Bezpieczeństwo IT

Kolejność ma znaczenie

Rozmowa o bezpieczeństwie zwykle zaczyna się od narzędzi, a powinna od ekspozycji. Statystyki incydentów w małych i średnich firmach nie pokazują zaawansowanych ataków - pokazują niezałatane usługi wystawione do internetu.

Cztery rzeczy zamykają większość realnych dróg wejścia i żadna z nich nie wymaga kupowania systemu:

• aktualny firmware routera i firewalla
• uwierzytelnianie dwuskładnikowe wszędzie, gdzie jest logowanie
• port pulpitu zdalnego niedostępny bezpośrednio z internetu
• backup w trybie offline, sprawdzony próbnym odtworzeniem

Dopiero gdy to jest zrobione, monitoring ma co pilnować.

Co obejmuje usługa

• analiza ryzyka zgodnie z dobrymi praktykami, pod RODO albo NIS2
• konsultacja środowiska w zakresie zmniejszenia ekspozycji do internetu
• wdrożenie dobrych praktyk dopasowanych do zidentyfikowanego ryzyka
• narzędzia monitorujące - Wazuh, Suricata
• przygotowanie polityki bezpieczeństwa i regularne przeglądy
• obsługa incydentów z raportowaniem zgodnym z terminami RODO i NIS2

Odpowiedzialność, nie tylko technika

Przy incydencie pytanie nie brzmi „kto zaatakował”, ale „czy podjęto adekwatne środki zapobiegawcze”. Kary w NIS2 sięgają 10 mln euro albo 2% globalnego obrotu, a używanie oprogramowania bez aktualizacji bezpieczeństwa jest trudne do obrony jako środek adekwatny.

Dlatego dokumentujemy to, co robimy - analiza ryzyka i przeglądy są dowodem, nie tylko czynnością.

Outsourcing cyberbezpieczeństwa Wrocław - ochrona IT dla Twojej firmy

Outsourcing cyberbezpieczeństwa ma sens wtedy, gdy ktoś faktycznie bierze odpowiedzialność za stan infrastruktury IT, a nie tylko reaguje po otrzymaniu zgłoszenia. Po naszej stronie jest identyfikacja słabych punktów, kontrola zmian i konfiguracja zabezpieczeń tak, żeby nowe urządzenie, usługa albo konto nie tworzyły kolejnej drogi wejścia.

Ochrona nie kończy się na komputerach pracowników. Obejmuje serwery, urządzenia brzegowe, dostęp do sieci oraz usługi online. Sprawdzamy luki i zagrożenia, porządkujemy procedury bezpieczeństwa i ustalamy, kto podejmuje decyzję, gdy pojawi się cyberatak. Dzięki temu reakcja nie zaczyna się od szukania osoby, która „wie, jak to działa”.

Stałe wsparcie oznacza też, że cybersecurity nie jest jednorazowym projektem. Środowisko firmy zmienia się cały czas, dlatego równie ważna jak technologia jest świadomość tego, co zostało dodane, zmienione albo udostępnione na zewnątrz. Tam, gdzie jest to uzasadnione, zdarzenia są obserwowane w czasie rzeczywistym, a nie dopiero wtedy, gdy użytkownik zauważy problem.

Analiza ryzyka: co z niej wychodzi

Nie dokument do szuflady. Wynikiem jest lista konkretnych rzeczy uszeregowanych według tego, ile kosztuje ich naprawa wobec tego, co się stanie, jeśli zostaną. Zwykle wygląda tak, że kilka pozycji z góry listy jest darmowych albo prawie darmowych, a mimo to nikt ich dotąd nie zrobił.

Analiza obejmuje inwentaryzację systemów i danych Twojej organizacji, przegląd tego, co jest wystawione do internetu, ocenę uprawnień oraz sprawdzenie, czy istnieją procedury na incydent. Bez inwentaryzacji nie da się ocenić ryzyka - nie wiadomo, co miałoby wyciec.

Czego nie sprzedajemy

Nie robimy testów penetracyjnych na własną rękę, jeśli podstawy nie są zrobione. Test wykaże to samo, co przegląd, tylko drożej. Nie wdrażamy też SIEM w firmie, w której nikt nie będzie czytał alertów - narzędzie generujące powiadomienia, których nikt nie otwiera, jest kosztem, nie zabezpieczeniem.

Kolejność jest zawsze ta sama: najpierw zmniejszenie ekspozycji, potem procedury i kopie zapasowe, na końcu monitoring. Odwrócenie tej kolejności to najczęstszy sposób wydania budżetu na bezpieczeństwo bez podniesienia poziomu bezpieczeństwa.

Po incydencie

Jeśli już do niego doszło, wymagamy od siebie tego samego, czego uczymy wymagać od dostawców: raportu z analizy powłamaniowej z wektorem wejścia, listy systemów dostępnych atakującemu, oceny, jakie dane mogły wyciec, oraz planu naprawczego z datami i osobami odpowiedzialnymi. Bez tych czterech rzeczy zgłoszenie do organu nadzorczego i szukanie odpowiednich rozwiązań jest zgadywaniem.

Dla kogo

Firmy objęte NIS2 albo przetwarzające dane osobowe w skali, która czyni RODO realnym ryzykiem. Oraz podwykonawcy podmiotów z sektora obronnego, energetycznego lub rządowego - tam poprzeczka jest wyżej, bo atakujący wchodzi przez słabsze ogniwo łańcucha dostaw.

Najczęstsze pytania o bezpieczeństwo