Riadenie zraniteľností a záplat: proces, ktorý funguje aj počas dovoleniek
Väčšina úspešných kybernetických útokov nezačína sofistikovaným prelomením ochrany. Útočníci často využívajú známe a dlhodobo neopravované zraniteľnosti. O to dôležitejšie je mať v organizácii nastavený proces, ktorý umožní zraniteľnosti včas identifikovať, vyhodnotiť, primerane riešiť a preukázateľne riadiť.
Zraniteľnosti sú bežnou súčasťou prevádzky
Každý informačný systém má zraniteľnosti. Operačné systémy, aplikácie, databázy aj sieťové prvky sa priebežne menia a spolu s tým vznikajú aj nové slabiny. Samotná existencia zraniteľnosti preto ešte neznamená zlyhanie organizácie.
Problém nastáva vtedy, keď organizácia nevie, že zraniteľnosť existuje, nevie, ktorých systémov sa týka, alebo nevie určiť, ako a kedy ju bude riešiť. Práve preto musí byť riadenie zraniteľností súčasťou bežného riadenia prevádzky a bezpečnosti, nie len jednorazovou reakciou na incident alebo upozornenie dodávateľa.
Cieľom nie je opraviť všetko okamžite, ale mať nastavený funkčný a dlhodobo udržateľný proces.
Základom je prehľad o systémoch a verziách
Bez prehľadu o tom, aké aktíva organizácia prevádzkuje a v akých verziách, nemožno riadiť zraniteľnosti spoľahlivo. Ak organizácia nevie, kde sa konkrétna verzia softvéru alebo zariadenia používa, nevie ani posúdiť, či sa jej zistená zraniteľnosť reálne týka a aký môže mať dopad.
Riadenie zraniteľností preto musí byť prepojené s evidenciou aktív, evidenciou verzií a s určením zodpovednosti za jednotlivé systémy. Len na základe týchto informácií možno prijímať vecné a obhájiteľné rozhodnutia.
Nie všetko je rovnako kritické
Jednou z častých chýb v praxi je snaha riešiť všetky zraniteľnosti rovnako. Takýto prístup vedie k preťaženiu tímov, k strate priorít a napokon aj k tomu, že sa pozornosť odkloní od najdôležitejších rizík.
Rozhodujúce je vedieť rozlíšiť, ktoré zraniteľnosti si vyžadujú bezodkladnú reakciu, ktoré treba riešiť v krátkom čase a ktoré možno zaradiť do bežného aktualizačného cyklu. Pri určovaní priority nestačí vychádzať len z technického skóre. Dôležitý je aj význam systému, jeho vplyv na poskytované služby, miera vystavenia voči útoku a existencia kompenzačných opatrení.
V praxi totiž nemusí byť najväčším rizikom vždy tá zraniteľnosť, ktorá má najvyššie technické hodnotenie. Rozhodujúci je jej reálny dopad na organizáciu.
Záplatovanie nesmie byť improvizácia
Záplatovanie často nezlyháva preto, že by aktualizácie neexistovali. Zlyháva skôr vtedy, keď nie je jasné, kto o ich nasadení rozhoduje, v akom termíne sa aplikujú a ako sa celý proces eviduje.
Ak má byť záplatovanie účinné, musí mať jasné pravidlá, určené zodpovednosti a primerane nastavený režim. Len tak možno znižovať bezpečnostné riziká bez zbytočných prevádzkových výpadkov a bez odkladania rozhodnutí na neurčito. Dobre nastavený proces zároveň znižuje závislosť od jednotlivcov a pomáha udržať kontinuitu aj v čase neprítomnosti kľúčových zamestnancov.
Keď záplatu nemožno nasadiť hneď
V praxi nie je vždy možné odstrániť zraniteľnosť okamžite. Dôvodom môže byť kritická prevádzka, starší systém, technologické obmedzenie alebo závislosť od dodávateľa. V takýchto situáciách je dôležité, aby organizácia nezostala pasívna.
Ak nemožno zraniteľnosť bezodkladne opraviť, je potrebné riadiť vzniknuté riziko. To znamená zdokumentovať výnimku, odôvodniť odklad, prijať primerané kompenzačné opatrenia a určiť termín opätovného prehodnotenia.
Nevyriešená zraniteľnosť bez rozhodnutia a bez evidencie predstavuje problém. Nevyriešená, ale riadne posúdená a zdokumentovaná zraniteľnosť predstavuje riadené riziko.
Dôkazná stopa chráni organizáciu aj vedenie
Riadenie zraniteľností nie je len technická téma. Je to aj oblasť, ktorú sledujú audítori, kontrolné orgány aj vedenie organizácie. Organizácia by preto mala vedieť preukázať, aké zraniteľnosti identifikovala, ako ich vyhodnotila, aké rozhodnutia prijala a aké opatrenia zaviedla.
Takáto evidencia je dôležitá pri audite, pri kontrole aj pri riešení bezpečnostného incidentu. Pomáha preukázať, že organizácia nekonala náhodne, ale na základe riadeného a zdokumentovaného postupu. Zároveň poskytuje vedeniu väčšiu istotu, že rozhodnutia v oblasti bezpečnosti sú podložené a obhájiteľné.
Menej stresu, viac istoty
Správne nastavené riadenie zraniteľností a záplat prináša viac než len technickú ochranu. Znižuje pravdepodobnosť úspešného útoku, zlepšuje plánovanie práce IT tímov, podporuje pripravenosť na audit a zvyšuje dôveru vo vnútorné riadenie organizácie.
Nejde o to, aby organizácia nemala žiadne slabiny. Ide o to, aby o nich vedela, rozumela ich významu, dokázala o nich rozhodovať a mala ich pod kontrolou. Práve v tom spočíva rozdiel medzi náhodnou reakciou a skutočne riadeným prístupom.
Zraniteľnosti a záplaty: sedem otázok pre vedenie organizácie
- Vieme, aké systémy a verzie v organizácii prevádzkujeme?
- Máme nastavený proces na identifikáciu zraniteľností, alebo reagujeme len ad hoc?
- Vieme rozlíšiť kritické zraniteľnosti od menej závažných podľa ich reálneho dopadu?
- Má záplatovanie jasné pravidlá, zodpovednosti a termíny?
- Sú výnimky zo záplatovania riadne zdokumentované a odôvodnené?
- Vieme pri audite alebo incidente preukázať prijaté rozhodnutia a opatrenia?
- Má vedenie organizácie istotu, že zraniteľnosti sú riadené a nie prehliadané?
