Zarząd nie musi znać się na IT. Musi wiedzieć, czy IT nadąża
Posiedzenie zarządu w spółce wodociągowej. Kierownik IT przynosi wydruk z bieżącego skanu: 1240 podatności, w tym 18 krytycznych. Miesiąc temu było 1100. Prezes pyta, czy jest lepiej, czy gorzej. Kierownik odpowiada, że to zależy. Wszyscy kiwają głowami i przechodzą do następnego punktu.
Nikt tu nie zrobił nic złego. Kierownik przyniósł to, co miał, a zarząd zapytał o to, co powinien. Problem w tym, że ta liczba nie odpowiada na pytanie prezesa. Nie odpowie też za miesiąc, kiedy będzie 1300 albo 900.
To drugi odcinek cyklu, w którym biorę jeden obowiązek z przepisów, pokazuję, gdzie w praktyce jest luka i jak ją zamknąć. Tym razem dla zarządu i właściciela firmy.
Uwaga porządkowa: nie jestem prawnikiem i to nie jest porada prawna.
Co mówi przepis
Dyrektywa NIS2, wdrażana znowelizowaną ustawą o krajowym systemie cyberbezpieczeństwa, w art. 20 ust. 1 wymaga, żeby organy zarządzające zatwierdzały środki zarządzania ryzykiem, nadzorowały ich wdrażanie i mogły ponosić odpowiedzialność za naruszenia w tym zakresie. Art. 21 ust. 2 lit. f dodaje do listy środków polityki i procedury oceny ich skuteczności.
Nadzór i ocena skuteczności to dwie rzeczy, których nie da się zrobić bez informacji zwrotnej. Zarząd nie musi rozumieć, czym jest podatność w bibliotece systemowej. Musi umieć ocenić, czy proces, który zatwierdził, działa. Do tego potrzebuje innych liczb niż te, które zwykle dostaje.
Dlaczego liczba podatności nic nie mówi
Liczba podatności opisuje, ile znanych błędów jest dziś w oprogramowaniu firmy. Nie opisuje, jak dobrze firma sobie z nimi radzi. Rośnie i spada z powodów, które nie mają nic wspólnego z pracą działu IT.
Rośnie, kiedy producent opublikuje nową partię poprawek, bo razem z nimi publikowane są opisy podatności, które te poprawki usuwają. Rośnie, kiedy dojdzie nowy serwer. Spada, kiedy skan się nie wykona albo obejmie mniej niż zwykle. Najgorszy miesiąc w historii firmy może wyglądać na wydruku jak sukces.
Do tego większość tej liczby nie jest niczyją zaległością. Na moich dziewięciu serwerach, które opisałem w osobnym tekście, było 165 608 pozycji, z czego dziewięćdziesiąt procent czekało na poprawkę, której producent jeszcze nie wydał. Tego nie usunie się aktualizacją, co nie znaczy, że nic nie trzeba robić: przy części takich podatności trzeba ograniczyć ryzyko inaczej, na przykład zawężając dostęp do usługi. Kiedy zarząd dostaje taką liczbę bez kontekstu, ma do wyboru panikę albo obojętność. Zwykle wybiera obojętność i trudno się dziwić.
Liczba podatności jest potrzebna administratorowi. Zarządowi potrzebna jest odpowiedź na inne pytanie: czy IT nadąża.
Pięć wskaźników, które mieszczą się na jednej stronie
To, czy IT nadąża, da się ocenić niezależnie od tego, ile jest podatności. Poproś o pięć informacji.
1. Terminowość. Firma ma ustalone terminy usuwania podatności, zależne od ich wagi. Wskaźnik mówi, jaki odsetek pozycji usunięto w terminie w ostatnim okresie. To główna liczba dla zarządu. Jeśli terminy nie są nigdzie zapisane, to pierwsza rzecz do zrobienia, zanim cokolwiek da się mierzyć.
2. Co jest dziś po terminie i u kogo. Lista pozycji, których termin minął, z osobą odpowiedzialną przy każdej. Nie chodzi o szukanie winnych. Chodzi o to, żeby każda zaległość miała właściciela, a nie wisiała w powietrzu.
3. Czas usunięcia. Ile dni mija średnio od wykrycia podatności do jej usunięcia. Ważne, od czego się liczy koniec: od tego, że kolejny skan już jej nie znalazł, a nie od tego, że ktoś zamknął zgłoszenie. To pierwsze jest faktem, drugie deklaracją.
4. Czy dane są aktualne i kompletne. Ile serwerów nie było skanowanych w ostatnim czasie albo w ogóle nie jest objętych raportem. Wskaźniki 1 do 3 są tyle warte, ile dane pod nimi. Raport, który nie mówi, czego nie obejmuje, daje fałszywe poczucie bezpieczeństwa.
5. Co czeka na decyzję zarządu. Podatności, których świadomie nie naprawiamy, i systemy działające bez wsparcia producenta. Tu decyzja zarządu jest potrzebna zawsze. Przy pozostałych punktach bywa potrzebna wtedy, gdy zaległości rosną albo dane są niepełne.
Do tego jedno zdanie oceny na górze: dobrze, wymaga uwagi, źle. Ocena powinna wynikać z wskaźników procesu, nie z liczby podatności. Otwarte krytyczne podatności same nie przesądzają o złej ocenie, jeśli są świeże i mieszczą się w terminach. Terminy muszą jednak być dobrane do ryzyka, bo dotrzymywanie zbyt luźnych niczego nie dowodzi. Firma może też mieć mało podatności i zły stan, jeśli od trzech miesięcy nikt nie zdecydował, co zrobić z serwerem bez wsparcia.
Jak to wprowadzić bez rewolucji
Poproś IT o taki raport raz na miesiąc, na jednej stronie, w tym samym układzie. Stały układ jest ważniejszy niż ładny wygląd, bo dopiero porównanie z poprzednim miesiącem coś mówi. Na posiedzeniu zarządu omawiajcie ocenę z uzasadnieniem, punkt 5 i każdy inny punkt, który wymaga decyzji albo interwencji, na przykład rosnące zaległości.
Jeśli IT nie umie policzyć terminowości, bo nie ma zapisanych terminów ani historii, to też jest odpowiedź. Znaczy, że praca jest wykonywana, ale nie zostawia śladu, z którego dałoby się ocenić jej skuteczność. Wtedy zadaniem zarządu jest dać na to czas i narzędzia, a nie wymagać raportu, którego nie da się zrobić.
Zachowaj te raporty. Seria comiesięcznych stron z zapisanymi decyzjami pomaga wykazać, że zarząd rzeczywiście nadzorował wdrażanie środków. Nie jest jedynym dowodem, o który może poprosić audytor, ale bez takiego śladu trudno pokazać nadzór w obszarze podatności.
Gdzie pomaga Secvalis, a gdzie nie
Raport zarządczy w Secvalis jest zbudowany wokół tych pytań. Werdykt na górze ("Stan dobry", "Wymaga uwagi", "Stan krytyczny" albo "Brak danych") uwzględnia między innymi terminowość usuwania podatności, braki w rejestrze terminów, nieaktualne skany, decyzje o ryzyku oraz systemy po końcu wsparcia, którym brakuje właściciela migracji, daty docelowej albo ważnej akceptacji ryzyka. Sama liczba podatności go nie wyznacza.
Średni czas usunięcia jest liczony od pierwszego zaobserwowania podatności do jej zniknięcia z kolejnego pełnego skanu, a nie od kliknięcia w interfejsie. Nie obejmuje pozycji zastanych w chwili rozpoczęcia pomiaru ani zamkniętych w czasie, gdy były wyłączone z terminów. Terminy usuwania ustawia firma, a dla podatności aktywnie wykorzystywanych w atakach obowiązuje dodatkowy limit, który może termin skrócić. Raport można wysyłać cyklicznie, na przykład co miesiąc, do wybranych osób z dostępem do raportów całego konta, więc trafia do zarządu bez pośredników.
Secvalis nie oceni, co dana podatność znaczy dla Twojej działalności, nie ustali budżetu i nie podejmie decyzji za zarząd. Obejmuje serwery Linux i obrazy uruchomionych na nich kontenerów. Nie skanuje stacji roboczych z Windows, urządzeń sieciowych ani systemów sterowania przemysłowego, więc w wodociągach nie powie nic o sterownikach na stacji uzdatniania. Werdykt dotyczy obszaru podatności serwerów, nie całego cyberbezpieczeństwa firmy, i nie zastępuje szkoleń dla członków zarządu, których wymaga art. 20 ust. 2 dyrektywy.
Jeśli chcesz zobaczyć, jak wygląda taki raport na danych fikcyjnej firmy, otwórz publiczne demo i pobierz raport zarządczy z centrum raportów. Bez rejestracji.
W następnym odcinku: co zrobić, kiedy serwery utrzymuje firma zewnętrzna i raport przychodzi od niej.
Źródła
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.