Czy darmowy Trivy wystarczy do zgodności z KSC? Uczciwa odpowiedź
Zacznę od deklaracji, która w tekście na blogu firmy sprzedającej platformę do zarządzania podatnościami może zabrzmieć dziwnie: Trivy jest świetny. Używam go na co dzień, także pod spodem własnego produktu. Zespół Aqua Security zbudował jeden z najlepszych darmowych skanerów podatności na rynku i należy im się za to szacunek.
Pytanie z tytułu nie brzmi jednak "czy Trivy jest dobry", tylko "czy wystarczy do zgodności z ustawą o KSC". A to zupełnie inne pytanie, bo ustawa nie wymaga od Ciebie skanera. Wymaga procesu.
Co Trivy robi bardzo dobrze
Trivy w kilka sekund przeskanuje system operacyjny, pakiety, obrazy kontenerów i zależności aplikacji. Dostaniesz listę CVE z wersjami podatnych pakietów i informacją, w której wersji jest poprawka. Za darmo, bez rejestracji, bez limitów.
Dla admina, który chce wiedzieć "co jest dziurawe na tym serwerze, tu i teraz", to narzędzie kompletne. Jeden binarny plik, jedno polecenie, wynik w JSON lub tabeli. Trudno o niższy próg wejścia.
Czego wymaga ustawa, a czego nie da się wyczytać ze skanu
Ustawa o KSC, wdrażająca NIS2, nakłada na podmioty kluczowe i ważne obowiązek zarządzania podatnościami jako elementu systemu zarządzania bezpieczeństwem informacji. Słowo "zarządzanie" robi tu całą różnicę. W praktyce audytowej oznacza ono, że musisz umieć pokazać:
- że wiesz, jakie systemy masz i które z nich skanujesz,
- że skanowanie odbywa się regularnie, a nie "jak ktoś ma chwilę",
- że znalezione podatności ktoś oceniał i priorytetyzował,
- że krytyczne rzeczy zostały obsłużone w określonym czasie,
- że decyzje o odłożeniu naprawy ktoś świadomie podjął i podpisał,
- że to wszystko da się udokumentować za okres, o który pyta audytor.
Trivy odpowiada wyłącznie na pierwszą część pierwszego punktu, i to tylko dla momentu uruchomienia. Skan to fotografia. Zarządzanie podatnościami to film, z datami, decyzjami i nazwiskami.
Kiedy sam Trivy naprawdę wystarczy
Nie każda firma potrzebuje czegoś więcej i uczciwie jest to powiedzieć wprost. Sam Trivy, plus odrobina dyscypliny, wystarczy gdy:
- nie podlegasz pod KSC ani NIS2 i nikt nie będzie Cię audytował,
- masz kilka serwerów i jednego admina, który faktycznie czyta wyniki skanów,
- nie musisz nikomu raportować, tylko naprawiać,
- historia napraw nikogo poza Tobą nie interesuje.
W takim układzie dodatkowa platforma to koszt bez zwrotu. Cron uruchamiający Trivy raz dziennie i admin, który przegląda wyniki przy kawie, załatwiają sprawę. Znam firmy, które tak działają latami i działają dobrze.
Gdzie ten model się kończy
Problem zaczyna się w dniu, w którym ktoś z zewnątrz zadaje pytanie o przeszłość. Audytor nie zapyta "czy macie skaner". Zapyta: "krytyczna podatność opublikowana w marcu, obecna na waszym serwerze produkcyjnym. Kiedy ją wykryliście, kto ją ocenił, kiedy została naprawiona i gdzie jest na to dowód?".
Surowy JSON z ostatniego skanu nie odpowie na żadne z tych pytań. Nie odpowie, bo:
- nie ma historii: dzisiejszy skan nie wie, co było w marcu,
- nie ma właścicieli: plik nie mówi, kto był odpowiedzialny za naprawę,
- nie ma terminów: skaner nie wie, jakie SLA przyjęliście dla podatności krytycznych,
- nie ma decyzji: świadoma akceptacja ryzyka nie istnieje w wyniku skanu,
- nie ma spójności: trzydzieści serwerów to trzydzieści osobnych JSON-ów dziennie.
Można to wszystko dobudować samemu: baza na wyniki, skrypty do porównywania skanów, arkusz z terminami, procedura akceptacji ryzyka, generator raportów na audyt. Robiłem to i wiem, że się da. Wiem też, ile godzin miesięcznie kosztuje utrzymanie tej konstrukcji i co się z nią dzieje, gdy jedyna osoba, która ją rozumie, zmienia pracę.
Uczciwy rachunek
Decyzja nie brzmi więc "Trivy albo płatna platforma". Brzmi: "sam skaner, skaner plus własna nadbudowa, albo skaner plus gotowa nadbudowa". Trivy jest znakomitym silnikiem w każdym z tych wariantów. Różnica dotyczy tego, kto buduje i utrzymuje warstwę procesu: historię, terminy, właścicieli, decyzje i eksport dowodów.
Jeśli podlegasz pod KSC lub NIS2, ta warstwa nie jest opcjonalna. Możesz ją tylko zbudować drożej albo taniej.
Przygotowałem szczegółowe zestawienie tych trzech dróg, z kosztami i ograniczeniami każdej z nich, także mojej: zobacz porównanie.