Ενότητα 9 · 9.3
Ο δικός σας έλεγχος ασφάλειας και το σχέδιό σας
Ενότητα 9: Κανόνες και οργάνωση · Χρόνος ανάγνωσης: 12 λεπτά
Στόχος μαθήματος: Μετά από αυτό το μάθημα θα μπορείτε να κάνετε τον δικό σας έλεγχο ασφάλειας με μια σταθερή λίστα και να φτιάξετε ένα σχέδιο προτεραιοτήτων.
Βασικές έννοιες: βασικά μέτρα, μηδενική μέτρηση, ιεράρχηση προτεραιοτήτων (πιθανότητα x αντίκτυπος, πρώτα τα γρήγορα και φθηνά), υπεύθυνος και ημερομηνία, ετήσια επανάληψη
Από τη γνώση στην πράξη
Σε αυτό το μάθημα είδατε πολλά: κωδικούς πρόσβασης, phishing, email και domain, συσκευές, αντίγραφα ασφαλείας, δικαιώματα, περιστατικά και κανόνες. Ο κίνδυνος τώρα είναι να ξεκινήσετε λίγο από όλα και να μην ολοκληρώσετε τίποτα. Αυτό το μάθημα μετατρέπει όλα αυτά σε δύο πράγματα που φτιάχνετε εσείς οι ίδιοι:
- μια μηδενική μέτρηση: μια ειλικρινή φωτογραφία του πού βρίσκεστε τώρα·
- ένα σχέδιο: τι κάνετε πρώτα, ποιος το κάνει και πότε θα είναι έτοιμο.
Η παρακάτω λίστα περιέχει τα βασικά μέτρα: τα μέτρα που σταματούν τις περισσότερες ευκαιριακές επιθέσεις (μάθημα 1.1) και που συνήθως ζητάει και ένας πελάτης όταν θέτει απαιτήσεις στους προμηθευτές του (μάθημα 9.1). Δεν είναι ένα πλήρες πρότυπο όπως το ISO 27001, ούτε χρειάζεται να είναι. Είναι η βάση που κάνει τη διαφορά σε μια μικρή επιχείρηση.
Ο έλεγχος ασφάλειας: είκοσι σημεία
Απαντήστε σε κάθε σημείο με ναι, εν μέρει ή όχι. Να είστε αυστηροί: το "νομίζω πως ναι" είναι "εν μέρει". Πίσω από κάθε σημείο αναγράφεται το μάθημα όπου το διδαχθήκατε.
Λογαριασμοί και σύνδεση
| Αρ. | Σημείο | Μάθημα |
|---|---|---|
| 1 | Υπάρχει επισκόπηση όλων των λογαριασμών, συσκευών, ιστοτόπων, domains και προμηθευτών, με έναν υπεύθυνο για κάθε στοιχείο. Ό,τι δεν χρησιμοποιείται πλέον έχει αφαιρεθεί. | 1.1, 7.2 |
| 2 | Όλοι χρησιμοποιούν διαχειριστή κωδικών πρόσβασης και έχουν ανά υπηρεσία έναν μοναδικό, μεγάλο κωδικό πρόσβασης. Δεν γίνεται κοινή χρήση κωδικών πρόσβασης μέσω email ή chat. | 2.1, 2.2 |
| 3 | Ο έλεγχος ταυτότητας δύο παραγόντων είναι ενεργοποιημένος στο email, την τράπεζα, τη λογιστική, το hosting, τον registrar και τα social media· για τους διαχειριστές, κατά προτίμηση μια μορφή ανθεκτική σε phishing όπως ένα passkey ή κλειδί ασφαλείας. | 2.3, 2.4 |
| 4 | Οι κωδικοί ανάκτησης και τα εφεδρικά κλειδιά φυλάσσονται με ασφάλεια και γνωρίζετε τι να κάνετε αν χαθεί ένα τηλέφωνο. | 2.3, 2.4 |
| 5 | Έχετε ελέγξει αν οι επαγγελματικές διευθύνσεις εμφανίζονται σε γνωστές διαρροές και γνωρίζετε πώς ανακαλείτε συνεδρίες (sessions) και ελέγχετε κανόνες προώθησης. | 1.4, 2.5 |
Άνθρωποι και διαδικασίες
| Αρ. | Σημείο | Μάθημα |
|---|---|---|
| 6 | Υπάρχει διαδικασία πληρωμών: επιβεβαίωση με τηλεφώνημα σε γνωστό αριθμό όταν αλλάζουν αριθμοί λογαριασμού, και ένα δεύτερο άτομο για μεγάλες ή ασυνήθιστες πληρωμές. | 1.2 |
| 7 | Όλοι μπορούν να αναγνωρίσουν το phishing από το πραγματικό domain ενός συνδέσμου και γνωρίζουν τι να κάνουν μετά από ένα κλικ. | 3.1 έως και 3.5 |
| 8 | Υπάρχει ένα σημείο αναφοράς με αναπληρωτή, η αναφορά γίνεται χωρίς ενοχές, και υπάρχει σύντομη επανάληψη τουλάχιστον μερικές φορές τον χρόνο. | 9.2 |
Email, ιστότοπος και domain
| Αρ. | Σημείο | Μάθημα |
|---|---|---|
| 9 | Το domain σας διαθέτει SPF, DKIM και DMARC, και το DMARC είναι τουλάχιστον σε p=none με σχέδιο μετάβασης σε quarantine ή reject. | 4.1 |
| 10 | Ο ιστότοπός σας λειτουργεί παντού μέσω https με έγκυρο πιστοποιητικό, ανακατευθύνει το http, και το CMS με τα plugins ενημερώνεται. Το HSTS και οι headers ασφαλείας είναι ενεργοποιημένα ή έχουν εξεταστεί συνειδητά. | 4.2 |
| 11 | Τα στοιχεία κατόχου του domain σας είναι σωστά, η αυτόματη ανανέωση είναι ενεργοποιημένη, ο registrar διαθέτει 2FA, δεν υπάρχουν αιωρούμενες εγγραφές DNS και το DNSSEC είναι ενεργοποιημένο όπου είναι εφικτό. | 4.3 |
Συσκευές και δίκτυο
| Αρ. | Σημείο | Μάθημα |
|---|---|---|
| 12 | Οι ενημερώσεις είναι αυτόματα ενεργοποιημένες για λειτουργικά συστήματα, εφαρμογές και plugins· το router, το NAS και ο εκτυπωτής ενημερώνονται επίσης· δεν λειτουργεί τίποτα πλέον που δεν λαμβάνει ενημερώσεις. | 5.1 |
| 13 | Τα laptop και τα τηλέφωνα διαθέτουν κλείδωμα οθόνης και κρυπτογράφηση δίσκου, μπορούν να διαγραφούν εξ αποστάσεως, και κανείς δεν εργάζεται καθημερινά με λογαριασμό διαχειριστή. | 5.2 |
| 14 | Το wifi χρησιμοποιεί WPA2 ή WPA3, ο προεπιλεγμένος κωδικός πρόσβασης του router έχει αλλάξει και οι επισκέπτες και οι έξυπνες συσκευές βρίσκονται σε δίκτυο επισκεπτών. | 5.3 |
Αντίγραφα ασφαλείας
| Αρ. | Σημείο | Μάθημα |
|---|---|---|
| 15 | Υπάρχει αντίγραφο ασφαλείας όλων των σημαντικών δεδομένων, συμπεριλαμβανομένου του email και των υπηρεσιών cloud, σύμφωνα με το σχήμα 3-2-1. | 6.1 |
| 16 | Τουλάχιστον ένα αντίγραφο είναι εκτός σύνδεσης ή μη τροποποιήσιμο και διαθέτει δική του σύνδεση που δεν χρησιμοποιείται στους υπολογιστές εργασίας. | 6.2 |
| 17 | Τον περασμένο χρόνο έγινε μια δοκιμή επαναφοράς, και γνωρίζετε πόση δουλειά επιτρέπεται να χάσετε και πόσο γρήγορα πρέπει να επανέλθουν τα δεδομένα. | 6.3 |
Πρόσβαση, προμηθευτές και περιστατικά
| Αρ. | Σημείο | Μάθημα |
|---|---|---|
| 18 | Όλοι έχουν δικό τους λογαριασμό με μόνο τα δικαιώματα που χρειάζονται, οι λογαριασμοί διαχειριστή είναι ξεχωριστοί, και όταν κάποιος αποχωρεί, όλες οι προσβάσεις ανακαλούνται την ίδια ημέρα. | 7.1 |
| 19 | Οι σημαντικοί προμηθευτές και οι υπηρεσίες cloud έχουν αξιολογηθεί, υπάρχουν συμβάσεις επεξεργασίας δεδομένων όπου χρειάζεται, και τα αρχεία κοινοποιούνται με συνδέσμους που έχουν ημερομηνία λήξης. | 7.2, 7.3 |
| 20 | Υπάρχει αναρτημένη κάρτα αντιμετώπισης περιστατικών σε χαρτί, υπάρχει μητρώο παραβιάσεων δεδομένων, και γνωρίζετε πότε κάνετε γνωστοποίηση στην ΑΠΔΠΧ, στην αστυνομία και, αν εμπίπτετε σε αυτήν, στην Εθνική Αρχή Κυβερνοασφάλειας. | 8.1, 8.2, 8.3, 9.1 |
Μετρήστε τις απαντήσεις σας. Πολλά "όχι" δεν είναι λόγος ανησυχίας: είναι το σημείο εκκίνησής σας. Γι' αυτό λέγεται μηδενική μέτρηση.
Ένα μέρος μπορείτε να το ελέγξετε αυτόματα
Μερικά σημεία μπορείτε να τα μετρήσετε από έξω, επειδή αφορούν δημόσια στοιχεία του domain σας: σημείο 9 (SPF, DKIM, DMARC), σημείο 10 (https, πιστοποιητικό, HSTS, headers) και σημείο 11 (DNSSEC, nameservers, ημερομηνία λήξης). Στην άσκηση A9.3 το κάνετε αυτό μονομιάς για το δικό σας domain, με τους ίδιους ελέγχους όπως στις ασκήσεις της ενότητας 4. Ανεξάρτητες δοκιμές όπως το https://internet.nl και οι δημόσιοι έλεγχοι στο https://www.weboke.gr/ygeia-domain και στο https://www.weboke.gr/elegchos-email εξετάζουν παρόμοια σημεία.
Προσοχή: ένα πράσινο αποτέλεσμα σε αυτά τα σημεία δεν λέει τίποτα για τα υπόλοιπα δεκαεπτά. Το domain σας μπορεί να είναι τέλεια ρυθμισμένο ενώ το mailbox σας έχει έναν κωδικό πρόσβασης από διαρροή. Ο αυτόματος έλεγχος είναι μέρος της μηδενικής μέτρησης, όχι υποκατάστατό της.
Από τον έλεγχο στο σχέδιο: ιεράρχηση προτεραιοτήτων
Ίσως έχετε τώρα οκτώ ή δέκα σημεία με "όχι" ή "εν μέρει". Δεν μπορούν να γίνουν όλα ταυτόχρονα. Επιλέγετε τη σειρά με δύο ερωτήσεις.
1. Πόσο μεγάλος είναι ο κίνδυνος; Χρησιμοποιήστε πιθανότητα x αντίκτυπος (μάθημα 1.1). Ένα σημείο που στοχεύεται από μια ευκαιριακή επίθεση, όπως επαναχρησιμοποιημένοι κωδικοί πρόσβασης χωρίς 2FA ή ένας ιστότοπος χωρίς ενημερώσεις, έχει μεγάλη πιθανότητα. Ένα σημείο που σε περίπτωση αποτυχίας σταματά όλη την επιχείρησή σας, όπως ένα αντίγραφο ασφαλείας που δεν λειτουργεί, έχει μεγάλο αντίκτυπο.
2. Πόσο κόπο απαιτεί; Ορισμένα μέτρα κοστίζουν μία ώρα και τίποτα, όπως η ενεργοποίηση του ελέγχου ταυτότητας δύο παραγόντων ή η συμφωνία μιας διαδικασίας πληρωμών. Άλλα κοστίζουν εβδομάδες, όπως η αντικατάσταση όλων των laptop.
Τοποθετήστε τα σημεία σε ένα απλό σχήμα:
| Λίγος κόπος | Πολύς κόπος | |
|---|---|---|
| Μεγάλος κίνδυνος | Κάντε το τώρα (αυτή την εβδομάδα) | Προγραμματίστε το (αυτό το τρίμηνο) |
| Μικρός κίνδυνος | Συμπεριλάβετέ το όταν βολεύει | Αργότερα ή συνειδητή αποδοχή |
Ο κανόνας είναι: πρώτα τα γρήγορα και φθηνά, εφόσον ο κίνδυνος είναι μεγάλος. Στις περισσότερες μικρές επιχειρήσεις, στο κουτί "κάντε το τώρα" καταλήγουν: ο έλεγχος ταυτότητας δύο παραγόντων στο email και την τράπεζα (3), η διαδικασία πληρωμών (6), η ενεργοποίηση αυτόματων ενημερώσεων (12) και ο έλεγχος αν υπάρχει αντίγραφο του αντιγράφου ασφαλείας εκτός εμβέλειας (16).
Συνειδητή αποδοχή
Έναν κίνδυνο μπορείτε και να τον αποδεχτείτε: αποφασίζετε να μην τον λύσετε, επειδή ο κίνδυνος είναι μικρός ή το κόστος πολύ υψηλό. Αυτή είναι μια έγκυρη επιλογή, αρκεί να την κάνετε συνειδητά και να την καταγράψετε. Το "το ξεχάσαμε" δεν είναι αποδοχή.
Ένας υπεύθυνος και μια ημερομηνία για κάθε σημείο
Ένα σχέδιο χωρίς ονόματα μένει στα χαρτιά. Δώστε σε κάθε σημείο:
- υπεύθυνο: ένα άτομο που φροντίζει να γίνει. Δεν χρειάζεται να είναι αυτός που το εκτελεί· η εταιρεία πληροφορικής μπορεί να κάνει τη δουλειά, αλλά κάποιος στη δική σας επιχείρηση ελέγχει ότι ολοκληρώθηκε·
- μια ημερομηνία: πότε πρέπει να είναι έτοιμο·
- έναν ορισμό του «έτοιμο»: πώς ξέρετε ότι ολοκληρώθηκε; Όχι "ρύθμιση 2FA", αλλά "το 2FA είναι ενεργό στους πέντε λογαριασμούς της λίστας, οι κωδικοί ανάκτησης βρίσκονται στο χρηματοκιβώτιο".
Ένα παράδειγμα τριών γραμμών από το σχέδιο του Αρτοποιείου Παράδειγμα:
| Σημείο | Ενέργεια | Υπεύθυνος | Έτοιμο στις | Έτοιμο όταν |
|---|---|---|---|---|
| 3 | 2FA στο email, την τράπεζα, τη λογιστική και τον registrar | Πέτρα | σε 1 εβδομάδα | Ενεργό και στα τέσσερα, κωδικοί ανάκτησης στον διαχειριστή κωδικών πρόσβασης και σε χαρτί στο χρηματοκιβώτιο |
| 6 | Διαδικασία πληρωμών σε Α4, συζητημένη με τον Γιώργο και τη Σάννα | Πέτρα | σε 2 εβδομάδες | Το Α4 είναι αναρτημένο στο γραφείο, και οι δύο το έχουν διαβάσει |
| 16 | Εβδομαδιαίο αντίγραφο σε δίσκο που μετά τοποθετείται ξεχωριστά στο χρηματοκιβώτιο | Γιώργος | σε 1 μήνα | Έγινε τις πρώτες τρεις εβδομάδες, ένα αρχείο επαναφέρθηκε ως δοκιμή |
Επανάληψη
Η ασφάλεια δεν ολοκληρώνεται ποτέ. Έρχονται νέοι υπάλληλοι, νέες υπηρεσίες, νέες συσκευές και νέα τεχνάσματα. Συμφωνήστε λοιπόν:
- κάθε χρόνο να επαναλαμβάνετε τον πλήρη έλεγχο, σε έναν σταθερό μήνα, και να ενημερώνετε το σχέδιο·
- ενδιάμεσα να κάνετε τον έλεγχο σε μεγάλες αλλαγές: έναν νέο δημιουργό ιστοτόπων, μια μετακόμιση του hosting σας, μια νέα λογιστική, μια απότομη ανάπτυξη·
- μετά από ένα περιστατικό να επανεξετάζετε τα σημεία που σχετίζονταν με αυτό (μάθημα 8.3).
Φυλάξτε το αποτέλεσμα κάθε ελέγχου. Έτσι, μετά από έναν χρόνο θα βλέπετε μαύρο στο άσπρο τι έχει βελτιωθεί, και θα έχετε μια απάντηση όταν ένας πελάτης ρωτήσει πώς βρίσκεται η ασφάλειά σας. Η Εθνική Αρχή Κυβερνοασφάλειας διαθέτει επίσης δικές της οδηγίες για αυτοαπασχολούμενους και μικρομεσαίες επιχειρήσεις, που μπορείτε να χρησιμοποιήσετε παράλληλα με αυτή τη λίστα· παρέχουν μια λίστα ενεργειών.
Σύνοψη
- Μια μηδενική μέτρηση με είκοσι σταθερά σημεία δίνει μια ειλικρινή φωτογραφία· κάθε σημείο παραπέμπει στο μάθημα όπου το διδαχθήκατε.
- Ένα μέρος (email, ιστότοπος, domain) μπορείτε να το ελέγξετε αυτόματα, αλλά αυτό δεν λέει τίποτα για τα υπόλοιπα σημεία.
- Ιεραρχήστε με πιθανότητα x αντίκτυπος και κόπο: μεγάλος κίνδυνος με λίγο κόπο πρώτα.
- Κάθε σημείο στο σχέδιο αποκτά έναν υπεύθυνο, μια ημερομηνία και έναν ορισμό του «έτοιμο»· η αποδοχή επιτρέπεται, αλλά συνειδητά και καταγεγραμμένη.
- Επαναλάβετε τον έλεγχο κάθε χρόνο και σε μεγάλες αλλαγές, και φυλάξτε τα αποτελέσματα.
Κουίζ
Άσκηση
Άσκηση A9.3: Ο αυτόματος έλεγχος του domain σας. Εισαγάγετε το δικό σας domain. Το πρόγραμμα ελέγχει μονομιάς το email (SPF, DKIM, DMARC), τον ιστότοπο (https, πιστοποιητικό, ανακατεύθυνση, HSTS, headers) και το domain (nameservers, DNSSEC, ημερομηνία λήξης) και δείχνει ποια σημεία του ελέγχου ασφάλειας είναι πράσινα, πορτοκαλί ή κόκκινα.
Άσκηση D9.3: Ο έλεγχος ασφάλειας και το σχέδιό σας. Κάντε τον έλεγχο των είκοσι σημείων για τη δική σας επιχείρηση. Στη συνέχεια, επιλέξτε τουλάχιστον πέντε σημεία, τοποθετήστε τα στο σχήμα κινδύνου και κόπου, και φτιάξτε ένα σχέδιο με για κάθε σημείο έναν υπεύθυνο, μια ημερομηνία και έναν ορισμό του «έτοιμο». Σημειώστε στο ημερολόγιό σας πότε θα κάνετε ξανά τον έλεγχο.
Άσκηση D9.3: Ο έλεγχος ασφάλειας και το σχέδιό σας
Έτσι το αντιμετωπίζετε: (1) Περάστε τα είκοσι σημεία του μαθήματος και συμπληρώστε για κάθε σημείο: ναι, εν μέρει ή όχι. Για τα σημεία 9, 10 και 11 χρησιμοποιήστε το αποτέλεσμα της άσκησης A9.3 (το κουμπί μεταφέρει τα κόκκινα και πορτοκαλί σημεία). (2) Τοποθετήστε κάθε σημείο με "εν μέρει" ή "όχι" στο σχήμα κινδύνου (μεγάλος/μικρός) και προσπάθειας (λίγη/πολλή). (3) Επιλέξτε τουλάχιστον πέντε σημεία. Ξεκινήστε με τα τετραγωνίδια "μεγάλος κίνδυνος, λίγη προσπάθεια". (4) Δώστε σε κάθε επιλεγμένο σημείο μια ενέργεια, έναν υπεύθυνο, μια ημερομηνία και έναν ορισμό ολοκλήρωσης. (5) Σημειώστε ποια σημεία αποδέχεστε συνειδητά, με την αιτιολογία. (6) Ορίστε στο ημερολόγιό σας έναν σταθερό μήνα για τον επόμενο πλήρη έλεγχο, και σημειώστε σε ποιες αλλαγές θα ξανακοιτάξετε στο ενδιάμεσο. (7) Αποθηκεύστε το αποτέλεσμα (το μάθημα αποθηκεύει τον συμπληρωμένο έλεγχο αν το επιθυμείτε: μόνο ναι/εν μέρει/όχι ανά σημείο και το σχέδιό σας, χωρίς άλλα δεδομένα).
Τα τικ και οι σημειώσεις σας παραμένουν μόνο σε αυτό το πρόγραμμα περιήγησης· δεν τα στέλνουμε πουθενά. Αν έχετε εγγραφεί, αποθηκεύουμε στο Τα μαθήματά μου μόνο ότι έχετε ολοκληρώσει την άσκηση.
Περαιτέρω ανάγνωση
Τα βήματα στα άρθρα του WebOké ισχύουν για το περιβάλλον του WebOké· σε άλλους παρόχους η διαδικασία είναι παρόμοια.
- Εγχειρίδιο WebOké 5.17: Υγεία domain και email: έλεγχος και επιδιόρθωση
- WebOké, υγεία Domain / Email (δημόσιος έλεγχος): https://www.weboke.gr/ygeia-domain
- WebOké, Έλεγχος email: https://www.weboke.gr/elegchos-email
- Internet.nl, δοκιμάστε τον ιστότοπο και το email σας: https://internet.nl
- Εθνική Αρχή Κυβερνοασφάλειας, οδηγίες για αυτοαπασχολούμενους και μικρομεσαίες επιχειρήσεις: https://cyber.gov.gr/