Moduł 9 · 9.3
Własna kontrola bezpieczeństwa i plan
Moduł 9: Przepisy i organizacja · Czas czytania: 12 minut
Cel lekcji: Po tej lekcji będą Państwo potrafili przeprowadzić własną kontrolę bezpieczeństwa na podstawie stałej listy i przekształcić wyniki w plan priorytetów.
Kluczowe pojęcia: środki podstawowe, pomiar wyjściowy, ustalanie priorytetów (prawdopodobieństwo x skutek, najpierw szybkie i tanie), właściciel i data, coroczne powtarzanie
Od wiedzy do działania
W tym kursie zobaczyli już Państwo wiele zagadnień: hasła, phishing, pocztę e-mail i domenę, urządzenia, kopie zapasowe, uprawnienia, incydenty i przepisy. Ryzyko polega teraz na tym, że zaczynają Państwo trochę wszystkiego, a nic nie kończą. Ta lekcja przekształca całą wiedzę w dwie rzeczy, które samodzielnie Państwo przygotują:
- pomiar wyjściowy: rzetelny obraz tego, jak obecnie wygląda sytuacja;
- plan: co robią Państwo najpierw, kto to robi i kiedy ma to być gotowe.
Poniższa lista zawiera środki podstawowe: środki, które powstrzymują większość ataków oportunistycznych (lekcja 1.1) i o które zwykle pyta klient, jeśli stawia wymagania swoim dostawcom (lekcja 9.1). Nie jest to pełna norma, taka jak ISO 27001, i nie musi nią być. To podstawa, która w małej firmie robi różnicę.
Kontrola bezpieczeństwa: dwadzieścia punktów
Proszę odpowiedzieć na każdy punkt: tak, częściowo lub nie. Proszę być surowym: „chyba tak” to „częściowo”. Za każdym punktem podana jest lekcja, w której Państwo się tego nauczyli.
Konta i logowanie
| Nr | Punkt | Lekcja |
|---|---|---|
| 1 | Istnieje przegląd wszystkich kont, urządzeń, stron internetowych, domen i dostawców, z właścicielem przypisanym do każdego elementu. To, co nie jest już używane, zostało uporządkowane. | 1.1, 7.2 |
| 2 | Każdy korzysta z menedżera haseł i ma dla każdej usługi unikalne, długie hasło. Hasła nie są udostępniane przez e-mail ani czat. | 2.1, 2.2 |
| 3 | Uwierzytelnianie dwuskładnikowe jest włączone na poczcie, koncie bankowym, w księgowości, hostingu, u rejestratora domen i w mediach społecznościowych; dla administratorów najlepiej forma odporna na phishing, taka jak passkey lub klucz zabezpieczający. | 2.3, 2.4 |
| 4 | Kody odzyskiwania i zapasowe klucze są bezpiecznie przechowywane i wiedzą Państwo, co zrobić w razie zgubienia telefonu. | 2.3, 2.4 |
| 5 | Sprawdzili Państwo, czy adresy firmowe pojawiają się w znanych wyciekach danych, i wiedzą Państwo, jak wylogować sesje oraz skontrolować reguły przekierowania poczty. | 1.4, 2.5 |
Ludzie i procesy
| Nr | Punkt | Lekcja |
|---|---|---|
| 6 | Istnieje procedura płatności: oddzwanianie na znany numer w przypadku zmiany numeru rachunku oraz druga osoba przy dużych lub nietypowych płatnościach. | 1.2 |
| 7 | Każdy potrafi rozpoznać phishing po rzeczywistej domenie linku i wie, co zrobić po kliknięciu. | 3.1 do 3.5 |
| 8 | Istnieje jeden punkt zgłoszeń z zastępcą, zgłaszanie odbywa się bez obwiniania, a krótkie przypomnienie odbywa się co najmniej kilka razy w roku. | 9.2 |
E-mail, strona internetowa i domena
| Nr | Punkt | Lekcja |
|---|---|---|
| 9 | Państwa domena ma SPF, DKIM i DMARC, a DMARC jest ustawiony co najmniej na p=none wraz z planem przejścia na quarantine lub reject. | 4.1 |
| 10 | Strona internetowa działa wszędzie przez https z ważnym certyfikatem, przekierowuje http, a system CMS wraz z wtyczkami jest aktualizowany. HSTS i nagłówki bezpieczeństwa są włączone lub świadomie rozważone. | 4.2 |
| 11 | Dane posiadacza domeny są poprawne, automatyczne przedłużanie jest włączone, rejestrator ma 2FA, nie ma nieużywanych rekordów DNS, a DNSSEC jest włączony tam, gdzie to możliwe. | 4.3 |
Urządzenia i sieć
| Nr | Punkt | Lekcja |
|---|---|---|
| 12 | Aktualizacje są włączone automatycznie dla systemów operacyjnych, aplikacji i wtyczek; router, NAS i drukarka są również aktualizowane; nie działa już nic, co nie otrzymuje aktualizacji. | 5.1 |
| 13 | Laptopy i telefony mają blokadę ekranu i szyfrowanie dysku, można je zdalnie wymazać, a nikt nie pracuje na co dzień z kontem administratora. | 5.2 |
| 14 | Sieć wifi korzysta z WPA2 lub WPA3, domyślne hasło routera zostało zmienione, a goście i inteligentne urządzenia znajdują się w sieci dla gości. | 5.3 |
Kopie zapasowe
| Nr | Punkt | Lekcja |
|---|---|---|
| 15 | Istnieje kopia zapasowa wszystkiego, co ważne, także poczty i usług chmurowych, zgodnie z zasadą 3-2-1. | 6.1 |
| 16 | Co najmniej jedna kopia jest offline lub niezmienialna i ma własne logowanie, które nie jest używane na komputerach roboczych. | 6.2 |
| 17 | W ciągu ostatniego roku wykonano test przywracania i wiedzą Państwo, ile pracy mogą Państwo utracić i jak szybko dane muszą zostać przywrócone. | 6.3 |
Dostęp, dostawcy i incydenty
| Nr | Punkt | Lekcja |
|---|---|---|
| 18 | Każdy ma własne konto z wyłącznie potrzebnymi uprawnieniami, konta administratorów są oddzielne, a przy odejściu pracownika wszystkie dostępy są odbierane tego samego dnia. | 7.1 |
| 19 | Ważni dostawcy i usługi chmurowe zostały ocenione, w razie potrzeby istnieją umowy powierzenia przetwarzania danych, a pliki są udostępniane za pomocą linków z datą wygaśnięcia. | 7.2, 7.3 |
| 20 | Wisi papierowa karta postępowania w razie incydentu, istnieje rejestr naruszeń ochrony danych, a Państwo wiedzą, kiedy zgłosić sprawę do UODO, na Policję oraz, jeśli Państwa firma podlega przepisom, do CERT Polska. | 8.1, 8.2, 8.3, 9.1 |
Proszę policzyć swoje odpowiedzi. Dużo „nie” to nie powód do niepokoju: to Państwa punkt wyjścia. Dlatego nazywa się to pomiarem wyjściowym.
Część można skontrolować automatycznie
Kilka punktów można zmierzyć z zewnątrz, ponieważ dotyczą danych publicznych Państwa domeny: punkt 9 (SPF, DKIM, DMARC), punkt 10 (https, certyfikat, HSTS, nagłówki) oraz punkt 11 (DNSSEC, serwery nazw, data wygaśnięcia). W zadaniu A9.3 zrobią Państwo to za jednym razem dla własnej domeny, z użyciem tych samych kontroli co w zadaniach modułu 4. Niezależne testy, takie jak https://internet.nl, oraz publiczne kontrole na stronach https://www.weboke.pl/domein-gezondheid i https://www.weboke.pl/emailcheck sprawdzają podobne punkty.
Uwaga: wynik pozytywny w tych punktach nic nie mówi o pozostałych siedemnastu. Domena może być skonfigurowana idealnie, podczas gdy Państwa skrzynka pocztowa ma hasło pochodzące z wycieku danych. Automatyczna kontrola jest częścią pomiaru wyjściowego, a nie jego zastąpieniem.
Od kontroli do planu: ustalanie priorytetów
Mają Państwo teraz być może osiem lub dziesięć punktów oznaczonych jako „nie” lub „częściowo”. Nie wszystko da się zrobić naraz. Kolejność ustalają Państwo za pomocą dwóch pytań.
1. Jak duże jest ryzyko? Proszę zastosować prawdopodobieństwo x skutek (lekcja 1.1). Punkt, na który celuje atak oportunistyczny, taki jak ponownie używane hasła bez 2FA lub strona internetowa bez aktualizacji, ma duże prawdopodobieństwo. Punkt, który w razie problemu całkowicie zatrzymuje działanie firmy, taki jak niedziałająca kopia zapasowa, ma duży skutek.
2. Ile wysiłku to kosztuje? Niektóre środki kosztują godzinę i nic więcej, na przykład włączenie uwierzytelniania dwuskładnikowego lub ustalenie procedury płatności. Inne kosztują tygodnie, na przykład wymiana wszystkich laptopów.
Proszę ułożyć punkty w prostym schemacie:
| Mało wysiłku | Dużo wysiłku | |
|---|---|---|
| Duże ryzyko | Zrobić teraz (w tym tygodniu) | Zaplanować (w tym kwartale) |
| Małe ryzyko | Uwzględnić, gdy nadarzy się okazja | Później lub świadomie zaakceptować |
Zasada brzmi: najpierw szybko i tanio, o ile ryzyko jest duże. W większości małych firm w polu „zrobić teraz” lądują: uwierzytelnianie dwuskładnikowe na poczcie i koncie bankowym (3), procedura płatności (6), włączenie automatycznych aktualizacji (12) oraz sprawdzenie, czy istnieje kopia kopii zapasowej poza zasięgiem (16).
Świadoma akceptacja
Ryzyko można też zaakceptować: decydują Państwo, że go nie rozwiążą, ponieważ ryzyko jest małe lub koszty zbyt wysokie. To ważny wybór, pod warunkiem że podejmują go Państwo świadomie i zapisują. „Zapomnienie” nie jest akceptacją.
Właściciel i data dla każdego punktu
Plan bez nazwisk pozostaje niezrealizowany. Proszę przypisać każdemu punktowi:
- właściciela: jedną osobę, która zadba o to, by zostało to wykonane. Nie musi to być osoba, która to wykonuje; firma informatyczna może wykonać pracę, ale ktoś w Państwa własnej firmie sprawdza, czy zostało to ukończone;
- datę: kiedy ma to być gotowe;
- definicję „gotowe”: skąd Państwo wiedzą, że to zostało zakończone? Nie „załatwić 2FA”, ale „2FA jest włączone na pięciu kontach z listy, kody odzyskiwania znajdują się w sejfie”.
Przykład trzech wierszy z planu Piekarni Example:
| Punkt | Działanie | Właściciel | Gotowe za | Gotowe, gdy |
|---|---|---|---|---|
| 3 | 2FA na poczcie, koncie bankowym, w księgowości i u rejestratora | Petra | za 1 tydzień | Włączone na wszystkich czterech, kody odzyskiwania w menedżerze haseł oraz na papierze w sejfie |
| 6 | Procedura płatności na kartce A4, omówiona z Joostem i Sanne | Petra | za 2 tygodnie | Kartka A4 wisi przy biurze, obaj ją przeczytali |
| 16 | Cotygodniowa kopia na dysku, który następnie trafia osobno do sejfu | Joost | za 1 miesiąc | Wykonano pierwsze trzy tygodnie, jeden plik przywrócono jako test |
Powtarzanie
Bezpieczeństwo nigdy nie jest w pełni gotowe. Pojawiają się nowi pracownicy, nowe usługi, nowe urządzenia i nowe sztuczki. Proszę więc ustalić:
- co roku pełną kontrolę od nowa, w stałym miesiącu, oraz aktualizację planu;
- pomiędzy wykonywanie kontroli przy dużych zmianach: nowy twórca stron internetowych, przeprowadzka hostingu, nowa księgowość, gwałtowny wzrost firmy;
- po incydencie przejrzenie punktów, które miały z nim związek (lekcja 8.3).
Proszę zachować wynik każdej kontroli. Wtedy po roku zobaczą Państwo czarno na białym, co się poprawiło, i będą mieli Państwo odpowiedź, gdy klient zapyta, jak wygląda Państwa bezpieczeństwo. CERT Polska udostępnia również własne poradniki dla jednoosobowych działalności gospodarczych i małych oraz średnich firm, z których można skorzystać obok tej listy; dają one gotową listę działań.
Podsumowanie
- Pomiar wyjściowy z dwudziestoma stałymi punktami daje rzetelny obraz sytuacji; każdy punkt odsyła do lekcji, w której Państwo się go nauczyli.
- Część (e-mail, strona internetowa, domena) można skontrolować automatycznie, ale nic to nie mówi o pozostałych punktach.
- Priorytety ustala się według prawdopodobieństwa x skutku oraz wysiłku: duże ryzyko przy małym wysiłku najpierw.
- Każdy punkt w planie otrzymuje właściciela, datę i definicję „gotowe”; akceptacja jest dozwolona, ale świadoma i zapisana na papierze.
- Kontrolę należy powtarzać co roku oraz przy dużych zmianach, a wyniki przechowywać.
Quiz
Zadanie
Zadanie A9.3: Automatyczna kontrola domeny. Proszę wpisać własną domenę. Program sprawdza za jednym razem pocztę e-mail (SPF, DKIM, DMARC), stronę internetową (https, certyfikat, przekierowanie, HSTS, nagłówki) oraz domenę (serwery nazw, DNSSEC, data wygaśnięcia) i pokazuje, które punkty kontroli bezpieczeństwa są zielone, pomarańczowe lub czerwone.
Zadanie D9.3: Własna kontrola bezpieczeństwa i plan. Proszę przeprowadzić kontrolę dwudziestu punktów dla własnej firmy. Następnie proszę wybrać co najmniej pięć punktów, umieścić je w schemacie ryzyka i wysiłku oraz sporządzić plan z właścicielem, datą i definicją „gotowe” dla każdego punktu. Proszę zaznaczyć w kalendarzu, kiedy kontrola zostanie powtórzona.
Zadanie D9.3: Kontrola bezpieczeństwa i plan
Jak się do tego zabrać: (1) Proszę przejrzeć dwadzieścia punktów z lekcji i przy każdym zaznaczyć: tak, częściowo lub nie. Przy punktach 9, 10 i 11 proszę skorzystać z wyniku zadania A9.3 (przycisk przenosi czerwone i pomarańczowe punkty). (2) Proszę umieścić każdy punkt oznaczony jako "częściowo" lub "nie" w schemacie ryzyka (duże/małe) i wysiłku (mało/dużo). (3) Proszę wybrać co najmniej pięć punktów. Proszę zacząć od pól "duże ryzyko, mało wysiłku". (4) Proszę przypisać każdemu wybranemu punktowi działanie, osobę odpowiedzialną, termin i definicję ukończenia. (5) Proszę zapisać, które ryzyka są świadomie akceptowane, wraz z uzasadnieniem. (6) Proszę zaplanować w kalendarzu stały miesiąc na kolejną pełną kontrolę i zapisać, przy jakich zmianach warto wrócić do tego tematu wcześniej. (7) Proszę zachować wynik (kurs zapisuje wypełnioną kontrolę, jeśli Państwo sobie tego życzą; tylko odpowiedzi tak/częściowo/nie przy każdym punkcie oraz plan, bez innych danych).
Zaznaczenia i notatki pozostają tylko w tej przeglądarce; nie są nigdzie wysyłane. Po zalogowaniu w Moje kursy zapisywana jest jedynie informacja, że zadanie zostało wykonane.
Dalsza lektura
Kroki opisane w artykułach WebOké dotyczą środowiska WebOké; u innych dostawców działa to w podobny sposób.
- Podręcznik WebOké 5.17: Kondycja domeny i poczty e-mail: sprawdzanie i naprawa
- WebOké, Stan zdrowia domeny / poczty e-mail (kontrola publiczna): https://www.weboke.pl/kondycja-domeny
- WebOké, Kontrola poczty e-mail: https://www.weboke.pl/sprawdz-e-mail
- Internet.nl, przetestuj swoją stronę internetową i pocztę e-mail: https://internet.nl
- CERT Polska, poradniki dla jednoosobowych działalności gospodarczych i małych oraz średnich firm: https://cert.pl/