Modul 9 · 9.3
Vaša vlastita provjera sigurnosti i plan
Modul 9: Pravila i organizacija · Vrijeme čitanja: 12 minuta
Cilj učenja: Nakon ove lekcije moći ćete provesti vlastitu sigurnosnu provjeru pomoću stalnog popisa i od toga izraditi plan prioriteta.
Ključni pojmovi: osnovne mjere, početno mjerenje, određivanje prioriteta (vjerojatnost x utjecaj, brzo i jeftino prvo), vlasnik i datum, godišnje ponavljanje
Od znanja do djelovanja
U ovom ste tečaju vidjeli mnogo toga: lozinke, phishing, e-poštu i domenu, uređaje, sigurnosne kopije, prava pristupa, incidente i pravila. Rizik je sada da počnete malo svugdje, a nigdje ne dovršite do kraja. Ova lekcija sve to pretvara u dvije stvari koje sami izrađujete:
- početno mjerenje: iskrenu sliku trenutnog stanja;
- plan: što radite prvo, tko to radi i kada će biti gotovo.
Popis u nastavku sadrži osnovne mjere: mjere koje zaustavljaju većinu oportunističkih napada (lekcija 1.1) i koje klijent obično traži kada postavlja zahtjeve prema svojim dobavljačima (lekcija 9.1). To nije potpuna norma poput ISO 27001, i ne mora ni biti. To je osnova koja kod malog poduzeća čini razliku.
Sigurnosna provjera: dvadeset točaka
Na svaku točku odgovorite s da, djelomično ili ne. Budite strogi: "mislim da da" znači "djelomično". Iza svake točke navedena je lekcija u kojoj ste to naučili.
Računi i prijava
| Br. | Točka | Lekcija |
|---|---|---|
| 1 | Postoji pregled svih računa, uređaja, web stranica, domena i dobavljača, s vlasnikom za svaki dio. Ono što se više ne koristi je uklonjeno. | 1.1, 7.2 |
| 2 | Svatko koristi upravitelja lozinki i ima jedinstvenu, dugačku lozinku za svaku uslugu. Lozinke se ne dijele putem e-pošte ili chata. | 2.1, 2.2 |
| 3 | Dvofaktorska autentifikacija uključena je na e-pošti, banci, računovodstvu, hostingu, registraru i društvenim mrežama; za administratore po mogućnosti oblik otporan na phishing, kao što je passkey ili sigurnosni ključ. | 2.3, 2.4 |
| 4 | Recovery Codes i rezervni ključevi sigurno su pohranjeni i znate što učiniti ako se telefon izgubi. | 2.3, 2.4 |
| 5 | Provjerili ste pojavljuju li se poslovne adrese u poznatim curenjima podataka, i znate kako opozvati sesije i provjeriti pravila za automatsko prosljeđivanje. | 1.4, 2.5 |
Ljudi i procesi
| Br. | Točka | Lekcija |
|---|---|---|
| 6 | Postoji postupak plaćanja: provjera povratnim pozivom na poznati broj kod promjene broja računa i druga osoba kod velikih ili neuobičajenih plaćanja. | 1.2 |
| 7 | Svatko može prepoznati phishing prema stvarnoj domeni poveznice i zna što učiniti nakon klika. | 3.1 do 3.5 |
| 8 | Postoji jedna kontaktna točka za prijavu s zamjenom, prijavljivanje se odvija bez krivnje, i barem nekoliko puta godišnje provodi se kratko ponavljanje. | 9.2 |
E-pošta, web stranica i domena
| Br. | Točka | Lekcija |
|---|---|---|
| 9 | Vaša domena ima SPF, DKIM i DMARC, a DMARC je postavljen barem na p=none s planom prelaska na quarantine ili reject. | 4.1 |
| 10 | Vaša web stranica posvuda radi putem https s valjanim certifikatom, preusmjerava http, a CMS s dodacima se ažurira. HSTS i sigurnosna zaglavlja su uključeni ili je o njima svjesno odlučeno. | 4.2 |
| 11 | Podaci o vlasniku Vaše domene su točni, automatsko produljenje je uključeno, registrar ima 2FA, nema "visećih" DNS zapisa, a DNSSEC je uključen gdje je to moguće. | 4.3 |
Uređaji i mreža
| Br. | Točka | Lekcija |
|---|---|---|
| 12 | Ažuriranja su automatski uključena za operacijske sustave, aplikacije i dodatke; router, NAS i pisač također se ažuriraju; ništa više ne radi bez mogućnosti ažuriranja. | 5.1 |
| 13 | Prijenosna računala i telefoni imaju zaključavanje zaslona i enkripciju diska, mogu se daljinski obrisati, i nitko ne radi svakodnevno s administratorskim računom. | 5.2 |
| 14 | Wi-Fi koristi WPA2 ili WPA3, zadana lozinka routera je promijenjena, a posjetitelji i pametni uređaji koriste gostujuću mrežu. | 5.3 |
Sigurnosne kopije
| Br. | Točka | Lekcija |
|---|---|---|
| 15 | Postoji sigurnosna kopija svega što je važno, uključujući e-poštu i cloud usluge, prema pravilu 3-2-1. | 6.1 |
| 16 | Barem jedna kopija je offline ili nepromjenjiva i ima vlastitu prijavu koja se ne koristi na radnim računalima. | 6.2 |
| 17 | U proteklu godinu proveden je test vraćanja, i znate koliko posla smijete izgubiti i koliko brzo podaci moraju biti vraćeni. | 6.3 |
Pristup, dobavljači i incidenti
| Br. | Točka | Lekcija |
|---|---|---|
| 18 | Svatko ima vlastiti račun samo s pravima koja su potrebna, administratorski računi su odvojeni, a kod odlaska zaposlenika svi pristupi se ukidaju istog dana. | 7.1 |
| 19 | Važni dobavljači i cloud usluge su procijenjeni, postoje ugovori o obradi podataka gdje je potrebno, a datoteke se dijele poveznicama s rokom isteka. | 7.2, 7.3 |
| 20 | Postoji kartica za postupanje u slučaju incidenta na papiru, postoji registar povreda osobnih podataka, i znate kada prijaviti AZOP-u, policiji i, ako se na Vas to odnosi, Nacionalnom CERT-u. | 8.1, 8.2, 8.3, 9.1 |
Prebrojite svoje odgovore. Puno odgovora "ne" nije razlog za zabrinutost: to je Vaša početna točka. Zato se to zove početno mjerenje.
Dio možete automatski provjeriti
Nekoliko točaka možete izmjeriti izvana, jer se odnose na javne podatke Vaše domene: točka 9 (SPF, DKIM, DMARC), točka 10 (https, certifikat, HSTS, zaglavlja) i točka 11 (DNSSEC, nameserveri, datum isteka). U zadatku A9.3 to ćete učiniti odjednom za vlastitu domenu, istim provjerama kao u zadacima modula 4. Neovisni testovi poput https://internet.nl i javne provjere na https://www.weboke.hr/zdravlje-domene i https://www.weboke.hr/provjera-e-poste gledaju slične točke.
Napomena: zeleni rezultat na tim točkama ništa ne govori o preostalih sedamnaest. Vaša domena može biti savršeno postavljena dok Vaš poštanski sandučić ima lozinku iz curenja podataka. Automatska provjera dio je početnog mjerenja, a ne njegova zamjena.
Od provjere do plana: određivanje prioriteta
Sada možda imate osam ili deset točaka s odgovorom "ne" ili "djelomično". Sve se ne može odjednom. Redoslijed birate pomoću dva pitanja.
1. Koliko je velik rizik? Koristite vjerojatnost x utjecaj (lekcija 1.1). Točka na koju cilja oportunistički napad, poput ponovno korištenih lozinki bez 2FA ili web stranice bez ažuriranja, ima veliku vjerojatnost. Točka koja u slučaju problema zaustavlja cijelo Vaše poslovanje, poput sigurnosne kopije koja ne radi, ima velik utjecaj.
2. Koliko truda to zahtijeva? Neke mjere koštaju sat vremena i ništa drugo, poput uključivanja dvofaktorske autentifikacije ili dogovora o postupku plaćanja. Druge koštaju tjedne, poput zamjene svih prijenosnih računala.
Rasporedite točke u jednostavnu shemu:
| Malo truda | Puno truda | |
|---|---|---|
| Velik rizik | Napraviti odmah (ovaj tjedan) | Planirati (ovo tromjesečje) |
| Mali rizik | Uključiti usput kad se ukaže prilika | Kasnije ili svjesno prihvatiti |
Pravilo je: brzo i jeftino prvo, pod uvjetom da je rizik velik. Kod većine malih poduzeća u polje "napraviti odmah" spadaju: dvofaktorska autentifikacija na e-pošti i banci (3), postupak plaćanja (6), uključivanje automatskih ažuriranja (12) i provjera postoji li kopija sigurnosne kopije izvan dohvata (16).
Svjesno prihvaćanje
Rizik možete i prihvatiti: odlučite da ga nećete rješavati jer je rizik malen ili su troškovi previsoki. To je valjan izbor, sve dok ga donesete svjesno i zapišete. "Zaboraviti" nije prihvaćanje.
Vlasnik i datum za svaku točku
Plan bez imena ostaje neizvršen. Svakoj točki dodijelite:
- vlasnika: jednu osobu koja se brine da se to doista provede. Ne mora biti osoba koja to i izvršava; IT tvrtka može obaviti posao, ali netko u Vašoj vlastitoj tvrtki provjerava je li gotovo;
- datum: do kada mora biti gotovo;
- definiciju "gotovo": kako znate da je dovršeno? Ne "urediti 2FA", nego "2FA je uključena na pet računa s popisa, Recovery Codes su u sefu".
Primjer tri retka iz plana Pekarnice Example:
| Točka | Radnja | Vlasnik | Gotovo do | Gotovo kad |
|---|---|---|---|---|
| 3 | 2FA na e-pošti, banci, računovodstvu i registraru | Petra | za 1 tjedan | Uključeno na sve četiri, Recovery Codes u upravitelju lozinki i na papiru u sefu |
| 6 | Postupak plaćanja na A4, dogovoren s Joostom i Sanne | Petra | za 2 tjedna | A4 visi u uredu, oboje su ga pročitali |
| 16 | Tjedna kopija na disku koji se nakon toga odvojeno pohranjuje u sef | Joost | za 1 mjesec | Prva tri tjedna provedena, jedna datoteka vraćena kao test |
Ponavljanje
Sigurnost nikada nije gotova. Dolaze novi zaposlenici, nove usluge, novi uređaji i novi trikovi. Zato se dogovorite:
- svake godine ponoviti cijelu provjeru, u stalnom mjesecu, i ažurirati plan;
- povremeno provesti provjeru kod velikih promjena: novi izrađivač web stranica, selidba hostinga, novo računovodstvo, nagli rast;
- nakon incidenta proći kroz točke koje su bile povezane s njim (lekcija 8.3).
Čuvajte rezultat svake provjere. Tada ćete nakon godinu dana crno na bijelo vidjeti što je poboljšano, i imat ćete odgovor kada Vas klijent upita kako stoji Vaša sigurnost. Nacionalni CERT nudi i preporuke za obrtnike i male i srednje poduzetnike koje možete koristiti uz ovaj popis; one daju popis radnji.
Sažetak
- Početno mjerenje s dvadeset stalnih točaka daje iskrenu sliku; svaka točka upućuje na lekciju u kojoj ste je naučili.
- Dio (e-pošta, web stranica, domena) možete automatski provjeriti, ali to ništa ne govori o ostalim točkama.
- Odredite prioritete prema vjerojatnosti x utjecaju i trudu: velik rizik uz malo truda prvo.
- Svaka točka u planu dobiva vlasnika, datum i definiciju "gotovo"; prihvaćanje je dopušteno, ali svjesno i zapisano na papiru.
- Ponovite provjeru svake godine i kod velikih promjena, i čuvajte rezultate.
Kviz
Zadatak
Zadatak A9.3: Automatska provjera sigurnosti Vaše domene. Unesite vlastitu domenu. Program odjednom provjerava e-poštu (SPF, DKIM, DMARC), web stranicu (https, certifikat, preusmjeravanje, HSTS, zaglavlja) i domenu (nameserveri, DNSSEC, datum isteka) i prikazuje koje su točke sigurnosne provjere zelene, narančaste ili crvene.
Zadatak D9.3: Vaša sigurnosna provjera i plan. Provedite provjeru od dvadeset točaka za vlastitu tvrtku. Zatim odaberite barem pet točaka, rasporedite ih u shemu rizika i truda, i izradite plan s vlasnikom, datumom i definicijom "gotovo" za svaku točku. Upišite u svoj kalendar kada ćete ponovno provesti provjeru.
Zadatak D9.3: Vaša provjera sigurnosti i plan
Evo kako to napraviti: (1) Prođite dvadeset točaka iz lekcije i za svaku unesite: da, djelomično ili ne. Za točke 9, 10 i 11 upotrijebite rezultat zadatka A9.3 (gumb preuzima crvene i narančaste točke). (2) Svaku točku s oznakom "djelomično" ili "ne" smjestite u shemu rizika (velik/malen) i truda (malo/puno). (3) Odaberite barem pet točaka. Počnite s poljima "velik rizik, malo truda". (4) Svakoj odabranoj točki dodijelite akciju, vlasnika, datum i definiciju gotovog. (5) Zapišite koje rizike svjesno prihvaćate, uz razlog. (6) U kalendar unesite fiksni mjesec za sljedeću potpunu provjeru i zapišite kod kojih promjena ćete provjeriti situaciju i prije toga. (7) Spremite rezultat (tečaj sprema popunjenu provjeru ako to želite; samo da/djelomično/ne po točki i Vaš plan, bez drugih podataka).
Vaše kvačice i bilješke ostaju samo u ovom pregledniku; ne šaljemo ih nikamo. Ako ste prijavljeni, u Moji tečajevi čuvamo samo podatak da ste zadatak završili.
Dodatno štivo
Koraci u WebOké člancima vrijede za okruženje WebOké; kod drugih pružatelja usluga postupak je sličan.
- Priručnik za WebOké 5.17: Zdravlje domene i e-pošte: provjera i popravak
- WebOké, Zdravlje domene / e-pošte (javna provjera): https://www.weboke.hr/zdravlje-domene
- WebOké, Provjera e-pošte: https://www.weboke.hr/provjera-e-poste
- Internet.nl, testirajte svoju web stranicu i e-poštu: https://internet.nl
- Nacionalni CERT, preporuke za obrtnike i male i srednje poduzetnike: https://www.cert.hr/