Modul 9 · 9.3
Vaš lastni varnostni pregled in načrt
Modul 9: Pravila in organizacija · Čas branja: 12 minut
Učni cilj: Po tej lekciji boste znali izvesti lasten varnostni pregled po stalnem seznamu in iz njega izdelati načrt prioritet.
Ključni pojmi: osnovni ukrepi, ničelna meritev, določanje prioritet (verjetnost x vpliv, najprej hitro in poceni), lastnik in datum, letna ponovitev
Od vedenja do dejanja
V tem tečaju ste videli veliko: gesla, lažno predstavljanje (phishing), e-pošto in domeno, naprave, varnostne kopije, pravice, incidente in pravila. Tveganje je zdaj, da bi z vsem začeli po malem in z ničimer ne bi bili zares gotovi. Ta lekcija vse to pretvori v dve stvari, ki ju izdelate sami:
- ničelno meritev: pošteno sliko tega, kako je trenutno urejeno;
- načrt: kaj najprej naredite, kdo to naredi in kdaj bo pripravljeno.
Spodnji seznam vsebuje osnovne ukrepe: ukrepe, ki ustavijo večino priložnostnih napadov (lekcija 1.1) in ki jih stranka običajno tudi zahteva, kadar postavlja zahteve svojim dobaviteljem (lekcija 9.1). To ni popoln standard, kot je ISO 27001, in to tudi ni potrebno. To je osnova, ki pri majhnem podjetju naredi razliko.
Varnostni pregled: dvajset točk
Na vsako točko odgovorite z da, delno ali ne. Bodite strogi: "mislim, daja" pomeni "delno". Za vsako točko je navedena lekcija, kjer ste jo spoznali.
Računi in prijavljanje
| Št. | Točka | Lekcija |
|---|---|---|
| 1 | Obstaja pregled vseh računov, naprav, spletnih strani, domen in dobaviteljev, pri čemer ima vsak del svojega lastnika. Kar se ne uporablja več, je počiščeno. | 1.1, 7.2 |
| 2 | Vsi uporabljajo upravitelja gesel in imajo za vsako storitev edinstveno, dolgo geslo. Gesla se ne delijo prek e-pošte ali klepeta. | 2.1, 2.2 |
| 3 | Dvostopenjsko preverjanje je vklopljeno za e-pošto, banko, računovodstvo, gostovanje, registrarja in družbena omrežja; za skrbnike po možnosti oblika, odporna na lažno predstavljanje, kot je passkey ali varnostni ključ. | 2.3, 2.4 |
| 4 | Kode za izterjavo in rezervni ključi so varno shranjeni, in veste, kaj storiti, če telefon izgubite. | 2.3, 2.4 |
| 5 | Preverili ste, ali se poslovni naslovi pojavljajo v znanih uhajanjih podatkov, in veste, kako preklicati seje in preveriti pravila za samodejno posredovanje. | 1.4, 2.5 |
Ljudje in procesi
| Št. | Točka | Lekcija |
|---|---|---|
| 6 | Obstaja postopek za plačila: pri spremenjenih številkah računov pokličete nazaj na znano številko, pri velikih ali nenavadnih plačilih pa sodeluje druga oseba. | 1.2 |
| 7 | Vsi znajo prepoznati lažno predstavljanje po pravi domeni povezave in vedo, kaj storiti po kliku. | 3.1 do 3.5 |
| 8 | Obstaja ena sama prijavna točka z namestnikom, prijavljanje poteka brez krivde, in vsaj nekajkrat letno poteka kratka ponovitev. | 9.2 |
E-pošta, spletna stran in domena
| Št. | Točka | Lekcija |
|---|---|---|
| 9 | Vaša domena ima SPF, DKIM in DMARC, pri čemer je DMARC nastavljen vsaj na p=none z načrtom prehoda na quarantine ali reject. | 4.1 |
| 10 | Vaša spletna stran povsod deluje prek https z veljavnim certifikatom, preusmerja http, CMS z vtičniki pa se posodablja. HSTS in varnostne glave so vklopljene ali pa ste jih zavestno pretehtali. | 4.2 |
| 11 | Podatki o imetniku Vaše domene so pravilni, samodejno podaljšanje je vklopljeno, registrar ima 2FA, ni "visečih" DNS zapisov, DNSSEC pa je vklopljen, kjer je to mogoče. | 4.3 |
Naprave in omrežje
| Št. | Točka | Lekcija |
|---|---|---|
| 12 | Posodobitve so samodejno vklopljene za operacijske sisteme, aplikacije in vtičnike; posodabljajo se tudi usmerjevalnik, NAS in tiskalnik; nič več ne deluje, kar ne prejema posodobitev. | 5.1 |
| 13 | Prenosniki in telefoni imajo zaklep zaslona in šifriranje diska, lahko jih na daljavo izbrišete, nihče pa dnevno ne dela s skrbniškim računom. | 5.2 |
| 14 | Wifi uporablja WPA2 ali WPA3, privzeto geslo usmerjevalnika je spremenjeno, obiskovalci in pametne naprave pa so na gostovalnem omrežju. | 5.3 |
Varnostne kopije
| Št. | Točka | Lekcija |
|---|---|---|
| 15 | Obstaja varnostna kopija vsega pomembnega, tudi e-pošte in oblačnih storitev, po pravilu 3-2-1. | 6.1 |
| 16 | Vsaj ena kopija je zunaj povezave ali nespremenljiva in ima lastno prijavo, ki se ne uporablja na delovnih računalnikih. | 6.2 |
| 17 | V preteklem letu je bil izveden test obnovitve, in veste, koliko dela si lahko privoščite izgubiti in kako hitro mora biti vse spet na voljo. | 6.3 |
Dostop, dobavitelji in incidenti
| Št. | Točka | Lekcija |
|---|---|---|
| 18 | Vsak ima svoj račun samo s pravicami, ki jih potrebuje, skrbniški računi so ločeni, ob odhodu zaposlenega pa se vsi dostopi prekličejo še isti dan. | 7.1 |
| 19 | Pomembni dobavitelji in oblačne storitve so ocenjeni, kjer je potrebno obstajajo pogodbe o obdelavi podatkov, datoteke pa se delijo s povezavami z datumom poteka. | 7.2, 7.3 |
| 20 | Na steni visi kartica za ukrepanje ob incidentu v papirni obliki, obstaja register kršitev varstva podatkov, in veste, kdaj prijavite Informacijskemu pooblaščencu, policiji in, če spadate pod ustrezno zakonodajo, pristojnemu nacionalnemu organu. | 8.1, 8.2, 8.3, 9.1 |
Preštejte svoje odgovore. Veliko odgovorov "ne" ni razlog za vznemirjenost: to je Vaša izhodiščna točka. Zato se temu reče ničelna meritev.
Del lahko preverite samodejno
Nekaj točk lahko izmerite od zunaj, ker se nanašajo na javne podatke o Vaši domeni: točka 9 (SPF, DKIM, DMARC), točka 10 (https, certifikat, HSTS, glave) in točka 11 (DNSSEC, imenski strežniki, datum poteka). V nalogi A9.3 to naredite naenkrat za svojo lastno domeno, z enakimi preverjanji kot pri nalogah modula 4. Neodvisni testi, kot je https://internet.nl, in javna preverjanja na https://www.weboke.si/zdravje-domene ter https://www.weboke.si/preverjanje-e-poste preverjajo podobne točke.
Pozor: zelen rezultat na teh točkah ne pove ničesar o preostalih sedemnajstih. Vaša domena je lahko popolnoma pravilno nastavljena, medtem ko ima Vaš poštni predal geslo iz nekega uhajanja podatkov. Samodejno preverjanje je del ničelne meritve, ne pa njeno nadomestilo.
Od pregleda do načrta: določanje prioritet
Zdaj morda osem ali deset točk ustreza odgovoru "ne" ali "delno". Vsega ne morete narediti hkrati. Vrstni red izberete z dvema vprašanjema.
1. Kako veliko je tveganje? Uporabite verjetnost x vpliv (lekcija 1.1). Točka, na katero cilja priložnostni napad, kot so ponovno uporabljena gesla brez 2FA ali spletna stran brez posodobitev, ima veliko verjetnost. Točka, ki ob neuspehu ustavi celotno Vaše podjetje, kot je varnostna kopija, ki ne deluje, ima velik vpliv.
2. Koliko truda to zahteva? Nekateri ukrepi stanejo eno uro in nič denarja, kot je vklop dvostopenjskega preverjanja ali dogovor o plačilnem postopku. Drugi zahtevajo tedne, kot je zamenjava vseh prenosnikov.
Razporedite točke v preprosto shemo:
| Malo truda | Veliko truda | |
|---|---|---|
| Veliko tveganje | Naredite zdaj (ta teden) | Načrtujte (to četrtletje) |
| Majhno tveganje | Vključite, ko se ponudi priložnost | Kasneje ali zavestno sprejmite |
Pravilo je: najprej hitro in poceni, če je tveganje veliko. Pri večini majhnih podjetij v okencu "naredite zdaj" pristanejo: dvostopenjsko preverjanje za e-pošto in banko (3), postopek za plačila (6), vklop samodejnih posodobitev (12) in preverjanje, ali obstaja kopija varnostne kopije zunaj dosega (16).
Zavestno sprejemanje
Tveganje lahko tudi sprejmete: odločite se, da ga ne boste odpravili, ker je tveganje majhno ali so stroški previsoki. To je veljavna izbira, dokler jo sprejmete zavestno in jo zapišete. "Pozabiti" ni sprejemanje.
Lastnik in datum za vsako točko
Načrt brez imen ostane neuresničen. Vsaki točki dodelite:
- lastnika: eno osebo, ki poskrbi, da se stvar zgodi. To ni nujno oseba, ki opravi delo; IT podjetje lahko opravi delo, nekdo v Vašem lastnem podjetju pa preveri, da je opravljeno;
- datum: kdaj mora biti pripravljeno;
- opredelitev "pripravljeno": kako veste, da je zaključeno? Ne "urediti 2FA", temveč "2FA je vklopljen na petih računih s seznama, kode za izterjavo so v sefu".
Primer treh vrstic iz načrta Pekarne Example:
| Točka | Ukrep | Lastnik | Pripravljeno do | Pripravljeno, ko |
|---|---|---|---|---|
| 3 | 2FA za e-pošto, banko, računovodstvo in registrarja | Petra | čez 1 teden | Vklopljeno na vseh štirih, kode za izterjavo v upravitelju gesel in na papirju v sefu |
| 6 | Postopek za plačila na listu A4, usklajen z Joostom in Sanne | Petra | čez 2 tedna | List A4 visi v pisarni, oba sta ga prebrala |
| 16 | Tedenska kopija na disku, ki nato ločeno gre v sef | Joost | čez 1 mesec | Prve tri tedne opravljeno, ena datoteka obnovljena kot test |
Ponavljanje
Varnost nikoli ni dokončana. Pojavljajo se novi sodelavci, nove storitve, nove naprave in novi triki. Zato se dogovorite:
- vsako leto ponoviti celoten pregled, v stalnem mesecu, in posodobiti načrt;
- vmes opraviti pregled ob večjih spremembah: novem izdelovalcu spletnih strani, selitvi gostovanja, novem računovodstvu, obdobju hitre rasti;
- po incidentu preveriti točke, ki so bile s tem povezane (lekcija 8.3).
Rezultat vsakega pregleda shranite. Tako boste po letu dni črno na belem videli, kaj se je izboljšalo, in boste imeli odgovor, kadar Vas stranka vpraša, kako je z Vašo varnostjo. Nizozemski SI-CERT ima tudi lasten nasvet CyberVeilig Check za samostojne podjetnike in mala podjetja, ki ga lahko uporabite poleg tega seznama; ta ponuja seznam ukrepov.
Povzetek
- Ničelna meritev z dvajsetimi stalnimi točkami da pošteno sliko; vsaka točka napotuje na lekcijo, kjer ste jo spoznali.
- Del (e-pošta, spletna stran, domena) lahko preverite samodejno, vendar to ne pove ničesar o preostalih točkah.
- Določite prioritete glede na verjetnost x vpliv in trud: veliko tveganje z malo truda najprej.
- Vsaka točka v načrtu dobi lastnika, datum in opredelitev "pripravljeno"; sprejemanje je dovoljeno, vendar zavestno in zapisano.
- Pregled ponovite vsako leto in ob večjih spremembah, rezultate pa shranite.
Kviz
Naloga
Naloga A9.3: Samodejno preverjanje Vaše domene. Vnesite svojo lastno domeno. Program naenkrat preveri e-pošto (SPF, DKIM, DMARC), spletno stran (https, certifikat, preusmerjanje, HSTS, glave) in domeno (imenski strežniki, DNSSEC, datum poteka) ter pokaže, katere točke varnostnega pregleda so zelene, oranžne ali rdeče.
Naloga D9.3: Vaš varnostni pregled in načrt. Opravite pregled dvajsetih točk za svoje lastno podjetje. Nato izberite vsaj pet točk, jih razporedite v shemo tveganja in truda, ter izdelajte načrt z lastnikom, datumom in opredelitvijo "pripravljeno" za vsako točko. V svoj koledar vnesite, kdaj boste pregled ponovili.
Naloga D9.3: Vaš varnostni pregled in načrt
Lotite se tega takole: (1) Preglejte dvajset točk iz lekcije in za vsako točko označite: da, delno ali ne. Za točke 9, 10 in 11 uporabite rezultat naloge A9.3 (gumb prevzame rdeče in oranžne točke). (2) Vsako točko z oznako "delno" ali "ne" razvrstite v shemo tveganja (veliko/majhno) in truda (malo/veliko). (3) Izberite vsaj pet točk. Začnite s polji "veliko tveganje, malo truda". (4) Vsaki izbrani točki določite ukrep, odgovorno osebo, datum in opredelitev, kdaj je opravljeno. (5) Zapišite, katera tveganja zavestno sprejemate, z razlogom. (6) V koledar vnesite stalen mesec za naslednji celovit pregled in zapišite, ob katerih spremembah boste vmes ponovno preverili. (7) Shranite rezultat (tečaj izpolnjeni pregled shrani, če to želite; samo da/delno/ne za vsako točko in Vaš načrt, brez drugih podatkov).
Vaše kljukice in zapiski ostanejo samo v tem brskalniku, nikamor jih ne pošiljamo. Če ste prijavljeni, v Moji tečaji shranimo samo podatek, da ste nalogo opravili.
Za nadaljnje branje
Koraki v člankih WebOké veljajo za okolje WebOké; pri drugih ponudnikih deluje podobno.
- Priročnik WebOké 5.17: Zdravje domene in e-pošte: preverjanje in odpravljanje težav
- WebOké, Zdravje domene / e-pošte (javno preverjanje): https://www.weboke.si/zdravje-domene
- WebOké, Preverjanje e-pošte: https://www.weboke.si/preverjanje-e-poste
- Internet.nl, preizkusite svojo spletno stran in e-pošto: https://internet.nl
- Nizozemski SI-CERT, CyberVeilig Check za samostojne podjetnike in mala podjetja: https://www.cert.si/