usługa w abonamencie
Bezpieczeństwo IT
Za większością włamań stoi brak aktualizacji, brak MFA i brak monitoringu - nie zaawansowany atak. Dlatego zaczynamy od zmniejszenia ekspozycji, a nie od zakupu narzędzia.
Kolejność ma znaczenie
Rozmowa o bezpieczeństwie zwykle zaczyna się od narzędzi, a powinna od ekspozycji. Statystyki incydentów w małych i średnich firmach nie pokazują zaawansowanych ataków - pokazują niezałatane usługi wystawione do internetu.
Cztery rzeczy zamykają większość realnych dróg wejścia i żadna z nich nie wymaga kupowania systemu:
- aktualny firmware routera i firewalla
- uwierzytelnianie dwuskładnikowe wszędzie, gdzie jest logowanie
- port pulpitu zdalnego niedostępny bezpośrednio z internetu
- backup w trybie offline, sprawdzony próbnym odtworzeniem
Dopiero gdy to jest zrobione, monitoring ma co pilnować.
Co obejmuje usługa
- analiza ryzyka zgodnie z dobrymi praktykami, pod RODO albo NIS2
- konsultacja środowiska w zakresie zmniejszenia ekspozycji do internetu
- wdrożenie dobrych praktyk dopasowanych do zidentyfikowanego ryzyka
- narzędzia monitorujące - Wazuh, Suricata
- przygotowanie polityki bezpieczeństwa i regularne przeglądy
- obsługa incydentów z raportowaniem zgodnym z terminami RODO i NIS2
Odpowiedzialność, nie tylko technika
Przy incydencie pytanie nie brzmi „kto zaatakował”, ale „czy podjęto adekwatne środki zapobiegawcze”. Kary w NIS2 sięgają 10 mln euro albo 2% globalnego obrotu, a używanie oprogramowania bez aktualizacji bezpieczeństwa jest trudne do obrony jako środek adekwatny.
Dlatego dokumentujemy to, co robimy - analiza ryzyka i przeglądy są dowodem, nie tylko czynnością.
Analiza ryzyka: co z niej wychodzi
Nie dokument do szuflady. Wynikiem jest lista konkretnych rzeczy uszeregowanych według tego, ile kosztuje ich naprawa wobec tego, co się stanie, jeśli zostaną. Zwykle wygląda tak, że kilka pozycji z góry listy jest darmowych albo prawie darmowych, a mimo to nikt ich dotąd nie zrobił.
Analiza obejmuje inwentaryzację systemów i danych, przegląd tego, co jest wystawione do internetu, ocenę uprawnień oraz sprawdzenie, czy istnieją procedury na incydent. Bez inwentaryzacji nie da się ocenić ryzyka - nie wiadomo, co miałoby wyciec.
Czego nie sprzedajemy
Nie robimy testów penetracyjnych na własną rękę, jeśli podstawy nie są zrobione. Test wykaże to samo, co przegląd, tylko drożej. Nie wdrażamy też SIEM w firmie, w której nikt nie będzie czytał alertów - narzędzie generujące powiadomienia, których nikt nie otwiera, jest kosztem, nie zabezpieczeniem.
Kolejność jest zawsze ta sama: najpierw zmniejszenie ekspozycji, potem procedury i kopie zapasowe, na końcu monitoring. Odwrócenie tej kolejności to najczęstszy sposób wydania budżetu na bezpieczeństwo bez podniesienia poziomu bezpieczeństwa.
Po incydencie
Jeśli już do niego doszło, wymagamy od siebie tego samego, czego uczymy wymagać od dostawców: raportu z analizy powłamaniowej z wektorem wejścia, listy systemów dostępnych atakującemu, oceny, jakie dane mogły wyciec, oraz planu naprawczego z datami i osobami odpowiedzialnymi. Bez tych czterech rzeczy zgłoszenie do organu nadzorczego jest zgadywaniem.
Dla kogo
Firmy objęte NIS2 albo przetwarzające dane osobowe w skali, która czyni RODO realnym ryzykiem. Oraz podwykonawcy podmiotów z sektora obronnego, energetycznego lub rządowego - tam poprzeczka jest wyżej, bo atakujący wchodzi przez słabsze ogniwo łańcucha dostaw.
Najczęstsze pytania o bezpieczeństwo
Czy NIS2 dotyczy mojej firmy?
Możliwe, jeśli działacie w produkcji, transporcie, usługach cyfrowych albo gospodarce odpadami. Dyrektywa rozszerzyła obowiązki na znacznie szerszą grupę podmiotów niż wcześniej, a odpowiedzialność za stan cyberbezpieczeństwa spoczywa na zarządzie. Analiza ryzyka jest pierwszym krokiem do ustalenia, co Was obejmuje.
Od czego zaczynacie?
Od przeglądu tego, co jest wystawione do internetu, i od podstaw: aktualności firmware’u, uwierzytelniania dwuskładnikowego, monitoringu logów i sprawdzenia, czy backup da się odtworzyć. Narzędzia typu SIEM dokładamy dopiero, gdy te podstawy są zrobione - inaczej płacisz za wykrywanie ataków, którym można było zapobiec.
Ile czasu firma ma na zgłoszenie incydentu?
Przy obowiązkach NIS2 to 24 godziny na zgłoszenie wstępne i 72 godziny na pełny raport. Przy wycieku danych osobowych 72 godziny do organu nadzorczego. Bez inwentaryzacji i logów nie da się w tym czasie ustalić, co wyciekło - i to jest praktyczny powód, żeby je mieć.
Czy wdrażacie konkretne narzędzia?
Tak: Wazuh do monitoringu bezpieczeństwa i Suricata do wykrywania w ruchu sieciowym. Dobieramy je do zidentyfikowanego poziomu ryzyka, nie odwrotnie - nie każda firma potrzebuje pełnego SIEM, a każda potrzebuje aktualnego routera.
