Модул 9 · 9.3
Вашата собствена проверка на сигурността и план @@OМШИРЕНИЕ@@
Модул 9: Правила и организация · Време за четене: 12 минути
Цел на урока: След този урок ще можете да направите собствена проверка на сигурността по фиксиран списък и да я превърнете в план с приоритети.
Основни понятия: базови мерки, начално измерване, приоритизиране (вероятност x въздействие, бързото и евтиното първо), собственик и дата, годишно повторение
От знание към действие
През този курс видяхте много: пароли, фишинг, имейл и домейн, устройства, резервни копия, права, инциденти и правила. Сега рискът е да започнете с всичко по малко и да не завършите нищо. Този урок превръща всичко в две неща, които Вие сами създавате:
- едно начално измерване: честна снимка на това как стоят нещата в момента;
- един план: какво правите първо, кой го прави и кога трябва да е готово.
Списъкът по долу съдържа базовите мерки: мерките, които спират повечето опортюнистични атаки (урок 1.1) и които обикновено изисква и клиент, когато поставя изисквания към своите доставчици (урок 9.1). Това не е пълен стандарт като ISO 27001, и не е нужно да бъде. Това е основата, която при малка фирма прави разликата.
Проверката на сигурността: двадесет точки
Отговорете на всяка точка с да, частично или не. Бъдете строги: „мисля, че да“ е „частично“. След всяка точка е посочен уркът, в който сте я научили.
Акаунти и вход в системата
| № | Точка | Урок |
|---|---|---|
| 1 | Има преглед на всички акаунти, устройства, уебсайтове, домейни и доставчици, с посочен собственик за всеки елемент. Това, което вече не се използва, е премахнато. | 1.1, 7.2 |
| 2 | Всеки използва мениджър на пароли и има уникална, дълга парола за всяка услуга. Пароли не се споделят чрез имейл или чат. | 2.1, 2.2 |
| 3 | Двуфакторно удостоверяване е включено за имейл, банка, счетоводство, хостинг, регистратор и социални мрежи; за администраторите за предпочитане устойчива на фишинг форма като passkey или ключ за сигурност. | 2.3, 2.4 |
| 4 | Кодовете за възстановяване и резервните ключове са съхранени на сигурно място и знаете какво да правите, ако даден телефон бъде изгубен. | 2.3, 2.4 |
| 5 | Проверили сте дали служебните адреси се срещат в известни изтичания на данни и знаете как да прекратявате сесии и да проверявате правила за пренасочване. | 1.4, 2.5 |
Хора и процеси
| № | Точка | Урок |
|---|---|---|
| 6 | Има процедура за плащания: обратно обаждане на познат номер при промяна на банкова сметка и втори човек при големи или необичайни плащания. | 1.2 |
| 7 | Всеки може да разпознае фишинг по истинския домейн на линк и знае какво да прави след клик. | 3.1 до 3.5 |
| 8 | Има едно място за подаване на сигнали със заместник, сигнализирането става без обвинение, и има кратко повторение поне няколко пъти годишно. | 9.2 |
Имейл, уебсайт и домейн
| № | Точка | Урок |
|---|---|---|
| 9 | Вашият домейн има SPF, DKIM и DMARC, и DMARC е поне на p=none с план за преминаване към quarantine или reject. | 4.1 |
| 10 | Вашият уебсайт работи навсякъде чрез https с валиден сертификат, пренасочва http, и CMS заедно с plugins се актуализира. HSTS и заглавните редове за сигурност са включени или съзнателно обмислени. | 4.2 |
| 11 | Данните за притежателя на Вашия домейн са верни, автоматичното подновяване е включено, регистраторът има 2FA, няма „висящи“ DNS записи и DNSSEC е включен, където е възможно. | 4.3 |
Устройства и мрежа
| № | Точка | Урок |
|---|---|---|
| 12 | Актуализациите са включени автоматично за операционни системи, приложения и plugins; рутерът, NAS и принтерът също се актуализират; не работи нищо, което вече не получава актуализации. | 5.1 |
| 13 | Лаптопите и телефоните имат заключване на екрана и криптиране на диска, могат да бъдат изтрити отдалечено, и никой не работи ежедневно с администраторски акаунт. | 5.2 |
| 14 | Wi-Fi мрежата използва WPA2 или WPA3, паролата по подразбиране на рутера е сменена, а посетителите и „умните“ устройства са на гостова мрежа. | 5.3 |
Резервни копия
| № | Точка | Урок |
|---|---|---|
| 15 | Има резервно копие на всичко важно, включително поща и облачни услуги, по схемата 3-2-1. | 6.1 |
| 16 | Поне едно копие е офлайн или защитено от промяна и има собствен вход, който не се използва на работните компютри. | 6.2 |
| 17 | През последната година е направен тест за възстановяване, и знаете колко работа можете да си позволите да загубите и колко бързо трябва да бъде възстановено. | 6.3 |
Достъп, доставчици и инциденти
| № | Точка | Урок |
|---|---|---|
| 18 | Всеки има собствен акаунт само с правата, които са му необходими, администраторските акаунти са отделни, и при напускане всички достъпи се отнемат в същия ден. | 7.1 |
| 19 | Важните доставчици и облачни услуги са оценени, има споразумения за обработка на данни, където е необходимо, а файловете се споделят чрез връзки със срок на валидност. | 7.2, 7.3 |
| 20 | Има карта за инциденти на хартия, има регистър на нарушенията на сигурността на данните, и знаете кога да уведомите КЗЛД, МВР/ГДБОП и, ако попадате под него, CERT България. | 8.1, 8.2, 8.3, 9.1 |
Пребройте отговорите си. Много „не“ не е повод за паника: това е Вашата отправна точка. Затова се нарича начално измерване.
Част от проверката можете да автоматизирате
Няколко точки могат да бъдат измерени отвън, защото се отнасят до публични данни за Вашия домейн: точка 9 (SPF, DKIM, DMARC), точка 10 (https, сертификат, HSTS, заглавни редове) и точка 11 (DNSSEC, nameserver-и, дата на изтичане). В задача A9.3 правите това наведнъж за собствения си домейн, със същите проверки както в задачите от модул 4. Независими тестове като https://internet.nl и публичните проверки на https://www.weboke.nl/bg/zdrave-na-domeyna и https://www.weboke.nl/bg/proverka-na-imeyl проверяват сходни точки.
Внимание: зелен резултат по тези точки не казва нищо за останалите седемнадесет. Вашият домейн може да е настроен перфектно, докато пощенската Ви кутия има парола от изтекли данни. Автоматичната проверка е част от началното измерване, а не негов заместител.
От проверка към план: приоритизиране
Вероятно сега имате осем или десет точки с „не“ или „частично“. Не всичко може да стане наведнъж. Изберете реда с два въпроса.
1. Колко голям е рискът? Използвайте вероятност x въздействие (урок 1.1). Точка, върху която се насочва опортюнистична атака, например повторно използвани пароли без 2FA или уебсайт без актуализации, има голяма вероятност. Точка, която при провал спира цялата Ви фирма, например резервно копие, което не работи, има голямо въздействие.
2. Колко усилие изисква? Някои мерки отнемат час и нищо друго, например включването на двуфакторно удостоверяване или договарянето на процедура за плащания. Други отнемат седмици, например подмяна на всички лаптопи.
Подредете точките в опростена схема:
| Малко усилие | Много усилие | |
|---|---|---|
| Голям риск | Направете сега (тази седмица) | Планирайте (това тримесечие) |
| Малък риск | Включете, когато е удобно | По-късно или съзнателно приемете |
Правилото е: бързото и евтиното първо, стига рискът да е голям. При повечето малки фирми в полето „направете сега“ попадат: двуфакторно удостоверяване за имейл и банка (3), процедурата за плащания (6), включването на автоматични актуализации (12) и проверката дали има копие на резервното копие извън обсег (16).
Съзнателно приемане на риска
Даден риск можете и да приемете: решавате, че няма да го решите, защото рискът е малък или разходите са твърде високи. Това е валиден избор, стига да го правите съзнателно и да го запишете. „Забравяне“ не е приемане.
Собственик и дата за всяка точка
План без имена остава неизпълнен. Дайте на всяка точка:
- собственик: един човек, който следи да се случи. Не е задължително той да го изпълнява лично; ИТ фирмата може да свърши работата, но някой във Вашата фирма проверява, че е завършено;
- дата: кога трябва да е готово;
- дефиниция за „готово“: откъде знаете, че е завършено? Не „да се уреди 2FA“, а „2FA е включено на петте акаунта от списъка, кодовете за възстановяване са в сейфа“.
Пример с три реда от плана на Фурна primer.bg:
| Точка | Действие | Собственик | Готово на | Готово при |
|---|---|---|---|---|
| 3 | 2FA за имейл, банка, счетоводство и регистратор | Петра | след 1 седмица | Включено на всичките четири, кодовете за възстановяване са в мениджъра на пароли и на хартия в сейфа |
| 6 | Процедура за плащания на A4, обсъдена с Йост и Сане | Петра | след 2 седмици | A4 виси в офиса, и двамата са я прочели |
| 16 | Седмично копие на диск, който след това се съхранява отделно в сейфа | Йост | след 1 месец | Направено е през първите три седмици, един файл е възстановен като тест |
Повторение
Сигурността никога не е завършена докрай. Появяват се нови служители, нови услуги, нови устройства и нови трикове. Затова се договорете:
- всяка година да повтаряте пълната проверка, в определен месец, и да обновявате плана;
- междувременно да правите проверката при големи промени: нов разработчик на уебсайта, преместване на хостинга, ново счетоводство, бърз растеж;
- след инцидент да преглеждате точките, свързани с него (урок 8.3).
Запазвайте резултата от всяка проверка. Така след година ще видите черно на бяло какво се е подобрило, и ще имате отговор, когато клиент попита как стои сигурността Ви. CERT България също предлага собствени препоръки за самостоятелно заети лица и малки и средни предприятия, https://govcert.bg/, които можете да използвате успоредно с този списък; те водят до списък с действия.
Обобщение
- Начално измерване с двадесет фиксирани точки дава честна снимка; всяка точка препраща към урока, в който сте я научили.
- Част от точките (имейл, уебсайт, домейн) могат да се проверяват автоматично, но това не казва нищо за останалите.
- Приоритизирайте по вероятност x въздействие и усилие: голям риск с малко усилие първо.
- Всяка точка от плана получава собственик, дата и дефиниция за „готово“; приемането на риск е допустимо, но съзнателно и на хартия.
- Повтаряйте проверката всяка година и при големи промени, и запазвайте резултатите.
Тест
Задача
Задача A9.3: Автоматичната проверка на Вашия домейн. Въведете собствения си домейн. Програмата проверява наведнъж имейл (SPF, DKIM, DMARC), уебсайт (https, сертификат, пренасочване, HSTS, заглавни редове) и домейн (nameserver-и, DNSSEC, дата на изтичане) и показва кои точки от проверката на сигурността са зелени, оранжеви или червени.
Задача D9.3: Вашата проверка на сигурността и план. Направете проверката от двадесет точки за собствената си фирма. След това изберете поне пет точки, подредете ги в схемата на риск и усилие, и направете план с собственик, дата и дефиниция за „готово“ за всяка точка. Запишете в календара си кога ще повторите проверката.
Задача D9.3: Вашата проверка на сигурността и план
Подходете към задачата така: (1) Прегледайте двадесетте точки от урока и попълнете за всяка: да, частично или не. За точки 9, 10 и 11 използвайте резултата от A9.3 (бутонът прехвърля червените и оранжевите точки). (2) Поставете всяка точка с „частично“ или „не“ в схемата на риск (голям/малък) и усилие (малко/много). (3) Изберете поне пет точки. Започнете с клетките „голям риск, малко усилие“. (4) Дайте на всяка избрана точка действие, отговорник, дата и определение за „готово“. (5) Запишете кои точки съзнателно приемате, с причината. (6) Поставете в календара си фиксиран месец за следващата пълна проверка и запишете при какви промени ще проверявате отново междувременно. (7) Запазете резултата (курсът запазва попълнената проверка, ако желаете; само да/частично/не за всяка точка и Вашият план, без други данни).
Вашите отметки и бележки остават само в този браузър; не ги изпращаме никъде. Ако сте влезли, в Моите курсове запазваме само че сте изпълнили задачата.
Препоръки за по-нататъшно четене
Стъпките в статиите на WebOké важат за средата на WebOké; при други доставчици работи по сходен начин.
- Ръководство на WebOké 5.17: Здраве на домейна и имейла: проверка и отстраняване на проблеми
- WebOké, Здраве на домейн / имейл (публична проверка): https://www.weboke.nl/bg/zdrave-na-domeyna
- WebOké, Проверка на имейл: https://www.weboke.nl/bg/proverka-na-imeyl
- Internet.nl, тествайте Вашия уебсайт и имейл: https://internet.nl
- Препоръки на CERT България за самостоятелно заети лица и малки и средни предприятия: https://govcert.bg/