toc依赖于云
铁路行业越来越依赖云计算。思科估计，未来5年，铁路行业将在物联网项目上花费240亿英镑。我们将“软件即服务”(Software as a Service，简称SaaS)用于整个交付范围的应用程序，并缩小了我们的内部部署能力。在这两部分的总结中，IL7安全,旨在证明TOC管理-基本服务的经营者需要cloud-savvy——他们需要知道刹车操作,他们需要关闭门和铃铛他们需要吹口哨——确保代表团云维护交付一个提示,安全舒适的服务给客户。
不仅是Office 365用于邮件，Azure用于文档，Teams用于会议，所有这些业务应用程序都让我们的日常生活变得更加轻松。谷歌和亚马逊已经加入微软的行列，成为科技巨头，在过去十年里，它们彻底改变了我们处理和存储数据的方式。不仅是It，运营技术(OT)也越来越多地将监控和效率外包给云计算。SaaS供应商提供来自各种公共设施(如厕所、食品冷冻机和烤箱)的综合状态信息，并将其与当前位置信息一起呈现，这可以改善客户体验，并减少与这些设施停用相关的惩罚。云计算提供了成本节约、弹性和随时随地工作的能力。但它也将安全责任置于“我们的人民”之外，如果或当一切都出了问题，当那些国家的网络对手和犯罪团伙意识到交通对英国商业至关重要，并将铁路信息和操作系统作为目标时，它代表着严重的危险。当我们受到网络钓鱼攻击、中间人攻击、拒绝或服务或勒索软件的攻击时——当底线落在董事会身上时，有一个明确的“需要知道”。
火车运营公司(TOC) IT部门的“技术人员”对云计算了如指掌，但那些负责绩效、安全并在出现问题时支付罚款的高级经理和主管，知道这些问题的潜在可能性吗?他们是否意识到他们对技术人员或购买云服务的人的责任的复杂性?本文试图探索并向高级管理人员揭示这些复杂性。
希望与信仰——依赖外来者
当我们对云计算中的规划软件、计费软件和商业应用抱有信心时，绝不能建立在盲目的信念、希望和乐观的基础上。考虑到这一点，必须与有能力的供应商建立适当的合作关系。德赢ios下载即使我们外包了一个相对不重要的设施，如奖励管理或协作白板，我们也可能会危及我们的敏感和个人信息，给外部人士不必要的访问数据的机会，可能会让犯罪分子成为攻击手段。勒索软件变得越来越流行，并且针对我们的信息和操作技术。我们不能把我们房子的钥匙给入侵者。多年来，我一直为云服务提供咨询服务，并为铁路公司提供关于SaaS的保证和政策。我最近向交通部、内政部和国防部提供了政策文件。在这篇文章中，我只是在重复我给他们的建议，但现在特别强调我们的铁路行业，作为对英国网络运输能力和安全的贡献。德赢娱乐是什么我认识到对铁路运输的特殊需求。我对内部IT和OT交付进行了风险评估。 I recognise the need to manage risk when delivery is outsourced, All directors have a responsibility to share this risk and ensure delivery of IT and OT is subject to due diligence and governance. And that authority over delivery remains with the TOC.363
保护的义务
SaaS将大部分保护数据的义务委托给了服务提供商。虽然SaaS是定义为一个交付模型订阅的基础上提供授权软件,它已经进化的程度,应用程序和处理供应商的网站或在云中更实际,一个物理或虚拟空间租用主机由SaaS提供者。该主机负责提供基础设施即服务(IaaS)和平台即服务(PaaS)以及这些服务的安全性。然后是拥有的、共享的和委托的安全责任和义务的混合。在数据威胁增加的同时，项目经理和系统业主需要确保各方认识到他们的责任，并履行给他们的义务。本文的目标是确保运输行业使用的所有SaaS都适合于目的，并保护敏感信息(商业和商业)和个人身份信息(PII)的机密性、完整性和可用性。
基于风险的SaaS采购
首先，购买云服务应该进行风险评估。许多基于云的服务对生产力和业务都是有益的，但是实现是不同的，需要从风险的角度对其适用性进行评估。通过SaaS，终端用户可以访问他们需要的应用程序，这些应用程序由提供商托管在云中的基础设施和平台上。
客户端负责
TOC服务所有者、采购者和项目，TOC客户，必须确保他们检查与他们准备的服务相关的任何内在风险，并相应地引入客户端预防措施。作为服务提供者，TOC客户应该评估是否可以通过互联网从非公司设备访问服务，因为这增加了数据泄漏的风险。TOC客户必须确保:
- 用户系统操作系统已到位，涵盖机密性和可接受的使用，并反映数据泄漏的影响。
- 在应用程序中使用控件来强制对所有用户进行标识和身份验证。这些服务是否可以与公司ID和访问管理集成在一起——联邦活动目录服务。
- 使用非公司设备需遵守相关政策(自带设备)。
- 使用监控和记录被用作一种威慑，以及对不遵守规定的适当追索权的强制执行。
客户端权限
TOC客户端必须能够访问客户界面，以便解决性能、额外功能和安全问题。虽然在某些情况下，SaaS提供商可能会指定一个单点联络点(SPOC)，但如果无法联系到SPOC或未能满足要求，客户需要能够升级问题。TOC客户必须确保供应商为客户提供服务管理功能矩阵和联络点。
SaaS提供商
对于SaaS提供商来说，要提供适当和相称的安全控制，他们需要根据资产价值和安全漏洞的影响来计算剩余风险。TOC客户必须确保提供商有一个风险管理过程，其中包括在提供服务的提供商(基础设施、平台和软件提供商)和客户之间清晰地沟通风险。SaaS提供商必须有一个正式的、文档化的、由领导层支持的企业风险管理(ERM)计划。本ERM将包括识别、评估、所有权、处理和接受云安全和隐私风险的政策和程序。SaaS供应商自诩为客户数据的保管人，必须展示从董事会到最初级员工的安全态势。SaaS提供商必须有符合国际标准的政策和流程*。
* ISO/IEC 27001:2013和/或NIST特别出版物800-53修订版5
RACI
规划、实现、操作、评估和改进治理规划的角色和职责必须被定义和记录。这个矩阵或RACI应该清楚地表明责任，联系，代表，和一个电话号码的升级路径。
接下来是第二部分
在随附的文章中，我将研究一些切实可行的方法，让TOC强制遵守其云/ SaaS供应商的最佳实践——我们将涵盖数据保护、事件处理、灾难恢复、保护监视和加密。德赢ios下载它是对toc和SaaS提供商的真正指导，告诉他们应该期待什么，以及如何交付什么。
在此期间，请注册www.transportcyber.com在那里，我和其他网络铁路专业人士将努力提供新闻，最佳实践建议，横跨交通频谱，重点是网络，环境和未来。
Joe Ferguson在IT领域有超过40年的经验，从开发人员和项目经理开始，并经营自己的咨询业务超过20年。可以和他联系(电子邮件保护)，www.linkedin.com/in/joe -弗格森529842122或访问www.il7security.com．IL7是www.transportcyber.com的主要赞助商。
本文最初发表于IL7安全顾问。
