Lyhyesti: IT-tietoturvapalveluntarjoajan löydätte parhaiten ennen kuin tarvitsette sitä kiireellisesti. Vertailkaa toimittajia konkreettisten kysymysten avulla: miten he toimivat, kuka työskentelee järjestelmissänne, miten todisteet turvataan, mitä raportissa on ja missä tarjonnan rajat ovat. Vakavasti otettavat toimittajat vastaavat näihin kysymyksiin selkeästi ja kirjallisesti. Ehdottomat lupaukset, paine ja epämääräiset palvelukuvaukset ovat varoitusmerkkejä.
Miksi valinta on juuri nyt vaikea
PHP2Shellin kaltaisen tilanteen jälkeen tietoturvapalvelujen kysyntä kasvaa äkillisesti. Samalla ilmestyy tarjouksia, jotka kuulostavat nopeilta, kattavilta ja edullisilta. Yrityksen, jolla ei ole omaa tietoturvaosastoa, on vaikea erottaa laatu hyvästä markkinoinnista.
Lisäksi on aikapaine. Joka epäilee murtoa, haluaa apua heti eikä ole viikkoa vertailuun. Siksi kannattaa tehdä valinta rauhallisina aikoina ja selvittää keskeiset asiat etukäteen. Se, tarvitsetteko palveluntarjoajaa ylipäätään, selviää kirjoituksestamme Korjaatteko itse vai kutsutteko palveluntarjoajan?. Tässä on kyse siitä, miten löydätte oikean.
IT-tietoturvapalveluntarjoajan valinta: 12 kysymystä
Esittäkää nämä kysymykset jokaiselle toimittajalle, jota harkitsette. Vastausten pitäisi olla konkreettisia ja mahdollisuuksien mukaan kirjallisia.
- Mitä järjestelmiä tunnette omasta työstänne? Verkkoturvallisuuden toimittaja ei ole automaattisesti kokenut PHP-FPM:n, Pleskin tai konttien kanssa. Kysykää ympäristöistä, joissa tiimi työskentelee säännöllisesti.
- Kuka työskentelee konkreettisesti järjestelmissämme? Omat työntekijät, kumppanit vai alihankkijat? Kumppaneiden kohdalla pitäisi olla selvää, kuka tekee minkäkin tehtävän ja kuka pysyy teihin nähden vastuussa.
- Millaiset ovat ensimmäiset toimenpiteenne? Hyvät vastaukset mainitsevat rajaamisen, todisteiden turvaamisen ja tilannekartoituksen ennen jokaista puhdistusta, kuten myös tarkistuslista hakkeroinnin jälkeen edellyttää.
- Miten turvaatte todisteet? Turvataanko lokit ja tiedostot ennen muutoksia, aikaleimalla ja tarkistussummalla? Se on tärkeää vakuutukselle, ilmoituksille ja mahdolliselle rikosilmoitukselle.
- Mitä käyttöoikeuksia tarvitsette ja miten käsittelette niitä? Vakavasti otettavat toimittajat pyytävät vain tarvittavat oikeudet, käyttävät henkilökohtaisia tilejä ja palauttavat käyttöoikeudet työn päätyttyä.
- Onko kirjallinen sopimus ennen pääsyä? Siihen kuuluvat laajuus, valtuudet ja henkilötietojen kohdalla henkilötietojen käsittelyä koskeva sopimus. Lisää sivulla Henkilötietojen käsittely, kun palveluntarjoaja pääsee palvelimille.
- Kuka päättää kauaskantoisista vaiheista? Sulkeminen, poistaminen, uudelleenasennus: toimittajan pitäisi ehdottaa ja perustella tällaiset vaiheet, päätös jää teille.
- Mitä loppuraportissa on? Kysykää esimerkkiä ilman asiakastietoja. Hyvä raportti erottaa todistetun, todennäköisen ja tuntemattoman ja nimeää avoimet kohdat.
- Miten viestitte toimeksiannon aikana? Onko kiinteät yhteyshenkilöt, säännölliset välitilanteet ja selkeä kanava kiireellisille kysymyksille?
- Missä tarjontanne rajat ovat? Oikeudellista neuvontaa, viranomaisyhteyksiä tai oikeudelle tarkoitettuja rikosteknisiä lausuntoja ei hoida jokainen. Vakavasti otettava toimittaja kertoo sen itse.
- Miten laskutatte? Työmäärän mukaan, kiinteästi vai puitesopimuksella? Antakaa selittää, mitä sisältyy ja mitä ei, jotta myöhemmin ei tule yllätyksiä.
- Mitä häiriön jälkeen tapahtuu? Tukeeko toimittaja jälkityössä, koventamisessa ja pysyvässä ylläpidossa, vai päättyykö toimeksianto puhdistukseen?
Tarjousten varoitusmerkit
Jotkin muotoilut kannattaa panna merkille. Niihin kuuluvat lupaukset ehdottomasta turvallisuudesta, väite, että puhdistuksen jälkeen palvelimella ei ”varmasti ole enää mitään”, ja lausunnot, jotka tietävät tuloksen jo ilman tilannekartoitusta. Hyvät toimittajat puhuvat todennäköisyyksistä ja todisteista.
Varovaisuus on paikallaan myös, jos toimittaja painostaa käyttöoikeuksiin ennen kuin laajuus ja valtuudet on selvitetty, tai jos hän ottaa pyytämättä yhteyttä sähköpostitse tai puhelimitse ja väittää palvelimenne olevan murrettu. Kriisiviikoilla huijarit käyttävät tällaisia keinoja. Tarkistakaa lähettäjä riippumattoman reitin kautta ennen kuin reagoitte.
Vielä yksi huomio: logot, sinetit ja palkinnot on helppo laittaa verkkosivustolle. Kysykää epäselvässä tapauksessa, kuka sinetin on myöntänyt ja mitä varten tarkastettiin.
Julkiset suuntaviivat
BSI julkaisee luetteloita pätevistä palveluntarjoajista tietyille alueille, esimerkiksi niin sanottuihin APT-hyökkäyksiin eli kohdennettuihin, pitkäkestoisiin hyökkäyksiin reagointiin ja DDoS-hyökkäysten torjuntaan. Nämä luettelot ovat hyvä suuntaviiva organisaatioille, joilla on vastaava tarve. Tyypillinen häiriö yksittäisellä verkkopalvelimella ei usein kuulu näihin luokkiin; silloin kyseeseen tulevat myös toimittajat, joita näissä luetteloissa ei ole.
Hyödyllisiä ovat lisäksi suositukset omasta verkostosta, esimerkiksi alajärjestöiltä, kauppakamareilta, vakuutusyhtiöltänne tai muilta yrityksiltä, jotka ovat kokeneet häiriön. Jotkin kybervakuutusyhtiöt nimeävät ehdoissaan omat yhteyshenkilönsä tai palveluntarjoajansa vahinkotilanteessa. Tarkistakaa vakuutuskirjanne ennen kuin tilaatte itse.
Kirjatkaa vastaukset kahteentoista kysymykseen lyhyeen taulukkoon ja pitäkää se hätäsuunnitelman mukana. Hätätilanteessa tiedätte silloin heti, kenelle soitatte ja mitä on sovittu.
Sopikaa kirjallisesti, mikä merkitsee
Hyvästä valinnasta huolimatta tärkeimmät asiat pitäisi sopia kirjallisesti: palvelun laajuus, käyttöoikeudet ja niiden palautus, luottamuksellisuus, todisteiden käsittely, raportointivelvoitteet ja laskutus. Mitkä lausekkeet ovat järkeviä, kuvaa kirjoitus IT-palveluntarjoajan sopimukset: tietoturvavelvoitteet selkeiksi. Se, sopiiko sopimuksenne oikeudellisesti, tarkistetaan asianajajalla; me toimitamme siihen tekniset kohdat.
Miten PHP SOS auttaa konkreettisesti?
- Vastaamme kahteentoista kysymykseen omasta tarjonnastamme kirjallisesti ennen kuin tilaatte meidät, myös palvelumme rajoista.
- Kerromme avoimesti, mitkä tehtävät hoidamme itse ja missä työskentelemme erikoistuneiden kumppanien kanssa, esimerkiksi rikosteknisessä tutkinnassa tai tunkeutumistesteissä.
- Sovimme laajuudesta, valtuuksista ja tarvittaessa henkilötietojen käsittelystä ennen ensimmäistä pääsyä.
- Häiriössä toimimme Incident Response -palvelumme kulun mukaan: rajaaminen, turvaaminen, puhdistus, dokumentointi.
Yhteenveto
Oikean tietoturvapalveluntarjoajan tunnistatte ei kovimmasta lupauksesta vaan selkeistä vastauksista konkreettisiin kysymyksiin. Joka esittää kaksitoista kysymystä rauhallisina aikoina ja kirjaa tulokset, päättää hätätilanteessa nopeammin ja paremmin.
Usein kysytyt kysymykset
Mistä tunnistan vakavasti otettavan IT-tietoturvapalveluntarjoajan?
Selkeistä lausunnoista toimintatavasta, vastuista ja rajoista, kirjallisesta sopimuksesta ennen pääsyä sekä raportista, joka erottaa todistetun oletetusta. Epäluuloa kannattaa tuntea ehdottomien lupausten ja paineen edessä luovuttaa heti käyttöoikeuksia.
Ylläpitääkö BSI luetteloa palveluntarjoajista?
BSI julkaisee luetteloita pätevistä palveluntarjoajista tietyille alueille, esimerkiksi reagointiin APT-hyökkäyksissä ja DDoS-hyökkäysten torjuntaan. Nämä luettelot koskevat erityistilanteita; tyypillisessä verkkopalvelinhäiriössä myös muut toimittajat tulevat kyseeseen.
Pitäisikö pyytää useita tarjouksia?
Suunniteltavissa toimeksiannoissa kuten koventamisessa, auditoinnissa tai huoltosopimuksessa kyllä. Akuutissa hätätilanteessa siihen ei usein ole aikaa. Siksi on sitäkin tärkeämpää valita toimittaja etukäteen ja selvittää keskeiset asiat ennen kuin mitään tapahtuu.
Saako palveluntarjoaja sulkea järjestelmiä tai poistaa tietoja itse?
Vain jos olette siitä nimenomaisesti sopineet. Hyvä palveluntarjoaja kysyy kauaskantoisissa vaiheissa ja dokumentoi päätöksenne. Sopikaa etukäteen, kuka teidän puoleltanne saa tehdä tällaisia päätöksiä.