Накратко: Доставчик на услуги по ИТ сигурност най-добре намирате, преди да Ви е спешно нужен. Сравнявайте доставчиците по конкретни въпроси: как действат, кой работи по Вашите системи, как се запазват доказателствата, какво има в доклада и къде са границите на предложението им. Сериозните доставчици отговарят на тези въпроси ясно и писмено. Абсолютните обещания, натискът и неясните описания на услугите са предупредителни знаци.
Защо изборът е труден именно сега
След ситуация като PHP2Shell търсенето на услуги по сигурност нараства рязко. Едновременно се появяват оферти, които звучат бързо, всеобхватно и евтино. За фирми без собствен отдел по сигурност е трудно да различат качеството от добрия маркетинг.
Към това се добавя натискът на времето. Който подозира проникване, иска помощ веднага и няма седмица за сравнение. Затова си заслужава изборът да се направи в спокойно време и основните точки да се изяснят предварително. Дали изобщо Ви трябва доставчик, отговаря нашият материал Да отстраним сами или да ангажираме доставчик?. Тук става дума за това как да намерите правилния.
Как да изберете доставчик на ИТ сигурност: 12-те въпроса
Задайте тези въпроси на всеки доставчик, който обмисляте. Отговорите трябва да са конкретни и по възможност писмени.
- Кои системи познавате от собствена работа? Доставчик по мрежова сигурност не е автоматично опитен с PHP-FPM, Plesk или контейнери. Питайте за средите, в които екипът работи редовно.
- Кой работи конкретно по нашите системи? Собствени служители, партньори или подизпълнители? При партньори трябва да е ясно кой коя задача поема и кой остава отговорен пред Вас.
- Как изглежда Вашият подход в първите стъпки? Добрите отговори споменават ограничаване, запазване на доказателства и инвентаризация преди всяко почистване, така както го предвижда и Контролният списък след хакване.
- Как запазвате доказателствата? Запазват ли се логовете и файловете преди промени, с времеви печат и контролна сума? Това е важно за застраховката, уведомяванията и евентуален сигнал.
- Какви достъпи Ви трябват и как ги ползвате? Сериозните доставчици искат само необходимите права, ползват лични акаунти и връщат достъпите след приключване.
- Има ли писмено споразумение преди достъпа? Към него спадат обхват, правомощия и при лични данни договор за обработване на данни. Повече в Обработване на данни по поръчка, когато доставчици получават достъп до сървъри.
- Кой решава за далекосъжните стъпки? Изключване, изтриване, инсталиране наново: доставчикът трябва да предлага и обосновава такива стъпки, решението остава у Вас.
- Какво има в заключителния доклад? Питайте за пример без данни на клиенти. Добрият доклад разграничава доказаното, вероятното и неизвестното и посочва отворените точки.
- Как комуникирате по време на поръчката? Има ли постоянни лица за контакт, редовни междинни състояния и ясен канал за спешни въпроси?
- Къде са границите на Вашето предложение? Правно консултиране, комуникация с институции или форензични експертизи за съд не поема всеки. Сериозният доставчик го казва сам.
- Как се таксува? По усилия, на фиксирана цена или като рамков договор? Помолете да Ви обяснят какво е включено и какво не, за да няма изненади по-късно.
- Какво се случва след инцидента? Подкрепя ли доставчикът при довършването, заздравяването и постоянната поддръжка, или поръчката свършва с почистването?
Предупредителни знаци при офертите
Някои формулировки трябва да Ви накарат да се замислите. Към тях спадат обещания за абсолютна сигурност, твърдението, че след почистване „със сигурност вече нищо не е останало“ на сървъра, и изказвания, които още без инвентаризация знаят резултата. Добрите доставчици говорят за вероятности и доказателства.
Предпазливост е уместна и когато доставчик настоява за достъпи, преди обхватът и правомощията да са изяснени, или когато се свързва с Вас непоискано по имейл или телефон и твърди, че сървърът Ви е хакнат. В кризисни седмици измамниците използват такива схеми. Проверявайте подателя по независим път, преди да реагирате.
Още една забележка: лога, печати и награди лесно се поставят на уебсайт. При съмнение питайте кой е присъдил един печат и какво е проверявано за него.
Публични ориентири
BSI (Федералната служба за информационна сигурност на Германия) публикува списъци на квалифицирани доставчици за определени области, например за реакция на така наречените APT атаки, тоест целенасочени, дългосрочни атаки, и за отбрана от DDoS атаки. Тези списъци са добър ориентир за организации със съответна нужда. Типичен инцидент на отделен уеб сървър често не попада в тези категории; тук идват предвид и доставчици, които не са вписани там.
Полезни са и препоръки от собствената мрежа, например от браншови организации, камари, Вашия застраховател или други фирми, преживели инцидент. Някои киберзастрахователи посочват в условията си собствени лица за контакт или доставчици за щетния случай. Проверете полицата си, преди да възложите сами.
Запишете отговорите на дванадесетте въпроса в кратка таблица и я поставете до плана за извънредни ситуации. В критичен момент ще знаете веднага на кого да се обадите и какво е договорено.
Договорно да се запише важното
Дори при добър избор най-важните точки трябва да са уредени писмено: обхват на услугата, достъпи и връщането им, поверителност, работа с доказателствата, задължения за докладване и таксуване. Кои клаузи са смислени, описва Договори с ИТ доставчици: ясно уреждане на задълженията за сигурност. Дали Вашият договор е правно подходящ, проверява адвокат; ние предоставяме техническите точки за това.
Как помага PHP SOS конкретно?
- Отговаряме писмено на дванадесетте въпроса за собственото си предложение, преди да ни възложите поръчка, включително за границите на нашата услуга.
- Казваме открито кои задачи поемаме сами и къде работим със специализирани партньори, например при форензика или тестове за проникване.
- Договаряме обхват, правомощия и при нужда обработването на данни по поръчка преди първия достъп.
- При инцидент работим по реда на нашия Incident Response: ограничаване, запазване, почистване, документиране.
Извод
Правилния доставчик на услуги по сигурност не разпознавате по най-силното обещание, а по ясните отговори на конкретни въпроси. Който зададе дванадесетте въпроса в спокойно време и запише резултатите, решава в критичен момент по-бързо и по-добре.
Често задавани въпроси
По какво разпознавам сериозен доставчик на услуги по ИТ сигурност?
По ясни изказвания за начина на работа, отговорностите и границите, по писмено споразумение преди достъпа и по доклад, който разграничава доказаното от предполагаемото. Недоверие е уместно при абсолютни обещания и при натиск веднага да предадете достъпи.
Води ли BSI списък на доставчици?
BSI публикува списъци на квалифицирани доставчици за определени области, например за реакция на APT атаки и за отбрана от DDoS атаки. Тези списъци засягат специални ситуации; за типичен инцидент с уеб сървър идват предвид и други доставчици.
Трябва ли да поискам няколко оферти?
При планируеми поръчки като заздравяване, одит или договор за поддръжка да. При остра извънредна ситуация за това често няма време. Затова е още по-важно да изберете доставчик предварително и да изясните основните точки, преди нещо да се случи.
Може ли доставчикът сам да изключва системи или да трие данни?
Само ако сте го договорили изрично. Добрият доставчик пита при далекосъжни стъпки и документира Вашето решение. Определете предварително кой от Ваша страна може да взема такива решения.