Modulul 9 · 9.3
Propria dumneavoastră verificare de securitate și plan
Modulul 9: Reguli și organizare · Timp de citire: 12 minute
Obiectiv de învățare: După această lecție veți putea face propria verificare de securitate pe baza unei liste fixe și veți putea transforma rezultatul într-un plan de priorități.
Noțiuni cheie: măsuri de bază, măsurare inițială, stabilirea priorităților (probabilitate x impact, rapid și ieftin mai întâi), proprietar și dată, repetare anuală
De la a ști la a face
Ați văzut multe în această cursă: parole, phishing, e-mail și domeniu, dispozitive, copii de siguranță, drepturi, incidente și reguli. Riscul acum este să începeți puțin câte puțin din toate și să nu terminați nimic. Această lecție transformă totul în două lucruri pe care le creați dumneavoastră înșivă:
- o măsurare inițială: o fotografie sinceră a situației actuale;
- un plan: ce faceți mai întâi, cine o face și până când trebuie finalizat.
Lista de mai jos conține măsurile de bază: măsurile care opresc majoritatea atacurilor oportuniste (lecția 1.1) și pe care un client le cere de obicei atunci când impune cerințe furnizorilor săi (lecția 9.1). Nu este un standard complet precum ISO 27001, și nici nu trebuie să fie. Este baza care face diferența la o afacere mică.
Verificarea de securitate: douăzeci de puncte
Răspundeți la fiecare punct cu da, parțial sau nu. Fiți riguros: "cred că da" înseamnă "parțial". După fiecare punct este indicată lecția în care ați învățat despre el.
Conturi și autentificare
| Nr | Punct | Lecție |
|---|---|---|
| 1 | Există o listă cu toate conturile, dispozitivele, site-urile web, domeniile și furnizorii, fiecare element având un proprietar. Tot ce nu mai este folosit a fost eliminat. | 1.1, 7.2 |
| 2 | Toată lumea folosește un manager de parole și are câte o parolă unică și lungă pentru fiecare serviciu. Nu se partajează parole prin e-mail sau chat. | 2.1, 2.2 |
| 3 | Autentificarea în doi pași este activată pentru e-mail, bancă, contabilitate, găzduire, registrar și rețele sociale; pentru administratori, de preferință o formă rezistentă la phishing precum un passkey sau o cheie de securitate. | 2.3, 2.4 |
| 4 | Codurile de recuperare și cheile de rezervă sunt păstrate în siguranță și știți ce să faceți dacă pierdeți un telefon. | 2.3, 2.4 |
| 5 | Ați verificat dacă adresele de afaceri apar în scurgeri de date cunoscute și știți cum să revocați sesiuni și să verificați regulile de redirecționare. | 1.4, 2.5 |
Oameni și procese
| Nr | Punct | Lecție |
|---|---|---|
| 6 | Există o procedură de plată: sunați înapoi la un număr cunoscut în cazul schimbărilor de cont bancar și o a doua persoană verifică plățile mari sau neobișnuite. | 1.2 |
| 7 | Toată lumea poate recunoaște phishingul după domeniul real al unui link și știe ce să facă după un clic. | 3.1 până la 3.5 |
| 8 | Există un singur punct de raportare cu un înlocuitor, raportarea se face fără vină, și există o scurtă reluare de cel puțin câteva ori pe an. | 9.2 |
E-mail, site web și domeniu
| Nr | Punct | Lecție |
|---|---|---|
| 9 | Domeniul dumneavoastră are SPF, DKIM și DMARC, iar DMARC este setat cel puțin la p=none cu un plan de trecere la quarantine sau reject. | 4.1 |
| 10 | Site-ul dumneavoastră funcționează peste tot prin https cu un certificat valid, redirecționează http, iar CMS-ul cu pluginurile sale este actualizat. HSTS și antetele de securitate sunt activate sau analizate în mod conștient. | 4.2 |
| 11 | Datele titularului domeniului dumneavoastră sunt corecte, reînnoirea automată este activată, registrarul are 2FA, nu există înregistrări DNS orfane, iar DNSSEC este activat acolo unde este posibil. | 4.3 |
Dispozitive și rețea
| Nr | Punct | Lecție |
|---|---|---|
| 12 | Actualizările sunt activate automat pentru sisteme de operare, aplicații și pluginuri; routerul, NAS-ul și imprimanta sunt de asemenea actualizate; nu mai funcționează nimic care nu primește actualizări. | 5.1 |
| 13 | Laptopurile și telefoanele au blocare a ecranului și criptare a discului, pot fi șterse de la distanță, iar nimeni nu lucrează zilnic cu un cont de administrator. | 5.2 |
| 14 | Rețeaua wifi folosește WPA2 sau WPA3, parola implicită a routerului a fost schimbată, iar vizitatorii și dispozitivele inteligente se află pe o rețea pentru oaspeți. | 5.3 |
Copii de siguranță
| Nr | Punct | Lecție |
|---|---|---|
| 15 | Există o copie de siguranță a tot ce este important, inclusiv e-mail și servicii cloud, conform regulii 3-2-1. | 6.1 |
| 16 | Cel puțin o copie este offline sau imuabilă și are propriul set de date de autentificare, care nu este folosit pe calculatoarele de lucru. | 6.2 |
| 17 | În ultimul an a fost efectuat un test de restaurare și știți câtă muncă vă puteți permite să pierdeți și cât de repede trebuie să fie disponibile datele din nou. | 6.3 |
Acces, furnizori și incidente
| Nr | Punct | Lecție |
|---|---|---|
| 18 | Fiecare persoană are propriul cont cu doar drepturile necesare, conturile de administrator sunt separate, iar la plecarea unui angajat toate accesurile sunt revocate în aceeași zi. | 7.1 |
| 19 | Furnizorii și serviciile cloud importante au fost evaluate, există acorduri de procesare a datelor acolo unde este necesar, iar fișierele sunt partajate prin linkuri cu dată de expirare. | 7.2, 7.3 |
| 20 | Există o fișă de incident pe hârtie, există un registru al încălcărilor de securitate a datelor, iar dumneavoastră știți când trebuie să notificați ANSPDCP, poliția și, dacă intrați sub incidența ei, autoritatea națională de securitate cibernetică. | 8.1, 8.2, 8.3, 9.1 |
Numărați-vă răspunsurile. Multe "nu"-uri nu sunt un motiv de panică: este punctul dumneavoastră de plecare. De aceea se numește o măsurare inițială.
O parte poate fi verificată automat
Câteva puncte pot fi măsurate din exterior, deoarece se bazează pe date publice ale domeniului dumneavoastră: punctul 9 (SPF, DKIM, DMARC), punctul 10 (https, certificat, HSTS, antete) și punctul 11 (DNSSEC, servere de nume, dată de expirare). În exercițiul A9.3 faceți asta dintr-odată pentru propriul domeniu, cu aceleași verificări ca în exercițiile din modulul 4. Teste independente precum https://internet.nl și verificările publice de pe https://www.weboke.ro/domein-gezondheid și https://www.weboke.ro/emailcheck analizează puncte similare.
Atenție: un rezultat verde la aceste puncte nu spune nimic despre celelalte șaptesprezece. Domeniul dumneavoastră poate fi configurat perfect, în timp ce căsuța dumneavoastră de e-mail are o parolă dintr-o scurgere de date. Verificarea automată este o parte din măsurarea inițială, nu un înlocuitor pentru ea.
De la verificare la plan: stabilirea priorităților
Este posibil să aveți acum opt sau zece puncte la "nu" sau "parțial". Nu se poate rezolva totul deodată. Alegeți ordinea pe baza a două întrebări.
1. Cât de mare este riscul? Folosiți probabilitate x impact (lecția 1.1). Un punct vizat de un atac oportunist, precum parole reutilizate fără 2FA sau un site web fără actualizări, are o probabilitate mare. Un punct care, în caz de problemă, vă oprește întreaga afacere, precum o copie de siguranță care nu funcționează, are un impact mare.
2. Cât de mult efort necesită? Unele măsuri costă o oră și nimic altceva, precum activarea autentificării în doi pași sau stabilirea unei proceduri de plată. Altele costă săptămâni, precum înlocuirea tuturor laptopurilor.
Plasați punctele într-o schemă simplă:
| Efort redus | Efort mare | |
|---|---|---|
| Risc mare | Faceți acum (săptămâna aceasta) | Planificați (trimestrul acesta) |
| Risc mic | Includeți atunci când se potrivește | Mai târziu sau acceptați în mod conștient |
Regula este: rapid și ieftin mai întâi, cu condiția ca riscul să fie mare. La majoritatea afacerilor mici, în căsuța "faceți acum" ajung: autentificarea în doi pași pentru e-mail și bancă (3), procedura de plată (6), activarea actualizărilor automate (12) și verificarea existenței unei copii de siguranță în afara razei de acces (16).
Acceptarea conștientă
Un risc poate fi, de asemenea, acceptat: decideți să nu îl rezolvați, pentru că riscul este mic sau costurile sunt prea mari. Este o alegere validă, atât timp cât o faceți conștient și o notați. "Uitarea" nu este acceptare.
Un proprietar și o dată pentru fiecare punct
Un plan fără nume rămâne nefinalizat. Atribuiți fiecărui punct:
- un proprietar: o persoană care se asigură că se întâmplă. Nu trebuie neapărat să fie persoana care execută acțiunea; firma de IT poate face munca, dar cineva din propria dumneavoastră afacere verifică dacă este finalizată;
- o dată: până când trebuie finalizat;
- o definiție a finalizării: cum știți că este gata? Nu "rezolvarea 2FA", ci "2FA este activă pe cele cinci conturi din listă, codurile de recuperare sunt în seif".
Un exemplu de trei rânduri din planul Brutăriei Example:
| Punct | Acțiune | Proprietar | Finalizare la | Gata când |
|---|---|---|---|---|
| 3 | 2FA pentru e-mail, bancă, contabilitate și registrar | Petra | peste 1 săptămână | Activă pe toate cele patru, codurile de recuperare în managerul de parole și pe hârtie în seif |
| 6 | Procedura de plată pe A4, discutată cu Joost și Sanne | Petra | peste 2 săptămâni | A4 este afișat lângă birou, amândoi au citit-o |
| 16 | Copie săptămânală pe un disc care apoi este pus separat în seif | Joost | peste 1 lună | Primele trei săptămâni efectuate, un fișier restaurat ca test |
Repetare
Securitatea nu este niciodată gata. Apar angajați noi, servicii noi, dispozitive noi și tertipuri noi. De aceea, stabiliți:
- în fiecare an repetați verificarea completă, într-o lună fixă, și actualizați planul;
- între timp faceți verificarea la schimbări mari: un nou dezvoltator web, o mutare a găzduirii dumneavoastră, o contabilitate nouă, o perioadă de creștere rapidă;
- după un incident treceți în revistă punctele legate de acesta (lecția 8.3).
Păstrați rezultatul fiecărei verificări. Astfel, după un an, veți vedea negru pe alb ce s-a îmbunătățit și veți avea un răspuns atunci când un client vă întreabă cum stă securitatea dumneavoastră. Autoritatea națională de securitate cibernetică are, de asemenea, propria verificare de securitate pentru persoane fizice autorizate și IMM-uri, pe care o puteți folosi alături de această listă; aceasta oferă o listă de acțiuni.
Rezumat
- O măsurare inițială cu douăzeci de puncte fixe oferă o fotografie sinceră; fiecare punct face trimitere la lecția în care l-ați învățat.
- O parte (e-mail, site web, domeniu) poate fi verificată automat, dar asta nu spune nimic despre celelalte puncte.
- Stabiliți prioritățile pe baza probabilității x impactului și a efortului: risc mare cu efort mic mai întâi.
- Fiecare punct din plan primește un proprietar, o dată și o definiție a finalizării; acceptarea este permisă, dar conștient și în scris.
- Repetați verificarea în fiecare an și la schimbări mari, și păstrați rezultatele.
Test
Exercițiu
Exercițiul A9.3: Verificarea automată a domeniului dumneavoastră. Introduceți propriul domeniu. Programul verifică dintr-odată e-mailul (SPF, DKIM, DMARC), site-ul web (https, certificat, redirecționare, HSTS, antete) și domeniul (servere de nume, DNSSEC, dată de expirare) și arată care puncte ale verificării de securitate sunt verzi, portocalii sau roșii.
Exercițiul D9.3: Verificarea și planul dumneavoastră de securitate. Efectuați verificarea de douăzeci de puncte pentru propria afacere. Alegeți apoi cel puțin cinci puncte, plasați-le în schema de risc și efort, și realizați un plan cu, pentru fiecare punct, un proprietar, o dată și o definiție a finalizării. Notați în agendă când repetați verificarea.
Exercițiul D9.3: Verificarea și planul dumneavoastră de securitate
Procedați astfel: (1) Parcurgeți cele douăzeci de puncte din lecție și completați pentru fiecare punct: da, parțial sau nu. Pentru punctele 9, 10 și 11 folosiți rezultatul exercițiului A9.3 (butonul preia punctele roșii și portocalii). (2) Plasați fiecare punct cu "parțial" sau "nu" în schema de risc (mare/mic) și efort (puțin/mult). (3) Alegeți cel puțin cinci puncte. Începeți cu căsuțele "risc mare, efort puțin". (4) Dați fiecărui punct ales o acțiune, un responsabil, o dată și o definiție a finalizării. (5) Notați ce puncte acceptați în mod conștient, cu motivul. (6) Stabiliți în agenda dumneavoastră o lună fixă pentru următoarea verificare completă și notați la ce schimbări reverificați între timp. (7) Păstrați rezultatul (cursul salvează verificarea completată dacă doriți acest lucru; doar da/parțial/nu pentru fiecare punct și planul dumneavoastră, fără alte date).
Bifele și notițele dumneavoastră rămân doar în acest browser; nu le trimitem nicăieri. Dacă sunteți autentificat, păstrăm în Cursurile mele doar faptul că ați finalizat exercițiul.
Pentru citire suplimentară
Pașii din articolele WebOké sunt valabili pentru mediul WebOké; la alți furnizori procesul este similar.
- Manual WebOké 5.17: Starea domeniului și a e-mailului: verificare și remediere
- WebOké, Starea de sănătate a domeniului / e-mailului (verificare publică): https://www.weboke.ro/starea-domeniului
- WebOké, Verificare e-mail: https://www.weboke.ro/verificare-email
- Internet.nl, testați-vă site-ul web și e-mailul: https://internet.nl
- Autoritatea națională de securitate cibernetică, verificare de securitate pentru persoane fizice autorizate și IMM-uri: https://tools.ncsc.nl/cyberveilig-check/