A.8.8 w praktyce: jakich dowodów zażąda audytor ISO 27001
Kontrola A.8.8 w ISO 27001:2022 nazywa się "zarządzanie podatnościami technicznymi" i brzmi niewinnie, dopóki nie usiądzie naprzeciwko Ciebie audytor. Wtedy okazuje się, że to jedna z tych kontroli, na których najłatwiej dostać niezgodność, bo prawie każda firma coś tu robi, ale mało która potrafi to udowodnić.
Przechodziłem przez takie rozmowy jako administrator i DevOps przygotowujący techniczną stronę audytu. Chcę rozpisać je tak, jak wyglądają od strony IT. Zastrzeżenie porządkowe: nie jestem audytorem certyfikującym i to nie jest wykładnia normy. Konkretne próbki i oczekiwania zależą od zakresu audytu oraz metody audytora.
Audytor nie pyta, czy skanujecie
To pierwsze nieporozumienie. Ludzie przygotowują się do A.8.8, jakby chodziło o pokazanie, że mają skaner. Uruchamiają Trivy, darmowy skaner projektu Aqua Security, pokazują ładny wynik i uważają temat za zamknięty. Audytor patrzy na to i zadaje pytanie zupełnie z innej półki: "dobrze, widzę, że skanujecie. Pokażcie mi, co zrobiliście z krytyczną podatnością, którą ten skan znalazł 12 marca".
Różnica między tymi dwoma sytuacjami to różnica między posiadaniem narzędzia a prowadzeniem procesu. Skaner to narzędzie. A.8.8 dotyczy procesu, a proces poznaje się po tym, co zostaje po nim jako ślad.
Pytania, które padają naprawdę
Poniżej lista pytań, które w tej czy innej formie usłyszysz, i artefakt, który na każde odpowiada.
Skąd wiecie o nowych podatnościach. Audytor chce zobaczyć, że macie zdefiniowane źródła, a nie że raz na jakiś czas ktoś coś sprawdzi. Artefakt: opis procesu ze wskazaniem źródeł i częstotliwości, plus dowód, że skanowanie faktycznie się odbywa regularnie, na przykład historia uruchomień.
Co dokładnie skanujecie i czy to pokrywa inwentarz. Tu wpada wiele firm. Skanują dziesięć serwerów, a w rejestrze aktywów jest ich osiemnaście. Artefakt: zestawienie zakresu skanowania z rejestrem aktywów, z wyjaśnieniem każdej różnicy.
Jak decydujecie, co naprawić najpierw. Audytor sprawdza, czy priorytetyzacja jest metodą, czy przypadkiem. Artefakt: opisana zasada priorytetyzacji i dowód, że jest stosowana, czyli konkretne podatności z przypisanym priorytetem i uzasadnieniem.
W jakim czasie naprawiacie. Chodzi o terminy zależne od wagi, czyli SLA. Artefakt: zdefiniowane terminy plus dane pokazujące, czy były dotrzymane, także dla podatności zamkniętych w przeszłości.
Co z tym, czego nie naprawiliście. To pytanie o wyjątki i akceptacje ryzyka. Artefakt: rejestr decyzji o akceptacji ryzyka, każda z właścicielem, uzasadnieniem i terminem ważności.
Pokażcie to za ostatni rok. Pytanie zbiorcze, na które nie da się odpowiedzieć stanem bieżącym. Artefakt: dowód za okres, czyli historia, a nie zrzut ekranu z dzisiaj.
Typowe wpadki
Trzy powtarzają się najczęściej i każda wynika z tej samej luki: jest narzędzie, nie ma śladu procesu.
Skany są, ale bez historii. Firma pokazuje aktualny wynik i nie potrafi udowodnić, co było wcześniej. Na pytanie o marzec nie ma odpowiedzi, bo skan z marca dawno się nie zachował.
Wyjątki bez podpisu. Podatność krytyczna wisi otwarta od pół roku, a w rubryce "uwagi" jest napisane "do migracji". Kto zaakceptował to ryzyko, na jak długo, z czyjego upoważnienia, nie wiadomo. Dla audytora to nie akceptacja ryzyka, tylko zaniedbanie z komentarzem.
Zakres skanowania nie pokrywa inwentarza. Rejestr aktywów mówi jedno, skanowanie obejmuje co innego, a różnicy nikt nie umie wyjaśnić. Audytor zakłada, że to, czego nie skanujecie, jest poza kontrolą, i ma rację.
Czego dobry audytor nie oczekuje
Wbrew obiegowej opinii dobry audytor nie oczekuje obrazu idealnego. Oczekuje obrazu prawdziwego z widocznym panowaniem nad sytuacją. Szczery rejestr, który mówi "mamy trzy systemy po EOL, każdy z właścicielem ryzyka, terminem i planem wyjścia", jest w oczach audytora lepszy niż podejrzanie czysta lista bez ani jednego wyjątku. To drugie zwykle znaczy, że coś jest zamiatane pod dywan, a audytorzy to wyczuwają.
To zresztą dobra wiadomość, bo zdejmuje presję na udawanie doskonałości. Nie musisz mieć zero otwartych podatności. Musisz mieć nad nimi udokumentowaną kontrolę.
Jak wygląda komplet dowodów
Wszystkie te artefakty razem tworzą jeden spójny obraz procesu za okres. Zbudowałem przykładową paczkę dowodów dokładnie tak, jak wyglądałby komplet pod A.8.8: raport, dane surowe, sumy kontrolne i jasno określony okres. Możesz ją pobrać i pokazać swojemu audytorowi, jeszcze zanim cokolwiek kupisz, żeby zobaczyć, czy taki komplet odpowiada na jego pytania: pobierz przykładowy Evidence Pack.
A.8.8 nie sprowadza się do posiadania skanera. Liczy się udokumentowany proces pozyskiwania informacji, oceny ekspozycji i podejmowania właściwych działań. Historia podatności z datami, decyzjami i odpowiedzialnością jest mocnym dowodem stosowania tego procesu, ale o wyniku audytu zawsze decyduje cały zakres i materiał dowodowy.
Źródła
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.