9. modulis · 9.3
Jūsu paša drošības pārbaude un plāns
9. modulis: Noteikumi un organizācija · Lasīšanas laiks: 12 minūtes
Mērķis: Pēc šīs nodarbības Jūs varēsiet veikt savu drošības pārbaudi pēc fiksēta saraksta un izveidot no tās prioritāšu plānu.
Pamatjēdzieni: pamata pasākumi, nulles mērījums, prioritizēšana (varbūtība x ietekme, ātrais un lētais vispirms), atbildīgais un datums, ikgadēja atkārtošana
No zināšanas uz rīcību
Šajā kursā Jūs esat redzējuši daudz ko: paroles, pikšķerēšanu, e-pastu un domēnu, ierīces, rezerves kopijas, tiesības, incidentus un noteikumus. Risks tagad ir tāds, ka Jūs sākat mazliet ar visu un nepabeidzat neko. Šī nodarbība visu pārvērš divās lietās, ko Jūs izveidojat paši:
- nulles mērījums: godīgs attēls par to, kāds pašlaik ir stāvoklis;
- plāns: ko Jūs darāt vispirms, kas to dara un kad tas būs gatavs.
Zemāk esošais saraksts satur pamata pasākumus: pasākumus, kas aptur vairumu oportūnistisku uzbrukumu (1.1. nodarbība) un ko klients parasti arī prasa, ja tas izvirza prasības saviem piegādātājiem (9.1. nodarbība). Tas nav pilnīgs standarts, tāds kā ISO 27001, un tam arī nav jābūt tādam. Tas ir pamats, kas mazam uzņēmumam ir noteicošais.
Drošības pārbaude: divdesmit punkti
Atbildiet uz katru punktu ar jā, daļēji vai nē. Esiet stingri: "domāju, ka jā" ir "daļēji". Aiz katra punkta ir norādīta nodarbība, kurā Jūs to apguvāt.
Konti un pieteikšanās
| Nr | Punkts | Nodarbība |
|---|---|---|
| 1 | Ir izveidots pārskats par visiem kontiem, ierīcēm, tīmekļa vietnēm, domēniem un piegādātājiem, ar atbildīgo personu katrai sadaļai. Tas, kas vairs netiek izmantots, ir sakārtots. | 1.1, 7.2 |
| 2 | Visi izmanto paroļu pārvaldnieku un katram pakalpojumam ir unikāla, gara parole. Paroles netiek kopīgotas pa e-pastu vai tērzēšanu. | 2.1, 2.2 |
| 3 | Divu faktoru autentifikācija ir ieslēgta e-pastam, bankai, grāmatvedībai, mitināšanai, reģistratoram un sociālajiem tīkliem; administratoriem vēlams pikšķerēšanai noturīgs veids, piemēram, passkey vai drošības atslēga. | 2.3, 2.4 |
| 4 | Atjaunošanas kodi un rezerves atslēgas ir droši uzglabātas, un Jūs zināt, kā rīkoties, ja tālrunis ir pazaudēts. | 2.3, 2.4 |
| 5 | Jūs esat pārbaudījuši, vai darījumu adreses parādās zināmās datu noplūdēs, un Jūs zināt, kā atsaukt sesijas un pārbaudīt pārsūtīšanas noteikumus. | 1.4, 2.5 |
Cilvēki un procesi
| Nr | Punkts | Nodarbība |
|---|---|---|
| 6 | Ir ieviesta maksājumu procedūra: atzvanīšana uz zināmu numuru, ja mainīti konta numuri, un otra persona lieliem vai neparastiem maksājumiem. | 1.2 |
| 7 | Visi var atpazīt pikšķerēšanu pēc saites patiesā domēna un zina, kā rīkoties pēc neuzmanīga klikšķa. | 3.1 līdz 3.5 |
| 8 | Ir viens ziņošanas punkts ar aizvietotāju, ziņošana notiek bez vainošanas, un vismaz dažas reizes gadā notiek īsa atkārtošana. | 9.2 |
E-pasts, tīmekļa vietne un domēns
| Nr | Punkts | Nodarbība |
|---|---|---|
| 9 | Jūsu domēnam ir SPF, DKIM un DMARC, un DMARC ir vismaz p=none ar plānu pāriet uz quarantine vai reject. | 4.1 |
| 10 | Jūsu tīmekļa vietne visur darbojas caur https ar derīgu sertifikātu, novirza http, un CMS ar spraudņiem tiek atjaunināts. HSTS un drošības galvenes ir ieslēgtas vai apzināti izvērtētas. | 4.2 |
| 11 | Jūsu domēna turētāja dati ir pareizi, automātiskā pagarināšana ir ieslēgta, reģistratoram ir 2FA, nav "karājošos" DNS ierakstu, un DNSSEC ir ieslēgts, kur tas ir iespējams. | 4.3 |
Ierīces un tīkls
| Nr | Punkts | Nodarbība |
|---|---|---|
| 12 | Atjauninājumi ir automātiski ieslēgti operētājsistēmām, lietotnēm un spraudņiem; rūteris, NAS un printeris arī tiek atjaunināti; nekas vairs nedarbojas, kas vairs nesaņem atjauninājumus. | 5.1 |
| 13 | Klēpjdatoriem un tālruņiem ir ekrāna bloķēšana un diska šifrēšana, tos var attālināti dzēst, un neviens ikdienā nestrādā ar administratora kontu. | 5.2 |
| 14 | Wifi izmanto WPA2 vai WPA3, rūtera noklusējuma parole ir mainīta, un apmeklētāji un viedās ierīces atrodas viesu tīklā. | 5.3 |
Rezerves kopijas
| Nr | Punkts | Nodarbība |
|---|---|---|
| 15 | Ir rezerves kopija no visa svarīgā, arī no e-pasta un mākoņpakalpojumiem, pēc 3-2-1 principa. | 6.1 |
| 16 | Vismaz viena kopija ir bezsaistē vai nemaināma, un tai ir sava pieteikšanās, kas netiek izmantota darba datoros. | 6.2 |
| 17 | Pēdējā gada laikā ir veikts atjaunošanas tests, un Jūs zināt, cik daudz darba Jūs varat zaudēt un cik ātri tam jābūt atjaunotam. | 6.3 |
Piekļuve, piegādātāji un incidenti
| Nr | Punkts | Nodarbība |
|---|---|---|
| 18 | Katram ir savs konts tikai ar nepieciešamajām tiesībām, administratoru konti ir atsevišķi, un darbinieka aiziešanas dienā visa piekļuve tiek atsaukta. | 7.1 |
| 19 | Svarīgi piegādātāji un mākoņpakalpojumi ir izvērtēti, ir noslēgti datu apstrādes līgumi, kur nepieciešams, un faili tiek kopīgoti ar saitēm ar derīguma termiņu. | 7.2, 7.3 |
| 20 | Ir uz papīra izdrukāta incidenta karte, ir datu aizsardzības pārkāpumu reģistrs, un Jūs zināt, kad ziņojat DVI, Valsts policijai un, ja uz Jums tas attiecas, Nacionālajam kiberdrošības centram. | 8.1, 8.2, 8.3, 9.1 |
Saskaitiet savas atbildes. Daudz "nē" nav iemesls iztrūkties: tas ir Jūsu sākumpunkts. Tāpēc to sauc par nulles mērījumu.
Daļu var pārbaudīt automātiski
Dažus punktus var izmērīt no ārpuses, jo tie attiecas uz Jūsu domēna publiskajiem datiem: 9. punkts (SPF, DKIM, DMARC), 10. punkts (https, sertifikāts, HSTS, galvenes) un 11. punkts (DNSSEC, vārdu serveri, derīguma termiņš). Uzdevumā A9.3 Jūs to izdarāt vienā reizē savam domēnam, izmantojot tās pašas pārbaudes, kas bija modulī 4. Neatkarīgi testi, piemēram, https://internet.nl, un publiskās pārbaudes vietnēs https://www.weboke.lv/domein-gezondheid un https://www.weboke.lv/emailcheck pārbauda līdzīgus punktus.
Ņemiet vērā: zaļš rezultāts par šiem punktiem neko nepasaka par pārējiem septiņpadsmit. Jūsu domēns var būt ideāli iestatīts, kamēr Jūsu pastkastei ir parole no datu noplūdes. Automātiskā pārbaude ir daļa no nulles mērījuma, nevis tā aizstājējs.
No pārbaudes uz plānu: prioritizēšana
Iespējams, Jums tagad ir astoņi vai desmit punkti ar atzīmi "nē" vai "daļēji". Visu uzreiz izdarīt nevar. Secību izvēlieties, izmantojot divus jautājumus.
1. Cik liels ir risks? Izmantojiet varbūtību x ietekmi (1.1. nodarbība). Punktam, uz kuru mērķē oportūnistisks uzbrukums, piemēram, atkārtoti izmantotām parolēm bez 2FA vai tīmekļa vietnei bez atjauninājumiem, ir liela varbūtība. Punktam, kas neveiksmes gadījumā apstādina visu Jūsu uzņēmumu, piemēram, rezerves kopijai, kas nedarbojas, ir liela ietekme.
2. Cik daudz pūļu tas prasa? Daži pasākumi maksā vienu stundu un neko citu, piemēram, divu faktoru autentifikācijas ieslēgšana vai maksājumu procedūras noteikšana. Citi prasa nedēļas, piemēram, visu klēpjdatoru nomaiņa.
Sakārtojiet punktus vienkāršā shēmā:
| Maz pūļu | Daudz pūļu | |
|---|---|---|
| Liels risks | Darīt tagad (šonedēļ) | Plānot (šajā ceturksnī) |
| Mazs risks | Paņemt līdzi, ja gadās izdevība | Vēlāk vai apzināti pieņemt |
Noteikums ir: ātrais un lētais vispirms, ja risks ir liels. Vairumam mazo uzņēmumu lodziņā "darīt tagad" nonāk: divu faktoru autentifikācija e-pastam un bankai (3), maksājumu procedūra (6), automātisko atjauninājumu ieslēgšana (12) un pārbaude, vai rezerves kopijas kopija atrodas ārpus piekļuves (16).
Apzināta pieņemšana
Risku Jūs varat arī pieņemt: Jūs nolemjat to nerisināt, jo risks ir mazs vai izmaksas pārāk augstas. Tā ir pamatota izvēle, ja vien Jūs to izdarāt apzināti un pierakstāt. "Aizmirsts" nav pieņemšana.
Atbildīgais un datums katram punktam
Plāns bez vārdiem paliek nerealizēts. Katram punktam piešķiriet:
- atbildīgo: vienu personu, kas nodrošina, ka tas notiek. Tai nav obligāti jābūt tai pašai personai, kas to izpilda; IT uzņēmums var veikt darbu, bet kāds Jūsu paša uzņēmumā pārbauda, ka tas ir pabeigts;
- datumu: kad tam jābūt gatavam;
- "gatavs" definīciju: kā Jūs zināt, ka tas ir pabeigts? Nevis "noorganizēt 2FA", bet "2FA ir ieslēgta piecos kontos no saraksta, atjaunošanas kodi ir seifā".
Trīs rindu piemērs no Maiznīcas Example plāna:
| Punkts | Darbība | Atbildīgais | Gatavs | Gatavs, ja |
|---|---|---|---|---|
| 3 | 2FA e-pastam, bankai, grāmatvedībai un reģistratoram | Petra | pēc 1 nedēļas | Visiem četriem ieslēgta, atjaunošanas kodi paroļu pārvaldniekā un uz papīra seifā |
| 6 | Maksājumu procedūra uz A4 lapas, pārrunāta ar Jostu un Sanni | Petra | pēc 2 nedēļām | A4 lapa karājas pie biroja, abi to izlasījuši |
| 16 | Iknedēļas kopija uz diska, kas pēc tam atsevišķi glabājas seifā | Josts | pēc 1 mēneša | Pirmās trīs nedēļas izdarītas, viens fails atjaunots kā tests |
Atkārtošana
Drošība nekad nav pabeigta. Nāk klāt jauni darbinieki, jauni pakalpojumi, jaunas ierīces un jauni triki. Tāpēc vienojieties:
- katru gadu no jauna veikt pilno pārbaudi, noteiktā mēnesī, un atjaunināt plānu;
- pa starpām veikt pārbaudi pie lielām izmaiņām: jauns tīmekļa vietnes izstrādātājs, mitināšanas pakalpojuma maiņa, jauna grāmatvedība, straujš izaugsmes periods;
- pēc incidenta pārskatīt punktus, kas ar to bija saistīti (8.3. nodarbība).
Saglabājiet katras pārbaudes rezultātu. Tad pēc gada Jūs melnā uz balta redzēsiet, kas ir uzlabojies, un Jums būs atbilde, ja klients jautā, kā ir ar Jūsu drošību. Nacionālajam kiberdrošības centram ir arī sava pārbaude pašnodarbinātajiem un maziem un vidējiem uzņēmumiem, ko Jūs varat izmantot līdzās šim sarakstam; tā sniedz rīcības sarakstu.
Kopsavilkums
- Nulles mērījums ar divdesmit fiksētiem punktiem sniedz godīgu attēlu; katrs punkts norāda uz nodarbību, kurā Jūs to apguvāt.
- Daļu (e-pasts, tīmekļa vietne, domēns) var pārbaudīt automātiski, bet tas neko nepasaka par pārējiem punktiem.
- Prioritizējiet pēc varbūtības x ietekmes un pūlēm: liels risks ar mazām pūlēm vispirms.
- Katrs plāna punkts saņem atbildīgo, datumu un "gatavs" definīciju; pieņemšana ir atļauta, bet apzināti un rakstiski.
- Atkārtojiet pārbaudi katru gadu un pie lielām izmaiņām, un saglabājiet rezultātus.
Tests (quiz)
Uzdevums
Uzdevums A9.3: Jūsu domēna automātiskā pārbaude. Ievadiet savu domēnu. Programma vienā reizē pārbauda e-pastu (SPF, DKIM, DMARC), tīmekļa vietni (https, sertifikāts, pārsūtīšana, HSTS, galvenes) un domēnu (vārdu serveri, DNSSEC, derīguma termiņš) un parāda, kuri drošības pārbaudes punkti ir zaļi, oranži vai sarkani.
Uzdevums D9.3: Jūsu drošības pārbaude un plāns. Veiciet divdesmit punktu pārbaudi savam uzņēmumam. Pēc tam izvēlieties vismaz piecus punktus, sakārtojiet tos riska un pūļu shēmā, un izveidojiet plānu, kurā katram punktam ir atbildīgais, datums un "gatavs" definīcija. Ierakstiet savā kalendārā, kad Jūs atkārtoti veiksiet pārbaudi.
Uzdevums D9.3: Jūsu drošības pārbaude un plāns
Rīkojieties šādi: (1) Izejiet cauri divdesmit nodarbības punktiem un pie katra norādiet: jā, daļēji vai nē. Punktiem 9, 10 un 11 izmantojiet uzdevuma A9.3 rezultātu (poga pārņem sarkanos un oranžos punktus). (2) Katru punktu ar atzīmi "daļēji" vai "nē" ievietojiet riska (liels/mazs) un piepūles (maz/daudz) shēmā. (3) Izvēlieties vismaz piecus punktus. Sāciet ar lauciņiem "liels risks, maz piepūles". (4) Katram izvēlētajam punktam norādiet darbību, atbildīgo personu, datumu un pabeigšanas definīciju. (5) Pierakstiet, kurus riskus Jūs apzināti pieņemat, norādot iemeslu. (6) Ierakstiet savā kalendārā fiksētu mēnesi nākamajai pilnajai pārbaudei un pierakstiet, pie kādām izmaiņām Jūs pārbaudīsiet to arī agrāk. (7) Saglabājiet rezultātu (kurss saglabā aizpildīto pārbaudi, ja Jūs to vēlaties; tikai jā/daļēji/nē pie katra punkta un Jūsu plānu, citus datus nē).
Jūsu atzīmes un piezīmes paliek tikai šajā pārlūkprogrammā; mēs tās nekur nesūtām. Ja esat pieteikušies, sadaļā Mani kursi saglabājam tikai to, ka uzdevums ir paveikts.
Papildu lasāmviela
Soļi WebOké rakstos attiecas uz WebOké vidi; citiem pakalpojumu sniedzējiem tas darbojas līdzīgi.
- WebOké rokasgrāmata 5.17: Domēna un e-pasta veselība: pārbaude un novēršana
- WebOké, Domēna / e-pasta veselība (publiska pārbaude): https://www.weboke.lv/domein-gezondheid
- WebOké, E-pasta pārbaude: https://www.weboke.lv/emailcheck
- Internet.nl, pārbaudiet savu tīmekļa vietni un e-pastu: https://internet.nl
- CERT.LV ieteikumi: https://cert.lv/