Krótko: Usługodawcę bezpieczeństwa IT najlepiej znaleźć, zanim będą go Państwo pilnie potrzebować. Proszę porównywać dostawców na podstawie konkretnych pytań: jak działają, kto pracuje na Państwa systemach, jak zabezpieczane są dowody, co zawiera raport i gdzie leżą granice oferty. Rzetelni dostawcy odpowiadają na te pytania jasno i na piśmie. Absolutne obietnice, presja i mgliste opisy usług są sygnałami ostrzegawczymi.
Dlaczego wybór jest teraz szczególnie trudny
Po sytuacji takiej jak PHP2Shell popyt na usługi bezpieczeństwa gwałtownie rośnie. Jednocześnie pojawiają się oferty, które brzmią szybko, kompleksowo i tanio. Firmom bez własnego działu bezpieczeństwa trudno odróżnić jakość od dobrego marketingu.
Dochodzi presja czasu. Kto podejrzewa włamanie, chce natychmiastowej pomocy i nie ma tygodnia na porównanie. Dlatego opłaca się dokonać wyboru w spokojnym czasie i wcześniej wyjaśnić najważniejsze punkty. Czy w ogóle potrzebują Państwo usługodawcy, wyjaśnia nasz wpis Naprawić samemu czy zatrudnić usługodawcę?. Tutaj chodzi o to, jak znaleźć właściwego.
Znaleźć usługodawcę bezpieczeństwa IT: 12 pytań
Proszę zadać te pytania każdemu dostawcy, którego rozważają Państwo. Odpowiedzi powinny być konkretne i możliwie pisemne.
- Jakie systemy zna Pan/Pani z własnej pracy? Dostawca bezpieczeństwa sieci nie ma automatycznie doświadczenia z PHP-FPM, Plesk czy kontenerami. Proszę zapytać o środowiska, w których zespół regularnie pracuje.
- Kto konkretnie pracuje na naszych systemach? Własni pracownicy, partnerzy czy podwykonawcy? W przypadku partnerów powinno być jasne, kto przejmuje które zadanie i kto pozostaje odpowiedzialny wobec Państwa.
- Jak wygląda Państwa postępowanie w pierwszych krokach? Dobre odpowiedzi wymieniają powstrzymanie, zabezpieczenie dowodów i inwentaryzację przed każdym oczyszczaniem, tak jak przewiduje to także lista kontrolna po włamaniu.
- Jak zabezpieczają Państwo dowody? Czy logi i pliki są zabezpieczane przed zmianami, ze znacznikiem czasu i sumą kontrolną? To ważne dla ubezpieczenia, zgłoszeń i ewentualnego zawiadomienia o przestępstwie.
- Jakich dostępów Państwo potrzebują i jak z nimi postępują? Rzetelni dostawcy żądają tylko niezbędnych uprawnień, używają osobistych kont i zwracają dostępy po zakończeniu.
- Czy przed uzyskaniem dostępu jest pisemna umowa? Należą do niej zakres, uprawnienia i, w przypadku danych osobowych, umowa powierzenia przetwarzania. Więcej w artykule Powierzenie przetwarzania, gdy usługodawcy mają dostęp do serwerów.
- Kto decyduje o daleko idących krokach? Wyłączenie, usunięcie, instalacja od nowa: dostawca powinien takie kroki proponować i uzasadniać, a decyzja pozostaje po Państwa stronie.
- Co zawiera raport końcowy? Proszę poprosić o przykład bez danych klientów. Dobry raport oddziela to, co udokumentowane, prawdopodobne i nieznane, oraz wymienia otwarte punkty.
- Jak komunikują się Państwo w trakcie zlecenia? Czy są stałe osoby kontaktowe, regularne raporty pośrednie i jasny kanał do pilnych pytań?
- Gdzie leżą granice Państwa oferty? Doradztwa prawnego, komunikacji z organami lub ekspertyz informatyki śledczej dla sądów nie przejmuje każdy. Rzetelny dostawca mówi o tym sam.
- Jak odbywa się rozliczenie? Według nakładu, ryczałtowo czy w ramach umowy ramowej? Proszę kazać sobie wyjaśnić, co jest w cenie, a co nie, aby później nie było niespodzianek.
- Co dzieje się po incydencie? Czy dostawca wspiera w działaniach następczych, utwardzaniu i stałej opiece, czy zlecenie kończy się na oczyszczeniu?
Sygnały ostrzegawcze w ofertach
Niektóre sformułowania powinny wzbudzić Państwa czujność. Należą do nich obietnice absolutnego bezpieczeństwa, twierdzenie, że po oczyszczeniu na serwerze „na pewno już nic nie ma”, i wypowiedzi, które bez inwentaryzacji znają już wynik. Dobrzy dostawcy mówią o prawdopodobieństwach i dowodach.
Ostrożność jest też wskazana, gdy dostawca naciska na dostępy, zanim wyjaśniono zakres i uprawnienia, lub gdy zgłasza się do Państwa niezamówiony e-mailem lub telefonicznie i twierdzi, że Państwa serwer został zhakowany. W tygodniach kryzysowych oszuści stosują takie metody. Proszę sprawdzić nadawcę niezależną drogą, zanim zareagują Państwo.
Kolejna wskazówka: logo, pieczęcie i nagrody łatwo umieścić na stronie internetowej. W razie wątpliwości proszę zapytać, kto przyznał pieczęć i co sprawdzano.
Publiczne pomoce orientacyjne
BSI (niemiecki Federalny Urząd ds. Bezpieczeństwa w Technice Informatycznej) publikuje listy wykwalifikowanych usługodawców dla określonych obszarów, na przykład reagowania na tak zwane ataki APT, czyli ukierunkowane, długotrwałe ataki, oraz obrony przed atakami DDoS. Te listy są dobrą orientacją dla organizacji z odpowiednią potrzebą. Typowy incydent na pojedynczym serwerze WWW często nie należy do tych kategorii; wchodzą tu w grę także dostawcy, którzy tam nie są wymienieni.
Pomocne są ponadto rekomendacje z własnej sieci kontaktów, na przykład od związków branżowych, izb, Państwa ubezpieczyciela lub innych firm, które przeżyły incydent. Niektórzy ubezpieczyciele cyber podają w warunkach własne osoby kontaktowe lub usługodawców na wypadek szkody. Proszę sprawdzić polisę, zanim sami zlecą Państwo pracę.
Proszę zapisać odpowiedzi na dwanaście pytań w krótkiej tabeli i dołączyć ją do planu awaryjnego. W razie awarii od razu będą Państwo wiedzieć, do kogo zadzwonić i co uzgodniono.
Zapisać w umowie to, co się liczy
Także przy dobrym wyborze najważniejsze punkty powinny być uregulowane na piśmie: zakres usług, dostępy i ich zwrot, poufność, postępowanie z dowodami, obowiązki raportowania i rozliczenie. Jakie klauzule mają sens, opisuje artykuł Umowy z dostawcami usług IT: jasne uregulowanie obowiązków w zakresie bezpieczeństwa. To, czy Państwa umowa jest prawnie odpowiednia, sprawdza adwokat; my dostarczamy do tego punkty techniczne.
Jak konkretnie pomaga PHP SOS?
- Odpowiadamy na dwanaście pytań dla naszej własnej oferty na piśmie, zanim zlecą nam Państwo pracę, także w odniesieniu do granic naszej usługi.
- Mówimy otwarcie, jakie zadania przejmujemy sami, a gdzie pracujemy ze specjalistycznymi partnerami, na przykład przy informatyce śledczej lub testach penetracyjnych.
- Uzgadniamy zakres, uprawnienia i w razie potrzeby powierzenie przetwarzania przed pierwszym dostępem.
- W razie incydentu działamy według przebiegu naszego reagowania na incydenty: powstrzymać, zabezpieczyć, oczyścić, udokumentować.
Podsumowanie
Właściwego usługodawcę bezpieczeństwa rozpoznają Państwo nie po najgłośniejszej obietnicy, lecz po jasnych odpowiedziach na konkretne pytania. Kto zada dwanaście pytań w spokojnych czasach i zapisze wyniki, w razie awarii zdecyduje szybciej i lepiej.
Częste pytania
Po czym poznać rzetelnego usługodawcę bezpieczeństwa IT?
Po jasnych wypowiedziach o sposobie działania, odpowiedzialnościach i ograniczeniach, po pisemnej umowie przed uzyskaniem dostępu i po raporcie, który oddziela to, co udokumentowane, od przypuszczeń. Nieufność jest wskazana przy absolutnych obietnicach i przy presji natychmiastowego wydania dostępów.
Czy BSI prowadzi listę usługodawców?
BSI publikuje listy wykwalifikowanych usługodawców dla określonych obszarów, na przykład reagowania na ataki APT i obrony przed atakami DDoS. Te listy dotyczą szczególnych sytuacji; w przypadku typowego incydentu na serwerze WWW wchodzą w grę także inni dostawcy.
Czy powinienem zebrać kilka ofert?
Przy zleceniach planowalnych, takich jak utwardzanie, audyt czy umowa serwisowa, tak. W nagłej awarii często brakuje na to czasu. Tym ważniejsze jest wybranie dostawcy z wyprzedzeniem i wyjaśnienie najważniejszych punktów, zanim cokolwiek się stanie.
Czy usługodawca może sam wyłączać systemy lub usuwać dane?
Tylko jeśli wyraźnie to Państwo uzgodnili. Dobry usługodawca pyta przy daleko idących krokach i dokumentuje Państwa decyzję. Proszę z góry ustalić, kto po Państwa stronie może podejmować takie decyzje.