Kibernetska varnost
Vzemimo dobavitelja avtomobilske industrije iz Novega mesta s štiridesetimi zaposlenimi. V istem mesecu se zgodijo tri stvari: kupec v letno oceno dobaviteljev doda vprašalnik o informacijski varnosti, zavarovalnica pred podaljšanjem kibernetskega zavarovanja vpraša, ali imajo vsi računi večfaktorsko prijavo, v računovodstvo pa z naslova znanega dobavitelja pride sporočilo »spremenili smo bančni račun«. Videti je kot tri ločene skrbi, v resnici pa je to eno vprašanje: ali podjetje zna pokazati, kaj dela, in ali to, kar dela, res deluje? Na tem področju pripravimo dokumente, ki jih zahtevajo GDPR, ZVOP-2 in predpisi o informacijski varnosti, skupaj s tehničnimi ukrepi, zaradi katerih ti dokumenti držijo. V celoti na daljavo, prek videoklicev in varnega oddaljenega dostopa.
Predpisi in dokazi
GDPR, NIS2 in ZInfV-1, vprašalniki velikih kupcev in obrazci zavarovalnic v bistvu sprašujejo isto, le z različnimi besedami: kdo ima dostop do česa, kako ocenjujete tveganja in kaj se zgodi, ko pride do incidenta. Dobro postavljen temelj odgovori na vse naenkrat. Delamo po načelih ISO 27001, smernice Informacijskega pooblaščenca in objave SI-CERT pa uporabljamo kot praktično vodilo. Če ste v finančnem sektorju, upoštevamo še zahteve DORA.
GDPR in varstvo osebnih podatkov
Tehnična stran varstva podatkov: v katerih sistemih so zapisi iz evidence dejavnosti obdelave, kdo jih vidi, kako v praksi odgovorite na zahtevo posameznika ali zahtevo za izbris in kaj storite v prvih urah po kršitvi.
Varnostne politike in dokumentacija
Politike, ocena tveganj in postopki odziva na incidente, ki ne nastanejo iz predloge s spleta, ampak iz pogovorov z vašo ekipo. Opisujejo, kar se v podjetju res dogaja, zato zdržijo tudi pregled kupca ali revizorja.
Tehnična zaščita
Devet storitev za posamezne plasti: identitete, končne točke, omrežje, aplikacije, podatkovne baze, splet in tokove podatkov. Nobeno podjetje ne potrebuje vsega hkrati. Kaj pride najprej in kaj lahko počaka leto dni, pove ocena tveganj.
Uvedba varnostnih rešitev
Ko licence Microsoft 365 Business Premium plačujete, funkcij pa ne uporabljate, ali ko kupljeni EDR mesece stoji v načinu »opazovanja«: pilotna skupina, postopna razširitev in prehod na blokiranje, ne da bi ustavili delo.
Varnost infrastrukture
Vrata za oddaljeno namizje, odprta v internet, se zaprejo, kamere in Wi-Fi za goste gredo v ločene segmente, serviser vašega dobavitelja programske opreme pa se ne povezuje več s skupnim geslom, ampak z osebnim računom in drugim faktorjem.
Varnost aplikacij
Kdo lahko v Pantheonu ali Minimaxu spremeni IBAN dobavitelja, s katerim računom teče povezava trgovine s spletnimi tržnicami in kje je shranjen ključ API ponudnika plačil, na primer Stripe ali Bankart.
Preprečevanje uhajanja podatkov (DLP)
Dokumenti z EMŠO, IBAN ali izvidi se prepoznajo. Preden odidejo na zasebni e-naslov, uporabnik dobi opozorilo, blokada se vklopi le v resnih primerih. Zaposleni so o pravilih obveščeni vnaprej.
Varnost podatkovnih baz
Račun »sa«, katerega geslo pozna pol pisarne, gre v pokoj, podatki v SQL Server in MySQL se šifrirajo, dostopi do tabel s pacienti ali partnerji se beležijo, pozabljeni izvozi pa izginejo s strežnika.
Požarni zid za spletne aplikacije (WAF)
Cloudflare ali WAF vašega ponudnika gostovanja nastavimo pred črnim petkom in božičnimi nakupi. Boti, ki preizkušajo ukradene kartice, in ugibanje gesel obtičijo, pravi kupci pa gredo skozi brez zapletov.
Nadzor dostopa in zaščita končnih točk
Ukradeno geslo samo ne zadošča: večfaktorska prijava brez izjem, dostop do podatkov podjetja le z naprav, vpisanih v Intune, in brez lokalnih skrbniških pravic pri vsakdanjem delu.
VPN in šifriranje
WireGuard ali IPsec med sedežem, skladiščem in obratom, BitLocker na vsakem prenosniku s ključem, shranjenim v Entra ID, ter stalen šifriran kanal, po katerem plačilne liste pridejo do računovodskega servisa.
Pregledovanje ranljivosti
Mesečni pregledi od znotraj in od zunaj, s prednostjo za opozorila SI-CERT in ranljivosti, ki se že izkoriščajo. Krajša poročila, zato pa več dejansko nameščenih popravkov.
Nadzor in stalna skrb
Red, vzpostavljen januarja, jeseni ne pristaja več povsem: novi sodelavci, novi programi, novi načini napadov. Te štiri storitve delajo naprej tudi dolgo potem, ko je začetni projekt končan.
Kje začeti?
Ko je proračun omejen, je vrstni red pomembnejši od izbire blagovne znamke. Za podjetja z 10 do 250 zaposlenimi predlagamo zaporedje, ki najprej zapre najpogostejša vrata za napadalce.
Kdo kaj zahteva od vas?
Na videoklicu zberemo vse, kar je na mizi: varnostne člene v pogodbah s kupci, vprašalnik zavarovalnice, obveznosti po GDPR in, če vaš sektor sodi pod NIS2, tudi te zahteve. Iz tega je jasno, katere dokaze potrebujete in kje so najbolj občutljivi podatki.
Računi in e-pošta
Večfaktorska prijava, zaprtje osirotelih računov nekdanjih zaposlenih in zaščita pred lažnimi računi in sporočili o spremembi IBAN. Večina incidentov v malih podjetjih se začne tukaj, in ta vrata je najceneje zapreti.
Naprave, omrežje in kopije
EDR v načinu blokiranja, osnovno utrjevanje, brez neposrednega oddaljenega dostopa iz interneta in vsaj ena varnostna kopija, ki je bila res obnovljena. Na tej plasti se izsiljevalski program ustavi ali vsaj omeji.
Dokumentacija in nadzor
Ko tehnični temelj stoji, politike opisujejo dejstva, ne želja. Nato dodamo plasti, ki jih upraviči tveganje: WAF, DLP, finejšo segmentacijo omrežja ali SOC.
Najprej izračunajte, koliko bi vas stal teden dni brez IT. Spletna trgovina, ki ustvari 4.000 € prometa na dan, ali skladišče, ki brez sistema ne more izdati dobavnice in odpremiti tovornjaka, v nekaj dneh zastoja pogosto izgubi več, kot stane letna razumna zaščita. Pri odločanju naj vas vodi ta številka, ne strah pred globo: ona pove, koliko in v kakšnem vrstnem redu vlagati.
Pogosta vprašanja
Zahteve veljajo za bistvene in pomembne subjekte, kar je odvisno predvsem od sektorja in velikosti. Ali ste zajeti neposredno, naj presodi pravni svetovalec, informacije pa objavlja tudi Urad Vlade RS za informacijsko varnost (URSIV). V praksi najpogosteje vidimo posreden učinek: manjše podjetje, ki samo ni zajeto, od zajetega kupca dobi varnostni vprašalnik in nove pogodbene člene. Tehnične odgovore in dokaze zanje pripravimo skupaj z vami.
Pred plačilom spremembo potrdite po kanalu, ki ga poznate od prej, ne prek kontakta iz sporočila. Pri tej vrsti goljufije je navadno prevzet poštni predal dobavitelja ali vaš, napadalec pa tedne bere korespondenco in čaka na pravi trenutek. Pregledamo pravila v predalih, dnevnike prijav in glave sporočil, prevzet račun zapremo ter popravimo SPF, DKIM in DMARC. Trajna rešitev je, da spremembo IBAN v računovodstvu potrdi še druga oseba.
Vprašalnik preberemo skupaj in vprašanja razdelimo v tri skupine: na kar lahko danes pošteno odgovorite z »da«, kar se da urediti z malo truda, in kar zahteva ločen projekt. Večfaktorska prijava, dokumentirane pravice dostopa, zapisan potek odziva na incidente in svež pregled ranljivosti pogosto pokrijejo večino vprašanj. »Da« pri zahtevi, ki ni izpolnjena, se po incidentu lahko obrne proti vam, tako pri pogodbi kot pri zavarovanju. Če kupec zahteva certifikat ISO 27001, vam pomagamo pri pripravi na certifikacijo.
Naprav ne ugašajte, izklopite mrežni kabel ali Wi-Fi, da sledi ostanejo. S čiste naprave zamenjajte gesla skrbniških računov in pišite na support@apply.si, če imate pogodbo, pa na helpme@apply.si. Če so prizadeti osebni podatki, začne teči rok 72 ur za obvestilo Informacijskemu pooblaščencu. Incident lahko prijavite tudi SI-CERT, ki pomaga pri obravnavi.
Da. Sestanki potekajo v Microsoft Teams ali Google Meet, konfiguracija pa prek varnega oddaljenega dostopa, pri katerem se vsaka seja zabeleži. Če je na napravi potreben fizični poseg, ga opravi nekdo iz vaše ekipe ali vaš lokalni serviser, mi pa ga sproti vodimo. Časovni načrt določimo po prvem pregledu in ga zapišemo v ponudbo.
Sorodna področja
Povejte, kaj se od vas zahteva in kaj imate danes
Vprašalnik kupca, podaljšanje kibernetskega zavarovanja, priprava na GDPR ali NIS2 ali konkreten sum. Po pregledu na daljavo boste vedeli, kaj manjka, v kakšnem vrstnem redu nadaljevati in koliko bo to stalo.
Od ponedeljka do petka, 9.00-17.00 (srednjeevropski čas), odgovor v enem delovnem dnevu
Videoklic prek Microsoft Teams ali Google Meet
Vaše povpraševanje je prispelo
Oglasimo se najpozneje naslednji delovni dan. Če ste prijavili okvaro, zaradi katere ekipa ne more delati, jo pogledamo najprej.
- Razjasnimo podrobnosti. Če nam za oceno kaj manjka, vas vprašamo po e-pošti ali predlagamo kratek videoklic v Teams ali Google Meet.
- Pripravimo ponudbo. V njej so obseg dela, cena v evrih brez DDV in realen datum začetka. Brez drobnega tiska in brez postavk, ki bi se pojavile pozneje.
- Odločite se vi. Ponudbo prejmete po e-pošti. Preberite jo v miru, vprašajte o vsem, kar ni jasno, in se nato odločite.