Trumpai: IT saugumo paslaugų teikėją geriausia rasti, kol jo dar neprireikė skubiai. Teikėjus lyginkite pagal konkrečius klausimus: kaip jie veikia, kas dirba su jūsų sistemomis, kaip išsaugomi įrodymai, kas yra ataskaitoje ir kur yra jų pasiūlymo ribos. Rimti teikėjai į šiuos klausimus atsako aiškiai ir raštu. Absoliutūs pažadai, spaudimas ir miglotas paslaugų aprašymas yra įspėjamieji ženklai.
Kodėl pasirinkimas šiuo metu sunkus
Po tokios situacijos kaip PHP2Shell saugumo paslaugų paklausa staigiai išauga. Kartu atsiranda pasiūlymų, kurie skamba greitai, plačiai ir pigiai. Įmonėms be savo saugumo skyriaus sunku atskirti kokybę nuo gerų rinkodaros žodžių.
Prisideda ir laiko spaudimas. Kas įtaria įsilaužimą, nori pagalbos nedelsiant ir neturi savaitės palyginimui. Todėl verta pasirinkimą atlikti ramiu metu ir pagrindinius punktus išsiaiškinti iš anksto. Ar paslaugų teikėjo apskritai reikia, atsako mūsų straipsnis Taisyti pačiam ar kviesti paslaugų teikėją?. Čia kalbama apie tai, kaip rasti tinkamą.
IT saugumo paslaugų teikėjo paieška: 12 klausimų
Užduokite šiuos klausimus kiekvienam teikėjui, kurį svarstote. Atsakymai turėtų būti konkretūs ir, jei įmanoma, raštu.
- Kokias sistemas pažįstate iš savo darbo? Tinklo saugumo teikėjas automatiškai neturi patirties su PHP-FPM, Plesk ar konteineriais. Pasiteiraukite apie aplinkas, kuriose komanda reguliariai dirba.
- Kas konkrečiai dirbs su mūsų sistemomis? Savi darbuotojai, partneriai ar subrangovai? Esant partneriams turi būti aišku, kas kokią užduotį perima ir kas prieš jus lieka atsakingas.
- Kaip atrodo jūsų veiksmai pirmaisiais žingsniais? Geri atsakymai nurodo sulaikymą, įrodymų išsaugojimą ir inventorizaciją prieš bet kokį valymą, kaip numato ir kontrolinis sąrašas po įsilaužimo.
- Kaip išsaugote įrodymus? Ar žurnalai ir failai išsaugomi prieš pakeitimus, su laiko žyma ir kontroline suma? Tai svarbu draudimui, pranešimams ir galimam pareiškimui.
- Kokių prieigų jums reikia ir kaip su jomis elgiatės? Rimti teikėjai reikalauja tik būtinų teisių, naudoja asmenines paskyras ir po užbaigimo prieigas grąžina.
- Ar yra rašytinis susitarimas prieš prieigą? Į jį įeina apimtis, įgaliojimai ir, esant asmens duomenims, duomenų tvarkymo sutartis. Daugiau skyriuje Duomenų tvarkymo sutartis, kai paslaugų teikėjai jungiasi prie serverių.
- Kas sprendžia dėl didelių žingsnių? Išjungimas, ištrynimas, perkūrimas: teikėjas tokius žingsnius turėtų siūlyti ir pagrįsti, o sprendimas lieka jums.
- Kas yra baigiamojoje ataskaitoje? Paprašykite pavyzdžio be klientų duomenų. Gera ataskaita atskiria įrodytą, tikėtiną ir nežinomą bei įvardija atvirus punktus.
- Kaip bendraujate užsakymo metu? Ar yra pastovūs kontaktiniai asmenys, reguliarūs tarpiniai pranešimai ir aiškus kanalas skubiems klausimams?
- Kur yra jūsų pasiūlymo ribos? Teisinės konsultacijos, bendravimo su institucijomis ar teismo ekspertizės išvadų ne kiekvienas imasi. Rimtas teikėjas tai pasako pats.
- Kaip atsiskaitoma? Pagal sąnaudas, fiksuota suma ar pagal pagrindinę sutartį? Leiskite paaiškinti, kas įeina ir kas ne, kad vėliau nebūtų staigmenų.
- Kas vyksta po incidento? Ar teikėjas padeda su pokontrole, sustiprinimu ir nuolatine priežiūra, ar užsakymas baigiasi išvalymu?
Įspėjamieji pasiūlymų ženklai
Kai kurios formuluotės turėtų jus sužadinti. Tarp jų absoliutaus saugumo pažadai, tvirtinimas, kad po išvalymo serveryje „tikrai nieko nebėra“, ir teiginiai, kurie be inventorizacijos jau žino rezultatą. Geri teikėjai kalba apie tikimybes ir įrodymus.
Atsargumo reikia ir tada, kai teikėjas spaudžia dėl prieigų, kol neaiški apimtis ir įgaliojimai, arba kai jis savo iniciatyva kreipiasi el. paštu ar telefonu ir tvirtina, kad jūsų serveris įsilaužtas. Krizės savaitėmis sukčiai naudoja tokias gudrybes. Prieš reaguodami, patikrinkite siuntėją nepriklausomu keliu.
Dar vienas pastebėjimas: logotipus, ženklus ir apdovanojimus lengva padėti į svetainę. Abejojant pasiteiraukite, kas ženklą suteikė ir ką dėl to patikrino.
Viešos orientavimosi priemonės
BSI skelbia kvalifikuotų paslaugų teikėjų sąrašus tam tikroms sritims, pavyzdžiui, reagavimui į vadinamąsias APT atakas, tai yra tikslines, ilgalaikes atakas, ir apsaugai nuo DDoS atakų. Šie sąrašai organizacijoms su atitinkamu poreikiu yra gera orientacinė priemonė. Tipinis incidentas viename žiniatinklio serveryje dažnai į šias kategorijas nepatenka; čia tinka ir teikėjai, nesantys tuose sąrašuose.
Padeda ir rekomendacijos iš savo tinklo, pavyzdžiui, iš sektorių asociacijų, rūmų, jūsų draudiko ar kitų įmonių, patyrusių incidentą. Kai kurie kibernetinio draudimo bendrovės savo sąlygose nurodo savo kontaktinius asmenis ar paslaugų teikėjus žalos atvejui. Patikrinkite savo polisą, prieš patys užsakydami.
Atsakymus į dvylika klausimų užfiksuokite trumpoje lentelėje ir padėkite prie avarinio plano. Kritiniu atveju tada iškart žinosite, kam skambinti ir kas sutarta.
Raštu užfiksuoti, kas svarbu
Net ir gerai pasirinkus, svarbiausi punktai turėtų būti sureguliuoti raštu: paslaugų apimtis, prieigos ir jų grąžinimas, konfidencialumas, elgesys su įrodymais, ataskaitų pareigos ir atsiskaitymas. Kokios sąlygos prasmingos, aprašyta straipsnyje Sutartys su IT paslaugų teikėjais: aiškiai sureguliuoti saugumo pareigas. Ar jūsų sutartis teisiškai tinka, tikrina advokatas; mes pateikiame techninius punktus.
Kaip PHP SOS padeda konkrečiai?
- Į dvylika klausimų dėl savo pasiūlymo atsakome raštu, prieš jums mus užsakant, taip pat apie savo paslaugos ribas.
- Atvirai įvardijame, kurias užduotis perimame patys ir kur dirbame su specializuotais partneriais, pavyzdžiui, teismo ekspertizėje ar įsilaužimo testuose.
- Apimtį, įgaliojimus ir, jei reikia, duomenų tvarkymą susitariame prieš pirmą prieigą.
- Incidento metu dirbame pagal savo Incident Response eigą: sulaikyti, išsaugoti, išvalyti, dokumentuoti.
Išvada
Tinkamą saugumo paslaugų teikėją atpažįstate ne pagal garsiausią pažadą, o pagal aiškius atsakymus į konkrečius klausimus. Kas dvylika klausimų užduoda ramiu metu ir rezultatus užfiksuoja, kritiniu atveju sprendžia greičiau ir geriau.
Dažni klausimai
Pagal ką atpažinti rimtą IT saugumo paslaugų teikėją?
Pagal aiškius teiginius apie eigą, atsakomybes ir ribas, pagal rašytinį susitarimą prieš prieigą ir pagal ataskaitą, kuri atskiria įrodytą nuo spėjamo. Nepasitikėti reikėtų absoliučiais pažadais ir spaudimu iškart perduoti prieigas.
Ar BSI tvarko paslaugų teikėjų sąrašą?
BSI skelbia kvalifikuotų paslaugų teikėjų sąrašus tam tikroms sritims, pavyzdžiui, reagavimui į APT atakas ir apsaugai nuo DDoS atakų. Šie sąrašai liečia specialias situacijas; tipiniam žiniatinklio serverio incidentui tinka ir kiti teikėjai.
Ar turėčiau gauti kelis pasiūlymus?
Planuojamiems užsakymams, kaip sustiprinimas, auditas ar priežiūros sutartis, taip. Ūmiu avariniu atveju tam dažnai trūksta laiko. Todėl dar svarbiau teikėją pasirinkti iš anksto ir išsiaiškinti pagrindinius punktus, kol nieko neįvyko.
Ar paslaugų teikėjas gali pats išjungti sistemas ar ištrinti duomenis?
Tik jei tai aiškiai sutarėte. Geras paslaugų teikėjas dėl didelių žingsnių pasiteirauja ir dokumentuoja jūsų sprendimą. Iš anksto nustatykite, kas jūsų pusėje gali tokius sprendimus priimti.