01
Varnostni pregled in prednostni načrt
Tveganja pretvorimo v izvedljive ukrepe.
Brez pregleda sistemov, podatkov in odgovornosti je težko izbrati ukrepe, ki najbolj zmanjšajo dejanska poslovna tveganja. Najprej pisno opredelimo dovoljeni obseg in odgovorne osebe, nato pregledamo stanje, določimo ukrepe ter preverimo dogovorjene izboljšave. Prejmete: poročilo z ugotovitvami, vplivom in priporočenimi ukrepi; Načrt odgovornosti, prednostnih nalog ter preverjanja odprave.
Podrobneje
Kdaj vam pomaga
Brez pregleda sistemov, podatkov in odgovornosti je težko izbrati ukrepe, ki najbolj zmanjšajo dejanska poslovna tveganja.
Kaj izvedemo
- Pregled dogovorjenih nastavitev, sredstev, procesov in odgovornosti
- Ocena pomembnosti ugotovitev ter odvisnosti pri odpravi
- Prednostni načrt, preverjanje popravkov in pregled dokazil
Kako poteka
Najprej pisno opredelimo dovoljeni obseg in odgovorne osebe, nato pregledamo stanje, določimo ukrepe ter preverimo dogovorjene izboljšave.
Kaj prejmete
- Poročilo z ugotovitvami, vplivom in priporočenimi ukrepi
- Načrt odgovornosti, prednostnih nalog ter preverjanja odprave
Ilustrativni primer
Ilustrativno: pregled odkrije neurejene skrbniške pravice in nepreverjeno obnovo; najprej uredimo najpomembnejše pomanjkljivosti.
Kako merimo uspeh
- Odpravljene prednostne ugotovitve in preverjeni popravki
- Pokritost dogovorjenih sistemov in odgovornosti
Po uvedbi
Izvedbo in podporo določimo glede na obseg ter potrebne specialiste. Spremljanje, odziv, forenzika in druge zahtevnejše storitve potrebujejo poseben izvedbeni dogovor.
Identiteta, dostopi in zaščita oblaka
Prave pravice za prave ljudi in storitve.
Preširoki dostopi, stari računi in nejasne nastavitve oblaka povečajo tveganje nepooblaščene uporabe pomembnih podatkov. Najprej pisno opredelimo dovoljeni obseg in odgovorne osebe, nato pregledamo stanje, določimo ukrepe ter preverimo dogovorjene izboljšave. Prejmete: matrika pravic in dokumentirane nastavitve zaščite; Postopki upravljanja računov ter preverjanja dostopov.
Podrobneje
Kdaj vam pomaga
Preširoki dostopi, stari računi in nejasne nastavitve oblaka povečajo tveganje nepooblaščene uporabe pomembnih podatkov.
Kaj izvedemo
- IAM, MFA, skrbniške vloge in načelo najmanjših pravic
- Pregled dostopov aplikacij, storitvenih računov in oblačnih virov
- Postopki prihoda, spremembe vlog, odhoda in rednih pregledov
Kako poteka
Najprej pisno opredelimo dovoljeni obseg in odgovorne osebe, nato pregledamo stanje, določimo ukrepe ter preverimo dogovorjene izboljšave.
Kaj prejmete
- Matrika pravic in dokumentirane nastavitve zaščite
- Postopki upravljanja računov ter preverjanja dostopov
Ilustrativni primer
Ilustrativno: administrativne vloge ločimo od vsakdanjih računov, vključimo MFA in uredimo redno potrjevanje pravic.
Kako merimo uspeh
- Odstranjeni nepotrebni in preširoki dostopi
- Pokritost dogovorjenih računov z MFA in rednim pregledom
Po uvedbi
Izvedbo in podporo določimo glede na obseg ter potrebne specialiste. Spremljanje, odziv, forenzika in druge zahtevnejše storitve potrebujejo poseben izvedbeni dogovor.
Varnost aplikacij, API-jev in AI rešitev
Zaščita je del načrtovanja in razvoja.
Aplikacija lahko razkrije podatke ali izvede napačno dejanje, če dostopi, odvisnosti in obdelava vhodov niso ustrezno preverjeni. Najprej pisno opredelimo dovoljeni obseg in odgovorne osebe, nato pregledamo stanje, določimo ukrepe ter preverimo dogovorjene izboljšave. Prejmete: prednostni popravki in priporočila za razvojni proces; Preizkusi dogovorjenih varnostnih pravil ter dokumentacija.
Podrobneje
Kdaj vam pomaga
Aplikacija lahko razkrije podatke ali izvede napačno dejanje, če dostopi, odvisnosti in obdelava vhodov niso ustrezno preverjeni.
Kaj izvedemo
- Pregled zasnove, kode, odvisnosti in občutljivih nastavitev
- Pravice API-jev, skrivnosti, beleženje in varen razvojni proces
- AI dostopi do virov, obravnava navodil in človeško potrjevanje dejanj
Kako poteka
Najprej pisno opredelimo dovoljeni obseg in odgovorne osebe, nato pregledamo stanje, določimo ukrepe ter preverimo dogovorjene izboljšave.
Kaj prejmete
- Prednostni popravki in priporočila za razvojni proces
- Preizkusi dogovorjenih varnostnih pravil ter dokumentacija
Ilustrativni primer
Ilustrativno: AI pomočnik prikaže samo dovoljene dokumente, dejanja v CRM pa zahtevajo jasno opredeljeno potrditev.
Kako merimo uspeh
- Preverjene omejitve dostopa in potrjevanja
- Odpravljene prednostne težave kode in odvisnosti
Po uvedbi
Izvedbo in podporo določimo glede na obseg ter potrebne specialiste. Spremljanje, odziv, forenzika in druge zahtevnejše storitve potrebujejo poseben izvedbeni dogovor.
Dogovorjeno specialistično varnostno preverjanje
Jasen obseg, dovoljenje in uporabno poročilo.
Za neodvisno preverjanje izpostavljenih rešitev potrebujete jasno določen obseg, odgovorne izvajalce in načrt odprave ugotovitev. Najprej pisno opredelimo dovoljeni obseg in odgovorne osebe, nato pregledamo stanje, določimo ukrepe ter preverimo dogovorjene izboljšave. Prejmete: poročilo z vplivom, prednostmi in smernicami za odpravo; Rezultati ponovne ocene dogovorjenih popravkov.
Podrobneje
Kdaj vam pomaga
Za neodvisno preverjanje izpostavljenih rešitev potrebujete jasno določen obseg, odgovorne izvajalce in načrt odprave ugotovitev.
Kaj izvedemo
- Pisna odobritev lastnika, obseg in pravila varnega izvajanja
- Dogovor o terminih, stikih, omejitvah in ustavitvi preverjanja
- Specialistično preverjanje, poročilo ter ponovna ocena popravkov
Kako poteka
Najprej pisno opredelimo dovoljeni obseg in odgovorne osebe, nato pregledamo stanje, določimo ukrepe ter preverimo dogovorjene izboljšave.
Kaj prejmete
- Poročilo z vplivom, prednostmi in smernicami za odpravo
- Rezultati ponovne ocene dogovorjenih popravkov
Ilustrativni primer
Ilustrativno: pred objavo portala se dogovori neodvisno preverjanje dovoljenih delov, nato razvojna ekipa odpravi in potrdi ugotovitve.
Kako merimo uspeh
- Pokritost pisno dogovorjenega obsega
- Odprava ugotovitev glede na prednost in ponovna potrditev
Po uvedbi
Izvedbo in podporo določimo glede na obseg ter potrebne specialiste. Spremljanje, odziv, forenzika in druge zahtevnejše storitve potrebujejo poseben izvedbeni dogovor.
E-pošta, naprave in varnostna kultura
Vsakodnevna zaščita, razumljiva uporabnikom.
Neposodobljene naprave, lažna sporočila in nejasna navodila zaposlenim ustvarjajo tveganja tudi ob dobro zasnovani infrastrukturi. Najprej pisno opredelimo dovoljeni obseg in odgovorne osebe, nato pregledamo stanje, določimo ukrepe ter preverimo dogovorjene izboljšave. Prejmete: dogovorjene tehnične nastavitve in uporabniška navodila; Kratek program usposabljanja ter kanal za prijavo.
Podrobneje
Kdaj vam pomaga
Neposodobljene naprave, lažna sporočila in nejasna navodila zaposlenim ustvarjajo tveganja tudi ob dobro zasnovani infrastrukturi.
Kaj izvedemo
- Zaščita e-pošte, poštne domene, naprav in dogovorjenih nastavitev
- Posodobitve, šifriranje, varnostne politike in upravljanje naprav
- Praktično usposabljanje ter postopek prijave sumljivih dogodkov
Kako poteka
Najprej pisno opredelimo dovoljeni obseg in odgovorne osebe, nato pregledamo stanje, določimo ukrepe ter preverimo dogovorjene izboljšave.
Kaj prejmete
- Dogovorjene tehnične nastavitve in uporabniška navodila
- Kratek program usposabljanja ter kanal za prijavo
Ilustrativni primer
Ilustrativno: zaposleni zna prepoznati sumljivo plačilno navodilo, preveriti zahtevo in jo predati odgovorni osebi.
Kako merimo uspeh
- Pokritost naprav z dogovorjenimi zaščitnimi ukrepi
- Uspešnost praktičnih vaj in pravočasnost prijav
Po uvedbi
Izvedbo in podporo določimo glede na obseg ter potrebne specialiste. Spremljanje, odziv, forenzika in druge zahtevnejše storitve potrebujejo poseben izvedbeni dogovor.
Pripravljenost na incidente in okrevanje
Ob težavi vsak pozna svojo nalogo.
Brez vnaprej dogovorjenih odgovornosti, kontaktov in postopkov se ob incidentu podaljšata odločanje ter vračanje v delovanje. Najprej pisno opredelimo dovoljeni obseg in odgovorne osebe, nato pregledamo stanje, določimo ukrepe ter preverimo dogovorjene izboljšave. Prejmete: načrt odziva in okrevanja z odgovornimi osebami; Zapis vaje, seznam izboljšav in preverjeni obnovitveni postopki.
Podrobneje
Kdaj vam pomaga
Brez vnaprej dogovorjenih odgovornosti, kontaktov in postopkov se ob incidentu podaljšata odločanje ter vračanje v delovanje.
Kaj izvedemo
- Načrt odziva, odgovornosti, stiki in stopnje eskalacije
- Namizne vaje, komunikacija in dokumentiranje pomembnih odločitev
- Preverjanje obnove ter dogovor o vključitvi specialistične pomoči
Kako poteka
Najprej pisno opredelimo dovoljeni obseg in odgovorne osebe, nato pregledamo stanje, določimo ukrepe ter preverimo dogovorjene izboljšave.
Kaj prejmete
- Načrt odziva in okrevanja z odgovornimi osebami
- Zapis vaje, seznam izboljšav in preverjeni obnovitveni postopki
Ilustrativni primer
Ilustrativno: ekipa z vajo preveri prijavo dogodka, odločanje, obveščanje in obnovo izbrane poslovne storitve.
Kako merimo uspeh
- Čas prijave, odločanja in obnove med dogovorjeno vajo
- Odpravljene vrzeli v odgovornostih in postopkih
Po uvedbi
Izvedbo in podporo določimo glede na obseg ter potrebne specialiste. Spremljanje, odziv, forenzika in druge zahtevnejše storitve potrebujejo poseben izvedbeni dogovor.
Obseg in možnosti izvedbe
Specialistično varnostno preverjanje, spremljanje, odziv in forenziko opredelimo v ločenem obsegu z ustreznimi izvajalci. Preverjanje tujih sistemov se izvaja samo po pisni odobritvi lastnika in po dogovorjenih pravilih.
Tehnologije in pristopi
- MFA / IAM
- Dodatna potrditev prijave in upravljanje identitete ter pravic.
- OWASP
- Smernice za varnost spletnih aplikacij.
- Varen razvoj
- Pregled kode, odvisnosti in nastavitev skozi razvoj.
- EDR / SIEM
- Možnosti zaščite naprav in povezovanja varnostnih dogodkov.
