Co tak naprawdę chcą zobaczyć audytorzy i klienci enterprise?

Czym naprawdę są te rzeczy

Do rosnącej firmy zwykle trafiają trzy różne żądania, które sprawiają wrażenie trzech osobnych problemów. Są ze sobą ściśle powiązane.

Kwestionariusz bezpieczeństwa to arkusz albo formularz online, który większy klient przysyła przed zakupem. Jego zespół bezpieczeństwa musi potwierdzić, że współpraca z tobą nie narazi jego danych ani danych jego klientów. Pytań może być od kilkunastu do kilkuset, ale dotyczą znajomego terenu.

SOC 2 to raport przygotowywany przez niezależną firmę audytorską w Stanach Zjednoczonych, nadzorowaną przez AICPA, organizację ustalającą standardy dla amerykańskich audytorów. Audytor sprawdza, czy masz wdrożone określone kontrole, a w bardziej wymagającej wersji „Type II" także, czy te kontrole rzeczywiście działały przez pewien okres, zwykle od kilku miesięcy do roku. Raport SOC 2 to dokument, o który wielu kupujących enterprise prosi zamiast przysyłania własnego kwestionariusza.

ISO 27001 to międzynarodowa norma dotycząca prowadzenia systemu zarządzania bezpieczeństwem informacji. Akredytowana jednostka przeprowadza audyt, a jeśli go przejdziesz, wydaje certyfikat. Aktualna jest wersja z 2022 roku. Jest uznawana globalnie i w Europie często preferowana.

W prostych słowach sens wszystkich trzech jest ten sam. Niezależna strona sprawdza, czy stosujesz podstawowe, sensowne kontrole bezpieczeństwa i czy robisz to celowo i konsekwentnie, a nie przez przypadek. Żadna z nich nie ocenia, jak zaawansowany jest twój produkt. Prosta firma z uporządkowanymi, dobrze prowadzonymi podstawami przechodzi przegląd. Sprytna firma z niechlujnymi podstawami ma z tym problem. A pytanie, na które nie potrafisz odpowiedzieć, to zwykle luka w widoczności, nie porażka: „nie jesteśmy pewni, kto wciąż ma dostęp do tego systemu" to coś, co możesz sprawdzić, spisać i naprawić.

Tematy, które przewijają się wszędzie

Jeśli odrzucić słownictwo, te przeglądy wciąż wracają do tej samej garści tematów. Jeśli rozumiesz tych sześć, rozumiesz mniej więcej osiemdziesiąt procent tego, o co naprawdę pyta każdy audytor czy klient.

Kto ma dostęp i jak jest usuwany

To sedno sprawy. Osoby przeprowadzające przegląd chcą wiedzieć, że właściwi ludzie mają dostęp do twoich systemów i danych i, co równie ważne, że niewłaściwi go nie mają. Najostrzejsza wersja tego pytania dotyczy tego, co dzieje się, gdy ktoś odchodzi z firmy albo zmienia rolę. Czy jego dostęp jest usuwany szybko i w całości, we wszystkich systemach, nie tylko w poczcie.

MFA

MFA, czyli uwierzytelnianie wieloskładnikowe, oznacza, że logowanie wymaga czegoś więcej niż hasła: zwykle kodu albo potwierdzenia na telefonie. Osoby przeprowadzające przegląd oczekują tego wszędzie tam, gdzie się liczy, zwłaszcza dla administratorów i wszystkiego dostępnego z internetu. Samo hasło nie jest już uznawane za wystarczające i to jedna z pierwszych rzeczy, jakie sprawdza kwestionariusz.

Least privilege

Least privilege to prosta idea z formalną nazwą. Ludzie powinni mieć dostęp, jakiego wymaga ich praca, i nic ponadto. Stażysta z marketingu nie powinien mieć uprawnień administratora do bazy danych klientów. Osoby przeprowadzające przegląd szukają dowodów, że dostęp jest dopasowany do ról, a nie rozdawany szeroko, bo tak było łatwiej w danym momencie.

Zarządzanie dostawcami

Korzystasz z oprogramowania i usług innych firm, a twoi klienci o tym wiedzą. Zarządzanie dostawcami oznacza, że śledzisz, którzy dostawcy mają styczność z twoimi danymi, sprawdzasz, czy są w rozsądnym stopniu bezpieczni, i masz z nimi podpisane umowy. Klient, który cię ocenia, w części ocenia też łańcuch dostawców stojący za tobą.

Plan reagowania na incydenty

Wszędzie coś czasem idzie nie tak. Osoby przeprowadzające przegląd nie oczekują obietnicy, że nic się nigdy nie wydarzy, tylko dowodu, że przemyślałeś to wcześniej: spisanego planu, kto co robi w razie naruszenia albo awarii, jak byś to opanował i jak poinformowałbyś osoby dotknięte zdarzeniem. Krótki, realny plan jest lepszy niż długi, teoretyczny.

Codzienna higiena

Wokół tego wszystkiego leżą zwyczajne podstawy: aktualizowanie oprogramowania, szyfrowanie wrażliwych danych, robienie kopii zapasowych, szkolenie pracowników i spisywanie polityk, które to wszystko regulują. Rzadko same w sobie przesądzają o kontrakcie, ale ich brak sygnalizuje, że podstawy nie są prowadzone.

Dlaczego kontrola dostępu to część, która wywraca firmy

Z tych sześciu tematów dostęp jest tym, który najczęściej szwankuje, a powód jest strukturalny, nie wynika z niedbalstwa. Większość pozostałych kontroli ustawia się raz i potem w dużej mierze trzymają się miejsca: włączasz MFA, piszesz plan reagowania na incydenty i to działa. Dostęp jest inny, bo zmienia się za każdym razem, gdy ktoś dołącza, zmienia rolę albo odchodzi, i za każdym razem, gdy wdrażasz nowe narzędzie. Z natury jest ruchomym celem.

W praktyce dochodzi do cichego dryfu. Ktoś przechodzi do innego zespołu i dostaje nowy dostęp, ale nikt nie usuwa starego. Kontraktor kończy projekt, a jego konto nigdy nie zostaje wyłączone. Pracownik odchodzi, jego poczta zostaje wyłączona, ale konto, które kiedyś założył w niszowym narzędziu, wciąż działa. Żadna z tych sytuacji nie jest dramatyczną porażką. Każda to małe, zrozumiałe niedopatrzenie, a takie niedopatrzenia się kumulują.

Czasem nazywa się to access creep i dokładnie tego jest wyszkolony szukać audytor albo osoba przeprowadzająca przegląd u klienta. Kiedy wyciągną listę wszystkich, którzy mają dostęp do wrażliwego systemu, i znajdą na niej byłego pracownika albo konto, którego nikt nie potrafi wyjaśnić, to jedno ustalenie mówi im więcej niż tuzin zaliczonych kontroli. Sugeruje, że dostęp nie jest aktywnie zarządzany.

Kryteria dostępu SOC 2 mówią o tym wprost. W ramach Trust Services Criteria, na których opiera się SOC 2, sekcja o dostępie (nazywana CC6) wymaga, żebyś autoryzował nowych użytkowników przed nadaniem im danych logowania, usuwał dostęp, gdy ktoś nie jest już do niego uprawniony, i przeglądał dostęp okresowo. ISO 27001:2022 wymaga tego samego cyklu życia: nadawania, przeglądu, zmiany i usuwania praw dostępu zgodnie ze spisaną polityką. Obie normy w praktyce pytają o to samo. Czy twoje listy dostępu są aktualne i czy potrafisz to udowodnić. Dobra wiadomość jest taka, że da się to naprawić rutyną, nie heroizmem.

Jak wygląda dobry stan

Nie musisz czytać norm, żeby ocenić, czy twoja firma jest w rozsądnej formie. Oto, jak w prostych słowach wygląda „dobrze", obraz, do którego dążysz.

• Istnieje aktualna, dokładna lista tego, kto ma dostęp do twoich ważnych systemów, i ktoś potrafi ją przygotować bez tygodnia gorączkowego szukania.
• Gdy osoba odchodzi albo zmienia rolę, jej dostęp jest usuwany szybko i we wszystkich systemach, a odpowiada za to checklista albo proces, nie ludzka pamięć.
• Dostęp jest przeglądany według regularnego harmonogramu, często co kwartał, podczas którego menedżerowie potwierdzają, że dostęp każdej osoby wciąż pasuje do jej stanowiska, a przegląd jest spisany.
• MFA jest włączone dla wszystkich, a na pewno dla administratorów i wszystkiego dostępnego z internetu.
• Ludzie mają dostęp, jakiego wymaga ich rola, i niewiele ponad to, a nowy dostęp jest nadawany świadomie, nie kopiowany hurtowo od kolegi.
• Masz krótką, spisaną listę dostawców, którzy obsługują twoje dane, i podstawową dokumentację, że ich zweryfikowałeś.
• Masz spisany plan reagowania na incydenty, który nowy pracownik mógłby przeczytać i zrozumieć, a co najmniej jedna osoba przemyślała, jak faktycznie byście go użyli.
• Polityki stojące za tym wszystkim istnieją na papierze, nie są nieaktualne od lat i w dużej mierze odpowiadają temu, co firma faktycznie robi.

Jeśli większość z tego jest prawdą, przegląd będzie robotą, ale nie kryzysem. Jeśli kilka nie jest, właśnie znalazłeś swoje priorytety, a dostęp zwykle jest pierwszym z nich.

Co zapytać swoją osobę od IT

Nie musisz audytować własnych systemów. Musisz zadać kilka bezpośrednich pytań i słuchać, czy odpowiedzi są konkretne, czy mgliste. Pewne, precyzyjne odpowiedzi to dobry znak. Wahanie albo „musielibyśmy sprawdzić" wskazuje prosto na luki, które warto zamknąć najpierw.

• Gdybym poprosił o listę wszystkich, którzy mają dostęp do naszego najważniejszego systemu, ile czasu zajęłoby jej przygotowanie i jak bardzo jesteś pewien, że jest dokładna.
• Kiedy ktoś odszedł z firmy w zeszłym kwartale, co dokładnie stało się z całym jego dostępem i czy możemy pokazać, że został w pełni usunięty.
• Czy MFA jest włączone wszędzie, a jeśli nie, to gdzie nie.
• Czy przeglądamy dostęp według regularnego harmonogramu i czy ten przegląd jest gdzieś spisany, tak żeby osoba przeprowadzająca przegląd mogła to zobaczyć.
• Czy mamy aktualną listę dostawców, którzy obsługują dane naszych klientów, i czy sprawdziliśmy, że są bezpieczni.
• Gdybyśmy jutro mieli incydent bezpieczeństwa, czy mamy spisany plan i czy kiedykolwiek go przećwiczyłeś.
• Spośród SOC 2, ISO 27001 i odpowiadania na kwestionariusze klientów, do czego jesteśmy najbliżej gotowości i jaka jest jedna największa luka.

Jeśli odpowiedzi na pytania o dostęp są niepewne, to nie powód do paniki. To najczęstszy punkt startowy i ten, który najłatwiej poprawić.

Jak się wyprzedzić

Sprawdzonym podejściem jest traktowanie przeglądu jako porządków, które robisz, zanim ktoś zapyta, a nie jako egzaminu, do którego się wkuwasz.

Zacznij od uwidocznienia dostępu. Wyciągnij na wierzch listy tego, kto ma dostęp do twoich ważnych systemów, bo nie naprawisz tego, czego nie widzisz. Prawie każdy, kto to robi, znajduje konta, których tam być nie powinno: byli pracownicy, starzy kontraktorzy, niewyjaśnione logowania. Uporządkowanie tego zamyka za jednym zamachem najczęstsze i najbardziej szkodliwe ustalenie audytowe.

Potem urealnij rutynę. Ustaw cykliczny przegląd, choćby prosty, kwartalny, w którym menedżerowie potwierdzają dostęp swojego zespołu, i spisuj, że się odbył. Wprowadź checklistę dla osób odchodzących i zmieniających rolę, żeby usuwanie dostępu nie zależało od czyjejś pamięci. Potwierdź, że MFA jest naprawdę włączone wszędzie, spisz dostawców, którzy mają styczność z twoimi danymi, i przenieś krótki plan reagowania na incydenty na papier.

Nic z tego nie wymaga dużego budżetu ani zatrudnienia specjalisty od bezpieczeństwa od pierwszego dnia. Wymaga decyzji, że podstawy będą prowadzone według harmonogramu, a nie zostawione samym sobie, i przypisania jednej osobie jasnej odpowiedzialności za to, żeby to się działo.

Jeśli chcesz zagłębić się w część, która ma największe znaczenie, powiązany przewodnik „SOC 2 access readiness: getting CC6 ready for a Type II" krok po kroku pokazuje, co dokładnie sprawdza audytor SOC 2 w obszarze dostępu, a „Access governance: who can reach what, and why" opisuje, jak utrzymywać aktualne listy dostępu jako stałą praktykę, nie przedaudytową gorączkę.

Źródła

• 2017 Trust Services Criteria (With Revised Points of Focus, 2022), AICPA and CIMA · https://www.aicpa-cima.com/resources/download/2017-trust-services-criteria-with-revised-points-of-focus-2022 (oficjalne kryteria, na których opiera się SOC 2, w tym kontrole dostępu CC6)
• ISO/IEC 27001:2022 Annex A 5.15 Access Control, ISMS.online · https://www.isms.online/iso-27001/annex-a-2022/5-15-access-control-2022/ (wymóg polityki kontroli dostępu)
• ISO/IEC 27001:2022 Annex A 5.18 Access Rights, Hicomply · https://www.hicomply.com/hub/iso-27001-annex-a-5-18-access-rights (nadawanie, przegląd, zmiana i usuwanie praw dostępu)
• SOC 2 Trust Services Criteria reference (CC6 logical and physical access), Truvo · https://truvocyber.com/blog/soc-2-trust-services-criteria-guide (przystępne podsumowanie tego, czego wymaga CC6)