Stručně: Dodavatele IT bezpečnosti najdete nejlépe dřív, než ho naléhavě potřebujete. Poskytovatele porovnávejte podle konkrétních otázek: Jak postupují, kdo na vašich systémech pracuje, jak se zajišťují důkazy, co je ve zprávě a kde leží hranice jejich nabídky. Seriózní poskytovatelé odpovídají na tyto otázky jasně a písemně. Absolutní sliby, tlak a vágní popisy služeb jsou varovná znamení.
Proč je výběr právě teď obtížný
Po situaci jako PHP2Shell poptávka po bezpečnostních službách skokově roste. Současně se objevují nabídky, které znějí rychle, komplexně a levně. Pro firmy bez vlastního bezpečnostního oddělení je těžké odlišit kvalitu od dobrého marketingu.
K tomu přistupuje časový tlak. Kdo tuší průnik, chce okamžitou pomoc a nemá týden na porovnání. Proto se vyplatí výběr provést v klidných dobách a základní body vyjasnit předem. Zda dodavatele vůbec potřebujete, zodpovídá náš příspěvek Řešit sami, nebo si přizvat dodavatele?. Zde jde o to, jak najít toho správného.
Najít dodavatele IT bezpečnosti: 12 otázek
Pokládejte tyto otázky každému poskytovateli, o kterém uvažujete. Odpovědi by měly být konkrétní a pokud možno písemné.
- Které systémy znáte z vlastní práce? Poskytovatel síťové bezpečnosti není automaticky zkušený s PHP-FPM, Plesk nebo kontejnery. Ptejte se na prostředí, v nichž tým pravidelně pracuje.
- Kdo konkrétně na našich systémech pracuje? Vlastní zaměstnanci, partneři nebo subdodavatelé? U partnerů by mělo být jasné, kdo jakou úlohu přebírá a kdo vůči vám zůstává odpovědný.
- Jak vypadá váš postup v prvních krocích? Dobré odpovědi uvádějí omezení škod, zajištění důkazů a inventuru před jakýmkoli vyčištěním, tak jak to předvídá i Kontrolní seznam po napadení.
- Jak zajišťujete důkazy? Zajišťují se logy a soubory před změnami, s časovou značkou a kontrolním součtem? To je důležité pro pojištění, oznámení a případné trestní oznámení.
- Jaké přístupy potřebujete a jak s nimi nakládáte? Seriózní poskytovatelé žádají jen nutná práva, používají osobní účty a po skončení přístupy vracejí.
- Existuje písemná dohoda před přístupem? Patří k ní rozsah, pravomoci a u osobních údajů smlouva o zpracování osobních údajů. Více v Zpracování osobních údajů, když dodavatelé přistupují na servery.
- Kdo rozhoduje o dalekosáhlých krocích? Odstavení, mazání, nové postavení: Poskytovatel by takové kroky měl navrhnout a zdůvodnit, rozhodnutí zůstává na vás.
- Co je v závěrečné zprávě? Požádejte o ukázku bez dat zákazníků. Dobrá zpráva odděluje doložené, pravděpodobné a neznámé a uvádí otevřené body.
- Jak komunikujete v průběhu zakázky? Existují stálé kontaktní osoby, pravidelné mezistavy a jasný kanál pro naléhavé dotazy?
- Kde leží hranice vaší nabídky? Právní poradenství, komunikaci s úřady nebo forenzní posudky pro soud nepřebírá každý. Seriózní poskytovatel to řekne sám.
- Jak se fakturuje? Podle pracnosti, paušálně nebo jako rámcová smlouva? Nechte si vysvětlit, co je zahrnuto a co ne, aby později nebyla překvapení.
- Co se děje po incidentu? Podporuje poskytovatel následnou práci, zabezpečení a trvalou péči, nebo zakázka končí vyčištěním?
Varovná znamení v nabídkách
Některé formulace by vás měly zbystřit. Patří k nim sliby absolutní bezpečnosti, tvrzení, že po vyčištění na serveru „určitě nic nezbylo“, a výroky, které znají výsledek už bez inventury. Dobří poskytovatelé mluví o pravděpodobnostech a dokladech.
Opatrnost je namístě i tehdy, pokud poskytovatel tlačí na přístupy dříve, než je vyjasněn rozsah a pravomoci, nebo pokud vás neočekávaně osloví e-mailem či telefonem a tvrdí, že váš server je napaden. V krizových týdnech podvodníci takové praktiky používají. Odesílatele ověřte nezávislou cestou, než zareagujete.
Další upozornění: Loga, pečetě a ocenění lze na web snadno umístit. V případě pochybností se ptejte, kdo pečeť udělil a co se pro ni prověřovalo.
Veřejné orientační pomůcky
BSI zveřejňuje seznamy kvalifikovaných dodavatelů pro určité oblasti, například pro reakci na takzvané útoky APT, tedy cílené, dlouhodobé útoky, a pro obranu proti útokům DDoS. Tyto seznamy jsou pro organizace s odpovídající potřebou dobrou orientací. Typický incident na jednotlivém webovém serveru do těchto kategorií často nespadá; zde přicházejí v úvahu i poskytovatelé, kteří tam uvedeni nejsou.
Užitečná jsou také doporučení z vlastní sítě, například od oborových svazů, komor, vaší pojišťovny nebo jiných firem, které incident zažily. Někteří poskytovatelé kyberpojištění uvádějí ve svých podmínkách vlastní kontaktní osoby nebo dodavatele pro škodní událost. Zkontrolujte svou pojistku, než sami zadáte zakázku.
Odpovědi na dvanáct otázek si zaznamenejte do krátké tabulky a přiložte ji ke krizovému plánu. V krizi pak hned víte, komu zavolat a co je ujednáno.
Smluvně zachytit, na čem záleží
I při dobrém výběru by měly být nejdůležitější body upraveny písemně: rozsah služeb, přístupy a jejich vrácení, důvěrnost, zacházení s důkazy, povinnosti podávat zprávy a fakturace. Které klauzule dávají smysl, popisuje Smlouvy s IT dodavateli: jasně upravit bezpečnostní povinnosti. Zda vaše smlouva právně vyhovuje, posoudí právník; my k tomu dodáváme technické body.
Jak konkrétně pomáhá PHP SOS?
- Dvanáct otázek zodpovídáme pro vlastní nabídku písemně, dříve než nás pověříte, včetně hranic naší služby.
- Otevřeně uvádíme, které úkoly přebíráme sami a kde pracujeme se specializovanými partnery, například u forenzní analýzy nebo penetračních testů.
- Rozsah, pravomoci a podle potřeby zpracování osobních údajů ujednáváme před prvním přístupem.
- V incidentu pracujeme podle postupu naší reakce na incidenty: omezit, zajistit, vyčistit, zdokumentovat.
Závěr
Správného bezpečnostního dodavatele nepoznáte podle nejhlasitějšího slibu, ale podle jasných odpovědí na konkrétní otázky. Kdo dvanáct otázek položí v klidných dobách a výsledky zaznamená, rozhodne v krizi rychleji a lépe.
Časté dotazy
Podle čeho poznám seriózního dodavatele IT bezpečnosti?
Podle jasných údajů o postupu, odpovědnostech a hranicích, podle písemné dohody před přístupem a podle zprávy, která odděluje doložené od domnělého. Nedůvěřivost je namístě u absolutních slibů a u tlaku na okamžité vydání přístupů.
Vede BSI seznam dodavatelů?
BSI zveřejňuje seznamy kvalifikovaných dodavatelů pro určité oblasti, například pro reakci na útoky APT a pro obranu proti útokům DDoS. Tyto seznamy se týkají zvláštních situací; pro typický incident webového serveru přicházejí v úvahu i jiní poskytovatelé.
Mám si vyžádat více nabídek?
U plánovatelných zakázek jako zabezpečení, audit nebo smlouva o údržbě ano. V akutní krizi na to často chybí čas. O to důležitější je vybrat poskytovatele předem a vyjasnit základní body dřív, než se něco stane.
Smí dodavatel sám odstavovat systémy nebo mazat data?
Jen pokud jste si to výslovně ujednali. Dobrý dodavatel se u dalekosáhlých kroků ptá a vaše rozhodnutí dokumentuje. Předem stanovte, kdo na vaší straně smí taková rozhodnutí činit.