Cyber 7: πώς ορίζουμε απαιτήσεις έργου κυβερνοασφάλειας χωρίς ασαφείς υποσχέσεις

Η ονομασία «Cyber 7» δεν αρκεί για να ταυτοποιήσει με ασφάλεια συγκεκριμένη εταιρεία, προϊόν ή αναγνωρισμένο πρότυπο. Μπορεί να παραπέμπει σε διαφορετικά αντικείμενα ανάλογα με το περιβάλλον όπου εμφανίζεται. Αν χρησιμοποιείται ως τίτλος ενός έργου κυβερνοασφάλειας, το ουσιαστικό ερώτημα είναι ποιες υποδομές πρέπει να προστατευθούν, ποιος ευθύνεται για κάθε εργασία και πώς θα αποδειχθεί ότι η λύση λειτουργεί. Ο ακόλουθος οδηγός προτείνει επτά ενότητες καταγραφής απαιτήσεων, όχι κάποιο επίσημο πλαίσιο με αυτή την ονομασία.

Πρώτη ενότητα: καταγραφή συστημάτων και κρίσιμων υπηρεσιών

Ξεκινάμε από όσα πρέπει να συνεχίσουν να λειτουργούν: εξυπηρέτηση πελατών, εταιρικό ηλεκτρονικό ταχυδρομείο, ιστοσελίδα, αρχεία εργασίας, εμπορικές εφαρμογές και μηχανισμοί πληρωμών όπου υπάρχουν. Για κάθε στοιχείο καταγράφουμε υπεύθυνο, θέση λειτουργίας, εξαρτήσεις και επιχειρηματικό αντίκτυπο ενδεχόμενης διακοπής. Η καταγραφή πρέπει να περιλαμβάνει υπηρεσίες που παρέχονται από εξωτερικούς συνεργάτες, διότι η φυσική απουσία εξοπλισμού από το γραφείο δεν σημαίνει ότι δεν αποτελεί μέρος της λειτουργίας. Η σειρά προτεραιοτήτων καθορίζεται από την ανάγκη της επιχείρησης και όχι από τη διαφημιστική ονομασία μιας λύσης.

Δεύτερη ενότητα: ταυτότητες και δικαιώματα πρόσβασης

Ορίζουμε ποιοι άνθρωποι και ποιες υπηρεσίες έχουν δικαίωμα πρόσβασης σε πληροφορίες και ρυθμίσεις. Δεν πρέπει όλοι να διαθέτουν κοινό κωδικό διαχείρισης. Χρειάζεται διαδικασία δημιουργίας, μεταβολής και ανάκλησης λογαριασμών, ιδιαίτερα κατά την έναρξη ή λήξη συνεργασίας. Για τις κρίσιμες προσβάσεις εξετάζουμε πρόσθετη επαλήθευση ταυτότητας και καταγραφή διαχειριστικών ενεργειών. Το σχέδιο δεν ολοκληρώνεται με αγορά εργαλείου: περιγράφει ποιος ελέγχει περιοδικά τους ενεργούς λογαριασμούς και τι γίνεται όταν δεν είναι διαθέσιμος ο βασικός διαχειριστής.

Τρίτη ενότητα: ενημερώσεις και διαχείριση αδυναμιών

Μια εφαρμογή μπορεί να λειτουργεί και παρ' όλα αυτά να χρειάζεται σημαντική διόρθωση. Ορίζουμε κατάλογο συστημάτων, υπεύθυνο παρακολούθησης ενημερώσεων και διαδικασία δοκιμής πριν από μεταβολές σε παραγωγική λειτουργία. Οι διορθώσεις προτεραιοποιούνται με βάση τη σοβαρότητα, την έκθεση και την αξία της υπηρεσίας. Δεν αντιμετωπίζονται όλες οι αναφορές ως ισοδύναμες. Για δημόσιες ιστοσελίδες η τεκμηρίωση της OWASP (Ανοικτό Έργο Ασφάλειας Εφαρμογών Ιστού, Open Worldwide Application Security Project) προσφέρει χρήσιμη ταξινόμηση βασικών κινδύνων, αλλά δεν αντικαθιστά εξέταση του πραγματικού συστήματος.

Τέταρτη ενότητα: αντίγραφα, ανάκαμψη και όρια διακοπής

Η επιχείρηση πρέπει να γνωρίζει ποια δεδομένα μπορεί να χάσει και πόσο χρόνο μπορεί να μείνει χωρίς κρίσιμη υπηρεσία. Αυτές οι επιχειρηματικές ανοχές καθοδηγούν την πολιτική αντιγράφων και την επιλογή τεχνικών μέσων. Ελέγχουμε ότι τα αντίγραφα προστατεύονται από ακούσια ή κακόβουλη μεταβολή, ότι έχουν ορισμένο υπεύθυνο και ότι μπορεί να γίνει πραγματική δοκιμή επαναφοράς. Η επιτυχημένη δημιουργία αρχείου δεν ισοδυναμεί με αποκατάσταση λειτουργίας. Πρέπει επίσης να προβλεφθεί ο τρόπος ενημέρωσης πελατών και εργαζομένων σε παρατεταμένη διακοπή.

Πέμπτη ενότητα: παρακολούθηση συμβάντων χωρίς άσκοπη επιτήρηση

Οι καταγραφές έχουν αξία όταν βοηθούν να αναγνωρίσουμε μη αναμενόμενες αλλαγές, αποτυχημένες συνδέσεις, αστοχίες αντιγράφων και προβλήματα υπηρεσιών. Επιλέγουμε τι χρειάζεται πραγματικά παρακολούθηση και για πόσο χρόνο διατηρείται. Η συσσώρευση προσωπικών δεδομένων χωρίς σκοπό δεν κάνει τη λύση πιο ασφαλή. Προβλέπουμε υπεύθυνο που ελέγχει τα ουσιώδη σήματα και τρόπο κλιμάκωσης ενός περιστατικού. Μια ειδοποίηση που δεν καταλήγει σε απόφαση απλώς αυξάνει τον θόρυβο. Το ζητούμενο είναι σαφής αναγνώριση, αξιολόγηση και αντιμετώπιση.

Έκτη ενότητα: συνεργάτες και εξωτερικές εξαρτήσεις

Συνδρομητικές υπηρεσίες, εξωτερικοί διαχειριστές και τεχνικοί προμηθευτές αποκτούν συχνά πρόσβαση σε κρίσιμα συστήματα. Ζητάμε να οριστούν το ακριβές πεδίο υπηρεσίας, οι λογαριασμοί που χρειάζονται και τα δικαιώματα που πρέπει να ανακληθούν μετά την εργασία. Ελέγχουμε πώς αναφέρεται ένα συμβάν και ποιος ενημερώνει την επιχείρηση. Αν μια υπηρεσία διακοπεί ή αλλάξει πάροχο, πρέπει να υπάρχει διαδικασία εξαγωγής δεδομένων και ανάκτησης ελέγχου. Ένα συμφωνητικό χωρίς τεχνική αποτύπωση των εξαρτήσεων αφήνει κρίσιμα κενά όταν παρουσιαστεί πρόβλημα.

Έβδομη ενότητα: δοκιμές αποδοχής και τεκμηρίωση

Καταγράφουμε δοκιμές που αποδεικνύουν ότι οι συμφωνημένες προστασίες εφαρμόστηκαν: ένας αποχωρήσας λογαριασμός δεν συνδέεται, μια ελεγχόμενη επαναφορά λειτουργεί, οι ειδοποιήσεις φτάνουν στον ορισμένο παραλήπτη, οι ενημερώσεις δεν διακόπτουν βασικές διαδικασίες. Οι δοκιμές εκτελούνται με άδεια, σε κατάλληλο περιβάλλον και χωρίς να εκτίθενται πραγματικά δεδομένα. Κρατάμε αποτέλεσμα και εκκρεμότητες για κάθε κριτήριο. Η παραλαβή βασίζεται σε παρατηρήσιμη συμπεριφορά και όχι σε γενικές διαβεβαιώσεις περί πλήρους ασφάλειας.

Λίστα απαιτήσεων πριν εγκρίνετε το έργο

• Περιγράψτε ποια συστήματα προστατεύονται και ποια εξαιρούνται.
• Καθορίστε ιδιοκτήτη, τεχνικό υπεύθυνο και υπεύθυνο έγκρισης αλλαγών.
• Ορίστε ποιοι λογαριασμοί απαιτούν πρόσβαση και με ποιο δικαίωμα.
• Προσδιορίστε ποιες δοκιμές πρέπει να περάσουν πριν από την παραλαβή.
• Ετοιμάστε σχέδιο διακοπής, αναφοράς περιστατικού και επαναφοράς.
• Συμφωνήστε ποιος διατηρεί τις καταγραφές και πότε διαγράφονται.
• Βεβαιωθείτε ότι παραδίδονται οδηγίες, πρόσβαση και διαδικασία αποχώρησης.

Το παραπάνω είναι εργαλείο καθορισμού έργου και όχι πιστοποίηση. Μπορεί να εφαρμοστεί σε μικρή εγκατάσταση ή να επεκταθεί, ανάλογα με το μέγεθος και την έκθεση του οργανισμού.

Πώς σχετίζεται με αναγνωρισμένες πρακτικές

Το πλαίσιο κυβερνοασφάλειας του NIST (Εθνικό Ινστιτούτο Προτύπων και Τεχνολογίας των ΗΠΑ, National Institute of Standards and Technology) οργανώνει τη διαχείριση κινδύνων με κοινή γλώσσα. Δεν αποτελεί επιβεβαίωση ότι μια άγνωστη εμπορική ονομασία εφαρμόζει πράγματι αυτές τις αρχές. Όταν ζητάτε υπηρεσίες κυβερνοασφάλειας, αξίζει να διαχωρίζετε τη μεθοδολογία από την ταυτότητα του προμηθευτή. Για ειδικότερες ανάγκες επαγγελματικής προβολής υπάρχουν επίσης σελίδες για διαφήμιση εταιρείας κυβερνοασφάλειας, που αφορούν άλλο αντικείμενο από την τεχνική προστασία.

Προειδοποιητικά σημεία σε μια προσφορά

Η φράση «απόλυτη προστασία» χωρίς όρια, τεκμήρια και δυνατότητα δοκιμής δεν είναι επαρκές κριτήριο. Προσέξτε αν λείπουν σχέδιο απόκρισης, ευθύνη για ενημερώσεις και διαδικασία μεταφοράς λογαριασμών. Ρωτήστε τι γίνεται όταν αλλάξει ο βασικός τεχνικός ή όταν κάποιο σύστημα δεν υποστηρίζεται πλέον. Πριν συμφωνήσετε με οποιονδήποτε πάροχο, ζητήστε ταυτοποίηση της νομικής οντότητας, ακριβή περιγραφή υπηρεσίας και επαληθεύσιμα στοιχεία επικοινωνίας. Η ονομασία ενός έργου δεν υποκαθιστά αυτά τα βήματα.

Πώς ορίζονται όρια και αποκλεισμοί στη συμφωνία

Πριν ξεκινήσει η τεχνική εργασία, αποφασίζουμε αν περιλαμβάνονται συσκευές εργαζομένων, λογαριασμοί εξωτερικών συνεργατών και συστήματα τρίτων. Εξετάζουμε αν οι αλλαγές επιτρέπονται σε ώρες κανονικής λειτουργίας και τι εγκρίσεις χρειάζονται για δοκιμές που επηρεάζουν υπηρεσίες. Χωρίς αυτά τα όρια μια γενική υπόσχεση για προστασία «ολόκληρης της εταιρείας» μπορεί να δημιουργεί επικίνδυνη εντύπωση πληρότητας. Η περιγραφή πρέπει επίσης να αποτυπώνει τι δεν μπορεί να ελέγξει ο πάροχος. Έτσι η επιχείρηση γνωρίζει πού παραμένει δική της ευθύνη και πού αναλαμβάνει πραγματική ενέργεια ο συνεργάτης.

Σενάριο ελέγχου μετά από περιστατικό

Χρήσιμη άσκηση είναι να εξετάσουμε τι θα συμβεί αν ένας υπάλληλος χάσει τη δυνατότητα πρόσβασης σε κρίσιμο λογαριασμό. Ποιος ειδοποιείται, με ποιον τρόπο εξακριβώνεται η ταυτότητα και ποιος εγκρίνει επαναφορά; Σε άλλο σενάριο, ένα ύποπτο μήνυμα μπορεί να απαιτεί απομόνωση συσκευής και ενημέρωση υπευθύνου χωρίς να κοινοποιηθούν ανεξέλεγκτα στοιχεία. Οι δοκιμές γίνονται με συμφωνημένα υποθετικά δεδομένα και όχι με πραγματική παραβίαση. Ο σκοπός τους είναι να αποκαλύψουν κενά συντονισμού προτού υπάρξει ανάγκη άμεσης αντίδρασης.

Επαναξιολόγηση μετά από αλλαγή υποδομής

Μια αρχική προδιαγραφή μπορεί να γίνει ελλιπής όταν προστεθεί νέα εφαρμογή ή αλλάξει ο τρόπος απομακρυσμένης εργασίας. Συμφωνούμε ποιος ελέγχει αν χρειάζονται πρόσθετες ρυθμίσεις και πώς επικαιροποιείται ο κατάλογος καλυπτόμενων συστημάτων. Η επανεξέταση δεν είναι υπόσχεση ότι κάθε κίνδυνος εξαλείφεται. Είναι διαδικασία ώστε οι αλλαγές της επιχείρησης να μην αφήνουν πίσω ασαφείς ευθύνες και αδοκίμαστες εξαρτήσεις.

Συχνές ερωτήσεις

Είναι το συγκεκριμένο όνομα επίσημο πρότυπο;

Δεν προκύπτει ασφαλής τέτοια ταυτοποίηση μόνο από τη φράση. Χρειάζεται συγκεκριμένη πηγή ή αναγνωριστικό προϊόντος πριν αποδοθεί ιδιότητα.

Πρέπει να αγοραστούν όλα τα εργαλεία ταυτόχρονα;

Όχι. Η απογραφή, η εκτίμηση κρίσιμων εργασιών και οι σαφείς ευθύνες καθορίζουν τις πραγματικές προτεραιότητες.

Τι παραλαμβάνουμε στην ολοκλήρωση;

Τεκμηριωμένες ρυθμίσεις, αποδεικτικά δοκιμών, κατάλογο εκκρεμοτήτων και δυνατότητα συνέχισης της λειτουργίας χωρίς αποκλειστική εξάρτηση από ένα πρόσωπο.