Cyberbezpieczeństwo

Dziewięć pozycji w tej kategorii to dziewięć osobnych decyzji i prawie nikt nie podejmuje ich wszystkich w jednym roku. Pytanie brzmi więc nie tyle co kupić, ile co kupić najpierw. Odpowiedź układa się z dwóch prostszych pytań: którą warstwę atakujący napotyka najwcześniej i bez której z nich firma nie wróci do pracy, gdy pozostałe zawiodą.

W praktyce najpierw stawiamy to, co działa nawet po przegranej, czyli dane, które da się odtworzyć. Zaraz obok idzie tożsamość, bo przez nią prowadzi najkrótsza droga do środka. Konsola z wykryciami, program szkoleń i porządek w certyfikatach wchodzą później i wtedy działają lepiej, bo mają już na czym stanąć. Odwrotna kolejność bierze się zwykle stąd, że łatwiej kupić produkt niż zmienić sposób logowania w całej firmie.

Kolejność podajemy na piśmie, razem z powodem, dla którego jedna pozycja stoi wyżej od drugiej, i z informacją, co zostaje niezabezpieczone do czasu kolejnego etapu. Bywa, że taka rozmowa kończy się odłożeniem części zakupów o kwartał, i uznajemy to za wynik uczciwy wobec obu stron.

To najczęściej mylona para w całej kategorii, bo obie usługi dotyczą tego samego komputera. Dzieli je moment, w którym pracują. Ochrona stacji zajmuje się urządzeniem, zanim cokolwiek się wydarzy: wykrywa, blokuje i zgłasza. Ochrona przed ransomware zakłada, że jedna próba się powiedzie, i odpowiada za to, żeby było z czego wrócić.

Różnica widać też w tym, co dokładnie kupujecie. W pierwszym przypadku płacicie za czyjąś uwagę: ktoś ogląda wykrycia, ocenia je i podejmuje decyzję. W drugim płacicie za układ, którego nie skasuje przejęte konto administratora, oraz za ćwiczenie kończące się zmierzonym czasem powrotu. Jedna usługa skraca listę zdarzeń, druga skraca przestój po tym jednym, które przejdzie.

Sprawdzenie, której warstwy brakuje, mieści się w dwóch pytaniach. Kto obejrzał wczorajsze wykrycia i o której godzinie? Czy kopie przetrwają wpisanie hasła administratora przez kogoś obcego? Brak odpowiedzi na pierwsze wskazuje na jedną usługę, brak odpowiedzi na drugie na drugą.

NIS 2 nie jest dziesiątą warstwą ochrony, tylko terminem, który zmienia status pozostałych. Rzeczy do tej pory dobrowolne, jak drugi składnik przy logowaniu, sprawdzone odtworzenie czy powtarzane szkolenia, stają się obowiązkiem do udokumentowania. Sama technika zwykle nie zmienia się aż tak bardzo, zmienia się to, czy da się ją komukolwiek udowodnić.

Druga zmiana dotyczy tego, kto podpisuje decyzję o zakresie. Nie jest to już wyłącznie sprawa działu IT, bo za braki odpowiada kierownictwo osobiście. Trzecia dotyczy dostawców i sięga dalej niż lista objętych sektorów: firma spoza zakresu dyrektywy i tak dostaje ankietę bezpieczeństwa od kontrahenta, który w zakresie jest, i musi odpowiedzieć konkretami zamiast deklaracjami.

Kolejność wdrożenia układa się wtedy inaczej niż przy zwykłym budżecie. Zaczyna się nie od najtańszej warstwy, tylko od zestawienia stanu faktycznego z katalogiem wymagań, bo dopiero z takiego zestawienia da się zrobić harmonogram. Certyfikat, jeżeli go potrzebujecie, wydaje niezależna jednostka certyfikująca i jest osobną ścieżką, a nie skutkiem ubocznym wdrożenia warstw z tej tabeli.

Bo droga do środka prawie zawsze prowadzi przez człowieka, a nie przez lukę w urządzeniu brzegowym. Wiadomość, telefon i prośba o pilną zmianę numeru konta nie są atakiem na technikę, tylko na procedurę i na pośpiech. Warstwy techniczne zdejmują z zespołu większość ruchu, ale ostatnią kontrolą zostaje osoba przy klawiaturze i tak to zostanie.

Dlatego program szkoleń rozliczamy jak każdą inną warstwę, w rytmie miesięcznym, i mierzymy go liczbą, która ma się poprawiać. Nie chodzi o wpis do rejestru szkoleń ani o godzinę raz w roku, tylko o to, żeby podejrzana wiadomość trafiała do kogoś, kto potrafi ją ocenić, jeszcze zanim ktokolwiek na nią odpowie.