Kort sagt: En IT-säkerhetsleverantör hittar ni bäst innan ni brådskande behöver en. Jämför leverantörer utifrån konkreta frågor: Hur går de tillväga, vem arbetar på era system, hur säkras bevis, vad står i rapporten och var ligger gränserna för deras erbjudande. Seriösa leverantörer besvarar dessa frågor tydligt och skriftligt. Absoluta löften, press och vaga tjänstebeskrivningar är varningssignaler.
Varför valet är svårt just nu
Efter ett läge som PHP2Shell stiger efterfrågan på säkerhetstjänster tvärt. Samtidigt dyker det upp erbjudanden som låter snabba, omfattande och billiga. För företag utan egen säkerhetsavdelning är det svårt att skilja kvalitet från bra marknadsföring.
Dessutom tillkommer tidspressen. Den som misstänker ett intrång vill ha hjälp direkt och har ingen vecka för en jämförelse. Därför lönar det sig att göra valet i lugna tider och klargöra huvudpunkterna i förväg. Om ni över huvud taget behöver en leverantör besvarar vårt inlägg Åtgärda själv eller hämta en leverantör?. Här handlar det om hur ni hittar rätt.
Hitta IT-säkerhetsleverantör: de 12 frågorna
Ställ dessa frågor till varje leverantör som ni överväger. Svaren bör vara konkreta och helst skriftliga.
- Vilka system känner ni till av eget arbete? En leverantör av nätverkssäkerhet är inte automatiskt erfaren av PHP-FPM, Plesk eller containrar. Fråga efter de miljöer där teamet regelbundet arbetar.
- Vem arbetar konkret på våra system? Egna medarbetare, partner eller underleverantörer? Vid partner bör det vara tydligt vem som tar vilken uppgift och vem som förblir ansvarig gentemot er.
- Hur ser ert tillvägagångssätt ut i de första stegen? Goda svar nämner avgränsning, säkring av bevis och inventering före varje sanering, såsom också checklistan efter ett hack föreskriver.
- Hur säkrar ni bevis? Säkras loggar och filer före förändringar, med tidsstämpel och kontrollsumma? Det är viktigt för försäkring, anmälningar och en möjlig polisanmälan.
- Vilka åtkomster behöver ni, och hur hanterar ni dem? Seriösa leverantörer begär bara de nödvändiga rättigheterna, använder personliga konton och lämnar tillbaka åtkomsterna efter avslutet.
- Finns det en skriftlig överenskommelse före åtkomsten? Dit hör omfattning, befogenheter och, vid personuppgifter, ett personuppgiftsbiträdesavtal. Mer om det under Personuppgiftsbiträdesavtal när leverantörer får åtkomst till servrar.
- Vem beslutar om långtgående steg? Avstängning, radering, ominstallation: Leverantören bör föreslå och motivera sådana steg, beslutet ligger kvar hos er.
- Vad står i slutrapporten? Fråga efter ett exempel utan kunduppgifter. En bra rapport skiljer det belagda, det sannolika och det okända och anger öppna punkter.
- Hur kommunicerar ni under uppdraget? Finns det fasta kontaktpersoner, regelbundna lägesrapporter och en tydlig kanal för brådskande frågor?
- Var ligger gränserna för ert erbjudande? Juridisk rådgivning, kommunikation med myndigheter eller forensiska utlåtanden för domstol tar inte alla på sig. En seriös leverantör säger det av sig själv.
- Hur faktureras det? Efter förbrukad tid, till fast pris eller som ramavtal? Låt förklara vad som ingår och inte, så att inga överraskningar uppstår senare.
- Vad händer efter incidenten? Stöder leverantören vid efterarbetet, vid härdning och vid en varaktig förvaltning, eller slutar uppdraget med saneringen?
Varningssignaler i offerter
Vissa formuleringar bör göra er uppmärksamma. Hit hör löften om absolut säkerhet, påståendet att det efter en sanering ”säkert inte finns något mer” på servern och utsagor som redan känner resultatet utan inventering. Bra leverantörer talar om sannolikheter och belägg.
Försiktighet är också på sin plats om en leverantör pressar på om åtkomster innan omfattning och befogenheter är klarlagda, eller om den ohörd hör av sig per e-post eller telefon och påstår att er server är hackad. I krisveckor utnyttjar bedragare sådana knep. Kontrollera avsändaren via en oberoende väg innan ni reagerar.
Ytterligare ett tips: Logotyper, sigill och utmärkelser är lätta att sätta på en webbplats. Fråga vid tvivel vem som har tilldelat ett sigill och vad som granskades för det.
Offentliga orienteringshjälpmedel
BSI (tyska förbundskontoret för informationssäkerhet) publicerar listor över kvalificerade leverantörer för vissa områden, till exempel för insatser vid så kallade APT-angrepp, alltså riktade, långvariga angrepp, och för försvar mot DDoS-angrepp. Dessa listor är en bra orientering för organisationer med motsvarande behov. En typisk incident på en enskild webbserver faller ofta inte i de kategorierna; där kommer även leverantörer i fråga som inte är listade.
Hjälpsamma är dessutom rekommendationer från det egna nätverket, till exempel från branschorganisationer, kammare, er försäkringsgivare eller andra företag som har varit med om en incident. Vissa cyberförsäkringsgivare nämner i sina villkor egna kontaktpersoner eller leverantörer för skadefallet. Kontrollera ert försäkringsbrev innan ni själva beställer.
Dokumentera svaren på de tolv frågorna i en kort tabell och lägg den till krisplanen. I ett skarpt läge vet ni då direkt vem ni ska ringa och vad som är överenskommet.
Fastlägga det som räknas i avtal
Även vid ett gott val bör de viktigaste punkterna vara skriftligt reglerade: tjänsteomfattning, åtkomster och deras återlämnande, sekretess, hantering av bevis, rapporteringsskyldigheter och fakturering. Vilka klausuler som är rimliga beskriver Avtal med IT-leverantörer: tydliga säkerhetsskyldigheter. Om ert avtal passar juridiskt prövar en advokat; vi levererar de tekniska punkterna för det.
Hur hjälper PHP SOS konkret?
- Vi besvarar de tolv frågorna för vårt eget erbjudande skriftligt innan ni anlitar oss, även om gränserna för vår tjänst.
- Vi anger öppet vilka uppgifter vi tar hand om själva och var vi arbetar med specialiserade partner, till exempel vid forensik eller penetrationstester.
- Vi kommer överens om omfattning, befogenheter och vid behov personuppgiftsbiträdesavtalet före den första åtkomsten.
- Vid en incident arbetar vi enligt förloppet i vår Incident Response: avgränsa, säkra, sanera, dokumentera.
Slutsats
Den rätta säkerhetsleverantören känner ni inte igen på det högljuddaste löftet utan på tydliga svar på konkreta frågor. Den som ställer de tolv frågorna i lugna tider och dokumenterar resultaten beslutar snabbare och bättre i ett skarpt läge.
Vanliga frågor
Hur känner jag igen en seriös IT-säkerhetsleverantör?
På tydliga besked om tillvägagångssätt, ansvar och gränser, på en skriftlig överenskommelse före åtkomsten och på en rapport som skiljer det belagda från det antagna. Misstro är på sin plats vid absoluta löften och vid press att genast lämna ut åtkomster.
För BSI en lista över leverantörer?
BSI publicerar listor över kvalificerade leverantörer för vissa områden, till exempel för insatser vid APT-angrepp och för försvar mot DDoS-angrepp. Dessa listor gäller särskilda lägen; för en typisk incident på en webbserver kommer även andra leverantörer i fråga.
Bör jag hämta in flera offerter?
Vid planerbara uppdrag som härdning, revision eller underhållsavtal ja. I ett akut nödläge saknas ofta tid för det. Desto viktigare är det att välja en leverantör i förväg och klargöra huvudpunkterna innan något händer.
Får leverantören själv stänga av system eller radera data?
Bara om ni uttryckligen har kommit överens om det. En bra leverantör frågar vid långtgående steg och dokumenterar ert beslut. Bestäm i förväg vem på er sida som får fatta sådana beslut.