderungen von allgemeinen Steuerungen zu erben, sondern geben Ihnen auch die Flexibilität, die allgemeinen Steuerungsanforderungen optimal zu nutzen und gleichzeitig die verbleibenden Anforderungen für diese Steuerung selbst zu implementieren.

In CAM Es gibt zwei Möglichkeiten, Steuerungen von den Kontrollzielen zu erben, die aus NIST 800-53-r5 stammen:

Vom Anbieter übernehmen

Die Steuerung wird direkt und vollständig geerbt. Wenn beispielsweise der allgemeine Anbieter, Gebäude A, ein Kontrollziel zur Brandverhütung bereitstellt und dieses Kontrollziel ungefähr drei verschiedene Anforderungen hat, nämlich Feueralarm, Rauchmelder und Sprinklerschutz, wird die Kontrolle direkt geerbt, indem sie als allgemeine Kontrolle identifiziert wird.

Hinweis:

Eine Steuerung, die einem Autorisierungspaket zugeordnet ist, kann ein gemeinsamer Anbieter eines anderen Autorisierungspakets sein, wenn die Steuerung in ihrem Autorisierungspaket als allgemeiner Steuerungsanbieter markiert ist und dieses bestimmte Paket den Status „Überwachen“ aufweisen muss. Nur dann wird es als allgemeine Kontrolle bezeichnet.

Hybridvererbung

Die Steuerung ist teilweise geerbt. In diesem Fall werden nur eine oder einige der Anforderungen der Steuerung geerbt. Unter Berücksichtigung des obigen Beispiels ist die Hybridvererbung in den folgenden Kombinationen aktiviert:

• Eine der Anforderungen, z. B. Feueralarm, kann von Gebäude A übernommen werden, und die anderen beiden Anforderungen können selbst implementiert werden.
• Eine der Anforderungen wie Feueralarm kann von Gebäude A übernommen werden, und eine andere Anforderung wie Rauchmelder kann von Gebäude B übernommen werden. Der Rest davon kann selbst implementiert werden.
• Alle Anforderungen werden geerbt. Diese Vererbung ist keine teilweise Vererbung, da mindestens eine der Anforderungen geerbt und eine selbst implementiert werden muss. Daher kann diese Vererbung nicht als Hybridvererbung bezeichnet werden.

Hinweis:

Die Rolle und Verantwortung des Autorisierungspakets müssen einem Autorisierungsbeamten (AO) zugewiesen werden, der das Autorisierungspaket überprüfen und genehmigen muss, wenn es von einem Status in einen anderen wechselt. Der Informationssystemsicherheitsbeauftragte (ISSO) ist erforderlich, um eine allgemeine Kontrolle zu markieren, eine hybride Kontrolle zu erstellen oder eine Kontrolle als nicht zutreffend zu identifizieren, da diese Kontrollziele von NIST bezogen werden. Nachdem der Autorisierungsbeamte (AO) die Genehmigung erteilt hat, wird das Autorisierungspaket in den Status „Implementieren“ versetzt.

Prozedur

1. Navigieren zu Alle > Kontinuierliche Autorisierung und Überwachung > Alle Autorisierungspaketean.
2. Wählen Sie einen Autorisierungspaketdatensatz aus, der sich in befindet Wählen Sie Aus status und hat die Baseline-Steuerungen hinzugefügt.
   In Wählen Sie Aus status, werden alle Baseline-Steuerungen hinzugefügt, und Sie können die Rolle der einzelnen Baseline-Steuerungen identifizieren. Sie können eine Steuerung übernehmen, eine Steuerung als allgemein markieren oder eine hybride Steuerung erstellen.
3. Um Baseline-Steuerungen von einem allgemeinen Steuerungsanbieter als allgemeine Steuerungen zuzuweisen, wählen Sie auf der Registerkarte Baseline-Steuerungen die Kontrollziele aus, die Sie als allgemeine Steuerungen zuweisen möchten.
   1. Wählen Sie Aus Als allgemein markieren Und wählen Sie dann aus OK Im Bestätigungs-Popup.
   2. Wählen Sie Aus Genehmigung anfordern Um eine Genehmigung anzufordern.
      Nach der Genehmigung wechselt das Autorisierungspaket in den Status „Implementieren“. Bevor Sie in den Status „Implementieren“ wechseln, wird Erstellt automatisch Steuerungen Die Option im Formular „Kontrollziel“ muss für alle Baseline-Steuerungen und Hybridsteuerungen „wahr“ sein. Andernfalls wird eine Fehlermeldung mit der Liste der Kontrollziele angezeigt, in der Sie aufgefordert werden, die zu erstellen Erstellt automatisch Steuerungen Option als „wahr“.
   3. Wählen Sie den Link Kontrollziele in der Nachricht aus, und aktivieren Sie Erstellt automatisch Steuerungen Option für alle Kontrollziele im entsprechenden Kontrollzielformular.
   Nachdem das Autorisierungspaket genehmigt wurde, werden die Steuerungen auf der Registerkarte Steuerungen erstellt. Sie können dann das Autorisierungspaket in den Status Bewerten verschieben. In diesem Status ist der Sicherheitskontrollbewerter (Security Control Assessor, SCA) als Interaktionsleiter erforderlich, bei dem die Interaktion zum Testen der Steuerungen erstellt wird. Nach diesem Status wird das Autorisierungspaket in den Status Autorisieren verschoben.

   Damit ein Autorisierungspaket als allgemeiner Steuerungsanbieter für andere Autorisierungspakete verfügbar ist, muss es sich im Status „Überwachen“ befinden. Nachdem das Autorisierungspaket in den Status „Überwachen“ verschoben wurde und die Kennzeichnung „Anbieter für allgemeine Kontrolle“ für einige der Baseline-Steuerungen auf „wahr“ festgelegt wurde, werden die Steuerungen, die für diese Baseline-Steuerungen generiert wurden, zu allgemeinen Steuerungsanbietern für andere Autorisierungspakete.

4. Um die Anforderungen von einer allgemeinen Steuerung eines bestimmten Anbieters für allgemeine Kontrollen zu übernehmen oder eine hybride Steuerung zu erstellen, wählen Sie auf der Registerkarte Baseline-Steuerungen nur ein Kontrollziel aus.
   1. Wählen Sie Aus Erstellen Sie Hybrid .
      Im Popup „Hybridsteuerung erstellen“ werden die Entitäten in Gruppen aufgelistet. Die Gruppierung nach Entität hilft, wenn der Referenznummer eines Kontrollziels weitere Anforderungsnummern hinzugefügt werden. Sie können Anforderungen teilweise von einigen der Anbieter allgemeiner Kontrollen übernehmen und die restlichen Anforderungen selbst implementieren. Wenn Sie alle Steuerungsanforderungen aus allen Kategorien von Anbietern für die Übernahme ohne eine einzelne selbst implementierte Anforderung auswählen, werden die Anforderungen nicht teilweise geerbt, sondern werden zur vollständigen Übernahme aller Anforderungen, was nicht zulässig ist. Zum Erstellen einer hybriden Steuerung ist mindestens eine selbst implementierte Anforderung erforderlich.
   2. Wählen Sie die Anforderungen aus den Entitätsgruppierungen aus, wobei mindestens eine Anforderung für die Selbstimplementierung für dieses Steuerelement übrig bleibt.
   3. Wählen Sie Hinzufügen.
      Die zugehörige Liste Hybrid-Steuerungen wird mit den ausgewählten Baseline-Steuerungen angezeigt. Eine Baseline-Steuerung ist ein m2m aus einem Kontrollziel und einem Autorisierungspaket.

      Abbildung : 1. UI-Aktionen für Baseline-Steuerungen

      

   4. Wählen Sie hierarchische Listen anzeigen/ausblenden ( )-Symbol, um die geerbten Anforderungen anzuzeigen.
      Alle anderen Anforderungen, die hier nicht aufgeführt sind, werden selbst implementiert.

      Hinweis:

      Zum Erstellen hybrider Steuerungen können nur allgemeine Kontrollanbieter mit Kontrollanforderungen verwendet werden.
5. Um Steuerungen von einem gemeinsamen Anbieter zu erben, wählen Sie in der zugehörigen Liste Baseline-Steuerungen ein Kontrollziel aus.
   1. Wählen Sie Aus Vom Anbieter übernehmen Und wählen Sie dann die Liste Allgemeine Steuerung im Popup von allgemeiner Steuerung übernehmen aus.
   2. Wählen Sie die Steuerungen aus, von denen Sie übernehmen möchten, und wählen Sie dann aus Bestätigen .
      Die Entitäten der von Ihnen ausgewählten Steuerungen werden zum allgemeinen Anbieter. Für jedes dieser Autorisierungspakete gibt es eine zugehörige Liste „geerbte Steuerungen“. Die Geerbt von Das Feld in dieser zugehörigen Liste enthält Informationen dazu, welche Kontrolle der allgemeine Kontrollanbieter ist.

      Hinweis:

      Zum Erben von einem Anbieter, bei dem es sich um eine direkte Vererbung handelt, ist möglicherweise keine Anforderung für die Steuerung vorhanden.
6. Wählen Sie eine Baseline-Steuerung aus, um eine bestimmte Baseline-Steuerung als nicht zutreffend zu markieren, damit sie außerhalb des Workflows liegt und keine Steuerungen generiert werden können
   1. Wählen Sie Aus Nicht Zutreffend .
   2. Geben Sie eine Notiz ein, um Ihre Aktion in zu begründen Begründung Feld und wählen Sie dann aus Bestätigen .
      Mit dieser Aktion wird der Status der ausgewählten Baseline-Steuerung in geändert Nicht implementiert .
   In Wählen Sie Aus status haben Sie das Setup für den Typ der zu generierenden Steuerungen durchgeführt. Nach Abschluss des Setups können Sie das Autorisierungspaket genehmigen.
7. Wählen Sie Aus Genehmigung anfordern .
   Das Autorisierungspaket wird dann zu verschoben Implementieren status. In diesem Status werden basierend auf dem Setup Steuerungen erstellt.