Kto gra na lewej obronie? Czyli dlaczego rejestr zasobów to pierwszy krok do panowania nad powierzchnią ataku

Ale jak to? Mamy regularnie wypełniać rejestry z wszystkim co mamy i to nie tylko oprogramowaniem czy infrastrukturą? Ludzie i procesy, a nawet licencje też? No way, przecież to niewykonalne. I bardzo kosztowne. Przecież ataki zdarzają się raz na X lat i zazwyczaj nie są groźne…

Jak do starcia z rywalem przygotowują się piłkarze? Analizują przeciwnika, jego ustawienie w meczach z innymi drużynami, opracowują strategię (ofensywną, defensywną, mieszaną), dostosowują trening fizyczny do „potrzeb” danego wydarzenia. Ale robią też coś jeszcze - drobiazgowo identyfikują, klasyfikują i kategoryzują dostępne zasoby. Nie zawsze po to, aby wygrać. Czasem chodzi o obronę punktów.

Ale co to ma wspólnego z cyberbezpieczeństwem i projektami AI? Okazuje się, że całkiem sporo, bo jak wspomniałem w felietonie o powierzchni ataku, poszukiwanie naszych słabszych punktów to element budowania naszej odporności. A czy różni się to istotnie od przygotowań do meczu piłkarskiego?

Szybka sprawa zanim przejdziemy dalej. Pamiętajcie o zapisaniu się do newslettera oraz o wizycie na cyberszlif (po kod dla beta testerów piszcie do mnie). I nie zawracam więcej głowy! Lecimy z tematem :)

To o czym będziemy rozmawiać, to szerokie zagadnienie zarządzania zasobami, które znajdziecie w:

✅ ustawie o krajowym systemie cyberbezpieczeństwa (art. 8 ust. 1 pkt 2 lit. m oraz pkt 3),

✅ rozporządzeniu w sprawie sztucznej inteligencji (art. 17 ust. 1 lit. l) - dla dostawców systemów wysokiego ryzyka),

✅ rozporządzeniu w sprawie operacyjnej odporności cyfrowej sektora finansowego (art. 8 i następne).

Powierzchnia ataku to wszystko to co może posłużyć atakującemu do obejścia naszych zabezpieczeń i zrealizowania celów, które rzadko pokrywają się z naszymi. Powierzchnią ataku może być infrastruktura, oprogramowanie, ale także ludzie i procesy, które mogą stać się „słabszym punktem”.

Opus 5.5

Przeciętnie na powierzchnię ataku dla średniej wielkości organizacji może liczyć kilkadziesiąt tysięcy lub więcej punktów, które można wykorzystać jako „wejście do organizacji”. Do tego zaliczamy także konta, które są lepiej lub gorzej zabezpieczone. Niemożliwe do zaopiekowania, prawda?

Prawda, i dlatego zarządzanie bezpieczeństwem informacji opiera się na:

✅ efektywnym zarządzaniu budżetem,

✅ zarządzaniu ryzykiem oraz

✅ kompromisach.

Nie jesteśmy w stanie wszystkim zając się w takim zakresie i z taką samą intensywnością - nasze zasoby są ograniczone i tyczy się to nie tylko mało elastycznego budżetu, ale także naszych ludzi, ich czasu i kompetencji.

A skoro mowa o zasobach… To właśnie zasoby - znajomość tego co mamy, gdzie to jest i jak wpływa to na nasz biznes jest kluczowa, aby zapewnić naszą zdolność do odpierania zagrożeń, ale także odpowiedniego zarządzania ryzykiem, np. w ramach systemów zarządzania AI - AI Governance i tym samym bardziej odpowiedzialnego podejścia do procesów biznesowych.

Agenci, którzy przygotowują wizyty najważniejszych głów państw drobiazgowo analizują otoczenie zanim wyrażą zgodę np. na przejazd kolumny prezydenckiej. Wiedzą, że np. nieodległy dach budynku może stanowić świetne miejsce dla strzelca wyborowego, a wąskie gardło może zachęcić potencjalnego terrorystę do zrealizowania ataku.

Jeżeli chcemy skutecznie (i efektywnie także) zarządzać powierzchnią ataku, to regularne i ciągłe identyfikowanie oraz klasyfikowanie zasobów powinno wejść nam w krew. Nie może to być coś co odbywa się raz, np. poprzez wypełnienie excela, ale stanowić proces, którego wszyscy się trzymamy. Czasem będzie on bardziej zautomatyzowany (np. poprzez CMDB, ITAM, czyli narzędzia wspierające), a czasem manualny, jeżeli np. nie mamy wystarczających zasobów, bądź nie uzasadnia tego skala naszej cyfrowej strony. Ale być musi.

Opus 5.5

Rejestr zasobów najczęściej jest utożsamiany albo z IT (rejestr aktywów), albo z działem gospodarki własnej (inwentarz organizacji), ale z perspektywy zarządzania bezpieczeństwem informacji i AI Governance to coś znacznie więcej. To źródło prawdy, swoisty „golden record”, czyli coś na czym opieramy naszą znajomość organizacji i jej potencjalnych słabych stron.

Taki rejestr:

✅ może zawierać zróżnicowaną liczbę informacji, które mają posłużyć do identyfikacji nie tylko samego zasobów, ale także jego lokalizacji i potencjalnych ryzyk,

✅ może mieć różnych właścicieli, jeżeli nie tworzymy jednego źródła prawdy, które przypisujemy do jednej funkcji, co może być karkołomnym i ryzykownym posunięciem przy braku automatyzacji,

✅ musi być aktualizowany na bieżąco, w sytuacji, w której zachodzi przesłanka do np. uznania, że pojawia się nowy punkt dostępu, choćby przez uruchomienie nowej funkcji w ramach oprogramowania SaaS.

Taki rejestr ma też taką zaletę, że pozwala szybciej identyfikować rozwiązania, które nie były autoryzowane przez służby informatyczne, czyli po prostu wyłapywać zjawisko „shadow IT / AI”. Oczywiście samo posiadanie rejestru nie jest tutaj wystarczające, ale jeżeli możemy wykrywać różne działania, to potem szybko jesteśmy w stanie sprawdzić czy przeszły one wcześniej właściwą ścieżkę.

Sam proces „inicjalnego” (pierwotnego) zbierania informacji o zasobach może być dość czasochłonny i może wymagać aktywnego udziału człowieka, który najlepiej wie (a przynajmniej powinien) co składa się na „całość”. Udział architektów, którzy odpowiadają za łączenie części składowych w jedną, spójną bazę jest tutaj również bardzo istotna.

Opus 5.5

Ale jak do tego podejść? Co wziąć pod uwagę i jak rzeczywiście zaaplikować zasadę proporcjonalności, bo przecież na wszystko nie będzie nas stać… Posłużę się tutaj zmodyfikowaną wersją „checklisty”, którą zaproponowali R. Eddings i MJ Kaufmann w swojej książce „Zarządzanie powierzchnią ataku w cyberbezpieczeństwie. Strategie i techniki ochrony zasobów cyfrowych”. Tak więc bierzemy pod uwagę:

✅ skalę i rodzaj prowadzonej przez nas działalności, a także dostępne zasoby, które możemy przeznaczyć na realizację tego „zadania”,

✅ w jaki sposób korzystamy z aktywów cyfrowych, w tym czy np. pracownicy korzystają z własnych urządzeń brzegowych,

✅ jakie produkty i usługi cyfrowe wykorzystujemy lub dostarczamy,

✅ czy możemy sobie pozwolić na automatyzację, czy też raczej pozostaje nam zabawa w manualne procesy,

✅ jaki rodzaj informacji jest u nas przetwarzany (ze względu na skalę ryzyka)?

To oczywiście moja interpretacja, a w rzeczywistości możemy taką listę istotnie rozszerzyć, aby lepiej poznać organizację. Wydaje się jednak, że to wystarczy nam, aby lepiej dobrać konkretne rozwiązanie, a także właściwie ulokować odpowiedzialność.

Tyle dzisiaj, w kolejnym felietonie z serii poruszymy - prawdopodobnie - kwestię klasyfikacji informacji, ale to jeszcze zobaczymy co przyniosą kolejne dni. Do zobaczenia!