9 modulis · 9.3
Jūsų saugumo patikra ir planas
9 modulis: Taisyklės ir organizacija · Skaitymo trukmė: 12 min.
Mokymosi tikslas: Po šios pamokos galėsite atlikti savo saugumo patikrą pagal nustatytą sąrašą ir sudaryti iš jos prioritetų planą.
Pagrindinės sąvokos: bazinės priemonės, pradinis vertinimas, prioritetų nustatymas (tikimybė x poveikis, pirmiausia greita ir pigu), atsakingas asmuo ir data, metinis pakartojimas
Nuo žinojimo prie veiksmo
Šiame kurse pamatėte daug: slaptažodžius, sukčiavimą (phishing), el. paštą ir domeną, įrenginius, atsargines kopijas, teises, incidentus ir taisykles. Dabar kyla rizika, kad pradėsite po truputį viską ir nebaigsite nieko. Ši pamoka viską paverčia dviem dalykais, kuriuos pasidarysite patys:
- pradiniu vertinimu: sąžininga dabartinės padėties nuotrauka;
- planu: ką darysite pirmiausia, kas tai darys ir kada tai bus baigta.
Toliau pateiktame sąraše yra bazinės priemonės: priemonės, kurios sustabdo daugumą oportunistinių atakų (1.1 pamoka) ir kurių dažniausiai prašo klientas, kai jis kelia reikalavimus savo tiekėjams (9.1 pamoka). Tai nėra visapusiškas standartas kaip ISO 27001, ir tokiu jis neturi būti. Tai pagrindas, kuris mažoje įmonėje lemia skirtumą.
Saugumo patikra: dvidešimt punktų
Į kiekvieną punktą atsakykite taip, iš dalies arba ne. Būkite griežti: „manau, kad taip“ reiškia „iš dalies“. Po kiekvienu punktu nurodyta pamoka, kurioje tai išmokote.
Paskyros ir prisijungimas
| Nr | Punktas | Pamoka |
|---|---|---|
| 1 | Yra visų paskyrų, įrenginių, svetainių, domenų ir tiekėjų apžvalga, kiekvienai daliai priskirtas atsakingas asmuo. Kas nebenaudojama, yra sutvarkyta. | 1.1, 7.2 |
| 2 | Visi naudoja slaptažodžių tvarkyklę ir kiekvienai paslaugai turi unikalų, ilgą slaptažodį. Slaptažodžiais nesidalijama el. paštu ar pokalbiuose. | 2.1, 2.2 |
| 3 | Dviejų veiksnių autentifikavimas (2FA) įjungtas el. paštui, bankui, apskaitai, talpinimui (hostingui), registratoriui ir socialiniams tinklams; administratoriams pageidautina sukčiavimui atspari forma, pavyzdžiui, passkey arba apsaugos raktas. | 2.3, 2.4 |
| 4 | Atkūrimo kodai ir atsarginiai raktai saugomi saugiai, ir žinote, ką daryti, jei telefonas pamestas. | 2.3, 2.4 |
| 5 | Patikrinote, ar verslo adresai pasirodo žinomuose duomenų saugumo pažeidimuose, ir žinote, kaip atšaukti sesijas ir patikrinti persiuntimo taisykles. | 1.4, 2.5 |
Žmonės ir procesai
| Nr | Punktas | Pamoka |
|---|---|---|
| 6 | Yra mokėjimo procedūra: perskambinimas žinomu numeriu pasikeitus sąskaitos numeriams ir antro asmens patvirtinimas didelėms ar neįprastoms mokoms. | 1.2 |
| 7 | Visi gali atpažinti sukčiavimą pagal tikrąjį nuorodos domeną ir žino, ką daryti paspaudus nuorodą. | 3.1 iki 3.5 |
| 8 | Yra vienas pranešimų punktas su pavaduotoju, pranešama be kaltės jausmo, ir bent kelis kartus per metus vyksta trumpas priminimas. | 9.2 |
El. paštas, svetainė ir domenas
| Nr | Punktas | Pamoka |
|---|---|---|
| 9 | Jūsų domenas turi SPF, DKIM ir DMARC, o DMARC yra bent p=none su planu pereiti prie quarantine arba reject. | 4.1 |
| 10 | Jūsų svetainė visur veikia per https su galiojančiu sertifikatu, nukreipia http, o TVS su įskiepiais yra atnaujinama. HSTS ir saugumo antraštės yra įjungtos arba sąmoningai apsvarstytos. | 4.2 |
| 11 | Jūsų domeno savininko duomenys teisingi, automatinis pratęsimas įjungtas, registratorius turi 2FA, nėra pasimetusių DNS įrašų, o DNSSEC įjungtas, kur tai įmanoma. | 4.3 |
Įrenginiai ir tinklas
| Nr | Punktas | Pamoka |
|---|---|---|
| 12 | Atnaujinimai įjungti automatiškai operacinėms sistemoms, programėlėms ir įskiepiams; maršrutizatorius, NAS ir spausdintuvas taip pat atnaujinami; nebėra nieko, kas nebegauna atnaujinimų. | 5.1 |
| 13 | Nešiojami kompiuteriai ir telefonai turi ekrano užraktą ir disko šifravimą, gali būti nuotoliniu būdu išvalyti, ir niekas kasdien nedirba su administratoriaus paskyra. | 5.2 |
| 14 | „Wi-Fi“ naudoja WPA2 arba WPA3, numatytasis maršrutizatoriaus slaptažodis pakeistas, o svečiai ir išmanieji įrenginiai yra atskirame svečių tinkle. | 5.3 |
Atsarginės kopijos
| Nr | Punktas | Pamoka |
|---|---|---|
| 15 | Yra visko, kas svarbu, įskaitant el. paštą ir debesijos paslaugas, atsarginė kopija pagal 3-2-1 schemą. | 6.1 |
| 16 | Bent viena kopija yra neprisijungusi arba nekeičiama ir turi atskirą prisijungimą, kuris nenaudojamas darbo kompiuteriuose. | 6.2 |
| 17 | Per pastaruosius metus atliktas atkūrimo testas, ir žinote, kiek darbo galite prarasti ir kaip greitai jis turi būti atkurtas. | 6.3 |
Prieiga, tiekėjai ir incidentai
| Nr | Punktas | Pamoka |
|---|---|---|
| 18 | Kiekvienas turi savo paskyrą tik su reikalingomis teisėmis, administratoriaus paskyros yra atskiros, o išėjus iš darbo visos prieigos atšaukiamos tą pačią dieną. | 7.1 |
| 19 | Svarbūs tiekėjai ir debesijos paslaugos yra įvertinti, kur reikia sudarytos duomenų tvarkymo sutartys, o failais dalijamasi nuorodomis su galiojimo pabaigos data. | 7.2, 7.3 |
| 20 | Kabo popierinė incidentų kortelė, yra duomenų saugumo pažeidimų registras, ir žinote, kada pranešti VDAI, policijai ir, jei patenkate į jo taikymo sritį, Nacionaliniam kibernetinio saugumo centrui (NKSC). | 8.1, 8.2, 8.3, 9.1 |
Suskaičiuokite savo atsakymus. Daug „ne“ nėra priežastis išsigąsti: tai Jūsų pradinis taškas. Todėl tai vadinama pradiniu vertinimu.
Dalį galite patikrinti automatiškai
Kelis punktus galite išmatuoti iš išorės, nes jie susiję su viešais Jūsų domeno duomenimis: 9 punktas (SPF, DKIM, DMARC), 10 punktas (https, sertifikatas, HSTS, antraštės) ir 11 punktas (DNSSEC, vardų serveriai, galiojimo pabaigos data). A9.3 užduotyje tai atliksite iš karto savo domenui, naudodami tas pačias patikras kaip ir 4 modulio užduotyse. Nepriklausomi testai, tokie kaip https://internet.nl, ir viešos patikros adresais https://www.weboke.lt/domeno-bukle bei https://www.weboke.lt/el-pasto-patikra tikrina panašius punktus.
Atkreipkite dėmesį: žalias rezultatas šiuose punktuose nieko nepasako apie kitus septyniolika. Jūsų domenas gali būti puikiai sukonfigūruotas, o Jūsų pašto dėžutė tuo pačiu metu gali turėti iš duomenų saugumo pažeidimo nutekėjusį slaptažodį. Automatinė patikra yra tik pradinio vertinimo dalis, o ne jo pakaitalas.
Nuo patikros prie plano: prioritetų nustatymas
Dabar galbūt turite aštuonis ar dešimt punktų su atsakymu „ne“ arba „iš dalies“. Visko iš karto padaryti negalima. Eiliškumą pasirinkite remdamiesi dviem klausimais.
1. Kokia rizika yra didelė? Naudokite tikimybę x poveikį (1.1 pamoka). Punktas, į kurį taikosi oportunistinė ataka, pavyzdžiui, pakartotinai naudojami slaptažodžiai be 2FA arba svetainė be atnaujinimų, turi didelę tikimybę. Punktas, kuris nepasisekus sustabdytų visą Jūsų verslą, pavyzdžiui, neveikianti atsarginė kopija, turi didelį poveikį.
2. Kiek tai kainuoja pastangų? Kai kurios priemonės kainuoja valandą ir nieko, pavyzdžiui, dviejų veiksnių autentifikavimo įjungimas arba susitarimas dėl mokėjimo procedūros. Kitos kainuoja savaites, pavyzdžiui, visų nešiojamų kompiuterių keitimas.
Suskirstykite punktus į paprastą schemą:
| Mažai pastangų | Daug pastangų | |
|---|---|---|
| Didelė rizika | Daryti dabar (šią savaitę) | Planuoti (šį ketvirtį) |
| Maža rizika | Įtraukti, kai pasitaiko proga | Vėliau arba sąmoningai priimti |
Taisyklė yra tokia: pirmiausia greita ir pigu, jei rizika didelė. Daugumoje mažų įmonių į langelį „daryti dabar“ patenka: dviejų veiksnių autentifikavimas el. paštui ir bankui (3), mokėjimo procedūra (6), automatinių atnaujinimų įjungimas (12) ir patikrinimas, ar atsarginės kopijos kopija yra nepasiekiamoje vietoje (16).
Sąmoningas priėmimas
Riziką taip pat galite priimti: nusprendžiate jos nespręsti, nes rizika maža arba išlaidos per didelės. Tai teisėtas pasirinkimas, jei jį priimate sąmoningai ir užrašote. „Pamiršimas“ nėra priėmimas.
Atsakingas asmuo ir data kiekvienam punktui
Planas be vardų lieka gulėti. Priskirkite kiekvienam punktui:
- atsakingą asmenį: vieną asmenį, kuris pasirūpina, kad tai įvyktų. Tai nebūtinai turi būti tas, kuris pats atlieka darbą; IT įmonė gali atlikti darbą, bet kažkas Jūsų pačių įmonėje patikrina, ar jis baigtas;
- datą: kada tai turi būti baigta;
- baigtumo apibrėžimą: iš kur žinosite, kad tai padaryta? Ne „sutvarkyti 2FA“, o „2FA įjungtas penkiose sąraše esančiose paskyrose, atkūrimo kodai saugomi seife“.
Trijų eilučių pavyzdys iš įmonės „Kepykla Example“ plano:
| Punktas | Veiksmas | Atsakingas asmuo | Baigti iki | Baigta, kai |
|---|---|---|---|---|
| 3 | 2FA el. paštui, bankui, apskaitai ir registratoriui | Petra | po 1 savaitės | Įjungta visose keturiose, atkūrimo kodai slaptažodžių tvarkyklėje ir popieriuje seife |
| 6 | Mokėjimo procedūra A4 formate, aptarta su Joostu ir Sanne | Petra | po 2 savaičių | A4 kabo prie biuro, abu ją perskaitė |
| 16 | Savaitinė kopija diske, kuris po to atskirai padedamas seife | Joost | po 1 mėnesio | Pirmos trys savaitės atliktos, vienas failas atkurtas kaip testas |
Kartojimas
Saugumas niekada nėra visiškai baigtas. Atsiranda naujų darbuotojų, naujų paslaugų, naujų įrenginių ir naujų gudrybių. Todėl susitarkite:
- kasmet iš naujo atlikti visą patikrą nustatytą mėnesį ir atnaujinti planą;
- tarp patikrų atlikti ją įvykus dideliems pokyčiams: naujas svetainės kūrėjas, talpinimo (hostingo) keitimas, nauja apskaitos sistema, spartus augimas;
- po incidento peržiūrėti punktus, susijusius su juo (8.3 pamoka).
Saugokite kiekvienos patikros rezultatą. Tada po metų aiškiai matysite, kas pagerėjo, ir turėsite atsakymą, jei klientas paklaus, kaip pas Jus su saugumu. Nacionalinis kibernetinio saugumo centras (NKSC) taip pat turi savo saugumo patikros įrankį smulkiajam ir vidutiniam verslui, kurį galite naudoti kartu su šiuo sąrašu; jis pateikia veiksmų sąrašą.
Santrauka
- Pradinis vertinimas su dvidešimčia nustatytų punktų suteikia sąžiningą nuotrauką; kiekvienas punktas nurodo pamoką, kurioje tai išmokote.
- Dalį (el. paštą, svetainę, domeną) galite patikrinti automatiškai, tačiau tai nieko nepasako apie kitus punktus.
- Nustatykite prioritetus pagal tikimybę x poveikį ir pastangas: didelė rizika su mažomis pastangomis pirmiausia.
- Kiekvienam plano punktui priskiriamas atsakingas asmuo, data ir baigtumo apibrėžimas; priėmimas galimas, bet sąmoningai ir raštu.
- Kartokite patikrą kasmet ir po didelių pokyčių, ir saugokite rezultatus.
Testas (quiz)
Užduotis
Užduotis A9.3: Automatinė Jūsų domeno patikra. Įveskite savo domeną. Programa iš karto patikrina el. paštą (SPF, DKIM, DMARC), svetainę (https, sertifikatas, nukreipimas, HSTS, antraštes) ir domeną (vardų serverius, DNSSEC, galiojimo pabaigos datą) ir parodo, kurie saugumo patikros punktai yra žali, oranžiniai ar raudoni.
Užduotis D9.3: Jūsų saugumo patikra ir planas. Atlikite dvidešimties punktų patikrą savo įmonei. Tada pasirinkite bent penkis punktus, sudėliokite juos į rizikos ir pastangų schemą ir sudarykite planą, kiekvienam punktui nurodydami atsakingą asmenį, datą ir baigtumo apibrėžimą. Savo kalendoriuje pažymėkite, kada patikrą atliksite iš naujo.
Užduotis D9.3: Jūsų saugumo patikra ir planas
Taip tai atlikti: (1) Peržiūrėkite dvidešimt pamokos punktų ir kiekvienam įrašykite: taip, iš dalies arba ne. Punktams 9, 10 ir 11 naudokite A9.3 užduoties rezultatą (mygtukas perkelia raudonus ir oranžinius punktus). (2) Kiekvieną punktą su atsakymu "iš dalies" arba "ne" įrašykite į rizikos (didelė/maža) ir pastangų (mažai/daug) schemą. (3) Pasirinkite bent penkis punktus. Pradėkite nuo langelių "didelė rizika, mažai pastangų". (4) Kiekvienam pasirinktam punktui nurodykite veiksmą, atsakingą asmenį, datą ir atlikimo apibrėžimą. (5) Užrašykite, kuriuos punktus sąmoningai priimate kaip riziką, nurodydami priežastį. (6) Į savo kalendorių įtraukite fiksuotą mėnesį kitai pilnai patikrai ir užrašykite, kokie pokyčiai paskatintų Jus peržiūrėti tai anksčiau. (7) Išsaugokite rezultatą (kursas gali išsaugoti užpildytą patikrą, jei to pageidaujate; tik taip/iš dalies/ne kiekvienam punktui ir Jūsų planas, jokių kitų duomenų).
Jūsų pažymėti varneliai ir pastabos lieka tik šioje naršyklėje; niekur jų nesiunčiame. Jei esate prisijungę, skiltyje Mano kursai išsaugome tik tai, kad užduotį atlikote.
Skaitykite daugiau
Veiksmai WebOké straipsniuose taikomi WebOké aplinkai; pas kitus tiekėjus procesas vyksta panašiai.
- WebOké vadovas 5.17: Domeno ir el. pašto būklė: tikrinimas ir sutvarkymas
- WebOké, domeno / el. pašto būklė (vieša patikra): https://www.weboke.lt/domeno-bukle
- WebOké, el. pašto patikra: https://www.weboke.lt/el-pasto-patikra
- Internet.nl, patikrinkite savo svetainę ir el. paštą: https://internet.nl
- Nacionalinis kibernetinio saugumo centras (NKSC), saugumo patikros įrankis smulkiajam ir vidutiniam verslui: https://tools.ncsc.nl/cyberveilig-check/