Bezpieczeństwo IT ułożone w warstwy, nie sprzedane na strachu
Nie powiemy Wam, że co jedenaście sekund ktoś jest atakowany. Powiemy, które warstwy ochrony mają sens przy Waszej skali, ile kosztują i czego żadna z nich nie gwarantuje.
Kiedy warto się tym zająć
Nie trzeba czekać na incydent. Te sytuacje wystarczają, żeby temat był realny.
Jeśli rozpoznajecie u siebie dwa albo trzy z tych objawów, bezpłatny przegląd IT pokaże, od czego zacząć.
- Pracownicy logują się do poczty firmowej samym hasłem, bez drugiego składnika.
- Kopia zapasowa istnieje, ale nikt nigdy nie sprawdził, czy da się z niej odtworzyć dane.
- Byli pracownicy mogą wciąż mieć aktywne konta albo dostęp do plików.
- Hasła administracyjne są te same w kilku miejscach.
- Nie ma listy urządzeń, więc nie da się powiedzieć, ile z nich ma aktualną ochronę.
- Firma przetwarza dane osobowe albo dane klientów objęte umową o zachowaniu poufności.
- Ubezpieczyciel albo kontrahent zaczął pytać o zabezpieczenia w ankiecie.
Warstwy, które wdrażamy w ramach tej usługi.
- 1
Uwierzytelnianie dwuskładnikowe
Wdrożenie drugiego składnika dla poczty, plików i kont administracyjnych. Jedna z najtańszych zmian, a przy tym zamyka najczęstszą drogę przejęcia konta.
- 2
Porządek w kontach i uprawnieniach
Przegląd kont, usunięcie nieużywanych, ograniczenie uprawnień administracyjnych i rozdzielenie konta administratora od konta do codziennej pracy.
- 3
Ochrona stacji roboczych i serwerów
Wdrożenie i utrzymanie ochrony endpointów w konsoli centralnej, z politykami dobranymi do stanowiska. Wariant podstawowy albo wariant z wykrywaniem i reakcją, zależnie od ryzyka.
- 4
Zabezpieczenie poczty
Uwierzytelnianie domeny nadawcy przez SPF, DKIM i DMARC, filtrowanie załączników i reguły dla wiadomości podszywających się pod zarząd. Poczta jest wciąż najczęstszą drogą wejścia.
- 5
Aktualizacje jako proces
Aktualizacje krytyczne dla bezpieczeństwa wchodzą priorytetowo i są odnotowane. Nieaktualne oprogramowanie to jedna z najczęstszych dróg ataku, także tam, gdzie działa antywirus.
- 6
Kopia zapasowa jako ostatnia linia
Kopia w trzech egzemplarzach, na dwóch nośnikach, z jednym egzemplarzem poza siedzibą, i test odtworzenia. To jedyna warstwa, która ratuje po udanym ataku szyfrującym.
- 7
Segmentacja sieci
Rozdzielenie sieci gości, pracowników, urządzeń produkcyjnych i serwerów. Ogranicza to, jak daleko może dojść atakujący po przejęciu jednego urządzenia.
- 8
Procedura zgłoszenia incydentu
Jedna kartka: co robi pracownik, kogo powiadamia, czego nie wolno robić i kto decyduje o odcięciu urządzenia od sieci. Przetestowana, nie tylko napisana.
Co dostajecie na piśmie.
Karta ryzyk z priorytetami
Lista zidentyfikowanych ryzyk uporządkowana według wpływu i kosztu usunięcia, z jawnym oznaczeniem tego, czego nie sprawdziliśmy.
Konfiguracja polityk bezpieczeństwa
Polityki ochrony endpointów, reguły poczty i ustawienia uwierzytelniania, opisane tak, żeby inny inżynier mógł je odtworzyć.
Procedura zgłoszenia incydentu
Jednostronicowy dokument do powieszenia obok stanowisk oraz wersja rozszerzona dla osoby decyzyjnej, z kolejnością działań i listą kontaktów.
Protokół testu odtworzenia kopii
Dokument potwierdzający, że kopia została odtworzona, co dokładnie odtworzono i ile to zajęło. Data i podpis, nie zapewnienie.
Kto odpowiada za co.
Bezpieczeństwo nie jest usługą, którą można kupić w całości i przestać o niej myśleć. Część odpowiedzialności zostaje po Waszej stronie i wolimy to powiedzieć na wejściu.
Po stronie NexaIT
- wdrożenie i utrzymanie objętych warstw ochrony oraz polityk w konsoli centralnej
- monitoring alertów bezpieczeństwa w ramach dostępnych narzędzi i w oknie wsparcia pakietu
- aktualizacje krytyczne dla bezpieczeństwa w objętym zakresie
- wsparcie techniczne przy obsłudze incydentu, w tym odcięcie urządzenia i odtworzenie danych z kopii
- cykliczny przegląd konfiguracji i raport ze stanu ochrony
- test odtworzenia kopii zapasowych zgodnie z zakresem pakietu
Po Waszej stronie
- decyzja o zakresie wdrażanych warstw i o budżecie na licencje
- zgoda na wprowadzenie uwierzytelniania dwuskładnikowego i przekazanie tej informacji pracownikom
- przeszkolenie pracowników w zakresie zgłaszania podejrzanych wiadomości
- niezwłoczne informowanie o odejściu pracownika, żeby dało się zablokować konta
- decyzje wymagające zgłoszenia incydentu organowi nadzorczemu albo klientom
- fizyczne zabezpieczenie pomieszczeń i nośników
- utrzymanie umów z dostawcami, którzy mają dostęp do Waszych systemów
Czego ta usługa nie obejmuje.
Jasne granice zakresu są częścią dobrej umowy. Mówimy o nich przed podpisaniem, a nie przy pierwszej fakturze.
Przy testach penetracyjnych, audycie zgodności i informatyce śledczej pomagamy znaleźć właściwego wykonawcę i uczestniczymy w rozmowie technicznej. Nie udajemy jednak, że robimy wszystko.
- gwarancji, że incydent nie wystąpi. Nie istnieje dostawca, który może to obiecać uczciwie
- testów penetracyjnych i audytu zgodności prowadzonego przez jednostkę certyfikującą
- reprezentacji prawnej i zgłoszeń do organu nadzorczego, które są decyzją i obowiązkiem administratora danych
- informatyki śledczej po incydencie, która jest osobną specjalizacją laboratoryjną
- odzyskiwania danych z fizycznie uszkodzonych nośników
- negocjacji z atakującym. Nie prowadzimy takich rozmów i nie rekomendujemy płacenia okupu
- licencji ochrony endpointów, którą rozliczamy osobno za każde urządzenie
- monitoringu poza oknem wsparcia w pakietach START IT i BUSINESS IT
Kiedy to dobry wybór, a kiedy nie
To ma sens, jeśli
- Firma przetwarza dane, których utrata albo wyciek miałby realne konsekwencje.
- Chcecie zacząć od rzeczy, które dają największą redukcję ryzyka, a nie od najdroższego narzędzia.
- Potrzebujecie odpowiedzieć na ankietę bezpieczeństwa od kontrahenta albo ubezpieczyciela.
- Bezpieczeństwo ma być utrzymywane, a nie wdrożone raz i zapomniane.
Nie polecamy, jeśli
- Szukacie certyfikatu zgodności. To zadanie dla jednostki certyfikującej, nie dla dostawcy IT.
- Oczekujecie gwarancji, że nic się nie stanie. Takiej gwarancji nie damy.
- Incydent już trwa i potrzebujecie informatyki śledczej. Wtedy pierwszy telefon powinien być do specjalistycznego zespołu reagowania.
- Firma nie jest gotowa na uwierzytelnianie dwuskładnikowe. Bez tego reszta warstw ma znacznie mniejszą wartość.
Co wpływa na cenę
- liczba urządzeń i serwerów objętych ochroną, bo licencja jest rozliczana za każde z nich
- wybrany wariant ochrony: podstawowy albo z wykrywaniem i reakcją
- liczba modułów dodatkowych, na przykład szyfrowania dysków albo zabezpieczenia poczty
- stan wejściowy: brak uwierzytelniania dwuskładnikowego i porządku w kontach oznacza więcej pracy na start
- liczba lokalizacji i to, czy trzeba segmentować sieć fizycznie
- czy potrzebny jest plan odtwarzania po awarii, a nie tylko kopia zapasowa
- czy wymagane jest raportowanie na potrzeby kontrahenta albo ubezpieczyciela
Pytania przed decyzją.
Czy ochrona antywirusowa jest w cenie opieki IT?
Nie. To dopłata rozliczana za każde urządzenie, od 19 zł netto miesięcznie za ochronę podstawową i od 29 zł za wariant z wykrywaniem i reakcją. Rozdzielenie tych pozycji jest celowe: płacicie za urządzenia, które faktycznie chronimy, a cenę opieki da się porównać z ofertami innych dostawców.
Od czego zaczęlibyście w firmie na 15 stanowisk?
Od uwierzytelniania dwuskładnikowego dla poczty i kont administracyjnych, przeglądu kont po byłych pracownikach oraz testu odtworzenia kopii zapasowej. Te trzy rzeczy kosztują niewiele, a usuwają najczęstsze drogi wejścia. Ochrona endpointów i segmentacja sieci to kolejny krok, nie pierwszy.
Co robicie, gdy dojdzie do incydentu?
Odcinamy zainfekowane urządzenia od sieci, zabezpieczamy to, co da się zabezpieczyć, oceniamy zakres i przystępujemy do odtworzenia danych z kopii. Równolegle informujemy osobę decyzyjną, bo część decyzji, w tym zgłoszenie do organu nadzorczego, należy do Was jako administratora danych. Nie prowadzimy negocjacji z atakującym.
Czy to wystarczy do zgodności z RODO?
To część techniczna i tylko ona. Zgodność obejmuje także rejestry, umowy powierzenia, podstawy przetwarzania i procedury, które są zadaniem administratora danych, często z udziałem prawnika. Mówimy o tym wprost, zamiast sprzedawać zabezpieczenia techniczne jako zgodność.
Z realizacji, bez nazw klientów.
Wszystkie realizacjeWiedza w tym temacie.
Wszystkie artykuły
Powiązane
Bezpłatnie · 60 minut online · bez zobowiązań
Przegląd IT, a nie rozmowa sprzedażowa.
- Rozmawiacie z inżynieremOnline, przez wideorozmowę. Nie z handlowcem. Niczego nie instalujemy i nie zmieniamy.
- Sprawdzamy 8 obszarówKopie, dostępy, sieć, pocztę, serwer, licencje, ochronę i gotowość na KSeF.
- Dostajecie kartęTrzy priorytety na jednej stronie, mailem po spotkaniu. Wasze, do dowolnego użytku.
Nie prowadzimy formularza kontaktowego. Odbieramy telefon i odpisujemy na pocztę.