NIST發(fā)布酒店業(yè)網(wǎng)絡(luò)安全指南
近日，美國(guó)國(guó)家標(biāo)準(zhǔn)技術(shù)研究所(NIST)發(fā)布酒店業(yè)實(shí)用網(wǎng)絡(luò)安全指南，可幫助酒店經(jīng)營(yíng)者降低黑客最常攻擊的酒店系統(tǒng)的脆弱性和風(fēng)險(xiǎn)，這些系統(tǒng)包括酒店財(cái)產(chǎn)管理系統(tǒng)(PMS)，該系統(tǒng)可存儲(chǔ)客人的個(gè)人信息和信用卡數(shù)據(jù)。
該指南分為三部分，介紹了保護(hù)PMS的方法、產(chǎn)品的操作指南、幫助酒店經(jīng)營(yíng)者控制和限制對(duì)PMS的訪問，并保護(hù)客人的隱私和支付卡信息。
NIST美國(guó)國(guó)家網(wǎng)絡(luò)安全卓越中心(NCCoE)的Bill Newhouse解釋說：“我們已經(jīng)證明，使用當(dāng)今的技術(shù)可以減輕財(cái)產(chǎn)管理系統(tǒng)內(nèi)部和周圍的網(wǎng)絡(luò)安全風(fēng)險(xiǎn)。”
“我們的實(shí)踐指南給出來一個(gè)網(wǎng)絡(luò)安全和隱私風(fēng)險(xiǎn)的參考設(shè)計(jì)，并融入了一些網(wǎng)絡(luò)安全概念，例如零信任體系結(jié)構(gòu)、移動(dòng)目標(biāo)防御、信用卡數(shù)據(jù)令牌化和基于角色的身份驗(yàn)證等。我們還提供特定的用例來展示這種設(shè)計(jì)的功能。”
1. 酒店業(yè)是2019年受攻擊最嚴(yán)重的行業(yè)之一(排名第三)
近年來，攻擊者已經(jīng)入侵了多家大型連鎖酒店的網(wǎng)絡(luò)，暴露泄漏了數(shù)億客人的信息。根據(jù)最近的行業(yè)報(bào)告，在2019年因網(wǎng)絡(luò)安全漏洞而受到影響的行業(yè)中，酒店業(yè)排名第三，該行業(yè)遭受的攻擊事件占總數(shù)的13%。
這些漏洞中約有三分之二是對(duì)酒店企業(yè)服務(wù)器的攻擊，因?yàn)檫@些服務(wù)器通常存儲(chǔ)來賓信息并與現(xiàn)場(chǎng)財(cái)產(chǎn)管理系統(tǒng)進(jìn)行通信。此類網(wǎng)絡(luò)攻擊行為可能損害酒店企業(yè)聲譽(yù)，破壞運(yùn)營(yíng)并造成巨大的財(cái)務(wù)損失。
2. 用零信任加固酒店P(guān)MS和聯(lián)網(wǎng)IT基礎(chǔ)架構(gòu)
NCCoE與酒店業(yè)和網(wǎng)絡(luò)安全技術(shù)提供商合作，開發(fā)了一個(gè)示例系統(tǒng)——“PMS參考設(shè)計(jì)”，該系統(tǒng)可模擬酒店的PMS和聯(lián)網(wǎng)IT基礎(chǔ)設(shè)施，包括電子支付系統(tǒng)和電子門鎖。該設(shè)計(jì)可保護(hù)在此環(huán)境中移動(dòng)的數(shù)據(jù)，并防止用戶訪問各種系統(tǒng)和服務(wù)。
盡管該設(shè)計(jì)使用了商用技術(shù)來實(shí)現(xiàn)目標(biāo)，但該指南并未推薦任何特定安全產(chǎn)品。該解決方案中使用的所有技術(shù)均支持NIST網(wǎng)絡(luò)安全框架的安全標(biāo)準(zhǔn)和準(zhǔn)則，并且該設(shè)計(jì)與NIST隱私框架的隱私保護(hù)預(yù)期保持一致。
該實(shí)踐指南還介紹了最新的NIST出版物零信任體系結(jié)構(gòu)，該體系是專注于資源保護(hù)的網(wǎng)絡(luò)安全范式。其前提是永不信任、始終驗(yàn)證(評(píng)估)。
“零信任原則意味著不能僅根據(jù)設(shè)備或用戶的物理或網(wǎng)絡(luò)位置，或設(shè)備擁有者身份來授予訪問權(quán)限。取而代之的是，在用戶可以訪問網(wǎng)絡(luò)資源之前，需要同時(shí)對(duì)主體和設(shè)備進(jìn)行身份驗(yàn)證和授權(quán);
洛杉磯律師事務(wù)所Jeffer Mangels Butler&Mitchell LLP的合伙人羅伯特·布勞恩(Robert Braun)指出：“該指南分析并解決了幾乎所有酒店業(yè)開發(fā)安全數(shù)據(jù)系統(tǒng)所面臨的共同挑戰(zhàn)。”
參考資料：https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.1800-27.pdf
【本文是51CTO專欄作者“安全牛”的原創(chuàng)文章，轉(zhuǎn)載請(qǐng)通過安全牛（微信公眾號(hào)id:gooann-sectv）獲取授權(quán)】
