Moodul 9 · 9.3
Sinu turvakontroll ja plaan
Moodul 9: Reeglid ja korraldus · Lugemisaeg: 12 minutit
Õpieesmärk: Pärast seda õppetundi oskad teha oma ettevõttele turvakontrolli kindla nimekirja järgi ja koostada sellest prioriteetidega plaani.
Põhimõisted: baasmeetmed, nullmõõtmine, prioriseerimine (tõenäosus x mõju, kiire ja odav enne), vastutaja ja kuupäev, iga-aastane kordamine
Teadmistelt tegudele
Oled selle kursuse jooksul näinud palju: paroolid, andmepüük, e-post ja domeen, seadmed, varukoopiad, õigused, intsidendid ja reeglid. Oht on nüüd selles, et alustad kõike veidi, aga ei saa millegagi valmis. See õppetund muudab kõik kaheks asjaks, mille loo ise valmis:
- nullmõõtmine: aus hetkeseisu foto;
- plaan: mida teed esimesena, kes seda teeb ja millal see valmis on.
Allolev nimekiri sisaldab baasmeetmeid: meetmeid, mis tõkestavad enamiku oportunistlikke ründeid (õppetund 1.1) ja mida klient tavaliselt nõuab, kui ta esitab oma tarnijatele nõudeid (õppetund 9.1). See ei ole täielik standard nagu ISO 27001, ja seda ei peagi olema. See on alus, mis teeb väikeettevõttes erinevuse.
Turvakontroll: kakskümmend punkti
Vasta igale punktile jah, osaliselt või ei. Ole range: "arvan, et jah" on "osaliselt". Iga punkti järel on märgitud õppetund, kust sa selle õppisid.
Kontod ja sisselogimine
| Nr | Punkt | Õppetund |
|---|---|---|
| 1 | On olemas ülevaade kõikidest kontodest, seadmetest, veebilehtedest, domeenidest ja tarnijatest, igal osal on oma vastutaja. See, mida enam ei kasutata, on ära koristatud. | 1.1, 7.2 |
| 2 | Kõik kasutavad paroolihaldurit ja igal teenusel on ainulaadne, pikk parool. Paroole ei jagata e-posti ega vestluse teel. | 2.1, 2.2 |
| 3 | Kaheastmeline autentimine on sisse lülitatud e-posti, panga, raamatupidamise, majutuse, registripidaja ja sotsiaalmeedia kontodel; administraatoritele eelistatavalt andmepüügikindel vorm, nagu passkey või turvavõti. | 2.3, 2.4 |
| 4 | Taastekoodid ja varuvõtmed on turvaliselt hoiul ja tead, mida teha, kui telefon kaob. | 2.3, 2.4 |
| 5 | Oled kontrollinud, kas ettevõtte aadressid esinevad tuntud lekketes, ja tead, kuidas sessioone tühistada ja edastusreegleid kontrollida. | 1.4, 2.5 |
Inimesed ja protsessid
| Nr | Punkt | Õppetund |
|---|---|---|
| 6 | On olemas makseprotseduur: tagasihelistamine tuntud numbril, kui kontonumber on muutunud, ja teine isik suurte või tavapärasest erinevate maksete juures. | 1.2 |
| 7 | Kõik oskavad andmepüüki ära tunda lingi tegeliku domeeni järgi ja teavad, mida teha pärast klõpsamist. | 3.1 kuni 3.5 |
| 8 | On olemas üks teatamiskoht koos asendajaga, teatamine toimub süüdistamata, ja lühikest kordamist tehakse vähemalt paar korda aastas. | 9.2 |
E-post, veebileht ja domeen
| Nr | Punkt | Õppetund |
|---|---|---|
| 9 | Sinu domeenil on SPF, DKIM ja DMARC, ning DMARC on vähemalt seatud väärtusele p=none koos plaaniga minna edasi väärtusele quarantine või reject. | 4.1 |
| 10 | Sinu veebileht töötab kõikjal https kaudu kehtiva sertifikaadiga, suunab http ümber, ning CMS koos pluginatega uuendatakse. HSTS ja turvapäised on sisse lülitatud või teadlikult läbi mõeldud. | 4.2 |
| 11 | Sinu domeeni omaniku andmed on õiged, automaatne pikendamine on sisse lülitatud, registripidajal on 2FA, puuduvad hõljuvad DNS-kirjed ja DNSSEC on sisse lülitatud, kus see on võimalik. | 4.3 |
Seadmed ja võrk
| Nr | Punkt | Õppetund |
|---|---|---|
| 12 | Uuendused on automaatselt sisse lülitatud operatsioonisüsteemidel, rakendustel ja pluginatel; ruuterit, NAS-i ja printerit samuti uuendatakse; midagi, mis enam uuendusi ei saa, ei tööta. | 5.1 |
| 13 | Sülearvutitel ja telefonidel on ekraanilukk ja kettakrüpteering, neid saab eemalt kustutada, ja keegi ei tööta igapäevaselt administraatorikontoga. | 5.2 |
| 14 | Wifi kasutab WPA2 või WPA3, ruuteri vaikimisi parool on muudetud ja külalised ning nutiseadmed on eraldi külalisvõrgus. | 5.3 |
Varukoopiad
| Nr | Punkt | Õppetund |
|---|---|---|
| 15 | Kõigest olulisest, sealhulgas e-postist ja pilveteenustest, on varukoopia vastavalt 3-2-1 skeemile. | 6.1 |
| 16 | Vähemalt üks koopia on võrgust lahutatud või muutumatu ja sellel on eraldi sisselogimine, mida ei kasutata töövaia arvutites. | 6.2 |
| 17 | Viimase aasta jooksul on tehtud taastetest ja tead, kui palju tööd tohid kaotada ja kui kiiresti peab kõik tagasi olema. | 6.3 |
Juurdepääs, tarnijad ja intsidendid
| Nr | Punkt | Õppetund |
|---|---|---|
| 18 | Igaühel on oma konto ainult vajalike õigustega, administraatorikontod on eraldi, ja lahkumisel tühistatakse kõik juurdepääsud samal päeval. | 7.1 |
| 19 | Olulised tarnijad ja pilveteenused on hinnatud, vajalikud andmetöötluslepingud on olemas ja faile jagatakse linkidega, millel on aegumistähtaeg. | 7.2, 7.3 |
| 20 | Seinal ripub paberil intsidendikaart, olemas on andmelekete register, ja tead, millal teavitada Andmekaitse Inspektsiooni, politseid ning, kui see sinu peale kehtib, RIA-t. | 8.1, 8.2, 8.3, 9.1 |
Loe oma vastused kokku. Palju "ei" vastuseid ei ole põhjust ehmuda: see on sinu lähtepunkt. Seepärast nimetatakse seda nullmõõtmiseks.
Osa saad kontrollida automaatselt
Mõnd punkti saab mõõta väljastpoolt, kuna need põhinevad sinu domeeni avalikel andmetel: punkt 9 (SPF, DKIM, DMARC), punkt 10 (https, sertifikaat, HSTS, päised) ja punkt 11 (DNSSEC, nimeserverid, aegumistähtaeg). Ülesandes A9.3 teed seda korraga oma domeeni jaoks, samade kontrollidega nagu moodul 4 ülesannetes. Sõltumatud testid, nagu https://internet.nl, ning avalikud kontrollid aadressil https://www.weboke.ee/domeeni-tervis ja https://www.weboke.ee/e-posti-kontroll vaatavad sarnaseid punkte.
Pane tähele: roheline tulemus nende punktide juures ei ütle midagi ülejäänud seitsmeteistkümne kohta. Sinu domeen võib olla täiuslikult seadistatud, samal ajal kui su postkastil on lekkest pärit parool. Automaatne kontroll on osa nullmõõtmisest, mitte selle asendus.
Kontrollilt plaanile: prioriseerimine
Sul võib nüüd olla kaheksa kuni kümme punkti vastusega "ei" või "osaliselt". Kõike ei saa teha korraga. Järjekorra valid kahe küsimuse abil.
1. Kui suur on risk? Kasuta valemit tõenäosus x mõju (õppetund 1.1). Punktil, mille peale sihib oportunistlik rünne, nagu taaskasutatud paroolid ilma 2FA-ta või veebileht ilma uuendusteta, on suur tõenäosus. Punktil, mis valesti minnes seiskab kogu su ettevõtte, nagu mittetöötav varukoopia, on suur mõju.
2. Kui palju vaeva see nõuab? Mõni meede maksab tunni ja mitte midagi, nagu kaheastmelise autentimise sisselülitamine või makseprotseduuri kokkuleppimine. Teised nõuavad nädalaid, nagu kõigi sülearvutite väljavahetamine.
Jaota punktid lihtsasse skeemi:
| Vähe vaeva | Palju vaeva | |
|---|---|---|
| Suur risk | Tee kohe ära (sel nädalal) | Planeeri (selle kvartali jooksul) |
| Väike risk | Võta kaasa, kui sobib | Hiljem või teadlikult aktsepteeri |
Reegel on: kiire ja odav enne, kui risk on suur. Enamikul väikeettevõtetel satuvad kasti "tee kohe ära" järgmised: kaheastmeline autentimine e-postil ja pangakontol (3), makseprotseduur (6), automaatsete uuenduste sisselülitamine (12) ning kontroll, kas varukoopiast on olemas koopia väljaspool haaret (16).
Teadlik aktsepteerimine
Riski võib ka aktsepteerida: otsustad seda mitte lahendada, kuna risk on väike või kulud liiga suured. See on kehtiv valik, kui teed selle teadlikult ja kirjutad üles. "Unustamine" ei ole aktsepteerimine.
Vastutaja ja kuupäev iga punkti juurde
Plaan ilma nimedeta jääb seisma. Anna igale punktile:
- vastutaja: üks inimene, kes hoolitseb selle eest, et asi saaks tehtud. See ei pea olema sama inimene, kes seda teostab; IT-ettevõte võib teha töö ise, aga keegi sinu ettevõttes kontrollib, et see saab valmis;
- kuupäev: millal peab see valmis olema;
- valmisoleku definitsioon: kuidas tead, et see on valmis? Mitte "korraldada 2FA", vaid "2FA on sisse lülitatud nimekirja viiel kontol, taastekoodid asuvad seifis".
Näide kolmest reast Bakkerij Example'i plaanist:
| Punkt | Tegevus | Vastutaja | Valmis | Valmis siis, kui |
|---|---|---|---|---|
| 3 | 2FA e-postil, pangal, raamatupidamisel ja registripidajal | Petra | 1 nädala pärast | Kõik neli sisse lülitatud, taastekoodid paroolihalduris ja paberil seifis |
| 6 | Makseprotseduur A4-l, arutatud Joosti ja Sannega | Petra | 2 nädala pärast | A4 ripub kontoris, mõlemad on selle lugenud |
| 16 | Iganädalane koopia kettale, mis seejärel läheb lahti seifi | Joost | 1 kuu pärast | Esimesed kolm nädalat tehtud, üks fail taastatud testina |
Kordamine
Turvalisus pole kunagi lõplikult valmis. Tulevad uued töötajad, uued teenused, uued seadmed ja uued trikid. Lepi seepärast kokku:
- igal aastal täielik kontroll uuesti, kindlal kuul, ja plaani uuendamine;
- vahepeal kontroll suurte muutuste puhul: uus veebiarendaja, majutuse kolimine, uus raamatupidamine, kasvuhüpe;
- pärast intsidenti läbi vaadata punktid, millega see seotud oli (õppetund 8.3).
Hoia alles iga kontrolli tulemus. Siis näed aasta pärast must valgel, mis on paranenud, ja sul on vastus, kui klient küsib, kuidas sinu turvalisusega lood on. RIA-l on samuti omad soovitused ettevõtjatele, mida saad kasutada koos selle nimekirjaga; need annavad tegevusnimekirja.
Kokkuvõte
- Kahekümnepunktiline nullmõõtmine annab aususe pildi; iga punkt viitab õppetunnile, kust sa selle õppisid.
- Osa (e-post, veebileht, domeen) saab kontrollida automaatselt, aga see ei ütle midagi ülejäänud punktide kohta.
- Prioriseeri tõenäosuse x mõju ja vaeva järgi: suur risk väikese vaevaga enne.
- Igale punktile plaanis anna vastutaja, kuupäev ja valmisoleku definitsioon; aktsepteerimine on lubatud, kuid teadlikult ja kirjalikult.
- Korda kontrolli igal aastal ja suurte muutuste puhul, ning hoia tulemused alles.
Test
Ülesanne
Ülesanne A9.3: Sinu domeeni automaatne kontroll. Sisesta oma domeen. Programm kontrollib korraga e-posti (SPF, DKIM, DMARC), veebilehte (https, sertifikaat, ümbersuunamine, HSTS, päised) ja domeeni (nimeserverid, DNSSEC, aegumistähtaeg) ning näitab, millised turvakontrolli punktid on rohelised, oranžid või punased.
Ülesanne D9.3: Sinu turvakontroll ja plaan. Tee kahekümnepunktiline kontroll oma ettevõtte jaoks. Vali seejärel vähemalt viis punkti, pane need riski ja vaeva skeemi, ja koosta plaan, kus igal punktil on vastutaja, kuupäev ja valmisoleku definitsioon. Pane oma kalendrisse kirja, millal teed kontrolli uuesti.
Ülesanne D9.3: Sinu turvakontroll ja plaan
Tee nii: (1) Vaata õppetunni kakskümmend punkti läbi ja märgi iga punkti juurde: jah, osaliselt või ei. Punktide 9, 10 ja 11 jaoks kasuta ülesande A9.3 tulemust (nupp võtab üle punased ja oranžid punktid). (2) Paiguta iga "osaliselt" või "ei" punkt riski (suur/väike) ja vaeva (vähe/palju) skeemi. (3) Vali vähemalt viis punkti. Alusta lahtritest "suur risk, vähe vaeva". (4) Anna igale valitud punktile tegevus, vastutaja, kuupäev ja valmisoleku kirjeldus. (5) Kirjuta üles, millised riskid sa teadlikult aktsepteerid, koos põhjendusega. (6) Pane kalendrisse kindel kuu järgmise täieliku kontrolli jaoks ja kirjuta üles, milliste muudatuste korral vaatad asja vahepeal uuesti üle. (7) Salvesta tulemus (kursus salvestab täidetud kontrolli, kui soovid; ainult jah/osaliselt/ei iga punkti kohta ja sinu plaan, muid andmeid ei salvestata).
Su linnukesed ja märkmed jäävad ainult sellesse brauserisse, me ei saada neid kuhugi. Kui oled sisse loginud, salvestame Minu kursustes ainult info, et tegid ülesande ära.
Rohkem lugemist
Sammud WebOké artiklites kehtivad WebOké keskkonna jaoks; teiste pakkujate juures töötab see sarnaselt.
- WebOké juhend 5.17: Domeeni ja e-posti tervis: kontrollimine ja parandamine
- WebOké, domeeni ja e-posti tervisekontroll (avalik kontroll): https://www.weboke.ee/domeeni-tervis
- WebOké, e-posti kontroll: https://www.weboke.ee/e-posti-kontroll
- Internet.nl, testi oma veebilehte ja e-posti: https://internet.nl
- RIA soovitused ettevõtjatele: https://www.ria.ee/