Modul 9 · 9.3
Vlastná bezpečnostná kontrola a plán
Modul 9: Pravidlá a organizácia · Čas čítania: 12 minút
Cieľ lekcie: Po tejto lekcii si dokážete urobiť vlastnú bezpečnostnú kontrolu podľa pevného zoznamu a zostaviť z nej plán priorít.
Kľúčové pojmy: základné opatrenia, nulové meranie, stanovenie priorít (pravdepodobnosť x dopad, najprv rýchle a lacné), vlastník a dátum, ročné opakovanie
Od vedomostí k činom
V tomto kurze ste videli veľa vecí: heslá, phishing, e-mail a doménu, zariadenia, zálohy, oprávnenia, incidenty a pravidlá. Riziko je teraz v tom, že so všetkým začnete trochu, ale s ničím nebudete hotoví. Táto lekcia premení všetko na dve veci, ktoré si vytvoríte sami:
- nulové meranie: úprimný obraz toho, ako to u vás momentálne vyzerá;
- plán: čo urobíte najskôr, kto to urobí a kedy to bude hotové.
Zoznam nižšie obsahuje základné opatrenia: opatrenia, ktoré zastavia väčšinu oportunistických útokov (lekcia 1.1) a ktoré zvyčajne požaduje aj klient, keď kladie požiadavky na svojich dodávateľov (lekcia 9.1). Nejde o úplnú normu ako ISO 27001, a ani to nie je potrebné. Je to základ, ktorý u malej firmy robí rozdiel.
Bezpečnostná kontrola: dvadsať bodov
Na každý bod odpovedzte áno, čiastočne alebo nie. Buďte prísni: „myslím si, že áno“ je „čiastočne“. Za každým bodom je uvedená lekcia, kde ste sa to naučili.
Účty a prihlasovanie
| Č. | Bod | Lekcia |
|---|---|---|
| 1 | Existuje prehľad všetkých účtov, zariadení, webových stránok, domén a dodávateľov, s vlastníkom pri každej položke. Čo sa už nepoužíva, je odstránené. | 1.1, 7.2 |
| 2 | Každý používa správcu hesiel a má pre každú službu jedinečné, dlhé heslo. Heslá sa nezdieľajú cez mail ani chat. | 2.1, 2.2 |
| 3 | Dvojfaktorové overenie (2FA) je zapnuté na e-maile, banke, účtovníctve, hostingu, registrátorovi a sociálnych sieťach; pre administrátorov podľa možnosti forma odolná voči phishingu, ako je passkey alebo bezpečnostný kľúč. | 2.3, 2.4 |
| 4 | Obnovovacie kódy a záložné kľúče sú bezpečne uložené a viete, čo robiť, keď sa stratí telefón. | 2.3, 2.4 |
| 5 | Skontrolovali ste, či sa firemné adresy nenachádzajú v známych únikoch, a viete, ako odhlásiť relácie a skontrolovať pravidlá presmerovania. | 1.4, 2.5 |
Ľudia a procesy
| Č. | Bod | Lekcia |
|---|---|---|
| 6 | Existuje platobný postup: spätné volanie na overené číslo pri zmene čísla účtu a druhá osoba pri veľkých alebo neobvyklých platbách. | 1.2 |
| 7 | Každý vie rozpoznať phishing podľa skutočnej domény odkazu a vie, čo robiť po kliknutí. | 3.1 až 3.5 |
| 8 | Existuje jedno kontaktné miesto na nahlasovanie so zástupcom, nahlasovanie prebieha bez obviňovania a aspoň niekoľkokrát ročne sa koná krátke opakovanie. | 9.2 |
E-mail, webová stránka a doména
| Č. | Bod | Lekcia |
|---|---|---|
| 9 | Vaša doména má SPF, DKIM a DMARC a DMARC je nastavený aspoň na p=none s plánom prejsť na quarantine alebo reject. | 4.1 |
| 10 | Vaša webová stránka funguje všade cez https s platným certifikátom, presmeruje http, a CMS s pluginmi sa aktualizuje. HSTS a bezpečnostné hlavičky sú zapnuté alebo boli vedome zvážené. | 4.2 |
| 11 | Údaje o držiteľovi vašej domény sú správne, automatické predlžovanie je zapnuté, registrátor má 2FA, nie sú tam žiadne nevyužité DNS záznamy a DNSSEC je zapnuté, kde je to možné. | 4.3 |
Zariadenia a sieť
| Č. | Bod | Lekcia |
|---|---|---|
| 12 | Aktualizácie sú automaticky zapnuté pre operačné systémy, aplikácie a pluginy; router, NAS a tlačiareň sa tiež aktualizujú; nič, čo už nedostáva aktualizácie, už nebeží. | 5.1 |
| 13 | Notebooky a telefóny majú zamykanie obrazovky a šifrovanie disku, dajú sa na diaľku vymazať, a nikto nepracuje denne s administrátorským účtom. | 5.2 |
| 14 | Wifi používa WPA2 alebo WPA3, predvolené heslo routera bolo zmenené a návštevníci a inteligentné zariadenia sú na hosťovskej sieti. | 5.3 |
Zálohy
| Č. | Bod | Lekcia |
|---|---|---|
| 15 | Existuje záloha všetkého dôležitého, vrátane e-mailu a cloudových služieb, podľa pravidla 3-2-1. | 6.1 |
| 16 | Aspoň jedna kópia je offline alebo nezmeniteľná a má vlastné prihlásenie, ktoré sa nepoužíva na pracovných počítačoch. | 6.2 |
| 17 | Za posledný rok sa urobil test obnovy a viete, koľko práce môžete stratiť a ako rýchlo to musí byť späť. | 6.3 |
Prístup, dodávatelia a incidenty
| Č. | Bod | Lekcia |
|---|---|---|
| 18 | Každý má vlastný účet len s potrebnými oprávneniami, administrátorské účty sú oddelené a pri odchode zamestnanca sa všetky prístupy odoberú v ten istý deň. | 7.1 |
| 19 | Dôležití dodávatelia a cloudové služby boli posúdení, kde je to potrebné existujú zmluvy o spracovaní údajov, a súbory sa zdieľajú pomocou odkazov s dátumom vypršania platnosti. | 7.2, 7.3 |
| 20 | Visí papierová kartička pre prípad incidentu, existuje register únikov údajov a viete, kedy nahlásiť vec Úradu na ochranu osobných údajov, polícii a, ak sa vás to týka, NBÚ. | 8.1, 8.2, 8.3, 9.1 |
Spočítajte svoje odpovede. Veľa „nie“ nie je dôvod na zľaknutie: je to váš štartovací bod. Preto sa to volá nulové meranie.
Časť si môžete nechať skontrolovať automaticky
Niekoľko bodov môžete zmerať zvonka, pretože sa týkajú verejných údajov vašej domény: bod 9 (SPF, DKIM, DMARC), bod 10 (https, certifikát, HSTS, hlavičky) a bod 11 (DNSSEC, nameservery, dátum vypršania platnosti). V úlohe A9.3 to urobíte naraz pre vašu vlastnú doménu, s rovnakými kontrolami ako v úlohách modulu 4. Nezávislé testy ako https://internet.nl a verejné kontroly na https://www.weboke.sk/domein-gezondheid a https://www.weboke.sk/emailcheck sa pozerajú na podobné body.
Pozor: zelený výsledok pri týchto bodoch nič nevraví o ostatných sedemnástich. Vaša doména môže byť dokonale nastavená, zatiaľ čo vaša schránka má heslo z úniku. Automatická kontrola je súčasťou nulového merania, nie jeho náhrada.
Od kontroly k plánu: stanovenie priorít
Teraz máte možno osem alebo desať bodov na „nie“ alebo „čiastočne“. Všetko naraz sa nedá. Poradie vyberáte podľa dvoch otázok.
1. Aké veľké je riziko? Použite pravdepodobnosť x dopad (lekcia 1.1). Bod, na ktorý mieri oportunistický útok, ako sú znovupoužité heslá bez 2FA alebo webová stránka bez aktualizácií, má vysokú pravdepodobnosť. Bod, ktorý pri zlyhaní zastaví celú vašu firmu, ako nefunkčná záloha, má veľký dopad.
2. Koľko úsilia to stojí? Niektoré opatrenia stoja hodinu a nič, ako zapnutie dvojfaktorového overenia alebo dohodnutie platobného postupu. Iné stoja týždne, ako výmena všetkých notebookov.
Zoraďte body do jednoduchej schémy:
| Málo úsilia | Veľa úsilia | |
|---|---|---|
| Veľké riziko | Urobiť hneď (tento týždeň) | Naplánovať (tento štvrťrok) |
| Malé riziko | Zahrnúť, keď sa naskytne príležitosť | Neskôr alebo vedome akceptovať |
Pravidlo znie: najprv rýchle a lacné, pokiaľ je riziko veľké. U väčšiny malých firiem sa do políčka „urobiť hneď“ dostanú: dvojfaktorové overenie na e-maile a banke (3), platobný postup (6), zapnutie automatických aktualizácií (12) a kontrola, či existuje kópia zálohy mimo dosahu (16).
Vedomé akceptovanie
Riziko môžete aj akceptovať: rozhodnete sa, že ho nevyriešite, pretože riziko je malé alebo náklady príliš vysoké. To je platná voľba, pokiaľ ju urobíte vedome a zapíšete ju. „Zabudnutie“ nie je akceptovanie.
Vlastník a dátum pre každý bod
Plán bez mien zostane ležať. Pre každý bod uveďte:
- vlastníka: jednu osobu, ktorá zabezpečí, že sa to stane. Nemusí to byť osoba, ktorá to vykoná; IT firma môže vykonať prácu, ale niekto vo vašej vlastnej firme kontroluje, že je to hotové;
- dátum: kedy to má byť hotové;
- definíciu hotového: ako viete, že je to dokončené? Nie „zariadiť 2FA“, ale „2FA je zapnuté na piatich účtoch zo zoznamu, obnovovacie kódy sú v trezore“.
Príklad troch riadkov z plánu Pekárne Example:
| Bod | Akcia | Vlastník | Hotovo do | Hotovo keď |
|---|---|---|---|---|
| 3 | 2FA na e-maile, banke, účtovníctve a registrátorovi | Petra | o 1 týždeň | Zapnuté na všetkých štyroch, obnovovacie kódy v správcovi hesiel a na papieri v trezore |
| 6 | Platobný postup na A4, prediskutovaný s Joostom a Sanne | Petra | o 2 týždne | A4 visí pri kancelárii, obaja si to prečítali |
| 16 | Týždenná kópia na disku, ktorý sa potom uloží oddelene v trezore | Joost | o 1 mesiac | Prvé tri týždne urobené, jeden súbor obnovený ako test |
Opakovanie
Bezpečnosť nikdy nie je hotová. Prichádzajú noví zamestnanci, nové služby, nové zariadenia a nové triky. Preto si dohodnite:
- každý rok opakovať celú kontrolu, vo vopred stanovenom mesiaci, a aktualizovať plán;
- priebežne robiť kontrolu pri veľkých zmenách: nový tvorca webu, presťahovanie vášho hostingu, nové účtovníctvo, obdobie rýchleho rastu;
- po incidente prejsť body, ktoré s ním súviseli (lekcia 8.3).
Uchovávajte výsledok každej kontroly. Po roku tak uvidíte čierne na bielom, čo sa zlepšilo, a budete mať odpoveď, keď sa klient opýta, ako je to u vás s bezpečnosťou. SK-CERT ponúka aj vlastné odporúčania pre živnostníkov a malé a stredné podniky, ktoré môžete použiť popri tomto zozname; tie vám tiež poskytnú zoznam opatrení.
Zhrnutie
- Nulové meranie s dvadsiatimi pevnými bodmi poskytuje úprimný obraz; každý bod odkazuje na lekciu, kde ste sa to naučili.
- Časť (e-mail, webová stránka, doména) môžete skontrolovať automaticky, ale to nič nevraví o ostatných bodoch.
- Stanovte priority podľa pravdepodobnosti x dopadu a úsilia: veľké riziko s malým úsilím najprv.
- Každý bod v pláne má vlastníka, dátum a definíciu hotového; akceptovanie je v poriadku, ale vedome a na papieri.
- Kontrolu opakujte každý rok a pri veľkých zmenách, a uchovávajte výsledky.
Kvíz
Úloha
Úloha A9.3: Automatická kontrola vašej domény. Zadajte svoju vlastnú doménu. Program naraz skontroluje e-mail (SPF, DKIM, DMARC), webovú stránku (https, certifikát, presmerovanie, HSTS, hlavičky) a doménu (nameservery, DNSSEC, dátum vypršania platnosti) a ukáže, ktoré body bezpečnostnej kontroly sú zelené, oranžové alebo červené.
Úloha D9.3: Vaša bezpečnostná kontrola a plán. Urobte kontrolu dvadsiatich bodov pre svoju vlastnú firmu. Potom vyberte aspoň päť bodov, zaraďte ich do schémy rizika a úsilia, a vytvorte plán s vlastníkom, dátumom a definíciou hotového pre každý bod. Zapíšte si do kalendára, kedy kontrolu urobíte znova.
Úloha D9.3: Vaša bezpečnostná kontrola a plán
Postupujte takto: (1) Prejdite si dvadsať bodov z lekcie a pri každom bode vyznačte: áno, čiastočne alebo nie. Pri bodoch 9, 10 a 11 použite výsledok z úlohy A9.3 (tlačidlo prevezme červené a oranžové body). (2) Každý bod s označením "čiastočne" alebo "nie" zaraďte do schémy rizika (veľké/malé) a námahy (málo/veľa). (3) Vyberte aspoň päť bodov. Začnite políčkami "veľké riziko, málo námahy". (4) Pri každom vybranom bode uveďte akciu, zodpovednú osobu, dátum a definíciu hotového stavu. (5) Napíšte, ktoré body vedome akceptujete, s uvedením dôvodu. (6) Zapíšte si do kalendára pevný mesiac na ďalšiu úplnú kontrolu a napíšte, pri akých zmenách sa k tomu vrátite skôr. (7) Uložte výsledok (kurz uloží vyplnenú kontrolu, ak si to želáte; iba áno/čiastočne/nie pri každom bode a váš plán, žiadne iné údaje).
Vaše zaškrtnutia a poznámky zostávajú iba v tomto prehliadači, nikam ich neposielame. Po prihlásení si v sekcii Moje kurzy uchovávame iba to, že ste úlohu splnili.
Ďalšie čítanie
Kroky v článkoch WebOké platia pre prostredie WebOké; u iných poskytovateľov to funguje podobne.
- Príručka WebOké 5.17: Zdravie domény a e-mailu: kontrola a náprava
- WebOké, Zdravie domény / e-mailu (verejná kontrola): https://www.weboke.sk/zdravie-domeny
- WebOké, Kontrola e-mailu: https://www.weboke.sk/kontrola-e-mailu
- Internet.nl, otestujte si svoju webovú stránku a e-mail: https://internet.nl
- SK-CERT, odporúčania pre živnostníkov a malé a stredné podniky: https://www.sk-cert.sk/