Odabir pružatelja usluga IT sigurnosti: 12 pitanja prije narudžbe

Ukratko: Pružatelja usluga IT sigurnosti najbolje je pronaći prije nego što Vam hitno zatreba. Ponuditelje usporedite konkretnim pitanjima: kako postupaju, tko radi na Vašim sustavima, kako se osiguravaju dokazi, što stoji u izvješću i gdje su granice njihove ponude. Ozbiljni ponuditelji odgovaraju na ta pitanja jasno i pisano. Apsolutna obećanja, pritisak i nejasni opisi usluga su znakovi upozorenja.

Zašto je odabir upravo sada težak

Nakon situacije poput PHP2Shella potražnja za sigurnosnim uslugama naglo raste. Istodobno se pojavljuju ponude koje zvuče brzo, sveobuhvatno i povoljno. Tvrtkama bez vlastitog sigurnosnog odjela teško je razlikovati kvalitetu od dobrog marketinga.

Dodaje se vremenski pritisak. Tko sumnja na provalu, želi pomoć odmah i nema tjedan dana za usporedbu. Zato se isplati odabir obaviti u mirnim vremenima i ključne točke razjasniti unaprijed. Trebate li uopće pružatelja usluga, odgovara naš članak Riješiti sami ili dovesti pružatelja usluga?. Ovdje je riječ o tome kako pronaći pravoga.

Pronaći pružatelja usluga IT sigurnosti: 12 pitanja

Ova pitanja postavite svakom ponuditelju koji dolazi u obzir. Odgovori bi trebali biti konkretni i po mogućnosti pisani.

1. Koje sustave poznajete iz vlastitog rada? Ponuditelj za mrežnu sigurnost nije automatski iskusan s PHP-FPM-om, Pleskom ili kontejnerima. Pitajte u kojim okruženjima tim redovito radi.
2. Tko konkretno radi na našim sustavima? Vlastiti zaposlenici, partneri ili podizvođači? Kod partnera mora biti jasno tko preuzima koji zadatak i tko prema Vama ostaje odgovoran.
3. Kako izgleda Vaš postupak u prvim koracima? Dobri odgovori navode obuzdavanje, osiguranje dokaza i popis stanja prije svakog čišćenja, kako predviđa i Kontrolni popis nakon hakerskog napada.
4. Kako osiguravate dokaze? Osiguravaju li se logovi i datoteke prije izmjena, s vremenskom oznakom i kontrolnim zbrojem? To je važno za osiguranje, prijave i moguću kaznenu prijavu.
5. Koji su Vam pristupi potrebni i kako s njima postupate? Ozbiljni ponuditelji traže samo nužna prava, koriste osobne račune i pristupe vraćaju nakon završetka.
6. Postoji li pisani sporazum prije pristupa? Tome pripadaju opseg, ovlasti i, kod osobnih podataka, ugovor o obradi podataka. Više o tome u članku Ugovor o obradi podataka kad pružatelji usluga pristupaju poslužiteljima.
7. Tko odlučuje o dalekosežnim koracima? Isključivanje, brisanje, ponovno postavljanje: ponuditelj bi takve korake trebao predložiti i obrazložiti, a odluka ostaje kod Vas.
8. Što stoji u završnom izvješću? Zatražite primjer bez podataka klijenata. Dobro izvješće razdvaja dokazano, vjerojatno i nepoznato te navodi otvorene točke.
9. Kako komunicirate tijekom narudžbe? Postoje li stalni kontakti, redovita međustanja i jasan kanal za hitne upite?
10. Gdje su granice Vaše ponude? Pravno savjetovanje, komunikaciju s tijelima ili forenzička vještačenja za sudove ne preuzima svatko. Ozbiljan ponuditelj to kaže sam od sebe.
11. Kako se obračunava? Prema utrošku, paušalno ili okvirnim ugovorom? Neka Vam objasne što je uključeno, a što nije, da poslije nema iznenađenja.
12. Što se događa nakon incidenta? Podržava li ponuditelj naknadnu obradu, ojačavanje i trajno održavanje ili narudžba završava čišćenjem?

Znakovi upozorenja u ponudama

Neke bi Vas formulacije trebale učiniti oprezima. Tu spadaju obećanja apsolutne sigurnosti, tvrdnja da nakon čišćenja „zasigurno više ništa nije“ na poslužitelju i izjave koje bez popisa stanja već znaju rezultat. Dobri ponuditelji govore o vjerojatnostima i dokazima.

Oprez je potreban i ako ponuditelj navaljuje na pristupe prije nego što su opseg i ovlasti razjašnjeni ili ako Vam se nepozvan javlja e-poštom ili telefonom i tvrdi da je Vaš poslužitelj hakiran. U kriznim tjednima prevaranti koriste takve metode. Pošiljatelja provjerite neovisnim putem prije nego što reagirate.

Još jedna napomena: logotipi, pečati i nagrade lako se stave na web-stranicu. U slučaju sumnje pitajte tko je pečat dodijelio i što je za to provjereno.

Javne orijentacijske pomoći

BSI (njemački Savezni ured za informacijsku sigurnost) objavljuje popise kvalificiranih pružatelja usluga za određena područja, primjerice za odgovor na takozvane APT napade, dakle ciljane, dugotrajne napade, i za obranu od DDoS napada. Ti su popisi za organizacije s odgovarajućom potrebom dobra orijentacija. Tipičan incident na pojedinačnom web-poslužitelju često ne spada u te kategorije; tu dolaze u obzir i ponuditelji koji tamo nisu navedeni.

Korisne su i preporuke iz vlastite mreže, primjerice od branšnih udruga, komora, Vašeg osiguratelja ili drugih tvrtki koje su doživjele incident. Neki osiguratelji kibernetičkog osiguranja u svojim uvjetima navode vlastite kontakte ili pružatelje usluga za slučaj štete. Provjerite svoju policu prije nego sami naručite.

Ugovorno utvrditi ono što je važno

I uz dobar odabir najvažnije točke treba urediti pisano: opseg usluga, pristupe i njihov povrat, povjerljivost, postupanje s dokazima, obveze izvješćivanja i obračun. Koje su klauzule smislene, opisuje Ugovori s IT pružateljima usluga: jasno urediti obveze sigurnosti. Odgovara li Vaš ugovor pravno, provjerava odvjetnik; mi za to isporučujemo tehničke točke.

Kako PHP SOS konkretno pomaže?

• Dvanaest pitanja za vlastitu ponudu odgovaramo pisano prije nego što nas angažirate, i o granicama naše usluge.
• Otvoreno navodimo koje zadatke preuzimamo sami, a gdje radimo sa specijaliziranim partnerima, primjerice kod forenzike ili penetracijskih testova.
• Prije prvog pristupa dogovaramo opseg, ovlasti i po potrebi obradu podataka po nalogu.
• U incidentu radimo prema tijeku našeg odgovora na incidente: obuzdati, osigurati, očistiti, dokumentirati.

Zaključak

Pravog pružatelja usluga sigurnosti ne prepoznajete po najglasnijem obećanju, nego po jasnim odgovorima na konkretna pitanja. Tko dvanaest pitanja postavi u mirnim vremenima i zabilježi rezultate, u kritičnom trenutku odlučuje brže i bolje.

Česta pitanja

Izvori

• BSI: kvalificirani pružatelji usluga
• GDPR čl. 33
• php.net: sigurnosne objave