Em resumo: o melhor é encontrar um prestador de serviços de segurança de TI antes de precisar dele com urgência. Compare os fornecedores com base em perguntas concretas: como procedem, quem trabalha nos seus sistemas, como se preservam as provas, o que consta do relatório e onde estão os limites da sua oferta. Os fornecedores sérios respondem a estas perguntas com clareza e por escrito. Promessas absolutas, pressão e descrições vagas dos serviços são sinais de alerta.
Porque é que a escolha é agora difícil
Após uma situação como o PHP2Shell, a procura de serviços de segurança sobe de repente. Ao mesmo tempo, aparecem ofertas que soam rápidas, abrangentes e baratas. Para empresas sem departamento de segurança próprio, é difícil distinguir a qualidade do bom marketing.
A isto junta-se a pressão do tempo. Quem suspeita de uma intrusão quer ajuda imediata e não tem uma semana para comparar. Por isso compensa fazer a escolha em tempos calmos e esclarecer os pontos essenciais de antemão. Se precisa sequer de um prestador de serviços, responde-o o nosso artigo Resolver sozinho ou contratar um prestador de serviços?. Aqui trata-se de como encontrar o certo.
Encontrar um prestador de serviços de segurança de TI: as 12 perguntas
Faça estas perguntas a cada fornecedor que considerar. As respostas devem ser concretas e, se possível, escritas.
- Que sistemas conhecem do seu próprio trabalho? Um fornecedor de segurança de redes não tem automaticamente experiência com PHP-FPM, Plesk ou contentores. Pergunte pelos ambientes em que a equipa trabalha regularmente.
- Quem trabalha em concreto nos nossos sistemas? Colaboradores próprios, parceiros ou subcontratados? No caso de parceiros, deve estar claro quem assume que tarefa e quem continua responsável perante si.
- Como é o vosso procedimento nos primeiros passos? As boas respostas mencionam contenção, preservação de provas e levantamento da situação antes de qualquer limpeza, tal como também prevê a Lista de verificação após um ataque informático.
- Como preservam as provas? Registos e ficheiros são guardados antes de alterações, com carimbo de data/hora e soma de verificação? Isto é importante para o seguro, as notificações e uma eventual queixa.
- Que acessos precisam e como os tratam? Os fornecedores sérios pedem apenas os direitos necessários, usam contas pessoais e devolvem os acessos no fim.
- Existe um acordo escrito antes do acesso? Fazem parte o âmbito, os poderes e, no caso de dados pessoais, um contrato de subcontratação do tratamento de dados. Mais sobre isto em Subcontratação de tratamento de dados quando prestadores de serviços acedem a servidores.
- Quem decide sobre passos de grande alcance? Desligar, apagar, reinstalar: o fornecedor deve propor e fundamentar tais passos, e a decisão fica consigo.
- O que consta do relatório final? Peça um exemplo sem dados de clientes. Um bom relatório separa o comprovado, o provável e o desconhecido e indica os pontos em aberto.
- Como comunicam durante o trabalho? Existem interlocutores fixos, pontos da situação regulares e um canal claro para perguntas urgentes?
- Onde estão os limites da vossa oferta? Aconselhamento jurídico, comunicação com autoridades ou pareceres forenses para tribunais nem todos assumem. Um fornecedor sério di-lo por si próprio.
- Como se fatura? Por esforço, a preço fixo ou como contrato-quadro? Peça que lhe expliquem o que está incluído e o que não está, para que não haja surpresas depois.
- O que acontece depois do incidente? O fornecedor apoia no acompanhamento posterior, no hardening e numa assistência permanente, ou o trabalho termina com a limpeza?
Sinais de alerta nas propostas
Algumas formulações devem pô-lo de sobreaviso. Incluem-se promessas de segurança absoluta, a afirmação de que, depois de uma limpeza, «com toda a certeza» já não há nada no servidor, e declarações que, sem levantamento da situação, já conhecem o resultado. Os bons fornecedores falam de probabilidades e de comprovativos.
Cautela justifica-se também quando um fornecedor insiste em acessos antes de o âmbito e os poderes estarem esclarecidos, ou quando o aborda sem pedido, por e-mail ou telefone, e afirma que o seu servidor foi invadido. Em semanas de crise, os burlões usam estes esquemas. Verifique o remetente por uma via independente antes de reagir.
Outra indicação: logótipos, selos e distinções colocam-se facilmente num site. Na dúvida, pergunte quem atribuiu um selo e o que foi verificado para isso.
Orientações públicas
O BSI publica listas de prestadores de serviços qualificados para determinadas áreas, por exemplo para a resposta aos chamados ataques APT, isto é, ataques dirigidos e de longa duração, e para a defesa contra ataques DDoS. Estas listas são uma boa orientação para organizações com a necessidade correspondente. Um incidente típico num único servidor web muitas vezes não cai nestas categorias; aqui também podem ser considerados fornecedores que ali não constam.
Úteis são ainda recomendações da própria rede de contactos, por exemplo de associações setoriais, câmaras, da sua seguradora ou de outras empresas que passaram por um incidente. Algumas seguradoras de ciberseguro indicam nas suas condições interlocutores ou prestadores de serviços próprios para o caso de sinistro. Verifique a sua apólice antes de contratar por si.
Registe as respostas às doze perguntas numa breve tabela e junte-a ao plano de emergência. Numa emergência, sabe então de imediato a quem telefonar e o que está acordado.
Registar por contrato o que conta
Mesmo com uma boa escolha, os pontos mais importantes devem estar regulados por escrito: âmbito dos serviços, acessos e a sua devolução, confidencialidade, tratamento das provas, obrigações de relato e faturação. Que cláusulas fazem sentido, descreve-o Contratos com prestadores de serviços de TI: regular claramente as obrigações de segurança. Se o seu contrato é juridicamente adequado, verifica-o um advogado; nós fornecemos para isso os pontos técnicos.
Como ajuda concretamente a PHP SOS?
- Respondemos por escrito às doze perguntas para a nossa própria oferta antes de nos contratar, incluindo sobre os limites do nosso serviço.
- Indicamos abertamente que tarefas assumimos nós próprios e onde trabalhamos com parceiros especializados, por exemplo em perícia forense ou testes de intrusão.
- Acordamos o âmbito, os poderes e, se necessário, a subcontratação do tratamento de dados antes do primeiro acesso.
- Num incidente, trabalhamos segundo o procedimento da nossa resposta a incidentes: conter, preservar, limpar, documentar.
Conclusão
O prestador de serviços de segurança certo reconhece-se não pela promessa mais alta, mas por respostas claras a perguntas concretas. Quem faz as doze perguntas em tempos calmos e regista os resultados decide mais depressa e melhor numa emergência.
Perguntas frequentes
Como reconheço um prestador de serviços de segurança de TI sério?
Por afirmações claras sobre procedimento, responsabilidades e limites, por um acordo escrito antes do acesso e por um relatório que separa o comprovado do presumido. Justifica-se desconfiança perante promessas absolutas e pressão para entregar acessos de imediato.
O BSI mantém uma lista de prestadores de serviços?
O BSI (Gabinete Federal Alemão para a Segurança da Informação) publica listas de prestadores qualificados para determinadas áreas, por exemplo para a resposta a ataques APT e para a defesa contra ataques DDoS. Estas listas dizem respeito a situações especiais; para um incidente típico num servidor web, também podem ser considerados outros fornecedores.
Devo pedir várias propostas?
Em trabalhos planeáveis, como hardening, auditoria ou contrato de manutenção, sim. Numa emergência aguda, muitas vezes falta o tempo para isso. Tanto mais importante é escolher um fornecedor de antemão e esclarecer os pontos essenciais antes de algo acontecer.
O prestador de serviços pode desligar sistemas ou apagar dados por conta própria?
Só se o tiver acordado expressamente. Um bom prestador de serviços pergunta antes de passos de grande alcance e documenta a sua decisão. Defina de antemão quem, do seu lado, pode tomar tais decisões.