2. časť Kybernetická bezpečnosť v malých a stredných podnikoch

Realistický prístup ku kybernetickej bezpečnosti v sektore MsP

Úplným základom všetkých úvah o investíciách do bezpečnostných opatrení je zodpovedanie dvoch elementárnych otázok.

1. Aká je predpokladateľná strata v prípade denného výpadku nosných činností podniku?
2. Aká dlhá doba výpadku by bola pre podnik likvidačná?

Tieto dve hodnoty sú východiskovými parametrami pri rozhodovaní o primeranosti nákladov na zavedenie opatrení pre zvyšovanie úrovne bezpečnosti.

Základné východiská

Ak sa rozhodnete vo Vašom podniku realisticky pristúpiť k riešeniu bezpečnosti, potrebujete ako základ tejto stavby niekoľko východiskových podkladov.

Zoznam aktív

Prvým, je vyhotovenie zoznamu aktív tvoriacich IT infraštruktúru podniku. Aktuálny zoznam hardvérových, softvérových a ďalších aktív je nutným východiskom pre posúdenie reálnych rizík. Vedenie, a najmä pravidelná aktualizácia takéhoto zoznamu je možná rôznymi formami s rôznou efektivitou.

• manuálne – v tabuľkovej forme, jej udržiavanie v aktuálnom stave – prakticky sa to dá aj v excelovskej tabuľke, ale nad istý počet zariadení je takáto evidencia ťažkopádna a neudržateľná,
• pomocou špecializovanej aplikácie určenej pre jednoduché vedenie zoznamu aktív
• komplexné aplikácie Asset manažmentu – umožňujúce navyše rad automatizovaných činností, ako je napríklad namapovanie pripojeného nového zariadenia alebo nového softvéru/ aktualizácie, predefinovanie väzieb v rámci infraštruktúry pri premiestnení aktíva, vedenie licenčného manažmentu a rad ďalších činností zameraných na efektivizáciu

Praktickým benefitom komplexných aplikácií pre AM býva možnosť prepojenia s ďalšími využívanými nástrojmi, ako napríklad Service desk, nástroje sieťového monitoringu či bezpečnostných analytických nástrojov.

Čo minimálne by mal takýto zoznam obsahovať?

• jednoznačnú identifikáciu aktíva,
• definíciu jeho technických parametrov – napríklad konfigurácia PC zostavy, inštalovaný OŚ, inštalované aplikácie
• priradenie aktíva vlastníkovi (vlastník aktíva)

Analýza rizík

Cieľom tejto analýzy je zrozumiteľne, pomocou jednotného postupu stanoviť úroveň rizík pre jednotlivé prevádzkované aktíva, a tak stanoviť potrebu prijímania opatrení. Možností ako analýzu robiť je viacero – v praxi sa využíva kvalitatívna, kvantitatívna a zmiešaná (semikvantitatívna) metóda. Kvalitný návod, ako na to, poskytne napríklad Metodika analýzy rizík kybernetickej bezpečnosti, ktorú vydal Národný bezpečnostný úrad Slovenskej republiky. Nájdete ju na web stránke NBU – link    https://www.nbu.gov.sk/data/att/3446.pdf

Návrh opatrení

Po vykonaní analýzy rizík nasleduje návrh opatrení, ktoré majú za cieľ znižovať identifikované kritické riziká na akceptovateľnú úroveň.  Principiálne môžeme organizačné a technické opatrenia zameriavať na niekoľko možných úrovní ošetrenia rizika.

Zníženie rizika

• vyberáme také technické a organizačné opatrenia (operatívne/systémové), aby bola znížená úroveň rizika na akceptovateľnú úroveň

Vyhnutie sa riziku

• ak je identifikované riziko považované za príliš vysoké alebo náklady na ošetrenie rizika presahujú prínosy, je možné vyhnutie sa riziku jednou z dvoch foriem:
  • odobratie aktivity/ činnosti, ktorej sa predmetné riziko týka
  • zmenou podmienok, podľa ktorých bude činnosť prevádzkovaná.

Presun rizika

• určitá časť rizika bude zdieľaná s externými subjektmi (typicky poistenie, alebo výber zmluvného partnera, ktorého úlohou bude monitorovať proces a prijať okamžité opatrenia na zastavenie hrozby skôr, ako vznikne škoda).

Zachovanie (akceptácia) rizika

• za podmienky, že úroveň rizika spĺňa kritériá na akceptáciu rizika,

Častou chybou v tejto fáze býva vymýšľanie neadekvátnych organizačných aj technických opatrení presahujúcich reálnu potrebu, a často aj možnosti podniku. Pri výbere vhodných opatrení je nutné brať do úvahy niekoľko požiadaviek:

• opatrenia by mali odpovedať proporcionálne existujúcemu riziku (váhe rizika)
• ekonomická efektivita odpovedajúca ekonomickým možnostiam podniku
• používateľsky akceptovateľné (príjemné) opatrenia
• aplikovateľnosť v reálnych podmienkach prevádzkovateľa – príkladom môže byť situácia, kedy nasadenie možného technického bezpečnostného systému bolo možné len pri zásadnej zmene fungujúcej infraštruktúry vyžadujúcej extrémnu pracnosť a náklady

Opatrenia a jednoduchý plán reakcie

Pokúsme sa zosumarizovať základné oblasti opatrení, na ktoré je potrebné zamerať pozornosť pri budovaní bezpečnosti organizácie.

Jasné pravidlá hry

Bez jasne definovaných podmienok využívania podnikovej IKT infraštruktúry z hľadiska bezpečnosti nečakajte úspechy. Preto je nutné primárne definovať základné predpisy určujúce povinnosti pre každého zamestnanca pri práci s informačným systémom. Jednoducho bez písaných pravidiel (smerníc, štandardov) to bude problém. Netvorte robustný balík dokumentácie, finálnym cieľom je bezpečnosť nie byrokracia.

Prístupy a heslá

• používanie bezpečných hesiel a bezpečného prihlasovania

zachovávanie dôvernosti hesiel používateľmi

téma bezpečnosti prihlasovacích parametrov (meno/heslo) z hľadiska realizácie má niekoľko úrovní, ktoré musia byť zavedené, vynucované a kontrolované

zavedenie bezpečnostnej politiky zahrňujúcej základné požiadavky kladené na zamestnanca – obsahujúcej jednoznačnú definíciu bezpečných hesiel pre prihlasovanie k aktívam zamestnávateľa („ako vyzerá bezpečné heslo“), požiadaviek na zamestnancov, čo sa týka frekvencie zmeny hesiel, zachovávania dôvernosti hesiel a rad ďalších požiadaviek

zavedenie technických riešení umožňujúcich vynucovanie zavedenej politiky, riadenie existujúcich identít či zvyšovanie bezpečnosti prihlasovania (Active Directory, dvojfaktorové prihlasovanie, atď)

pravidelné vzdelávania zamestnancov zamerané aj na problematiku bezpečných prístupov, prihlasovania a návykov s nimi súvisiacich, vrátane testovania a kontroly dodržiavania požiadaviek

Ochrana pracovnej stanice

• bezpečnostný systém (antivírus)

prevádzkovanie IKT bez viacúrovňovej ochrany proti prieniku infiltrácií je dnes nepredstaviteľný hazard, a preto práve výberu a správnemu nasadeniu systémov umožňujúcim predíktívnu detekciu a reakciu proti rôznym rizikám infiltrácie je nutné venovať náležitú pozornosť

• funkčné zálohovanie dát

využívajte efektívnu a spoľahlivú stratégiu zálohovania – jednou z možných je stratégia 3-2-1

       vždy v sú k dispozícií 3 kópie dát

       uchovávané na 2 rôznych nosičoch

       1 záloha (kópia) je vždy uložená v inej lokalite než zdrojové dáta a ostatné 2 kópie

Pri návrhu zálohovania je vhodné nastaviť aj jednu základnú požiadavku, ktorá je v praxi najmä MSP podceňovaná, a to je definovanie frekvencie zálohovania. Tento proces býva pomerne komplikovaný, pretože nie vždy býva jednoduché dopracovať sa k odpovedi na jednoduchú otázku – „Ak dôjde k výpadku, k akému časovému bodu sa musíme byť schopní vrátiť zo zálohy bez vážneho dopadu na konkrétnu činnosť?“

doporučenie

túto etapu plánovania robte vždy priamo s vlastníkmi procesu – len oni vedia správne definovať maximálne prípustnú dobu medzi dvomi zálohovaniami

• pravidelné aktualizácie všetkých systémov a aplikácií

Zabezpečte, aby všetky operačné systémy, aplikácie na zariadeniach, ale aj ostatné zariadenia, ako napríklad tlačiarne, routre, firewally a rovnako rôzne technické zariadenia (najmä tie čo sú pripojené k internetu) mali nainštalované aktualizácie a záplaty vydané výrobcom zariadenia.

Pamätajte na skutočnosť, že nie všetky zariadenia si aktualizácie inštalujú automaticky, a preto by kontrola aktualizácií mala byť vykonávaná pravidelne. Problematiku monitorovania aktualizácií/ záplat je možné aj centralizovať a čiastočne automatizovať – takéto riešenie je dnes bežnou nadstavbou/ súčasťou moderných bezpečnostných riešení. Je však nutné zvážiť efektivitu investície do podobného nástroja.

• bezpečnosť mobilných prostriedkov a  BYOD zariadení

Nezabezpečené mobilné prostriedky t.j. zariadenia vynášané mimo perimeter organizácie (notebooky, mobilné telefóny, tablety ale rovnako aj USB pamäťové zariadenia) predstavujú zásadné riziko. Práve preto im je nutné venovať dominantnú pozornosť a vyriešiť nasledovné problematické oblasti

• zvážiť dôvodnosť a rizikovosť ukladania dát na takýchto zariadeniach
• ochrana dôvernosti dát na nich uložených – vhodné zvážiť formu prihlasovania a šifrovanie týchto dát
• opakované pripomínanie v rámci vzdelávania, aké platia základné zásady bezpečnosti pri mobilných zariadeniach (napr. nenechávať ich v aute pre nákupným centrom)
• pri BYOD zariadeniach mať definované bezpečnostné požiadavky ešte pred pripojením do podnikovej siete a vynucovať ich dodržiavanie

Odolnosť voči podvodným útokom (sociálnej manipulácii)

Odolnosť voči metódam manipulatívnych útokov je rámci podniku dosažiteľná niekoľkými úrovňami opatrení :

• nasadením vyššie uvedených technických opatrení (dominantne bezpečnostných systémov a funkčného zálohovania dát)
• prípravou zamestnancov zameranou na zvyšovanie znalostí a návykov pre identifikáciu pokusu o manipuláciu/podvod

cyklické, efektívne a účinné vzdelávanie zamestnancov je v súčasnej dobe preukázateľne najviac podceňovanou oblasťou riadenia rizík slovenských firiem a organizácií.

Častou otázkou je, čo by malo tvoriť vzdelávanie bežných zamestnancov. Nápovedou by mohla byť jednoduchá roadmapa symbolizujúca všeobecný stav bezpečnostného povedomia – oblastí, ktorým značná časť používateľov nerozumie a nemá osvojené elementárne znalosti potrebné pre orientáciu v spektre rizík.

Pochybenia z praxe v prístupe k vzdelávaniu zamestnancov

• nevenovanie pozornosti prichádzajúcim (novým) zamestnancom – poučenie, je často formálne realizované podpisom prehlásenia o poučení s minimálnym dosahom na zvýšenie bezpečnostných znalostí prípadne návykov,
• formálne poučenia – obvykle smerujúce na záväzok mlčanlivosti podľa GDPR smerujúce k vypodpisovaniu prezenčných listín,
• jednorázové aktivity – vyvolané najčastejšie novou požiadavkou legislatívy (nový zákon alebo novela zákona)
• vzdelávanie nereflektujúce podmienky v reálnej prevádzke „školíme všeobecne bez väzby na naše skutočné prevádzkové podmienky a skúsenosti v našej organizácii“
• a rad ďalších

Včasné riešenie a hlásenie incidentov

Správne fungujúci proces riadenia incidentov je základnou požiadavkou správnej reakcie na incidenčný stav. Prakticky to znamená nastavenie nasledovných podmienok:

• formálna definícia – formou interného predpisu popísaný celý proces eskalácie incidentu od definície incidentu až po popis vyžadovaného postupu a z neho vyplývajúcich povinností pre každého zamestnanca podieľajúceho sa riešení incidentu od jeho prvotnej identifikácie až po vyriešenie, dokumentáciu a prípadné nahlasovanie incidentu,
• odkomunikovanie predpisu a osvojenie predpísaných postupov so všetkými zamestnancami,
• vytvorenie vhodných informačných pomôcok pre zvládanie procesu (napríklad operatívne dostupný zoznam kontaktných osôb pre primárne nahlasovanie incidentu),
• prípadné nasadenie vhodnej aplikácie pre riadenie požiadaviek pri eskalácií a dokumentácií incidentu,

Proces vnútri podniku je nutné z hľadiska časového priebehu nastaviť aj s ohľadom na zákonné povinnosti. Napríklad, pre nahlasovanie incidentu, pri ktorom došlo k narušeniu práv dotknutých osôb v zmysle GDPR má prevádzkovateľ časový limit 72 hodín a tomuto limitu musí byť prispôsobené aj časové limity.

odporučenie

pre zamestnancov je ideálne aj v rámci ich vzdelávania komunikovať, že pri prvotnom identifikovaní majú povinnosť nahlasovať tento okamžite, bez akéhokoľvek odkladu.

Jednoduchý plán reakcie

Pri vzniku bezpečnostného incidentu je jedným z dôležitých faktorov zachovanie pokoja a operatívne konanie – rozvážne, premyslené a efektívne. Nepremyslené a nerozvážne kroky môžu viesť k zhoršeniu dopadov, a tak miesto riešenia smerujú kroky ku komplikovaniu stavu.

Preto je vhodné mať pre tento účel pripravený jednoduchý plán reakcie na rôzne scenáre, ktoré potenciálne môžu vzniknúť. Čo by mal takýto jednoduchý plán reakcie použiteľný v segmente MsP obsahovať?

1. stručný postup ako by mal zamestnanec konať v prvom okamihu – čo robiť a nerobiť v prípade, že identifikuje anomáliu poukazujúcu na problém.

ako napríklad:  odpojiť počítač od počítačovej siete – káblovej alebo wifi, nevypínať napájanie, odpojiť USB pamäťové zariadenia a podobne

2. kontakt na osoby určené pre riešenie krízových stavov – konkrétny menovitý zoznam s telefonickými číslami prípadne inú formu komunikácie komu má zamestnanec hlásiť primárne zistenia

3. definovanie rozsahu informácií, ktoré musí zamestnanec poskytnúť – ideálny je priamo zoznam, ktorý zamestnanca vedie a nedovolí mu v panike dávať informácie chaoticky

ako sa vraví v jednoduchosti je krása  – minimum informácií – kedy, kde, čo a akými následkami situácia nastala

4. stručný plán postupu pri obnove – ako správne postupovať pre čo najskorší návrat do pôvodného stavu – ideálne mať kontrolný zoznam popisujúci čo sa má urobiť, kto za tento krok zodpovedá, a kde nájde k tomu potrebné podklady (zálohy jednotlivých systémov, inštalačné sady alebo médiá, dokumentácie nastavení jednotlivých systémov

v tomto bode je dobrou pomôckou mať priamo aj aktuálny zoznam dodávateľov, servisných firiem, poskytovateľov služieb, vrátane prehľadu zmluvných parametrov s nimi (aké sú dohodnuté reakčné časy, kontakty na expertnú podporu a podobné informácie)

5. premyslená komunikácia smerom von (verejnosť, médiá, dodávatelia aj odberatelia) – tvoriť ju a hľadať správne slová v okamihu incidentu býva pod vplyvom stresu komplikované.

Dôležité je, aby tento plán bol k dispozícií každému, rýchlo a bez komplikovaných postupov. Dôležitým je mať ho aj vo vytlačenej forme – ak dôjde napríklad k útoku, pri ktorom budú zašifrované všetky zariadenia – aj ten najdokonalejší plán v elektronickej forme nebude vtedy použiteľný.

Frekventované nedostatky

Na záver prehľad najčastejšie identifikovaných nedostatkov v procesoch riadení bezpečnosti, s ktorými sa stretávame v praxi:

• neexistujúce alebo nedostatočné budovanie bezpečnostného povedomia
  • školenia sú často formálne, realizované v minimálne nutnom rozsahu legislatívnej zmeny bez budovania praktických znalostí odolnosti používateľov
  • nepreukazné – vedomosti nie sú testované
• dokumentácia/ smernice/ štandardy/ procesy
  • neodkomunikované preukazným spôsobom so zamestnancami, a teda nezavedené v súlade so zákonníkom práce
• neiplementované organizačné a technické opatrenia „BP v šuplíku nie je opatrenie“
• nedefinované zodpovednosti a právomoci (napríklad matica zastupiteľnosti)
• neexistujúce/ neaktualizované dokumenty
  • zoznam aktív (HW/SW)
  • riziková analýza
• nenastavené procesy exit manažmentu „zamestnanec odchádza, identita virtuálne ostáva“
• nedefinovaný a nezavedený recovery manažment (BCM)
• nedefinovaný a nezavedený incident manažment
• neriadená bezpečnosť BYOD zariadení
• neriadená bezpečnosť v dodávateľsko – odberateľskom reťazci
• chýbajúce pravidelné overovanie účinnosti a dostatočnosti opatrení

Podcenenie zvyšovania kybernetickej odolnosti podniku pokojne môžeme prehlásiť za neadekvátny hazard. Malé a stredné podniky otázky kybernetickej bezpečnosti najčastejšie otvárajú z dôvodu plnenia zákonných povinností a obavy z následkov ich nesplnenia.

Pokúste sa však na túto tému pozrieť z iného uhla pohľadu – z pohľadu ochrany vlastného biznisu. Z pohľadu, aký dopad by mal na nosné aktivity podniku incident, ktorý by vyradil fungovanie celého IKT alebo spôsobil únik strategických dát, na ktorých stojí fungovanie celého podniku a jeho zamestnancov. Táto otázka väčšinou zásadne mení pohľad na potrebu riadenia bezpečnosti, a podľa mojich skúseností dynamizuje postupy v riešení.