Evidence Pack: jak zbudować weryfikowalną paczkę dowodów
Zapytaj dziesięciu administratorów, jak przygotowują dowody na audyt zarządzania podatnościami, a dziewięciu opisze ten sam koszmar: tydzień robienia screenshotów, wklejania ich do dokumentu, dopisywania komentarzy, wyciągania starych maili i składania z tego czegoś, co ma udawać spójny obraz. Efekt jest brzydki, pracochłonny i, co gorsza, dla audytora mało przekonujący, bo screenshot to najsłabszy rodzaj dowodu, jaki istnieje.
Chcę pokazać alternatywę: paczkę dowodów, która ułatwia audytorowi sprawdzenie zakresu, danych i spójności plików. Nazywam ją Evidence Pack. To jeden plik ZIP za konkretny okres, ale nadal jest materiałem do oceny, a nie gwarancją zamknięcia kontroli bez pytań.
Co jest w paczce
Cztery elementy, każdy z konkretną rolą.
Raport PDF. Podsumowanie procesu za okres napisane dla człowieka: ile podatności obsłużono, jak wyglądało dotrzymanie terminów SLA, jakie były wyjątki i akceptacje ryzyka, jaki jest ogólny obraz. To jest dokument, który audytor przeczyta najpierw, żeby zrozumieć, na co patrzy.
Dane surowe w CSV. Pełne dane stojące za raportem, w formacie, który audytor może wziąć do własnego arkusza i przeanalizować po swojemu. To jest różnica między "zaufaj naszemu podsumowaniu" a "oto liczby, sprawdź sam". Dobry audytor doceni to drugie, bo daje mu niezależność.
Manifest z sumami kontrolnymi. Dla każdego pliku w paczce policzona jest suma SHA-256. Pozwala to sprawdzić wewnętrzną spójność paczki względem manifestu. Sam manifest nie dowodzi jednak, kto wygenerował paczkę, kiedy powstała ani czy dane źródłowe były prawdziwe.
Jawnie określony okres i zakres. Które maszyny obejmuje paczka i za jaki przedział dat. Bez tego dowód wisi w powietrzu, bo nie wiadomo, czego dotyczy. Z tym audytor od razu wie, że patrzy na komplet za, powiedzmy, drugi kwartał, dla wszystkich osiemnastu maszyn z rejestru.
Dlaczego suma kontrolna zmienia rozmowę
To jest sedno i warto się przy tym zatrzymać. Bez sum kontrolnych każdy dowód opiera się na zaufaniu: audytor musi Ci wierzyć, że pokazujesz prawdziwe dane, a nie wersję poprawioną na tę okazję. To niekomfortowa pozycja dla obu stron, bo audytor z zawodu ma nie ufać na słowo.
Suma kontrolna umożliwia konkretną weryfikację: odbiorca może policzyć skróty plików i porównać je z manifestem. Zgodność potwierdza, że pliki pasują do manifestu. Nie potwierdza czasu utworzenia ani autorstwa, bo do tego potrzebne są dodatkowe mechanizmy, na przykład podpis cyfrowy, znacznik czasu lub przekazanie skrótu niezależnym kanałem.
Co audytor robi z paczką
Krok po kroku może to wyglądać tak. Audytor otwiera raport PDF, bierze CSV do analizy i wyrywkowo sprawdza podatności, terminy oraz wyjątki. Następnie weryfikuje, czy pliki pasują do manifestu, i porównuje zakres z rejestrem aktywów. Paczka skraca zebranie i przekazanie materiału, ale audytor nadal ocenia jego wiarygodność, kompletność i zgodność z rzeczywistym procesem.
Czego w paczce nie ma i dlaczego
Uczciwość wymaga powiedzenia też, czego w paczce świadomie nie ma. Nie ma danych osobowych, bo dowód procesu podatności ich nie potrzebuje, a wciąganie ich tam tworzyłoby problem z ochroną danych zamiast go rozwiązywać. Nie ma sekretów, haseł ani kluczy, bo paczka dowodowa krąży między ludźmi i nie może być kanałem wycieku wrażliwych rzeczy. Paczka zawiera dokładnie to, co potrzebne do udowodnienia procesu, i nic ponadto, i to też jest cecha, którą audytor doceni.
Granica, o której trzeba powiedzieć
Nie sprzedam Ci iluzji, że jedna paczka załatwia audyt. Evidence Pack dowodzi procesu zarządzania podatnościami i tylko jego. Nie dowodzi całego systemu zarządzania bezpieczeństwem: polityk, szkoleń, ciągłości działania, kontroli dostępu i całej reszty. Te obszary to nadal Twoja praca i inne dowody. Paczka domyka jeden fragment, ważny i często najbardziej pracochłonny w udokumentowaniu, ale jeden.
Zobacz to na własne oczy
Zamiast opisywać, wolę pokazać. Zbudowałem przykładową paczkę dowodów na fikcyjnych danych, dokładnie w tej strukturze: PDF, CSV, manifest sum, jawny okres i zakres. Możesz ją pobrać, otworzyć i pokazać swojemu audytorowi, zanim cokolwiek kupisz, żeby ocenić, czy taki komplet odpowiada na jego pytania: pobierz przykładowy Evidence Pack.
Różnica między czterdziestoma screenshotami a jednym ZIP-em z manifestem to nie tylko estetyka. Uporządkowana paczka daje odbiorcy możliwość sprawdzenia spójności i prześledzenia danych. Jej wiarygodność nadal zależy od procesu źródłowego oraz dodatkowych zabezpieczeń stosowanych poza samym ZIP-em.
Źródła
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.