Valdyba nori saugumo vadovo, o biudžetas neleidžia?

Vietoj standartinio kontrolinio sąrašo identifikuojame jūsų kritinius procesus — tuos, kurių sutrikimas turėtų skausmingą poveikį. Tada sudarome procesus palaikančių resursų žemėlapį, ar tai būtų sistemos, ar duomenys, ar žmonės, ar tiekėjai.
Taip suformuojame stabilų pamatą, ant kurio statome visa kita.

Analizuojame tiek vidines, tiek išorines grėsmes - iš esmės viską, kas neleidžia jūsų IT vadovui ramiai miegoti - ir vertiname kiekvieną pagal tikimybę ir poveikį. Ne teoriškai, o remiantis jūsų tikra aplinka, jūsų sektoriumi ir jūsų specifine grėsmių aplinka.

Mūsų tikslas - ne 200 puslapių ataskaita, kuri dulka stalčiuje. Ruošiame gyvą dokumentą, kuris vadovybei tiksliai atskleidžia, kokios yra pagrindinės rizikos, kas daroma dėl kiekvienos iš jų, kas atsakingas ir iki kada tai turi būti išspręsta. Šos dokumentas peržiūrimas kasmet ir po reikšmingų pokyčių, parengtas kalba, kurią žmonės supranta.

Kiekviena rizika gauna tinkamą valdymo planą. Nusprendžiame, ar ją priimti, sumažinti, ar perkelti. Jei mažiname, visada priskiriamas atsakingas asmuo, nustatomas terminas ir kažkas stebi pažangą. Taigi, kai auditoriai klausia, kaip valdote riziką, turite realų atsakymą, o ne gėdingą atsakomybės nusimetinėjimą

Užtikriname, kad jūsų organizacija turėtų aiškų, išbandytą incidentų valdymo procesą — dar prieš kam nors jo prireikiant. Kad kai kažkas nutinka 2 val. nakties, jūsų IT komanda nevadovaujasi improvizacija — o vykdo planą, kurį ramiai ir apgalvotai parengė iš anksto.

Jūsų IT komanda arba SOC (saugumo operacijų centras) atlieka praktinį darbą: registruoja incidentą, tiria, lokalizuoja ir renka įrodymus. Mes inicijuojame planą, koordinuojame reikiamus žmones ir sekame reagavimo eigą.

Lietuvos teisė reikalauja pranešti apie reikšmingus incidentus NKSC per griežtus terminus. Užtikriname, kad procesas egzistuotų, kontaktai būtų paskirti ir niekas nepraslystų pro pirštus, kol jūsų komanda sprendžia patį incidentą.

Kartu su jūsų komanda atliekame pirminės priežasties analizę, atnaujiname incidentų planą ir perkeliame išvadas į rizikos registrą. Taip kiekvienas incidentas mažina kito tikimybę — arba bent jau jo žalą.

Nagrinėjame klausimus, tokius kaip: kiek laiko užsakymų sistema gali neveikti, kol klientai pradeda eiti pas konkurentus, arba kiek duomenų praradimas tampa katastrofa. Mums svarbu gauti konkrečius skaičius - jie lemia kiekvieną tolesnį atkūrimo sprendimą.

Užtikriname, kad BCP ir DR planai egzistuotų, būtų patvirtinti vadovybės ir prieinami incidento metu. Jūsų komanda vykdo atkūrimą ir tvarko atsargines kopijas — mes užtikriname, kad planai, kuriais remiamasi, iš tikrųjų atlaikytų.

Kiek greitai turi būti atstatytos operacijos ir kiek duomenų praradimą galite sau leisti — tai apibrėžiama kartu su jūsų vadovybe ir įrašoma į planą. Taigi kai kažkas nutinka, atkūrimas — tai tikslo, kurį visi jau patvirtino, vykdymas.

Atkūrimo planai testuojami periodiškai ir po reikšmingų pokyčių, rezultatai dokumentuojami. Taigi kai nelaimė ištinka — vykdote planą, kurį jau esate praktikavę.

Prižiūrime, kad saugumo politikos būtų aiškios, aktualios ir iš tikrųjų laikomasi. Naujų politikų dokumentų rengimas — atskira paslauga. Tačiau kasdienė priežiūra, suderinimas su IT ir verslu bei patvirtinimo koordinavimas su vadovybe — abonemento dalis.

Prižiūrime pagrindinius saugumo dokumentus: informacijos saugumo politiką, prieigos kontrolę, incidentų valdymą, atsarginių kopijų kūrimą ir atkūrimą, trečiųjų šalių saugumą ir naudotojų saugumo taisykles. Visi pamatiniai elementai, kurių tikisi auditoriai ir reguliuotojai.

Kiekvienas pakeitimas fiksuojamas, senos versijos tinkamai archyvuojamos, darbuotojai informuojami apie atnaujinimus. Taigi kai kas nors klausia „kokia buvo politika kovą?" — atsakote tiksliai, o ne apytiksliai.

Prieš 3 metus iš esmės kitai įmonei parengtos politikos niekam nepadeda. Todėl viską peržiūrime kasmet, atnaujiname atsižvelgdami į naujas grėsmes ir reglamentus — ir užtikriname, kad tai, kas parašyta popieriuje, atitiktų tai, kas vyksta iš tikrųjų.

ai reiškia, patikriname, ar ugniasienės sukonfigūruotos teisingai, ar EDR agentai veikia kiekviename galiniame įrenginyje ir ar saugumo naujinimai (patch) diegiami laiku. Neužtenka įsigyti programinę įrangą -kažkas turi nuolat tikrinti, ar ji iš tikrųjų veikia.

Užtikriname, kad kritinės sistemos siųstų žurnalus į tinkamą vietą, įtartini įvykiai būtų pažymėti ir tiriami, o ne ignoruojami. Ir saugojimo politikos atitiktų tiek saugumo, tiek atitikties reikalavimus.

Nustatymai natūraliai keičiasi, žmonės atlieka „laikinus" pakeitimus, kurie kažkaip tampa nuolatiniais, todėl reguliariai peržiūrime kritines konfigūracijas, fiksuojame neleistinus pakeitimus ir atkuriame saugias bazines konfigūracijas, kai reikia.

ūsų SIEM taisyklės, EDR politikos ir tinklo stebėsena derinamos remiantis tuo, ką iš tikrųjų matome jūsų aplinkoje. Tai reiškia mažiau klaidingų signalų, tikros grėsmės aptinkamos, o sistema laikui bėgant tampa protingesnė, o ne pasensta.

Tai apima kiekvieną tiekėją, kiekvieną integraciją ir kiekvieną trečiąją šalį, turinčią prisijungimo duomenis ar prieigą prie duomenų, nes tiekimo grandinės rizikos valdyti neįmanoma, jei nežinote, kas iš tikrųjų yra jūsų tiekimo grandinėje. Dauguma įmonių nustemba, koks ilgas šis sąrašas pasirodo esąs.

Praleidžiame klausimynus, kuriuos tiekėjai užpildo patys, ir atliekame realų jų saugumo kontrolės priemonių, incidentų istorijos ir atitikties būklės vertinimą didžiausią dėmesį skirdami tiems, kurie galėtų jums labiausiai pakenkti.

Peržiūrime duomenų tvarkymo įsipareigojimus, pranešimo apie pažeidimus terminus ir audito teises - daugelis sutarčių stebėtinai nutyli saugumo klausimus. Identifikuojame spragas ir dirbame su jūsų teisininkų komanda, kad jas eliminuotume prieš ateinant sutarties atnaujinimo laikui.

Vietoj to, kad rastų išvadas techninėse ataskaitose, kurių niekas neskaito — pateikiame aiškią jūsų rizikingiausių tiekėjų santrauką: kodėl jie rizikingi ir ką rekomenduojame daryti. Visi sprendimai tinkamai dokumentuojami — kad vėliau nebūtų netikėtumų.

TIS2 atitikties auditai, ISO 27001 sertifikavimas, reguliuotojų patikrinimai, klientų klausimynai ir vidiniai auditai - visos penkios kategorijos stebimos nuolat, kiekvienai priskirtas atsakingas asmuo. Atkreipkite dėmesį: mes ruošiame jus auditui - patys audito neatlikame.

Vietoj to, kad viską skubotai kauptumėte savaitę prieš auditoriaus atvykimą, politikos, žurnalai, konfigūracijos ir mokymo įrašai renkami sistemingai ir nuolat. Tvarkingai, organizuotai ir patikrintai, kad įrodymų paketas būtų iš esmės visada paruoštas.

Sekame įrodymus, identifikuojame spragas ir parengiame veiksmų planą kiekvienam radiniui visose audito kategorijose. Taigi kai auditorius ateina, atsakymai jau yra, spragos jau šalinamos ir niekas neužklupta nepasiruošus.

Kiekvienam radiniui priskiriamas atsakingas asmuo su korekciniu planu ir terminu, pažanga stebima iki užbaigimo. Taigi kai ateina kitas auditas — tie patys radiniai gėdingai nepasikartoja ir jūs akivaizdžiai tobulėjate, o ne tiesiog kartojatės.

Visuotinis saugumo supratimo ugdymas iš esmės skiriasi nuo vadovybės rizikos informacinių susitikimų, o tai vėl skiriasi nuo specializuotų IT techninių mokymų. Kiekviena auditorija gauna turinį, aktualų būtent jos priimamiems sprendimams ir vykdomoms atsakomybėms — o ne nuobodų, beasmenį korporatyvinį vaizdo įrašą, skirtą „visiems".

Visi darbuotojai gauna sukčiavimo el. laiškų simuliacijas ir kibernetinio saugumo mokymus. Baltųjų įsilaužėlių pratybos tikrina, ką žmonės iš tikrųjų daro esant spaudimui. Rezultatai stebimi laikui bėgant, kad pažangą būtų galima išmatuoti.

Vadovai dalyvauja krizių reagavimo pratybose ir informaciniuose susitikimuose — kad kai kažkas nutinka, žinotų, kaip veikti. Mūsų tikslas — priimti visus reikiamus sprendimus dar prieš kažkam nutinkant.

IT personalas mokosi dirbti su Sentinel, BTT Armour ir vykdo incidentų pratybas kartu su SOC komanda. Taigi kai ištinka realus incidentas — jūsų IT ir SOC nesusitinka pirmą kartą, jie jau yra praktikavę dirbti petys į petį.