Mis on pidev kuberturvalisus – ja miks aastane audit ei ole piisav?

Enamik ettevõtteid ostab turvalisust sündmusena. Audit kevadel, läbistustest sügisel, raport, mis jõuab kausta. Probleem on selles, et raport kirjeldab päeva, mis on juba möödas. Vahepeal on avaldatud uusi haavatavusi, tarnija on omanikku vahetanud ja keegi töötajatest klõpsas vale lingi peale.

Pidev kuberturvalisus on selle vastand: pidev tööviis, kus te mõõdate, seate prioriteete ja parandate kogu aeg, mitte kord aastas.

Erinevus praktikas

Ühekordne tegevus vastab küsimusele „kas me olime siis turvalised?”. Pidev kuberturvalisus vastab küsimusele „kas me oleme turvalised praegu ja mis on viimasest korrast muutunud?”. See kõlab nüansina, kuid tagajärjed on suured:

• Kokkupuude avastatakse tundide, mitte kuude jooksul. Uus kriitiline haavatavus teie kasutatavas teenuses muutub tegevuseks samal nädalal, mitte järgmise aasta päevakorrapunktiks.
• Muutused jäävad vahele. Uued avalikud pordid, uued pilveressursid ja uued kolmandate osapoolte integratsioonid ilmuvad pidevalt. Ilma jooksva kaardistamiseta ei tea keegi, mis on tegelikult avatud.
• Otsused muutuvad odavamaks. Kui olukord on teada, saab juhtkond riskide vahel valida, selle asemel et oletada.

Neli kihti, mis peavad töötama korraga

1. Vara kaardistamine. Te ei saa kaitsta seda, mida te ei tea endal olevat. Domeenid, alamdomeenid, avalikud API-d, pilvekontod, SaaS-teenused ja töötajate seadmed peavad olema elavas nimekirjas – mitte tabelis, mida uuendati eelmisel aastal.

2. Haavatavuste seire. Tuntud haavatavused (CVE-d) tuleb siduda teie tegeliku tehnilise keskkonnaga, arvestades, kas haavatavust kasutatakse praktikas ja kas vara on väljastpoolt kättesaadav. Kõrge CVSS-skoor sisemisel testserveril ei ole sama asi kui keskmine haavatavus teie avalikus sisselogimises.

3. Tuvastus ja häired. Logid, mida keegi ei loe, on kulu, mitte kontrollimeede. Vaja on väheseid häireid, millel on tegelik tähendus: uus administraatori sisselogimine, andmete massiline väljavõtt, muutunud õigused, liiklus teadaolevatesse pahatahtlikesse aadressidesse.

4. Intsidendi käsitlemine. Kui midagi juhtub, peavad vastutus, kontaktid ja esimesed tegevused olema eelnevalt otsustatud. See on vahe selle vahel, kas konto suletakse kümne minuti jooksul või kulub päev selle väljaselgitamisele, kes kellele helistab.

Mida see tähendab väiksemale ettevõttele

Pidev kuberturvalisus ei nõua kümne inimesega turbemeeskonda. See nõuab kolme asja: omanikku, rütmi ja kohta, kuhu leiud jõuavad.

• Omanik: nimetatud isik, kes vastutab selle eest, et leidudest saaksid tegevused.
• Rütm: iganädalane uute leidude läbivaatamine, igakuine õiguste ja tarnijate läbivaatamine.
• Koht: süsteem, kus igal leidul on staatus, vastutaja ja kuupäev – mitte postkast.

Enamiku väiksemate organisatsioonide jaoks on mõistlik tase lasta välisel osapoolel tegeleda seire ja prioriseerimisega, samal ajal kui organisatsioon ise omab tegevusi. See annab järjepidevuse ilma sisemise turbeosakonna loomiseta.

Levinud vastuväited

„Me oleme liiga väikesed, et kedagi huvitada.” Automatiseeritud rünnakud ei vali käibe järgi. Need valivad kokkupuute järgi – ja väike ettevõte avaliku, uuendamata teenusega on lihtsam sihtmärk kui suur pank.

„Me tegime eelmisel aastal auditi.” See on hea algus, kuid ei ütle midagi tänasest olukorrast. Audit on foto; pidev kuberturvalisus on film.

„See läheb liiga kalliks.” Tavaliselt tuleb see odavam kui ükski intsident, millega kaasnevad seisakuaeg, kaotatud kliendid ja uurimiskulud. Mõte ei ole osta rohkem tööriistu, vaid teha vähem asju sagedamini.

Kuidas nelja nädalaga alustada

1. Nädal 1: kaardistage avalikud varad ja pilvekontod. Lülitage välja see, mida ei kasutata.
2. Nädal 2: seadistage teadaolevate haavatavuste seire teie tegeliku keskkonna vastu ja seadke prioriteediks kümme kõige pakilisemat leidu.
3. Nädal 3: juurutage MFA seal, kus see puudub – eriti administratiivsetel kontodel ja e-posti puhul. See on endiselt üksikmeetmetest kulutõhusaim.
4. Nädal 4: kirjutage ühele lehele intsidendiplaan ja testige seda lihtsa stsenaariumiga.

Pärast seda on töö küsimus rütmist, mitte projektist. Just see rütm võimaldab vastata klientide ja ametiasutuste turvalisusküsimustele faktidega lubaduste asemel.