Modul 9 · 9.3
Saját biztonsági ellenőrzés és terv
Modul 9: Szabályok és szervezet · Olvasási idő: 12 perc
Tanulási cél: E lecke után képes lesz elvégezni saját biztonsági ellenőrzését egy rögzített lista alapján, és abból prioritási tervet készíteni.
Kulcsfogalmak: alapvető intézkedések, nulladik mérés, prioritizálás (valószínűség x hatás, a gyors és olcsó elsőként), felelős és határidő, éves ismétlés
A tudástól a cselekvésig
Ön ebben a tanfolyamban sok mindent látott: jelszavak, adathalászat, e-mail és domain, eszközök, biztonsági mentések, jogosultságok, incidensek és szabályok. A kockázat most az, hogy mindenbe belekezd egy kicsit, de semmivel sem lesz kész. Ez a lecke mindezt két dologgá alakítja, amelyeket Ön maga készít el:
- egy nulladik mérés: egy őszinte pillanatkép arról, hogy jelenleg hogyan áll a dolog;
- egy terv: mit csinál először, ki csinálja, és mikorra kell elkészülnie.
Az alábbi lista tartalmazza az alapvető intézkedéseket: azokat az intézkedéseket, amelyek a legtöbb opportunista támadást megállítják (1.1. lecke), és amelyeket egy ügyfél is leggyakrabban elvár, ha követelményeket támaszt a beszállítóival szemben (9.1. lecke). Ez nem egy teljes szabvány, mint az ISO 27001, és nem is kell annak lennie. Ez az az alap, amely egy kisvállalkozásnál a különbséget jelenti.
A biztonsági ellenőrzés: húsz pont
Minden pontra válaszoljon igen, részben vagy nem opcióval. Legyen szigorú: az "azt hiszem, igen" az "részben". Minden pont után ott áll a lecke, ahol megtanulta.
Fiókok és bejelentkezés
| Sz. | Pont | Lecke |
|---|---|---|
| 1 | Van áttekintés az összes fiókról, eszközről, weboldalról, domainről és beszállítóról, mindegyikhez rendelt felelőssel. Ami már nincs használatban, azt eltávolították. | 1.1, 7.2 |
| 2 | Mindenki jelszókezelőt használ, és szolgáltatásonként egyedi, hosszú jelszava van. Jelszavakat nem osztanak meg e-mailben vagy csevegésben. | 2.1, 2.2 |
| 3 | A kétlépcsős azonosítás be van kapcsolva az e-mailen, a banknál, a könyvelésnél, a tárhelynél, a regisztrátornál és a közösségi médiában; az adminisztrátorok esetében lehetőleg egy adathalászatnak ellenálló formában, mint a passkey vagy a biztonsági kulcs. | 2.3, 2.4 |
| 4 | A helyreállítási kódok és tartalék kulcsok biztonságosan vannak tárolva, és Ön tudja, mit kell tenni, ha egy telefon elvész. | 2.3, 2.4 |
| 5 | Ön ellenőrizte, hogy a céges címek szerepelnek-e ismert adatszivárgásokban, és tudja, hogyan vonja vissza a munkameneteket, és hogyan ellenőrzi a továbbítási szabályokat. | 1.4, 2.5 |
Emberek és folyamatok
| Sz. | Pont | Lecke |
|---|---|---|
| 6 | Van fizetési eljárás: visszahívás egy ismert telefonszámon módosított bankszámlaszámok esetén, és egy második személy bevonása nagy vagy eltérő kifizetéseknél. | 1.2 |
| 7 | Mindenki fel tudja ismerni az adathalászatot a link valódi domainje alapján, és tudja, mit kell tenni egy kattintás után. | 3.1-től 3.5-ig |
| 8 | Van egy bejelentési pont helyettessel, a bejelentés bűntudat nélkül történik, és évente legalább néhányszor rövid ismétlés is történik. | 9.2 |
E-mail, weboldal és domain
| Sz. | Pont | Lecke |
|---|---|---|
| 9 | Az Ön domainjéhez tartozik SPF, DKIM és DMARC, és a DMARC legalább p=none beállításon áll, egy tervvel a quarantine vagy reject beállításra való áttérésre. | 4.1 |
| 10 | Az Ön weboldala mindenhol https-en keresztül működik érvényes tanúsítvánnyal, a http-t átirányítja, és a CMS a bővítményekkel együtt frissítve van. A HSTS és a biztonsági fejlécek be vannak kapcsolva, vagy tudatosan mérlegelve lettek. | 4.2 |
| 11 | Az Ön domainjének tulajdonosi adatai helyesek, az automatikus megújítás be van kapcsolva, a regisztrátornál 2FA van, nincsenek lógó DNS-rekordok, és a DNSSEC be van kapcsolva, ahol lehetséges. | 4.3 |
Eszközök és hálózat
| Sz. | Pont | Lecke |
|---|---|---|
| 12 | A frissítések automatikusan be vannak kapcsolva az operációs rendszereknél, alkalmazásoknál és bővítményeknél; a router, a NAS és a nyomtató is frissül; nincs olyan eszköz működésben, amely már nem kap frissítést. | 5.1 |
| 13 | A laptopok és telefonok képernyőzárral és lemeztitkosítással rendelkeznek, távolról törölhetők, és senki nem dolgozik naponta rendszergazdai fiókkal. | 5.2 |
| 14 | A wifi WPA2-t vagy WPA3-at használ, a router alapértelmezett jelszava meg lett változtatva, és a vendégek, valamint az okoseszközök egy vendéghálózaton vannak. | 5.3 |
Biztonsági mentések
| Sz. | Pont | Lecke |
|---|---|---|
| 15 | Van biztonsági mentés mindenről, ami fontos, beleértve az e-mailt és a felhőszolgáltatásokat is, a 3-2-1 elv szerint. | 6.1 |
| 16 | Legalább egy másolat offline vagy módosíthatatlan, és saját bejelentkezési adatokkal rendelkezik, amelyeket nem használnak a munkagépeken. | 6.2 |
| 17 | Az elmúlt évben történt visszaállítási teszt, és Ön tudja, mennyi munkát veszíthet el, és milyen gyorsan kell helyreállnia. | 6.3 |
Hozzáférés, beszállítók és incidensek
| Sz. | Pont | Lecke |
|---|---|---|
| 18 | Mindenkinek saját fiókja van, kizárólag a szükséges jogosultságokkal, a rendszergazdai fiókok külön vannak, és kilépéskor minden hozzáférést még aznap visszavonnak. | 7.1 |
| 19 | A fontos beszállítók és felhőszolgáltatások fel vannak mérve, szükség esetén adatfeldolgozási megállapodások vannak érvényben, és a fájlokat lejárati dátummal ellátott linkekkel osztják meg. | 7.2, 7.3 |
| 20 | Van papíralapú incidenskártya, van adatvédelmi incidens-nyilvántartás, és Ön tudja, mikor kell bejelentenie a NAIH-nál, a rendőrségnél, és ha érinti, az NKI-nál. | 8.1, 8.2, 8.3, 9.1 |
Számolja meg a válaszait. Sok "nem" nem ok a pánikra: ez a kiindulópontja. Ezért hívják nulladik mérésnek.
Egy részét automatikusan is lehet ellenőrizni
Néhány pontot kívülről is lehet mérni, mivel azok az Ön domainjének nyilvános adataira vonatkoznak: 9. pont (SPF, DKIM, DMARC), 10. pont (https, tanúsítvány, HSTS, fejlécek) és 11. pont (DNSSEC, névszerverek, lejárati dátum). Az A9.3 feladatban ezt egyszerre elvégezheti saját domainjére, ugyanazokkal az ellenőrzésekkel, mint a 4. modul feladataiban. Független tesztek, mint a https://internet.nl, valamint a https://www.weboke.hu/domein-gezondheid és a https://www.weboke.hu/emailcheck nyilvános ellenőrzései hasonló pontokat vizsgálnak.
Figyelem: egy zöld eredmény ezeken a pontokon semmit nem mond a másik tizenhétről. Az Ön domainje lehet tökéletesen beállítva, miközben a postafiókja jelszava egy adatszivárgásból származik. Az automatikus ellenőrzés a nulladik mérés egy része, nem annak helyettesítője.
Az ellenőrzéstől a tervig: prioritizálás
Önnek most talán nyolc vagy tíz pontja van "nem" vagy "részben" válasszal. Nem lehet mindent egyszerre megoldani. A sorrendet két kérdéssel választja ki.
1. Mekkora a kockázat? Használja a valószínűség x hatás számítást (1.1. lecke). Egy pont, amelyre egy opportunista támadás céloz, mint az újrahasznált jelszavak 2FA nélkül vagy egy frissítetlen weboldal, nagy valószínűséggel rendelkezik. Egy pont, amely baj esetén leállítja az egész vállalkozását, mint egy nem működő biztonsági mentés, nagy hatással jár.
2. Mennyi erőfeszítésbe kerül? Néhány intézkedés egy órát és semmi mást nem igényel, mint a kétlépcsős azonosítás bekapcsolása vagy egy fizetési eljárás megállapodása. Mások heteket vesznek igénybe, mint például az összes laptop lecserélése.
Helyezze el a pontokat egy egyszerű táblázatban:
| Kevés erőfeszítés | Sok erőfeszítés | |
|---|---|---|
| Nagy kockázat | Most csinálja (ezen a héten) | Tervezze (ebben a negyedévben) |
| Kis kockázat | Vigye magával, ha úgy adódik | Később vagy tudatosan elfogadva |
A szabály: a gyors és olcsó elsőként, feltéve, hogy a kockázat nagy. A legtöbb kisvállalkozásnál a "most csinálja" rovatba kerül: kétlépcsős azonosítás az e-mailen és a banknál (3), a fizetési eljárás (6), az automatikus frissítések bekapcsolása (12), valamint annak ellenőrzése, hogy van-e a biztonsági mentésnek elérhetetlen helyen tárolt másolata (16).
Tudatos elfogadás
Egy kockázatot elfogadhat is: eldönti, hogy nem oldja meg, mert a kockázat kicsi, vagy a költségek túl magasak. Ez érvényes döntés, amíg tudatosan hozza meg, és le is írja. A "megfeledkeztem róla" nem elfogadás.
Egy felelős és egy határidő minden ponthoz
Egy terv nevek nélkül félbemarad. Minden ponthoz adjon meg:
- egy felelőst: egy személyt, aki gondoskodik arról, hogy megtörténjen. Nem feltétlenül annak kell lennie, aki végrehajtja; az informatikai cég elvégezheti a munkát, de valaki az Ön saját vállalkozásából ellenőrzi, hogy készen van-e;
- egy határidőt: mikorra kell elkészülnie;
- egy kész állapot meghatározását: honnan tudja, hogy elkészült? Nem "intézze el a 2FA-t", hanem "a 2FA be van kapcsolva a listán szereplő öt fiókon, a helyreállítási kódok a széfben vannak".
Egy példa a Bakkerij Example tervének három sorára:
| Pont | Teendő | Felelős | Határidő | Kész, ha |
|---|---|---|---|---|
| 3 | 2FA az e-mailen, a banknál, a könyvelésnél és a regisztrátornál | Petra | 1 hét múlva | Mind a négynél be van kapcsolva, a helyreállítási kódok a jelszókezelőben és papíron a széfben vannak |
| 6 | Fizetési eljárás A4-es lapon, megbeszélve Joosttal és Sanne-val | Petra | 2 hét múlva | Az A4-es lap kifüggesztve az irodában, mindketten elolvasták |
| 16 | Heti másolat egy lemezre, amely utána külön a széfbe kerül | Joost | 1 hónap múlva | Az első három hét elvégezve, egy fájl visszaállítva tesztként |
Ismétlés
A biztonság soha nincs készen. Új munkatársak, új szolgáltatások, új eszközök és új trükkök jelennek meg folyamatosan. Ezért állapodjon meg a következőkben:
- évente végezze el ismét a teljes ellenőrzést, egy rögzített hónapban, és frissítse a tervet;
- közben végezze el az ellenőrzést nagy változások esetén: egy új webfejlesztő, a tárhely költöztetése, egy új könyvelés, egy növekedési fázis;
- egy incidens után nézze át az ahhoz kapcsolódó pontokat (8.3. lecke).
Őrizze meg minden ellenőrzés eredményét. Így egy év múlva fekete-fehéren látja, mi javult, és választ tud adni, ha egy ügyfél megkérdezi, hogyan áll a biztonsága. Az NKI is kínál saját ajánlásokat egyéni vállalkozók és kkv-k számára, amelyeket e lista mellett használhat; ez egy cselekvési listát ad eredményül.
Összefoglalás
- Egy húsz rögzített pontból álló nulladik mérés őszinte pillanatképet ad; minden pont a leckére utal, ahol megtanulta.
- Egy részét (e-mail, weboldal, domain) automatikusan is lehet ellenőrizni, de ez semmit nem mond a többi pontról.
- Prioritizáljon a valószínűség x hatás és az erőfeszítés alapján: nagy kockázat kevés erőfeszítéssel elsőként.
- A terv minden pontjához tartozik egy felelős, egy határidő és a kész állapot meghatározása; az elfogadás megengedett, de tudatosan és papíron rögzítve.
- Ismételje meg az ellenőrzést minden évben és nagy változások esetén, és őrizze meg az eredményeket.
Kvíz
Feladat
A9.3 feladat: Az Ön domainjének automatikus ellenőrzése. Adja meg saját domainjét. A program egyszerre ellenőrzi az e-mailt (SPF, DKIM, DMARC), a weboldalt (https, tanúsítvány, átirányítás, HSTS, fejlécek) és a domaint (névszerverek, DNSSEC, lejárati dátum), és megmutatja, mely pontjai a biztonsági ellenőrzésnek zöldek, narancssárgák vagy pirosak.
D9.3 feladat: Az Ön biztonsági ellenőrzése és terve. Végezze el a húszpontos ellenőrzést saját vállalkozására. Ezután válasszon ki legalább öt pontot, helyezze el őket a kockázat és erőfeszítés táblázatában, és készítsen tervet, amelyben minden ponthoz tartozik egy felelős, egy határidő és a kész állapot meghatározása. Jegyezze be a naptárába, mikor végzi el újra az ellenőrzést.
D9.3. feladat: A biztonsági ellenőrzése és terve
Így álljon neki: (1) Nézze át a lecke húsz pontját, és jelölje be mindegyiknél: igen, részben vagy nem. A 9., 10. és 11. ponthoz használja az A9.3 eredményét (a gomb átveszi a piros és narancssárga pontokat). (2) Minden "részben" vagy "nem" jelölésű pontot helyezzen el a kockázat (nagy/kicsi) és erőfeszítés (kevés/sok) táblázatban. (3) Válasszon ki legalább öt pontot. Kezdje a "nagy kockázat, kevés erőfeszítés" mezővel. (4) Adjon minden kiválasztott ponthoz egy intézkedést, egy felelőst, egy határidőt és a "kész" definícióját. (5) Írja le, mely pontokat fogadja el tudatosan, az indoklással együtt. (6) Jelöljön ki a naptárában egy állandó hónapot a következő teljes ellenőrzéshez, és írja le, milyen változások esetén néz rá közben újra. (7) Mentse el az eredményt (a tanfolyam elmenti a kitöltött ellenőrzést, ha szeretné; csak az igen/részben/nem jelölések pontonként és a terve, semmilyen más adat).
A pipái és jegyzetei csak ebben a böngészőben maradnak meg, sehova nem küldjük el őket. Ha bejelentkezett, a Fiókomban csak azt tároljuk, hogy elvégezte a feladatot.
További olvasnivaló
A WebOké cikkeiben szereplő lépések a WebOké környezetére vonatkoznak; más szolgáltatóknál hasonlóan működik.
- WebOké útmutató 5.17: Domain és e-mail állapota: ellenőrzés és javítás
- WebOké, Domain / E-mail állapot (nyilvános ellenőrzés): https://www.weboke.hu/domein-gezondheid
- WebOké, E-mail ellenőrzés: https://www.weboke.hu/emailcheck
- Internet.nl, tesztelje weboldalát és e-mailjét: https://internet.nl
- NKI, ajánlások egyéni vállalkozók és kkv-k számára: https://nki.gov.hu/