Skladnost še ne pomeni pripravljenosti – bi preživeli prvi val napada?

Na sestanku uprave je vse videti urejeno, podjetje je sprejelo kompleksne varnostne politike, in če pogledajo seznam zahtev, je večina polj označenih s kljukico. Kljub temu pride do kibernetskega incidenta. Kibernetski napadalci namreč ne preverjajo dokumentacije, ampak preizkušajo, ali podjetje pozna svoje informacijsko okolje ter ali zna dovolj hitro opaziti nenavadno dogajanje. Takoj opazijo, kadar podjetje ne razume, kaj se dogaja v njegovem omrežju, in predvsem, ali zna pod pritiskom sprejeti pravilne odločitve. Vse pomanjkljivosti tudi nadvse bliskovito izkoristijo.

V zadnjih nekaj letih se je zato začel uporabljati pojem kibernetska odpornost, ki nadgrajuje pojem kibernetska varnost, predvsem pa označuje sposobnosti podjetij, da ob napadu ohranijo nadzor nad poslovanjem, omejijo škodo in se čim hitreje vrnejo v običajen način delovanja.

 

 

Ko zaščita obstaja, pregled nad okoljem pa ne

Podjetja v zadnjih letih veliko vlagajo v tehnologijo, posodabljajo omrežja, uvajajo večnivojsko avtentikacijo, skrbijo za varnostne kopije in nadzor dostopov. To so vsekakor pomembni koraki, vendar sami po sebi še ne pomenijo, da je organizacija pripravljena na resen incident. Ena od pogostih težav pri zagotavljanju kibernetske odpornosti podjetij je namreč pomanjkanje celovitega vpogleda v lastno IT-okolje. Še posebej v večjih organizacijah, kjer se v letih nabere veliko različnih rešitev, aplikacij, strežnikov, uporabniških računov in povezav z zunanjimi sistemi. Velikokrat del okolja upravlja interno osebje, del zunanji izvajalci, del storitev pa teče v oblaku. V tako kompleksnem okolju pa je težko razločiti, kako vse rešitve in sistemi delujejo skupaj, kaj je normalno dogajanje in kaj odstopanje.

Če podjetje ne pozna dovolj dobro svojega okolja, težko prepozna tudi prve znake napada, in ko želi ugotoviti, kaj se sploh dogaja, izgublja dragocen čas. 

»Pri penetracijskih testih uporabljamo podobne tehnike kot napadalci, z izsledki testov pa nato nadgrajujemo protokole v varnostno operativnem centru. Redno opažamo, da napadalci izkoriščajo zaporedje več manjših zaporednih ranljivosti – od pozabljenega računa do neustreznih pravic in dostopa do posameznih podsistemov. Ključna razlika med organizacijami je prav v tem, da pravočasno zaznajo takšno verigo dogodkov. V A1 Varnostno operativnem centru zato povezujemo telemetrijo iz celotnega okolja in iščemo odstopanja, ki jih posamezni sistemi sami ne zaznajo,« pojasnjuje Alen Bezjak, strokovnjak za kibernetsko varnost in etični heker v A1 Varnostno operativnem centru.

Prvi val napada danes preživi tisti, ki ga opazi

Dolgo je veljalo, da je najpomembnejša naloga obrambe preprečiti vdor. Danes je pogled nekoliko drugačen. Strokovnjaki se strinjajo, da popolne zaščite ni mogoče zagotoviti, saj tudi napadalci uporabljajo avtomatizirana orodja, umetno inteligenco, javno dostopne podatke in vedno bolj prepričljive metode socialnega inženiringa. Ključno je vprašanje, kako hitro organizacija zazna, da je nekaj narobe.

Kot minimalni standard sodobne zaščite so pomembni trije elementi: urejeno in varno informacijsko okolje, tehnologija, ki omogoča zaznavanje napadov in sumljivih aktivnosti, ter postopki, ki se ob incidentu sprožijo hitro, usklajeno in pravilno. Prvi element lahko podjetja do določene mere uredijo sama, sicer pa je bolje, da svoje informacijsko okolje integrirajo v dober varnostno-operativni center, pri drugem in tretjem elementu pa pogosto potrebujejo dodatno podporo. Tukaj se za nenadomestljive pokažejo varnostni inženirji A1 Varnostno operativnega centra oziroma VOC-a, ki ves čas spremljajo dogajanje, povezujejo informacije iz različnih delov informacijskega okolja, prepoznavajo vzorce in ponujajo pomoč pri ukrepanju.

Od reaktivnega k proaktivnemu pristopu

Veliko organizacij se s kibernetsko varnostjo začne resno ukvarjati šele po krizni situaciji, ko ugotovijo, da določeni sistemi niso bili ustrezno posodobljeni, da so bile nekatere pravice dostopa preširoko dodeljene ali da določene ranljivosti že dolgo niso bile pregledane. Bistveno učinkovitejše je, če organizacija šibke točke odkrije, še preden jih odkrije kdo drug, zato so za sodobno upravljanje tveganj tako pomembni redni varnostni pregledi in penetracijski testi.

Zunanji penetracijski test je nadzorovan preizkus, pri katerem strokovnjaki poskušajo vstopiti v informacijsko okolje na podoben način, kot bi to storil napadalec. Cilj takšnega pregleda je odkriti pomanjkljivosti, ki jih je mogoče odpraviti, preden pomenijo resno tveganje. Podobno velja za celovite varnostne preglede, ki pomagajo ugotoviti, ali so zaščitni ukrepi dejansko učinkoviti in ali pokrivajo najpomembnejše ranljivosti. Notranji penetracijski test pa je usmerjen v preverjanje varnosti znotraj omrežja organizacije, kar je primerno za simulacijo scenarijev, kjer je napadalec že pridobil dostop do notranjega omrežja. Poseben poudarek v okviru penetracijskih testov pa je namenjen testiranju varnosti aplikacij.

A1 podjetjem pomaga vzpostaviti in izvajati celovito varnostno strategijo s pomočjo A1 varnostno operativnega centra, ki zagotavlja napredne storitve kibernetske zaščite 24/7.

Zakaj sploh narediti penetracijski test

Penetracijski test podjetju pokaže, kje bi napadalec najverjetneje poskusil vstopiti in katere pomanjkljivosti bi lahko povezal v resnejši varnostni incident. Njegova vrednost je v tem, da preveri in potrdi dejansko stanje varnosti. Podjetje lahko tako ranljivosti odpravi, preden jih izkoristi nekdo drug, hkrati pa preveri, kako dobro delujejo njegovi odzivni postopki.

Takšen preizkus pomaga tudi pri izpolnjevanju regulativnih zahtev, zlasti v panogah, kjer so podatki, dostopi in neprekinjeno poslovanje posebej občutljivi. Pomemben pa je še zaradi zaupanja strank. Ko podjetje pokaže, da redno preverja varnost svojega informacijskega okolja, s tem ne varuje le sistemov, ampak tudi poslovne odnose, ugled in podatke, ki so mu jih zaupali naročniki ali uporabniki.

Test, ki pokaže tisto, česar podjetje pogosto ne vidi samo

Ena od zanimivosti pri varnostnih pregledih je, da pogosto odkrijejo težave, ki niso posledica velikih napak. Podjetje lahko denimo uspešno opravi presojo skladnosti, nekaj tednov pozneje pa napadalci prek pozabljenega uporabniškega računa dostopajo do internega sistema. Na papirju je bilo vse urejeno, težava pa je bila v podrobnosti, ki je nihče ni preverjal več mesecev.

Pogosto gre za kombinacijo več manjših pomanjkljivosti – zastarela nastavitev na enem sistemu, nepotrebno odprt dostop nekje drugje, uporabniški račun, ki bi moral biti že zdavnaj izbrisan ali pa storitev, ki je bila vzpostavljena za začasen projekt in je ostala aktivna več let.

Posamezna varnostna pomankljivost morda ne pomeni večjega tveganja, ko pa jih napadalec poveže med seboj, lahko nastane pot do ključnih sistemov. Poznavanje lastnega sistema je ena najpomembnejših oblik zaščite. Podjetje namreč težko zaščiti nekaj, česar ne pozna dovolj dobro.

Dokumenti ne sprejemajo odločitev

Nove regulativne zahteve, vključno z direktivo NIS2 in Zakonom o informacijski varnosti (ZInfV), so v zadnjih letih povečale odgovornost vodstev podjetij na področju kibernetske varnosti. NIS2 in ZInfV od organizacij zahtevata bolj sistematično upravljanje tveganj, hitrejše poročanje o incidentih ter večjo odgovornost vodstva za varnost informacijskega okolja. Gre za pomemben premik, vendar regulativa sama po sebi ne more nadomestiti dejanske pripravljenosti.

Podjetje ima lahko pripravljene pravilnike, evidence in načrte, pa kljub temu ob incidentu ugotovi, da ne ve, kdo odloča, kdo vodi komunikacijo in kdo potrjuje ključne ukrepe. Prav tu se pokaže, da kibernetska varnost ni zgolj naloga IT-oddelka, temveč vprašanje celotne organizacije, saj vpliva na poslovanje, odnose s strankami in ugled podjetja. Kibernetska odpornost vse bolj postaja strateško vprašanje vodstva. Poslovodstva morajo razumeti posledice poslovnih odločitev v času incidenta.

Odpornost se začne precej pred incidentom

Najbolj pripravljena podjetja o kibernetski odpornosti ne razmišljajo šele takrat, ko pride do varnostnega dogodka. Redno preverjajo svoje okolje, izvajajo varnostne preglede, preverjajo ranljivosti in testirajo odzivne postopke. Ob tem vedo, da cilj ni popolna zaščita, temveč čim boljše razumevanje lastnega okolja in čim hitrejše prepoznavanje šibkih točk.

---

Vsebino ustvarja Vsebinski studio Delo mediji d.o.o.