Mit jelentenek valójában a kiberbiztosítási követelmények az Ön IT-je számára?

Évekig senki sem ellenőrizte, hogy a kisebb vállalatok komolyan veszik-e a biztonságot. A szabályozók a nagy szervezetekre összpontosítottak, az ügyfelek ritkán kérdeztek, és a gyenge kontrollok egyetlen valós következménye maga az incidens volt.

Ez csendben megváltozott, és a könyvvizsgáló a biztosítója lett. A kiberbiztosítási követelmények váltak a leghatékonyabb biztonsági szabvánnyá a középvállalati szektorban, nem azért, mert bárki törvénybe iktatta volna, hanem mert a fedezet most már ezektől függ.

Miért lettek szigorúak a biztosítók?

A korai kiberbiztosítási kötvények árazása nagyon kevés adaton alapult. Aztán a zsarolóvírus iparággá nőtte ki magát, tömegesen érkeztek a kárigények, és a biztosítók rájöttek, hogy olyan kockázatot vállalnak, amit nem értenek.

A válasz kiszámítható volt: a díjak emelkedtek, a fedezet szűkült, és a jelentkezési lap fél oldalról valami auditra emlékeztetővé nőtte ki magát. Ma a biztonsági kérdőív az, ahol a valódi munka zajlik, mert a válaszai határozzák meg az árat és azt is, hogy egyáltalán kap-e fedezetet.

A kiberbiztosítási követelmények, amelyek minden alkalommal felmerülnek

A megfogalmazás biztosítónként eltérő, de a lényeg figyelemre méltóan következetes.

Többfaktoros hitelesítés, mindenhol

Ez az, ami eldönti a kérelmeket. A biztosítók e-mailben, távoli hozzáférésnél, rendszergazdai fiókoknál és minden internetről elérhető dolognál megkövetelik. A „legtöbb felhasználó rendelkezik vele” általában nemként értelmezendő, mert a támadóknak csak a kivételre van szükségük.

Tesztelt, elkülönített biztonsági mentések

Nem csak az, hogy léteznek biztonsági mentések. Hanem az is, hogy tesztelve vannak, hogy legalább egy másolat nem érhető el vagy titkosítható a termelési hálózatról, és hogy tudja, mennyi ideig tart egy visszaállítás. Számítson kérdésre arról, hogy mikor állított vissza utoljára valamit.

Végpontvédelem az antivírus helyett

A hagyományos antivírus ismert fenyegetéseket egyezetet. A biztosítók egyre gyakrabban kérnek végpontészlelési és -reagálási eszközöket, amelyek gyanús viselkedést észlelnek, és néhányan tudni akarják, hogy valaki figyeli-e a riasztásokat munkaidőn kívül is.

Frissítés ütemtervvel

A kérdés ritkán az, hogy „frissít-e”. Inkább az, hogy milyen gyorsan alkalmazzák a kritikus frissítéseket, és hogy ez magában foglalja-e a tűzfalakat, VPN-eszközöket és minden mást, ami ki van téve az internetnek.

Hozzáférés-szabályozás és kiléptetés

Kinek van rendszergazdai joga, hogy a rendszergazdai fiókokat használják-e napi munkára, és milyen gyorsan szüntetik meg a hozzáférést, amikor valaki távozik.

Képzés és incidenskezelési terv

Kapnak-e a munkatársak biztonságtudatossági képzést, és van-e írásos incidensreagálási eljárásuk. Néhány biztosító most már azt is megkérdezi, hogy gyakorolták-e már.

Miért az őszinte válaszadás az egyetlen lehetőség?

Csábító azt a választ adni, amivel megkapja a kötvényt. Ne tegye.

A biztosítási kérelem nyilatkozat. Ha kijelenti, hogy a többfaktoros hitelesítés mindenhol engedélyezve van, és egy későbbi kárigény során kiderül, hogy a kompromittált fiók nem rendelkezett vele, akkor okot adott a biztosítónak a kifizetés csökkentésére vagy megtagadására. Évekig fizetett díjakat olyan fedezetért, amely a legrosszabb pillanatban elpárolog.

Egy feltételes válasz sokkal jobb, mint egy optimista. Annak elmagyarázása, hogy az MFA minden alkalmazottra kiterjed, kivéve három szolgáltatási fiókot, megfelelő kompenzáló kontrollokkal, egy beszélgetés. Egy hamis igen egy fedezeti probléma, ami csak arra vár, hogy bekövetkezzen.

Tekintse a kérdőívet ingyenes tanácsadásnak

Íme a hasznos újragondolás. Bármit is gondol a biztosítókról, a kiberbiztosítási követelmények egy tisztességes biztonsági alapvonalat képviselnek, amelyet több millió eurónyi kárigény adatából desztilláltak. Nem egzotikus fenyegetésekről kérdeznek. Arról a maroknyi kontrollról kérdeznek, amelyek valóban megállítják a valós incidenseket.

Ezért dolgozza végig az űrlapot, még akkor is, ha nem vásárol kötvényt. Minden kérdés, amire nem tud magabiztosan válaszolni, egy olyan hiányosság, amiről érdemes tudni, és minden hiányosság, amit megszüntet, javítja a helyzetét, függetlenül attól, hogy valaha is igényel-e kártérítést.

Ugyanez a dokumentum máshol is felbukkan. A nagyobb ügyfelek egyre gyakrabban küldenek biztonsági kérdőíveket, amelyek nagyjából ugyanazt a területet fedik le, és a NIS2 hatálya alá tartozó szervezeteknek értékelniük kell beszállítóikat. A kiberbiztosítási követelmények egyszeri teljesítése minderre felkészíti Önt.

Hogyan néz ki a jó felkészülés?

Mielőtt bármit is kitöltene, gyűjtse össze a bizonyítékokat, ne a benyomásokat. Egy lista arról, hogy kinek van rendszergazdai joga. Az utolsó visszaállítási teszt dátuma. A frissítési ütemterve. Milyen eszközök vannak ténylegesen telepítve, hány eszközön, szemben azzal, hogy hány licencet vásárolt.

Ez az utolsó különbség sokakat megfog. A végpontvédelemre vonatkozó licenc birtoklása nem ugyanaz, mint ha az minden gépen telepítve van és jelentést készít, és egy biztosító kárigény esetén az utóbbit fogja kérni.

Készüljön fel velünk, mielőtt jelentkezik

A legtöbb vállalat egyedül tölti ki a kérdőívet, találgat a technikai kérdéseknél, és reméli, hogy a válaszok megállják a helyüket. Ez rossz helyzet, mind a megújításkor, mind a kárigény benyújtásakor.

Az EvolvingDesknél átnézzük Önnel a kiberbiztosítási követelményeket, mielőtt bármit is benyújtana. Ellenőrizzük, mi van valóban érvényben, megszüntetjük azokat a hiányosságokat, amelyek egyébként kínos válaszra kényszerítenék, és minden válasz mögé bizonyítékot adunk, így Ön pontosan tudja, mit ír alá. Ahol valamit nem lehet gyorsan orvosolni, segítünk őszintén leírni, a kompenzáló kontrollokkal együtt.

A jobb válaszok általában jobb feltételeket jelentenek. Ennél is fontosabb, hogy olyan fedezetet jelentenek, amely akkor is működik, amikor szüksége van rá.

Közeleg a megújítás? Tervezzen egy hívást, és küldje el nekünk a kérdőívet. Elmondjuk, mely válaszok jelentenek jelenleg problémát.

Olvasson tovább

• A 3-2-1 biztonsági mentési szabály magyarázata
• Mi történik az adataival, amikor egy alkalmazott távozik?
• Felügyelt IT-szolgáltatások az EvolvingDesknél

További olvasmányok: az NCSC útmutatója a kiberbiztosításról és a CISA kiberbiztonsági teljesítménycéljai.