Kort sagt: En it-sikkerhedsleverandør finder I bedst, før I har akut brug for en. Sammenlign udbydere ud fra konkrete spørgsmål: Hvordan går de frem, hvem arbejder på jeres systemer, hvordan sikres beviser, hvad står der i rapporten, og hvor ligger grænserne for deres tilbud. Seriøse udbydere besvarer disse spørgsmål klart og skriftligt. Absolutte løfter, pres og vage ydelsesbeskrivelser er advarselstegn.
Hvorfor valget netop nu er vanskeligt
Efter en situation som PHP2Shell stiger efterspørgslen efter sikkerhedsydelser pludseligt. Samtidig dukker der tilbud op, som lyder hurtige, omfattende og billige. For virksomheder uden egen sikkerhedsafdeling er det svært at skelne kvalitet fra god markedsføring.
Hertil kommer tidspresset. Den, der formoder et indbrud, vil have hjælp med det samme og har ikke en uge til en sammenligning. Derfor kan det betale sig at træffe valget i rolige tider og afklare hovedpunkterne på forhånd. Om I overhovedet har brug for en leverandør, besvarer vores indlæg Udbedre selv eller hente en leverandør?. Her handler det om, hvordan I finder den rigtige.
Find en it-sikkerhedsleverandør: de 12 spørgsmål
Stil disse spørgsmål til hver udbyder, I overvejer. Svarene bør være konkrete og helst skriftlige.
- Hvilke systemer kender I fra eget arbejde? En udbyder af netværkssikkerhed er ikke automatisk erfaren med PHP-FPM, Plesk eller containere. Spørg til de miljøer, teamet regelmæssigt arbejder i.
- Hvem arbejder konkret på vores systemer? Egne medarbejdere, partnere eller underleverandører? Ved partnere bør det være klart, hvem der overtager hvilken opgave, og hvem der over for jer forbliver ansvarlig.
- Hvordan ser jeres fremgangsmåde ud i de første skridt? Gode svar nævner inddæmning, bevissikring og beholdningsopgørelse før enhver oprydning, således som også Tjeklisten efter et hack foreskriver.
- Hvordan sikrer I beviser? Sikres logs og filer før ændringer, med tidsstempel og kontrolsum? Det er vigtigt for forsikring, anmeldelser og en mulig politianmeldelse.
- Hvilke adgange har I brug for, og hvordan håndterer I dem? Seriøse udbydere kræver kun de nødvendige rettigheder, bruger personlige konti og afleverer adgange tilbage efter afslutningen.
- Findes der en skriftlig aftale før adgangen? Hertil hører omfang, beføjelser og ved personoplysninger en databehandleraftale. Mere herom under Databehandling, når leverandører får adgang til servere.
- Hvem beslutter vidtgående skridt? Lukke ned, slette, opsætte på ny: Udbyderen bør foreslå og begrunde sådanne skridt, beslutningen forbliver hos jer.
- Hvad står der i slutrapporten? Spørg efter et eksempel uden kundedata. En god rapport adskiller det dokumenterede, det sandsynlige og det ukendte og nævner åbne punkter.
- Hvordan kommunikerer I under opgaven? Findes der faste kontaktpersoner, regelmæssige statusopdateringer og en klar kanal til hastende opfølgende spørgsmål?
- Hvor ligger grænserne for jeres tilbud? Juridisk rådgivning, kommunikation med myndigheder eller retsmedicinske sagkyndige erklæringer til domstole overtager ikke alle. En seriøs udbyder siger det af sig selv.
- Hvordan afregnes der? Efter forbrug, som engangsbeløb eller som rammeaftale? Lad jer forklare, hvad der er med, og hvad der ikke er, så der ikke kommer overraskelser senere.
- Hvad sker der efter hændelsen? Støtter udbyderen ved efterbehandlingen, ved hærdning og ved en varig betjening, eller slutter opgaven med oprydningen?
Advarselstegn i tilbud
Visse formuleringer bør gøre jer opmærksomme. Hertil hører løfter om absolut sikkerhed, påstanden om, at der efter en oprydning "helt sikkert ikke er noget mere" på serveren, og udsagn, som uden beholdningsopgørelse allerede kender resultatet. Gode udbydere taler om sandsynligheder og beviser.
Forsigtighed er også på sin plads, hvis en udbyder trænger på for at få adgange, før omfang og beføjelser er afklaret, eller hvis vedkommende uopfordret henvender sig pr. mail eller telefon og påstår, at jeres server er hacket. I krise-uger bruger svindlere sådanne fremgangsmåder. Kontrollér afsenderen ad en uafhængig vej, før I reagerer.
Et yderligere fingerpeg: Logoer, segl og udmærkelser kan let sættes på et website. Spørg i tvivlstilfælde, hvem der har tildelt et segl, og hvad der blev kontrolleret for det.
Offentlige orienteringshjælpemidler
BSI offentliggør lister over kvalificerede leverandører til bestemte områder, f.eks. til reaktion på såkaldte APT-angreb, altså målrettede, langvarige angreb, og til afværgelse af DDoS-angreb. Disse lister er en god orientering for organisationer med tilsvarende behov. En typisk hændelse på en enkelt webserver falder ofte ikke ind under disse kategorier; her kommer også udbydere i betragtning, som ikke er opført dér.
Hjælpsomme er desuden anbefalinger fra eget netværk, f.eks. fra brancheforeninger, kamre, jeres forsikringsselskab eller andre virksomheder, der har oplevet en hændelse. Nogle cyberforsikringsselskaber nævner i deres betingelser egne kontaktpersoner eller leverandører til skadestilfældet. Gennemgå jeres police, før I selv bestiller.
Fasthold svarene på de tolv spørgsmål i en kort tabel, og læg dem sammen med nødplanen. I en nødsituation ved I så straks, hvem I skal ringe til, og hvad der er aftalt.
Fasthold kontraktligt det, der tæller
Også ved et godt valg bør de vigtigste punkter være reguleret skriftligt: ydelsesomfang, adgange og deres tilbagelevering, fortrolighed, håndtering af beviser, rapporteringspligter og afregning. Hvilke klausuler der er fornuftige, beskriver Kontrakter med it-leverandører: Regulér sikkerhedspligter klart. Om jeres kontrakt passer juridisk, kontrollerer en advokat; vi leverer de tekniske punkter hertil.
Hvordan hjælper PHP SOS konkret?
- Vi besvarer de tolv spørgsmål for vores eget tilbud skriftligt, før I bestiller os, også om grænserne for vores ydelse.
- Vi nævner åbent, hvilke opgaver vi selv overtager, og hvor vi arbejder med specialiserede partnere, f.eks. ved forensik eller penetrationstests.
- Vi aftaler omfang, beføjelser og efter behov databehandlingen før den første adgang.
- I en hændelse arbejder vi efter forløbet i vores Incident Response: inddæmme, sikre, rydde op, dokumentere.
Konklusion
Den rigtige sikkerhedsleverandør genkender I ikke på det højeste løfte, men på klare svar på konkrete spørgsmål. Den, der stiller de tolv spørgsmål i rolige tider og fastholder resultaterne, beslutter hurtigere og bedre i en nødsituation.
Ofte stillede spørgsmål
Hvordan genkender jeg en seriøs it-sikkerhedsleverandør?
På klare udsagn om fremgangsmåde, ansvarsområder og grænser, på en skriftlig aftale før adgangen og på en rapport, der adskiller det dokumenterede fra det formodede. Mistro er på sin plads ved absolutte løfter og ved pres for straks at udlevere adgange.
Fører BSI en liste over leverandører?
BSI (det tyske forbundsagentur for informationssikkerhed) offentliggør lister over kvalificerede leverandører til bestemte områder, f.eks. til reaktion på APT-angreb og til afværgelse af DDoS-angreb. Disse lister gælder specielle situationer; ved en typisk webserverhændelse kommer også andre udbydere i betragtning.
Bør jeg indhente flere tilbud?
Ved planlægbare opgaver som hærdning, audit eller vedligeholdelsesaftale ja. I en akut nødsituation mangler der ofte tid til det. Desto vigtigere er det at vælge en udbyder på forhånd og afklare hovedpunkterne, før noget sker.
Må leverandøren selv lukke systemer ned eller slette data?
Kun hvis I udtrykkeligt har aftalt det. En god leverandør spørger ved vidtgående skridt og dokumenterer jeres beslutning. Fastlæg på forhånd, hvem på jeres side der må træffe sådanne beslutninger.