Εν ολίγοις: Έναν πάροχο υπηρεσιών ασφάλειας IT τον βρίσκετε καλύτερα πριν τον χρειαστείτε επειγόντως. Συγκρίνετε τους παρόχους με συγκεκριμένες ερωτήσεις: Πώς προχωρούν, ποιος εργάζεται στα συστήματά σας, πώς διασφαλίζονται τα τεκμήρια, τι περιλαμβάνει η αναφορά και πού βρίσκονται τα όρια της προσφοράς τους. Οι αξιόπιστοι πάροχοι απαντούν σε αυτές τις ερωτήσεις με σαφήνεια και γραπτά. Οι απόλυτες υποσχέσεις, η πίεση και οι ασαφείς περιγραφές υπηρεσιών είναι σημάδια προειδοποίησης.
Γιατί η επιλογή είναι δύσκολη ακριβώς τώρα
Μετά από μια κατάσταση όπως το PHP2Shell η ζήτηση για υπηρεσίες ασφάλειας αυξάνεται απότομα. Ταυτόχρονα εμφανίζονται προσφορές που ακούγονται γρήγορες, ολοκληρωμένες και φθηνές. Για επιχειρήσεις χωρίς δικό τους τμήμα ασφάλειας είναι δύσκολο να ξεχωρίσουν την ποιότητα από το καλό μάρκετινγκ.
Προστίθεται η πίεση χρόνου. Όποιος υποπτεύεται παραβίαση, θέλει αμέσως βοήθεια και δεν έχει μια εβδομάδα για σύγκριση. Γι' αυτό αξίζει να κάνετε την επιλογή σε ήρεμους καιρούς και να διευκρινίσετε εκ των προτέρων τα βασικά σημεία. Το αν χρειάζεστε καν πάροχο υπηρεσιών, το απαντά το άρθρο μας Να διορθώσετε μόνοι σας ή να καλέσετε πάροχο υπηρεσιών;. Εδώ εξετάζουμε πώς θα βρείτε τον σωστό.
Εύρεση παρόχου υπηρεσιών ασφάλειας IT: οι 12 ερωτήσεις
Θέστε αυτές τις ερωτήσεις σε κάθε πάροχο που εξετάζετε. Οι απαντήσεις πρέπει να είναι συγκεκριμένες και κατά το δυνατό γραπτές.
- Ποια συστήματα γνωρίζετε από δική σας δουλειά; Ένας πάροχος ασφάλειας δικτύων δεν έχει αυτόματα εμπειρία με PHP-FPM, Plesk ή containers. Ρωτήστε για τα περιβάλλοντα στα οποία εργάζεται τακτικά η ομάδα.
- Ποιος εργάζεται συγκεκριμένα στα συστήματά μας; Δικοί σας εργαζόμενοι, συνεργάτες ή υπεργολάβοι; Στους συνεργάτες πρέπει να είναι σαφές ποιος αναλαμβάνει ποια εργασία και ποιος παραμένει υπεύθυνος απέναντί σας.
- Πώς μοιάζει η διαδικασία σας στα πρώτα βήματα; Οι καλές απαντήσεις αναφέρουν περιορισμό, διάσωση τεκμηρίων και καταγραφή κατάστασης πριν από κάθε καθαρισμό, όπως προβλέπει και ο Έλεγχος μετά από hack.
- Πώς διασφαλίζετε τεκμήρια; Διασώζονται logs και αρχεία πριν από αλλαγές, με χρονοσήμανση και άθροισμα ελέγχου; Αυτό είναι σημαντικό για ασφάλιση, γνωστοποιήσεις και μια πιθανή μήνυση.
- Ποιες προσβάσεις χρειάζεστε και πώς τις χειρίζεστε; Οι αξιόπιστοι πάροχοι ζητούν μόνο τα απαραίτητα δικαιώματα, χρησιμοποιούν προσωπικούς λογαριασμούς και επιστρέφουν τις προσβάσεις μετά την ολοκλήρωση.
- Υπάρχει γραπτή συμφωνία πριν από την πρόσβαση; Σε αυτήν ανήκουν η έκταση, οι εξουσίες και, για δεδομένα προσωπικού χαρακτήρα, σύμβαση εκτέλεσης επεξεργασίας. Περισσότερα στο Εκτέλεση επεξεργασίας όταν πάροχοι υπηρεσιών έχουν πρόσβαση σε διακομιστές.
- Ποιος αποφασίζει για βήματα με μεγάλες συνέπειες; Απενεργοποίηση, διαγραφή, νέα εγκατάσταση: ο πάροχος πρέπει να προτείνει και να αιτιολογεί τέτοια βήματα, η απόφαση παραμένει σε εσάς.
- Τι περιλαμβάνει η τελική αναφορά; Ζητήστε ένα παράδειγμα χωρίς δεδομένα πελατών. Μια καλή αναφορά διαχωρίζει το τεκμηριωμένο, το πιθανό και το άγνωστο και αναφέρει ανοιχτά σημεία.
- Πώς επικοινωνείτε κατά τη διάρκεια της ανάθεσης; Υπάρχουν σταθερά πρόσωπα επαφής, τακτικές ενδιάμεσες καταστάσεις και σαφές κανάλι για επείγουσες ερωτήσεις;
- Πού βρίσκονται τα όρια της προσφοράς σας; Νομική συμβουλευτική, επικοινωνία με αρχές ή εγκληματολογικές πραγματογνωμοσύνες για δικαστήρια δεν τις αναλαμβάνει ο καθένας. Ένας αξιόπιστος πάροχος το λέει από μόνος του.
- Πώς γίνεται η τιμολόγηση; Κατά προσπάθεια, κατ' αποκοπή ή ως συμφωνία-πλαίσιο; Ζητήστε να σας εξηγήσουν τι περιλαμβάνεται και τι όχι, ώστε να μην υπάρξουν εκπλήξεις αργότερα.
- Τι συμβαίνει μετά το περιστατικό; Υποστηρίζει ο πάροχος τη μεταγενέστερη επεξεργασία, τη σκλήρυνση και μια διαρκή υποστήριξη, ή η ανάθεση τελειώνει με τον καθαρισμό;
Σημάδια προειδοποίησης σε προσφορές
Ορισμένες διατυπώσεις πρέπει να σας κάνουν επιφυλακτικούς. Σε αυτές ανήκουν οι υποσχέσεις απόλυτης ασφάλειας, ο ισχυρισμός ότι μετά από έναν καθαρισμό «σίγουρα δεν υπάρχει πια τίποτα» στον διακομιστή, και δηλώσεις που γνωρίζουν το αποτέλεσμα χωρίς καταγραφή κατάστασης. Οι καλοί πάροχοι μιλούν για πιθανότητες και τεκμήρια.
Προσοχή ενδείκνυται και όταν ένας πάροχος πιέζει για προσβάσεις πριν διευκρινιστούν η έκταση και οι εξουσίες, ή όταν σας προσεγγίζει αυτόκλητα με email ή τηλέφωνο και ισχυρίζεται ότι ο διακομιστής σας έχει παραβιαστεί. Σε εβδομάδες κρίσης οι απατεώνες χρησιμοποιούν τέτοια τεχνάσματα. Ελέγξτε τον αποστολέα μέσω ανεξάρτητης οδού πριν αντιδράσετε.
Μια ακόμη υπόδειξη: λογότυπα, σφραγίδες και διακρίσεις τοποθετούνται εύκολα σε έναν ιστότοπο. Ρωτήστε σε περίπτωση αμφιβολίας ποιος χορήγησε μια σφραγίδα και τι ελέγχθηκε για αυτήν.
Δημόσια βοηθήματα προσανατολισμού
Η BSI (Ομοσπονδιακή Υπηρεσία Ασφάλειας Πληροφοριών της Γερμανίας) δημοσιεύει λίστες εξειδικευμένων παρόχων για συγκεκριμένους τομείς, για παράδειγμα για την αντίδραση σε επιθέσεις APT, δηλαδή στοχευμένες, μακροχρόνιες επιθέσεις, και για την άμυνα σε επιθέσεις DDoS. Αυτές οι λίστες είναι για οργανισμούς με αντίστοιχη ανάγκη ένα καλό σημείο προσανατολισμού. Ένα τυπικό περιστατικό σε έναν μεμονωμένο διακομιστή ιστού συχνά δεν εμπίπτει σε αυτές τις κατηγορίες· εδώ προσφέρονται και πάροχοι που δεν περιλαμβάνονται εκεί.
Χρήσιμες είναι επίσης οι συστάσεις από το δικό σας δίκτυο, για παράδειγμα από επαγγελματικές ενώσεις, επιμελητήρια, τον ασφαλιστή σας ή άλλες επιχειρήσεις που έζησαν ένα περιστατικό. Ορισμένοι ασφαλιστές κυβερνοκινδύνων αναφέρουν στους όρους τους δικά τους πρόσωπα επαφής ή παρόχους υπηρεσιών για την περίπτωση ζημίας. Ελέγξτε το ασφαλιστήριό σας πριν αναθέσετε μόνοι σας.
Καταγράψτε τις απαντήσεις στις δώδεκα ερωτήσεις σε έναν σύντομο πίνακα και φυλάξτε τον μαζί με το σχέδιο έκτακτης ανάγκης. Σε περίπτωση έκτακτης ανάγκης θα γνωρίζετε αμέσως ποιον να καλέσετε και τι έχει συμφωνηθεί.
Να καταγραφούν συμβατικά τα ουσιώδη
Ακόμη και με καλή επιλογή, τα σημαντικότερα σημεία πρέπει να ρυθμίζονται γραπτά: έκταση υπηρεσιών, προσβάσεις και επιστροφή τους, εμπιστευτικότητα, χειρισμός τεκμηρίων, υποχρεώσεις αναφοράς και τιμολόγηση. Ποιες ρήτρες έχουν νόημα, περιγράφει το Συμβάσεις παρόχων IT: σαφής ρύθμιση των υποχρεώσεων ασφαλείας. Το αν η σύμβασή σας ταιριάζει νομικά, το ελέγχει ένας δικηγόρος· εμείς παραδίδουμε γι' αυτό τα τεχνικά σημεία.
Πώς βοηθά συγκεκριμένα η PHP SOS;
- Απαντάμε γραπτά στις δώδεκα ερωτήσεις για τη δική μας προσφορά πριν μας αναθέσετε, και για τα όρια της υπηρεσίας μας.
- Αναφέρουμε ανοιχτά ποιες εργασίες αναλαμβάνουμε οι ίδιοι και πού εργαζόμαστε με εξειδικευμένους συνεργάτες, για παράδειγμα στην ψηφιακή εγκληματολογία ή στις δοκιμές διείσδυσης.
- Συμφωνούμε την έκταση, τις εξουσίες και, αν χρειάζεται, την εκτέλεση επεξεργασίας πριν από την πρώτη πρόσβαση.
- Στο περιστατικό εργαζόμαστε σύμφωνα με τη διαδικασία της αντιμετώπισης περιστατικών (incident response): περιορισμός, διάσωση, καθαρισμός, τεκμηρίωση.
Συμπέρασμα
Τον σωστό πάροχο υπηρεσιών ασφάλειας δεν τον αναγνωρίζετε από την πιο δυνατή υπόσχεση, αλλά από σαφείς απαντήσεις σε συγκεκριμένες ερωτήσεις. Όποιος θέτει τις δώδεκα ερωτήσεις σε ήρεμους καιρούς και καταγράφει τα αποτελέσματα, αποφασίζει σε περίπτωση έκτακτης ανάγκης ταχύτερα και καλύτερα.
Συχνές ερωτήσεις
Πώς αναγνωρίζω έναν αξιόπιστο πάροχο υπηρεσιών ασφάλειας IT;
Από σαφείς δηλώσεις για τη διαδικασία, τις αρμοδιότητες και τα όρια, από μια γραπτή συμφωνία πριν από την πρόσβαση και από μια αναφορά που διαχωρίζει το τεκμηριωμένο από το εικαζόμενο. Δυσπιστία ενδείκνυται σε απόλυτες υποσχέσεις και σε πίεση να παραδώσετε αμέσως προσβάσεις.
Τηρεί η BSI λίστα παρόχων υπηρεσιών;
Η BSI δημοσιεύει λίστες εξειδικευμένων παρόχων για συγκεκριμένους τομείς, για παράδειγμα για την αντίδραση σε επιθέσεις APT και για την άμυνα σε επιθέσεις DDoS. Αυτές οι λίστες αφορούν ειδικές καταστάσεις· για ένα τυπικό περιστατικό σε διακομιστή ιστού προσφέρονται και άλλοι πάροχοι.
Πρέπει να ζητήσω πολλές προσφορές;
Σε προγραμματιζόμενες αναθέσεις όπως σκλήρυνση, έλεγχος ή σύμβαση συντήρησης, ναι. Σε οξεία έκτακτη ανάγκη συχνά λείπει ο χρόνος. Γι' αυτό είναι ακόμη σημαντικότερο να επιλέξετε εκ των προτέρων έναν πάροχο και να διευκρινίσετε τα βασικά σημεία πριν συμβεί κάτι.
Επιτρέπεται στον πάροχο να απενεργοποιεί συστήματα ή να διαγράφει δεδομένα μόνος του;
Μόνο αν το έχετε συμφωνήσει ρητά. Ένας καλός πάροχος ρωτά σε βήματα με μεγάλες συνέπειες και τεκμηριώνει την απόφασή σας. Ορίστε εκ των προτέρων ποιος από την πλευρά σας δικαιούται να λαμβάνει τέτοιες αποφάσεις.