Security debt – amikor a „majd később” kiberbiztonsági kockázattá válik

A kiberbiztonsági problémák ritkán egyik napról a másikra alakulnak ki. Inkább apránként gyűlnek össze, mint pl:

• egy frissítés, amit most nem telepítünk;
• egy régi operációs rendszer, amely még „valahogy működik”;
• egy ideiglenesen kiadott rendszergazdai jogosultság, amely végül úgy marad;
• egy hardening feladat, amely mindig hátrébb kerül a listán.

Ezek egyenként nem tűnnek kritikusnak, együtt viszont már komoly biztonsági technikai adósságot, vagyis security debt-et jelentenek.

Sok szervezet rengeteg energiát fordít az auditokra és a tanúsítványok megszerzésére. Ez fontos, de önmagában nem elég. A megfelelés ugyanis nem egy egyszeri állapot, amit az audit napján elérünk, majd kipipálunk. A valódi munka sokszor éppen utána kezdődik: a feltárt hiányosságok kezelésével, a vállalt intézkedések végrehajtásával és a kontrollok folyamatos működtetésével.

Tipikus példa egy régi alkalmazás, amelyet azért nem lehet frissíteni, mert egy üzletileg fontos rendszer függ tőle. Telnek az évek, közben az operációs rendszer támogatása is megszűnik, a sérülékenységek javítása egyre nehezebbé válik, végül pedig egyetlen elavult komponens tartja kockázatban az egész környezetet.

Ennek jelentőségét az is mutatja, hogy a zsarolóvírus-támadások után a szervezetek átlagosan éves árbevételük mintegy 5%-ának megfelelő veszteséget szenvednek el a működéskiesés miatt. Ebben nincs benne a reputációs kár, az ügyfélvesztés vagy a helyreállítás költsége. Egy KKV esetében ez akár egy teljes év nyereségét is felemésztheti.

Nem feltétlenül egy rossz döntés vezet idáig. Sok kisebb, rövid távon racionális kompromisszum adódik össze.

A security debt kezelése ezért nemcsak IT-feladat, hanem vezetői és irányítási kérdés is.

Látnunk kell:

• milyen feladatok maradtak el,
• ezek mekkora kockázatot jelentenek,
• ki felel a kezelésükért,
• és mikorra reális a végrehajtásuk.

A cél nem az, hogy minden problémát azonnal megszüntessünk. Ez a legtöbb szervezetnél nem lenne reális. A cél az, hogy ismerjük, priorizáljuk őket, és legyen elfogadott tervünk a fokozatos kezelésükre.

A kérdés tehát nem az, hogy van-e security debt a szervezetben. Szinte biztosan van.

A kérdés az, hogy látható-e, van-e felelőse, és történik-e vele valami.

A White Hat szakértői a biztonsági elmaradások felmérésében, priorizálásában és kezelésében is támogatást nyújtanak, hogy a megfelelés ne csak az audit időpontjáig, hanem hosszú távon is fenntartható legyen.

Erre vonatkozó szolgáltatásainkról itt található több információ: Irányítási, kockázatkezelési és megfelelőségi szolgáltatások – White Hat IT Security