ความปลอดภัยต่อเนื่องคืออะไร และทำไมการตรวจสอบปีละครั้งจึงไม่พอ

บริษัทส่วนใหญ่ซื้อความปลอดภัยเหมือนซื้อกิจกรรมครั้งเดียว ตรวจสอบตอนฤดูใบไม้ผลิ ทดสอบเจาะระบบตอนฤดูใบไม้ร่วง แล้วรายงานก็ไปอยู่ในแฟ้ม ปัญหาคือรายงานนั้นอธิบายวันที่ผ่านไปแล้ว ระหว่างนั้นมีช่องโหว่ใหม่ถูกเปิดเผย ผู้ให้บริการรายหนึ่งเปลี่ยนเจ้าของ และมีพนักงานคนหนึ่งคลิกลิงก์ผิด

ความปลอดภัยต่อเนื่องคือสิ่งที่ตรงกันข้าม คือวิธีการทำงานแบบต่อเนื่องที่คุณวัด จัดลำดับความสำคัญ และแก้ไขตลอดเวลา ไม่ใช่ปีละครั้ง

ความแตกต่างในทางปฏิบัติ

การกระทำครั้งเดียวตอบคำถามว่า “ตอนนั้นเราปลอดภัยหรือไม่” ความปลอดภัยต่อเนื่องตอบว่า “ตอนนี้เราปลอดภัยหรือไม่ และมีอะไรเปลี่ยนไปตั้งแต่ครั้งก่อน” ฟังดูเป็นเพียงความต่างเล็กน้อย แต่ผลลัพธ์ต่างกันมาก

• การเปิดเผยต่อภัยถูกพบภายในชั่วโมง ไม่ใช่เป็นเดือน ช่องโหว่ร้ายแรงใหม่ในบริการที่คุณใช้กลายเป็นงานในสัปดาห์เดียวกัน ไม่ใช่หัวข้อในวาระของปีหน้า
• การเปลี่ยนแปลงถูกสังเกตเห็น พอร์ตสาธารณะใหม่ ทรัพยากรคลาวด์ใหม่ และการเชื่อมต่อกับบุคคลที่สามใหม่เกิดขึ้นตลอดเวลา หากไม่มีบัญชีทรัพย์สินที่เป็นปัจจุบัน ก็ไม่มีใครรู้ว่าอะไรถูกเปิดเผยจริง
• การตัดสินใจมีต้นทุนต่ำลง เมื่อสถานะเป็นที่รู้จัก ผู้บริหารสามารถเลือกระหว่างความเสี่ยงได้ แทนที่จะเดา

สี่ชั้นที่ต้องทำงานพร้อมกัน

1. บัญชีทรัพย์สิน คุณปกป้องสิ่งที่คุณไม่รู้ว่ามีอยู่ไม่ได้ โดเมน โดเมนย่อย API สาธารณะ บัญชีคลาวด์ บริการ SaaS และอุปกรณ์ของพนักงานต้องอยู่ในรายการที่อัปเดตอยู่เสมอ ไม่ใช่สเปรดชีตที่แก้ไขเมื่อปีที่แล้ว

2. การเฝ้าระวังช่องโหว่ ช่องโหว่ที่รู้จัก (CVE) ต้องถูกจับคู่กับสภาพแวดล้อมจริงของคุณ โดยพิจารณาว่าช่องโหว่นั้นถูกใช้โจมตีจริงหรือไม่ และทรัพย์สินนั้นเข้าถึงได้จากอินเทอร์เน็ตหรือไม่ คะแนน CVSS สูงบนเซิร์ฟเวอร์ทดสอบภายในไม่เหมือนกับช่องโหว่ระดับกลางบนหน้าเข้าสู่ระบบสาธารณะของคุณ

3. การตรวจจับและการแจ้งเตือน บันทึกที่ไม่มีใครอ่านคือต้นทุน ไม่ใช่มาตรการควบคุม ต้องการการแจ้งเตือนไม่มากแต่มีความหมายจริง เช่น การเข้าสู่ระบบของผู้ดูแลใหม่ การดึงข้อมูลจำนวนมาก สิทธิ์ที่ถูกเปลี่ยน และการรับส่งข้อมูลไปยังที่อยู่ที่เป็นอันตราย

4. การจัดการเหตุการณ์ เมื่อมีเหตุเกิดขึ้น ความรับผิดชอบ ช่องทางติดต่อ และการดำเนินการสามขั้นตอนแรกต้องถูกตัดสินใจไว้ล่วงหน้า นี่คือความแตกต่างระหว่างการปิดบัญชีภายในสิบนาที กับการใช้เวลาทั้งวันเพื่อหาว่าใครโทรหาใคร

สิ่งนี้หมายถึงอะไรสำหรับธุรกิจขนาดเล็ก

ความปลอดภัยต่อเนื่องไม่ต้องใช้ทีมสิบคน ต้องใช้สามอย่าง คือ ผู้รับผิดชอบ จังหวะเวลา และสถานที่ที่ข้อค้นพบมารวมกัน

• ผู้รับผิดชอบ: บุคคลที่ถูกระบุชื่อและเปลี่ยนข้อค้นพบให้เป็นการดำเนินการ
• จังหวะเวลา: ทบทวนข้อค้นพบใหม่รายสัปดาห์ ทบทวนสิทธิ์และผู้ให้บริการรายเดือน
• สถานที่: ระบบที่ข้อค้นพบแต่ละรายการมีสถานะ ผู้รับผิดชอบ และวันที่ ไม่ใช่กล่องอีเมล

สำหรับองค์กรขนาดเล็กส่วนใหญ่ ระดับที่เหมาะสมคือให้พันธมิตรภายนอกดูแลการเฝ้าระวังและการจัดลำดับความสำคัญ ส่วนการดำเนินการยังอยู่ภายในองค์กร วิธีนี้ให้ความต่อเนื่องโดยไม่ต้องสร้างแผนกความปลอดภัยภายใน

ข้อโต้แย้งที่พบบ่อย

“เราเล็กเกินไปที่ใครจะสนใจ” การโจมตีอัตโนมัติไม่ได้เลือกตามรายได้ แต่เลือกตามการเปิดเผย และธุรกิจเล็กที่มีบริการสาธารณะที่ไม่ได้อัปเดตเป็นเป้าหมายที่ง่ายกว่าธนาคารใหญ่

“เราเพิ่งตรวจสอบเมื่อปีที่แล้ว” นั่นเป็นจุดเริ่มต้นที่ดี แต่ไม่ได้บอกอะไรเกี่ยวกับสถานะปัจจุบัน การตรวจสอบคือภาพนิ่ง ความปลอดภัยต่อเนื่องคือภาพยนตร์

“มันจะแพงเกินไป” โดยทั่วไปถูกกว่าการเกิดเหตุเพียงครั้งเดียวที่มีระบบหยุดชะงัก ลูกค้าหาย และค่าสืบสวน แนวคิดไม่ใช่การซื้อเครื่องมือเพิ่ม แต่คือการทำสิ่งเล็ก ๆ ให้บ่อยขึ้น

วิธีเริ่มต้นในสี่สัปดาห์

1. สัปดาห์ที่ 1: ทำบัญชีทรัพย์สินสาธารณะและบัญชีคลาวด์ ปิดสิ่งที่ไม่ได้ใช้งาน
2. สัปดาห์ที่ 2: เปิดการเฝ้าระวังช่องโหว่ที่รู้จักบนสภาพแวดล้อมจริง และจัดลำดับข้อค้นพบสิบรายการที่เร่งด่วนที่สุด
3. สัปดาห์ที่ 3: เปิดใช้ MFA ในจุดที่ยังขาด โดยเฉพาะบัญชีผู้ดูแลและอีเมล นี่คือมาตรการเดี่ยวที่คุ้มค่าที่สุดเมื่อเทียบกับต้นทุน
4. สัปดาห์ที่ 4: เขียนแผนรับมือเหตุการณ์หนึ่งหน้า และทดสอบด้วยสถานการณ์ง่าย ๆ

หลังจากนั้น งานจะกลายเป็นเรื่องของจังหวะเวลา ไม่ใช่โครงการ จังหวะนี้เองที่ทำให้คุณตอบคำถามด้านความปลอดภัยจากลูกค้าและหน่วยงานด้วยข้อเท็จจริง ไม่ใช่คำสัญญา