Todėl dalis įmonių šį darbą patiki išoriniam saugumo paslaugų teikėjui. Tačiau kaip suprasti, ar pasirinktas partneris iš tiesų pajėgus apsaugoti įmonę?
Renkantis kibernetinio saugumo partnerį svarbu įvertinti ne vien siūlomų įrankių skaičių ar kainą, bet ir tai, ar partneris gali užtikrinti 24/7 grėsmių stebėjimą, realų reagavimą į incidentus, aiškų atsakomybių pasidalijimą ir pakankamas specialistų kompetencijas.
Telekomunikacijų bendrovės „Telia“ kibernetinio saugumo produktų vadovė Agnė Pastalienė išskiria 7 klausimus, kuriuos svarbu užduoti prieš pasirašant sutartį.
Susiję straipsniai
1. Ar įmonei reikia išorinio kibernetinio saugumo partnerio?
Ne kiekvienai įmonei verta kurti nuosavą kibernetinio saugumo komandą. Pasak A. Pastalienės, daugeliui verslų tai nebūtų nei praktiška, nei finansiškai racionalu.
„Išorinio partnerio verta ieškoti tada, kai įmonė neturi pajėgumų užtikrinti reagavimą 24/7, trūksta reikiamų kompetencijų arba tiesiog nenori per daug gilintis į šią sritį ir nori koncentruotis į pagrindinę veiklą.
Nuosavą SOC komandą, kurioje būtų užtikrintas 24/7 reagavimas, budėjimai ir darbuotojų pakeičiamumas, realiai gali turėti tik labai didelės įmonės. Tam reikėtų mažiausiai 4–6 etatų.
Daugumai kitų įmonių finansiškai racionaliau pirkti išorines paslaugas.“
2. Ką įmonė turi įsivertinti prieš renkantis saugumo partnerį?
Prieš pradedant lyginti tiekėjų pasiūlymus, verta pirmiausia susidėlioti savo poreikius. Įmonė turėtų aiškiai žinoti:
- Ką reikia apsaugoti? Kritinės sistemos, duomenys ir veiklos sritys, kurių sutrikimas labiausiai paveiktų verslą.
- Nuo ko reikia saugotis? Pagrindinės grėsmės ir rizikos, galinčios paveikti šias sistemas.
- Kas už jas atsakingas? Žmonės, valdantys prieigas, IT infrastruktūrą ir sprendžiantys incidentus.
- Kiek įmonė gali reaguoti pati? Kokius veiksmus įmonė gali atlikti savo jėgomis, o kur reikalinga išorinė pagalba.
„Įmonės vadovybė pirmiausia pati turėtų suprasti, kas jų veikloje svarbiausia: kuri veikla negali sustoti, kurios sistemos ir duomenys yra kritiniai, kaip valdomos prieigos teisės prie šių sistemų ir duomenų.Tada galima, savo jėgomis arba su partnerio pagalba, įsivertinti šioms sistemoms kylančias rizikas ir ieškoti tinkamiausių būdų joms suvaldyti. Kai žinome, ką ir nuo ko norime apsaugoti, tampa daug aiškiau, kokių sprendimų reikia“, – akcentuoja pašnekovė.
Šiame etape „Telia“ gali padėti įmonei įsivertinti kylančias kibernetinio saugumo rizikas ir parinkti pagal jas reikalingas apsaugos priemones bei paslaugas.
3. Kokių saugumo standartų laikotės patys?
Prieš pasirašant sutartį A. Pastalienė siūlo potencialiam partneriui užduoti vieną svarbų klausimą:
„Kokių saugumo standartų jūs patys laikotės?“
Tai leidžia pažvelgti į tiekėją ne tik kaip į paslaugos pardavėją, bet ir kaip į organizaciją, kuriai pačiai tenka valdyti kibernetines rizikas.
4. Kas nutiks įvykus kibernetinei atakai?
Paslaugų aprašyme gali būti daug pažadų apie stebėjimą ir reagavimą, tačiau prieš pasirašant sutartį svarbu išsiaiškinti, ką partneris iš tiesų galės padaryti įvykus incidentui.
„Pirmiausia reikia aiškiai suprasti, kokius reagavimo veiksmus su turimais įrankiais SOC paslaugų teikėjas ar saugumo partneris gali atlikti“, – sako „Telia“ kibernetinio saugumo produktų vadovė.
Anot jos, svarbu iš anksto susitarti, kuriuos veiksmus SOC tiekėjas gali atlikti savarankiškai, kada reikės kliento leidimo ir ką turės padaryti pati įmonė ar jos IT komanda.
Pagrindines atsakomybes verta susidėlioti paprastai:
* Pagal sutartą paslaugų apimtį.
„Kiek reikės kliento įsitraukimo sprendžiant incidentus labai priklauso nuo SOC tiekėjo naudojamų įrankių ir jo pajėgumų užtikrinti realų reagavimą 24/7“, – aiškina A. Pastalienė.
Jei kiekvienam veiksmui reikia atskiro kliento leidimo, reagavimas gali sulėtėti kaip tik tada, kai svarbi kiekviena minutė.
„Telia“ kibernetinio saugumo paslaugose atsakomybės apibrėžiamos iš anksto, kad incidento metu nereikėtų kiekvieno veiksmo derinti iš naujo.
5. Kokią patirtį sukaupę jūsų specialistai?
Renkantis saugumo partnerį įmonė gali susidurti su įspūdingu sertifikatų sąrašu. Tačiau, anot A. Pastalienės, vien jų kiekio nepakanka.
„Labai svarbu. Tačiau už turimų sertifikatų kiekį dažnai svarbiau yra reali patirtis dirbant su konkrečiais saugumo įrankiais, būtent saugumo analitiko ar threat hunter (aktyvios grėsmių paieškos specialisto) pozicijoje.
Praktines kompetencijas parodo specialistų turimi konkrečių naudojamų gamintojų sertifikatai bei darbo patirtis.
Gamintojų aukštesnio lygio specialistų egzaminus be praktinės patirties sunkiai išlaikysi.
Nemažai bendrinių saugumo sertifikatų parodo specialisto teorines žinias, tačiau neatskleidžia praktinių įgūdžių ir patirties dirbant su siūlomais įrankiais.“
6. Kokiais įrankiais dirbate ir ką jie iš tiesų gali padaryti?
Dar vienas svarbus klausimas, kurį įmonės kartais nustumia į šalį, yra tai, kokią technologinę bazę naudoja paslaugos teikėjas.
„Svarbu žinoti, kokie įrankiai naudojami teikiant paslaugą. Be tinkamų įrankių šiandieninėje grėsmių aplinkoje neįmanoma užtikrinti saugumo paslaugos kokybės.
Nusikaltėliai naudoja DI, atakų greitis padidėjęs dešimtimis kartų.
Be efektyvių DI ir mašininiu mokymusi grįstų įrankių bei stiprios gamintojo grėsmių ekspertų komandos užnugario vien savo pajėgumais saugumo paslaugų tiekėjas negalės užtikrinti paslaugos kokybės.“
A. Pastalienė siūlo įvertinti ir kitą scenarijų: kai tiekėjas žada prižiūrėti jau įmonės turimus įrankius.
„Dažnai įmonės džiaugiasi, kad tiekėjas sutinka perimti priežiūrą ir teikti saugumo paslaugas su jau kliento turimais įrankiais.
Bet tada kyla klausimas: ar tikrai tas tiekėjas, kuris teikia paslaugas dešimtims ar šimtams klientų, galės užtikrinti vienodą kokybę, jei visi klientai naudoja skirtingus įrankius?
Ar jis tikrai turi tiek skirtingų kompetencijų specialistų? Ar yra pasidaręs visas reikiamas integracijas ir automatizacijas su tiek daug skirtingų gamintojų sprendimų?“
„Telia“ kibernetinio saugumo paslaugose šios technologijos naudojamos saugumo įvykiams stebėti, grėsmėms analizuoti ir į incidentus reaguoti.
Tai svarbu, nes vien įrankio įdiegimas neapsaugo įmonės – reikia specialistų, kurie matytų jo fiksuojamus įvykius, įvertintų jų reikšmę ir prireikus imtųsi veiksmų.
7. Už ką mokate ir ką teks daryti patiems?
Kaina natūraliai tampa vienu iš kriterijų, tačiau kibernetinio saugumo srityje, pasak ekspertės, ji neturėtų būti pagrindinė.
„Kibernetinio saugumo srityje pagrindinis kriterijus privalo būti saugumo efektyvumas. Rinkdamiesi pigiausią pasiūlymą mokėsite vis tiek, kartais ne tiek ir mažai, o norimo saugumo neturėsite.
Be to, gali tekti skirti labai daug laiko ir patiems užtikrinti operatyvų reagavimą savo organizacijoje, nes tiekėjo siūlomi įrankiai nesuteiks jam galimybių atlikti reagavimo veiksmų“, – pabrėžia ekspertė.
Tokį nuolatinio stebėjimo ir reagavimo poreikį „Telia“ padeda spręsti savo kibernetinio saugumo paslaugomis. Įmonė gali pasitelkti „Telia“ specialistus saugumo įvykiams stebėti, grėsmėms analizuoti ir reaguoti į incidentus, todėl jai nereikia visos 24/7 saugumo funkcijos kurti savo viduje.
Todėl prieš pasirašant sutartį svarbu aiškiai susitarti, už ką atsako partneris, o ką turės atlikti pati įmonė.