Czym jest ciągła ochrona – i dlaczego audyt raz w roku nie wystarcza?

Większość firm kupuje bezpieczeństwo jako wydarzenie. Audyt wiosną, test penetracyjny jesienią, raport, który trafia do folderu. Problem polega na tym, że raport opisuje dzień, który już minął. W międzyczasie opublikowano nowe podatności, dostawca zmienił właściciela, a ktoś z pracowników kliknął w niewłaściwy link.

Ciągła ochrona jest przeciwieństwem: stałym sposobem pracy, w którym mierzysz, ustalasz priorytety i naprawiasz przez cały czas, a nie raz w roku.

Różnica w praktyce

Działanie jednorazowe odpowiada na pytanie „czy wtedy byliśmy bezpieczni?”. Ciągła ochrona odpowiada na „czy jesteśmy bezpieczni teraz i co zmieniło się od ostatniego razu?”. Brzmi to jak niuans, ale konsekwencje są duże:

• Ekspozycja jest wykrywana w godzinach, nie w miesiącach. Nowa krytyczna podatność w usłudze, której używasz, staje się zadaniem w tym samym tygodniu, a nie punktem w agendzie na przyszły rok.
• Zmiany są zauważane. Nowe publiczne porty, nowe zasoby chmurowe i nowe integracje z podmiotami trzecimi pojawiają się stale. Bez bieżącej inwentaryzacji nikt nie wie, co jest rzeczywiście wystawione.
• Decyzje stają się tańsze. Gdy sytuacja jest znana, zarząd może wybierać między ryzykami zamiast zgadywać.

Cztery warstwy, które muszą działać jednocześnie

1. Inwentaryzacja zasobów. Nie ochronisz tego, o czym nie wiesz, że to masz. Domeny, subdomeny, publiczne API, konta chmurowe, usługi SaaS i urządzenia pracowników muszą być na żywej liście – nie w arkuszu aktualizowanym rok temu.

2. Monitorowanie podatności. Znane podatności (CVE) należy zestawić z twoim rzeczywistym środowiskiem technicznym, biorąc pod uwagę, czy podatność jest wykorzystywana w praktyce i czy zasób jest osiągalny z zewnątrz. Wysoki wynik CVSS na wewnętrznym serwerze testowym to nie to samo co średnia podatność w publicznym oknie logowania.

3. Wykrywanie i alerty. Logi, których nikt nie czyta, są kosztem, a nie kontrolą. Potrzebujesz niewielu alertów, które naprawdę mają znaczenie: nowe logowanie administratora, masowe pobranie danych, zmienione uprawnienia, ruch do znanych złośliwych adresów.

4. Obsługa incydentów. Gdy coś się stanie, odpowiedzialność, kontakty i pierwsze działania muszą być ustalone wcześniej. To różnica między zablokowaniem konta w dziesięć minut a dniem spędzonym na ustalaniu, kto do kogo dzwoni.

Co to oznacza dla mniejszej firmy

Ciągła ochrona nie wymaga dziesięcioosobowego zespołu bezpieczeństwa. Wymaga trzech rzeczy: właściciela, rytmu i miejsca, do którego trafiają ustalenia.

• Właściciel: wskazana osoba odpowiedzialna za to, by ustalenia stawały się zadaniami.
• Rytm: cotygodniowy przegląd nowych ustaleń, comiesięczny przegląd uprawnień i dostawców.
• Miejsce: system, w którym każde ustalenie ma status, osobę odpowiedzialną i datę – nie skrzynka mailowa.

Dla większości mniejszych organizacji rozsądny poziom to powierzenie monitorowania i ustalania priorytetów partnerowi zewnętrznemu, przy zachowaniu zadań po stronie organizacji. Daje to ciągłość bez budowania wewnętrznego działu bezpieczeństwa.

Najczęstsze obiekcje

„Jesteśmy za mali, żeby ktoś się nami interesował.” Zautomatyzowane ataki nie wybierają według obrotu. Wybierają według ekspozycji – a mała firma z publiczną, nieaktualizowaną usługą jest łatwiejszym celem niż duży bank.

„Zrobiliśmy audyt w zeszłym roku.” To dobry początek, ale nic nie mówi o dzisiejszej sytuacji. Audyt to zdjęcie; ciągła ochrona to film.

„To będzie za drogie.” Zwykle wychodzi taniej niż jeden incydent z przestojem, utraconymi klientami i kosztami dochodzenia. Istotą nie jest kupowanie kolejnych narzędzi, lecz robienie mniej rzeczy częściej.

Jak zacząć w cztery tygodnie

1. Tydzień 1: zinwentaryzuj publiczne zasoby i konta chmurowe. Wyłącz to, czego nie używasz.
2. Tydzień 2: ustaw monitorowanie znanych podatności wobec swojego rzeczywistego środowiska i nadaj priorytet dziesięciu najpilniejszym ustaleniom.
3. Tydzień 3: wdróż MFA tam, gdzie go brakuje – zwłaszcza na kontach administracyjnych i w poczcie e-mail. To nadal najskuteczniejszy pojedynczy środek w stosunku do kosztu.
4. Tydzień 4: napisz jednostronicowy plan incydentu i przetestuj go prostym scenariuszem.

Potem praca jest kwestią rytmu, nie projektu. To właśnie ten rytm pozwala odpowiadać na pytania klientów i instytucji faktami, a nie obietnicami.