Kibernetinis atsparumas – ne tik atitiktis reikalavimams

NIS2 iš esmės keičia požiūrį į organizacijų kibernetinį saugumą. Kibernetinė rizika tampa ne vien IT padalinio atsakomybe – ji turi būti sistemingai valdoma visos organizacijos lygmeniu.

Organizacijoms svarbu ne tik turėti saugumo politiką ar atskiras technologijas. Reikia gebėti identifikuoti rizikas, apsaugoti kritines sistemas, aptikti incidentus, į juos reaguoti ir užtikrinti veiklos tęstinumą.

AVEDUS padeda organizacijoms praktiškai įgyvendinti NIS2 kibernetinio saugumo reikalavimus – nuo esamos situacijos ir techninių spragų vertinimo iki saugumo architektūros projektavimo, technologijų diegimo, stebėsenos ir incidentų valdymo.

Kas yra NIS2?

NIS2 (Network and Information Systems Directive 2) – Europos Sąjungos direktyva, kuria siekiama užtikrinti aukštą bendrą kibernetinio saugumo lygį Europos Sąjungoje.

NIS2 išplėtė organizacijų, kurioms taikomi kibernetinio saugumo reikalavimai, ratą ir sustiprino reikalavimus, susijusius su:

• kibernetinių rizikų valdymu;

• incidentų valdymu;

• veiklos tęstinumu;

• tiekimo grandinės saugumu;

• pažeidžiamumų valdymu;

• prieigos kontrole;

• autentifikavimu;

• kriptografija;

• saugumo priemonių efektyvumo vertinimu;

• vadovybės atsakomybe.

NIS2 tikslas – ne tik sumažinti kibernetinių incidentų tikimybę, bet ir užtikrinti, kad organizacijos būtų pasirengusios jiems įvykus.

NIS2 – ne vien dokumentacija

Vienas svarbiausių NIS2 principų – kibernetinio saugumo priemonės turi būti proporcingos organizacijos rizikai.

Todėl vien politikų, procedūrų ir kitų dokumentų nepakanka.

Jeigu dokumentacijoje nustatyta, kad kritinės sistemos turi būti stebimos, organizacija turi turėti realiai veikiančias stebėjimo priemones.

Jeigu reikalaujama daugiafaktorės autentifikacijos, ji turi būti įdiegta ten, kur jos reikia.

Jeigu numatytas incidentų valdymas, organizacija turi gebėti incidentą aptikti, ištirti, suvaldyti ir atkurti paveiktas sistemas.

NIS2 atitiktis turi būti paremta realiai veikiančia kibernetinio saugumo architektūra.

NIS2 rizikų valdymas

NIS2 pagrindas – rizika pagrįstas požiūris.

Organizacija pirmiausia turi suprasti:

Kokios sistemos yra kritinės?

Kokius duomenis jos apdoroja?

Nuo kokios infrastruktūros jos priklauso?

Kokios kibernetinės grėsmės joms aktualios?

Kokios būtų sėkmingos atakos pasekmės?

Kokios apsaugos priemonės jau įdiegtos?

Tik tada galima nustatyti, kuriose srityse saugumo priemonės turi būti sustiprintos.

IT infrastruktūros inventorizacija

Negalima apsaugoti infrastruktūros, apie kurią organizacija nežino.

Todėl vienas iš svarbių kibernetinio saugumo pagrindų yra tikslus IT turto matomumas.

Organizacija turi žinoti, kokius turi:

• serverius;

• darbo vietas;

• tinklo įrenginius;

• virtualias sistemas;

• debesijos resursus;

• aplikacijas;

• vartotojų paskyras;

• OT ir IoT įrenginius;

• viešai pasiekiamas sistemas.

Turto inventorius suteikia pagrindą pažeidžiamumų, rizikų ir incidentų valdymui.

Tinklo saugumas

Tinklas yra viena pagrindinių organizacijos saugumo architektūros dalių.

NIS2 pasirengimo kontekste gali būti vertinamos ir stiprinamos:

• naujos kartos ugniasienės;

• tinklo segmentavimas;

• IDS/IPS;

• VPN;

• ZTNA;

• NAC;

• saugus Wi-Fi;

• DNS saugumas;

• DDoS apsauga;

• centralizuotas tinklo valdymas.

Svarbus principas – vienos sistemos kompromitavimas neturi suteikti užpuolikui nekontroliuojamos prieigos prie visos organizacijos infrastruktūros.

Tinklo segmentavimas

Organizacijos infrastruktūra neturėtų veikti kaip vienas didelis patikimas tinklas.

Darbuotojų darbo vietos, serveriai, administravimo sistemos, IoT įrenginiai, svečių tinklai ir kritinės sistemos turėtų būti logiškai atskirti.

Ryšiai tarp segmentų turi būti leidžiami pagal realų poreikį.

Segmentavimas padeda sumažinti lateral movement galimybes ir apriboti incidento poveikį.

Identiteto ir prieigos valdymas

Pavogti vartotojų prisijungimo duomenys yra vienas dažniausių pradinių kibernetinės atakos kelių.

Todėl organizacijoms svarbu valdyti ne tik vartotojo slaptažodį, bet visą jo prieigos gyvavimo ciklą.

Tai gali apimti:

• centralizuotą identiteto valdymą;

• MFA;

• SSO;

• Least Privilege principą;

• privilegijuotų paskyrų valdymą;

• vartotojų teisių peržiūrą;

• trečiųjų šalių prieigos kontrolę;

• paskyrų panaikinimą darbuotojui išėjus.

Prieiga turi būti suteikiama tik tiek, kiek jos reikia konkrečioms funkcijoms atlikti.

Daugiafaktorė autentifikacija – MFA

Vien slaptažodis nebėra pakankama kritinių sistemų apsauga.

Slaptažodis gali būti pavogtas phishing atakos metu, nutekintas iš kitos sistemos arba perimtas kenkėjiška programine įranga.

MFA sukuria papildomą apsaugos sluoksnį.

Ypatingas dėmesys turi būti skiriamas:

• administratorių paskyroms;

• nuotolinei prieigai;

• debesijos sistemoms;

• kritinėms aplikacijoms;

• trečiųjų šalių prieigai.

Kur rizika didžiausia, gali būti naudojami phishing atsparesni autentifikavimo metodai.

Privilegijuotų prieigų valdymas – PAM

Administratorių paskyros suteikia plačias teises, todėl jų kompromitavimas gali turėti itin didelį poveikį.

PAM sprendimai gali padėti:

• apsaugoti privilegijuotus prisijungimo duomenis;

• suteikti administravimo teises tik tada, kai jų reikia;

• riboti prieigos laiką;

• kontroliuoti trečiųjų šalių administravimą;

• registruoti administravimo sesijas;

• atlikti privilegijuotų veiksmų auditą.

Tai padeda pereiti nuo nuolatinių administratoriaus privilegijų prie kontroliuojamos prieigos.

Galinių įrenginių ir serverių apsauga

Darbo vietos ir serveriai yra dažni kibernetinių atakų taikiniai.

Jų apsauga gali apimti:

• EDR;

• XDR;

• antivirusinę apsaugą;

• aplikacijų kontrolę;

• saugumo konfigūracijų valdymą;

• pažeidžiamumų valdymą;

• serverių hardening;

• centralizuotą saugumo stebėseną.

EDR/XDR leidžia ne tik blokuoti žinomas grėsmes, bet ir aptikti įtartiną sistemos elgseną.

Pažeidžiamumų valdymas

Pažeidžiamumų valdymas turi būti nuolatinis procesas.

Organizacija turi gebėti:

Identifikuoti → Įvertinti → Prioritetizuoti → Pašalinti → Patikrinti.

Svarbu vertinti ne tik techninį pažeidžiamumo kritiškumą, bet ir:

• ar sistema pasiekiama iš interneto;

• ar pažeidžiamumas aktyviai išnaudojamas;

• kokia sistemos svarba organizacijai;

• kokius duomenis ji apdoroja;

• kokios būtų kompromitavimo pasekmės.

Tai leidžia pirmiausia spręsti didžiausią realią riziką keliančias problemas.

Saugumo atnaujinimų valdymas

Pažeidžiamumų aptikimas neturi vertės, jeigu kritinės saugumo spragos lieka nepašalintos.

Todėl organizacijoje turi veikti valdomas atnaujinimų procesas.

Jis turi apimti:

• atnaujinimų identifikavimą;

• kritiškumo vertinimą;

• suderinamumo testavimą;

• diegimo prioritetizavimą;

• kritinių pataisymų diegimą;

• rezultatų kontrolę.

Kritinėse sistemose atnaujinimai turi būti derinami su veiklos tęstinumo reikalavimais.

Incidentų aptikimas

Nė viena organizacija negali garantuoti, kad visos kibernetinės atakos bus sustabdytos prevencinėmis priemonėmis.

Todėl svarbu gebėti kuo anksčiau pastebėti, kad ataka jau vyksta.

Tam gali būti naudojami:

• EDR/XDR;

• IDS/IPS;

• NDR;

• SIEM;

• tinklo srauto analizė;

• identiteto saugumo stebėjimas;

• aplikacijų saugumo sistemos;

• OT saugumo platformos.

Kuo trumpesnis laikas tarp kompromitavimo ir aptikimo, tuo didesnė tikimybė apriboti incidento poveikį.

SIEM ir saugumo analitika

Organizacijos infrastruktūra generuoja didelį kiekį saugumo informacijos.

SIEM leidžia centralizuotai rinkti ir analizuoti duomenis iš:

• ugniasienių;

• EDR/XDR;

• serverių;

• Active Directory;

• debesijos sistemų;

• VPN ir ZTNA;

• aplikacijų;

• OT infrastruktūros;

• kitų saugumo šaltinių.

Koreliuojant skirtingus įvykius galima identifikuoti atakas, kurių nebūtų įmanoma pastebėti analizuojant vieną sistemą atskirai.

SOC/MDR

Technologija gali aptikti įtartiną veiklą, tačiau reikia specialistų, kurie gebėtų ją įvertinti.

SOC/MDR gali užtikrinti:

• nuolatinę saugumo stebėseną;

• įspėjimų analizę;

• incidentų identifikavimą;

• grėsmių paiešką;

• įvykių koreliaciją;

• incidentų eskalavimą;

• reagavimo inicijavimą.

Tai ypač aktualu organizacijoms, kurios neturi galimybės savarankiškai užtikrinti nuolatinės saugumo operacijų funkcijos.

Incidentų valdymas

Organizacija turi būti pasirengusi kibernetiniam incidentui dar prieš jam įvykstant.

Incidentų valdymo procese turi būti aišku:

Kas atsakingas už incidentą?

Kaip nustatomas jo kritiškumas?

Kas priima sprendimus?

Kokias sistemas galima izoliuoti?

Kaip išsaugomi tyrimui reikalingi duomenys?

Kaip atkuriama veikla?

Kaip vykdoma vidinė ir išorinė komunikacija?

Incidentų valdymo planas turi būti ne tik parengtas, bet ir periodiškai testuojamas.

NIS2 pranešimai apie incidentus

NIS2 nustato kelių etapų reikšmingų incidentų pranešimo procesą.

Organizacijai svarbu gebėti greitai nustatyti, kad įvykis gali būti reikšmingas, surinkti reikalingą informaciją ir pradėti nustatytą pranešimo procesą.

Tai reiškia, kad incidentų aptikimo, eskalavimo ir vidinės komunikacijos procesai turi būti parengti iš anksto.

Techninės stebėjimo priemonės ir aiškiai apibrėžtos atsakomybės padeda išvengti situacijos, kai apie incidentą organizacija sužino per vėlai.

Veiklos tęstinumas

NIS2 orientuojasi ne tik į atakų prevenciją, bet ir į organizacijos atsparumą.

Kibernetinio incidento metu svarbu žinoti:

• kurios sistemos yra kritinės;

• kiek laiko jos gali neveikti;

• kokios yra jų tarpusavio priklausomybės;

• kokia tvarka jos turi būti atkuriamos;

• kas atsakingas už atkūrimą.

Tam reikalingi veiklos tęstinumo ir Disaster Recovery procesai.

Atsarginės kopijos

Ransomware atakos metu užpuolikai gali siekti sunaikinti ne tik produkcinius duomenis, bet ir jų atsargines kopijas.

Todėl atsarginių kopijų infrastruktūra turi būti apsaugota atskirai.

Gali būti naudojamos:

• nekintamos kopijos;

• offline kopijos;

• geografiškai atskirtos kopijos;

• atskiros administravimo paskyros;

• MFA;

• duomenų šifravimas.

Tačiau vien turėti kopiją nepakanka.

Atkūrimas turi būti periodiškai testuojamas.

Tiekimo grandinės saugumas

Organizacijos kibernetinis saugumas priklauso ir nuo jos tiekėjų.

Programinės įrangos gamintojai, debesijos paslaugų teikėjai, IT priežiūros partneriai ir kiti tiekėjai gali turėti prieigą prie organizacijos sistemų arba duomenų.

Todėl svarbu vertinti:

• tiekėjo prieigos lygį;

• naudojamas saugumo priemones;

• nuotolinės prieigos mechanizmus;

• incidentų valdymo procesus;

• pažeidžiamumų valdymą;

• paslaugų tęstinumą.

Tiekėjo prieiga neturi tapti nekontroliuojamu keliu į organizacijos infrastruktūrą.

Kriptografija ir duomenų apsauga

Jautri informacija turi būti apsaugota ne tik nuo išorinių atakų, bet ir nuo neautorizuotos vidinės prieigos.

Priklausomai nuo rizikos gali būti naudojama:

• duomenų šifravimas;

• saugus duomenų perdavimas;

• sertifikatų valdymas;

• raktų valdymas;

• DLP;

• duomenų klasifikavimas;

• prieigos kontrolė.

Svarbu žinoti ne tik kur saugomi organizacijos duomenys, bet ir kas turi teisę juos pasiekti.

Saugumo priemonių efektyvumo vertinimas

Įdiegtas saugumo sprendimas nebūtinai reiškia, kad organizacija yra apsaugota.

Todėl saugumo priemones reikia periodiškai tikrinti.

Tam gali būti atliekamas:

• pažeidžiamumų vertinimas;

• įsilaužimų testavimas;

• saugumo konfigūracijų auditas;

• incidentų valdymo pratybos;

• atsarginių kopijų atkūrimo testai;

• prieigos teisių peržiūra.

Tikrinama ne tai, ar organizacija turi saugumo priemonę, o ar ji realiai veikia taip, kaip numatyta.

NIS2 ir OT/ICS saugumas

Organizacijoms, kurių veikla priklauso nuo pramoninių valdymo sistemų, NIS2 pasirengimas turi apimti ir OT infrastruktūrą.

Gamybos, energetikos ir kitose kritinėse aplinkose gali būti reikalinga:

• OT įrenginių inventorizacija;

• IT/OT segmentavimas;

• pasyvus OT tinklo stebėjimas;

• pramoninių protokolų analizė;

• saugi nuotolinė prieiga;

• OT pažeidžiamumų valdymas;

• OT įvykių integracija su SIEM/SOC.

IT saugumo politika negali baigtis ties riba, kur prasideda technologinis tinklas.

Zero Trust ir NIS2

Zero Trust principai gali padėti praktiškai įgyvendinti dalį NIS2 rizikų valdymo tikslų.

Pagrindinė idėja – vartotojas ar įrenginys nėra automatiškai laikomas patikimu vien todėl, kad yra organizacijos tinkle.

Prieš suteikiant prieigą vertinama:

Kas yra vartotojas?

Kokį įrenginį jis naudoja?

Ar įrenginys saugus?

Kokią sistemą vartotojas nori pasiekti?

Ar jam ši prieiga reikalinga?

Tokiu būdu galima sumažinti kompromituotos paskyros ar įrenginio poveikį.

Vadovybės atsakomybė

NIS2 sustiprina organizacijos vadovybės vaidmenį kibernetinio saugumo srityje.

Kibernetinė rizika turi būti vertinama kaip organizacijos veiklos rizika, o ne tik techninė IT problema.

Vadovybei svarbu suprasti:

• pagrindines organizacijos kibernetines rizikas;

• kritinių sistemų priklausomybes;

• esamų saugumo priemonių būklę;

• svarbiausias nustatytas spragas;

• incidentų valdymo pasirengimą;

• kibernetinio saugumo investicijų prioritetus.

Tai leidžia priimti sprendimus pagal realią verslo riziką.

NIS2 pasirengimo kelias

Praktinį NIS2 pasirengimą galima suskirstyti į nuoseklius etapus:

1. Taikymo ir esamos situacijos įvertinimas

Nustatoma organizacijos infrastruktūra, kritinės sistemos ir esamos saugumo priemonės.

2. Spragų analizė

Identifikuojamos sritys, kuriose dabartinės priemonės neatitinka nustatyto saugumo lygio.

3. Rizikų prioritetizavimas

Nustatoma, kurios spragos kelia didžiausią riziką organizacijos veiklai.

4. Tikslinės saugumo architektūros projektavimas

Parenkamos reikalingos techninės ir organizacinės priemonės.

5. Įgyvendinimas

Diegiami arba modernizuojami reikalingi saugumo sprendimai.

6. Testavimas

Tikrinama, ar įdiegtos priemonės realiai veikia.

7. Nuolatinė stebėsena ir tobulinimas

Kibernetinis saugumas tampa nuolatiniu procesu, o ne vienkartiniu projektu.

NIS2 technologinis žemėlapis

Praktinį techninių priemonių modelį galima apibendrinti taip:

Inventorizacija → Rizikų vertinimas → Tinklo segmentavimas → MFA/PAM/NAC → EDR/XDR → Pažeidžiamumų valdymas → SIEM/SOC → Incidentų valdymas → Atsarginės kopijos → Atkūrimas.

Kiekvienai organizacijai konkretus priemonių rinkinys priklausys nuo jos infrastruktūros, veiklos, rizikos ir jau naudojamų technologijų.

NIS2 – nuolatinis procesas

NIS2 pasirengimas nesibaigia įdiegus naują ugniasienę, EDR ar SIEM.

Keičiasi infrastruktūra.

Atsiranda naujų pažeidžiamumų.

Keičiasi darbuotojai ir jų prieigos teisės.

Diegiamos naujos aplikacijos.

Atsiranda nauji tiekėjai.

Keičiasi kibernetinės grėsmės.

Todėl organizacijos kibernetinio saugumo būklė turi būti nuolat vertinama ir tobulinama.

NIS2 turėtų tapti ne vien atitikties projektu, o ilgalaikio organizacijos kibernetinio atsparumo pagrindu.

Kodėl AVEDUS?

Techninė kibernetinio saugumo kompetencija

NIS2 vertiname ne tik kaip atitikties klausimą. Padedame reikalavimus paversti konkrečiomis techninėmis saugumo priemonėmis.

Nuo tinklo iki SOC

Galime apjungti tinklo saugumą, MFA, PAM, NAC, EDR/XDR, pažeidžiamumų valdymą, SIEM, SOC/MDR ir kitas technologijas į vientisą architektūrą.

IT ir OT infrastruktūra

Dirbame tiek su tradicine IT, tiek su gamybos, energetikos ir kitomis OT aplinkomis.

Nuo vertinimo iki įgyvendinimo

Galime įvertinti esamą infrastruktūrą, identifikuoti technines spragas, suprojektuoti tikslinę saugumo architektūrą ir įdiegti reikalingus sprendimus.

Ilgalaikis kibernetinis atsparumas

Tikslas – ne vien pasirengti konkrečiam patikrinimui, bet sukurti saugumo modelį, kurį organizacija galėtų nuolat valdyti ir tobulinti.