Vari-IT: muutke avastused vastutavaks omandiks

Meeskond võtab tööriista kasutusele, sest see lahendab tegeliku probleemi. Turvaprobleem algab siis, kui organisatsiooni inventuur, lepingud ja juurdepääsuprotsessid seda kasutust ei kajasta. Rakendus võib muutuda äriprotsessi jaoks hädavajalikuks enne, kui keegi on otsustanud, kes seda haldab, milliseid andmeid see tohib hoida või kuidas see kasutusest kõrvaldada.

Vari-IT hõlmab teenuseid, rakendusi ja seadmeid, mida kasutatakse väljaspool kehtestatud heakskiitmis- või haldusprotsesse. Avastamine peaks viima proportsionaalse otsuse ja nimelise omanikuni, mitte lihtsalt kahtlaste domeenide pikema loeteluni.

Tehnoloogiajuhi jaoks on eesmärk tegevuslik: mõista sõltuvust, ohjeldada vastuvõetamatut riski ja anda ettevõttele toimiv tee hallatud tehnoloogia juurde.

Määratlege piir enne signaalide kogumist

Vari-IT on juhtimisseisund, mitte olemuselt ebaturvaliste toodete kategooria. Mainekas koostööteenus võib olla haldamata, kui töötajad loovad isiklikke tööruume. Isiklik sülearvuti võib olla õiguspärane kontrollitud „too oma seade“ korralduse raames. Seevastu võib ostetud teenus jääda tõhusast haldusest välja, kui keegi ei kontrolli selle administraatoreid ega lahkumisprotsessi.

Vaadake kaugemale tundmatutest tarkvaranimedest. Asjakohased näited on:

• Isiklik pilvesalvestus, sõnumikontod ja paroolihaldurid, mida kasutatakse ettevõtte teabe jaoks.
• Brauserilaiendid, tehisintellektiga koosolekuassistendid ja transkribeerimisteenused, millel on juurdepääs ettevõtte sisule.
• Kolmandate osapoolte rakendused, mis on OAuthi kaudu ühendatud e-posti, kalendrite, hoidlate või failisalvestusega.
• Haldamata sülearvutid, eemaldatavad andmekandjad, võrguseadmed ja kaugjuurdepääsu utiliidid.
• Meeskondadele kuuluvad pilvekontod, madala koodiga rakendused ja automatiseerimisskriptid, mis toetavad tootmistöövooge.

Ka heakskiidetud rakendustel võivad tekkida haldamata kasutusviisid. Uus integratsioon, avaliku jagamise seade või tehisintellekti funktsioon võib muuta algset riskihinnangut, ilma et toote nimi muutuks.

Alustage ühest äriprotsessist või osakonnast. Määratlege, millised kontod, lõppseadmed, võrgud, tarnijad ja andmevood kuuluvad esimesse ülevaatusse. See muudab leiud tegutsemiskõlblikuks ja paljastab meetodi puudujäägid enne kogu organisatsiooni hõlmavat kogumist.

Koostage pilt mitmest allikast

Ükski avastamisallikas ei näita kõiki tööriistu. Identiteedikirjetest jäävad välja kohalikud kontod; kulukirjetest jäävad välja tasuta teenused; võrgulogid võivad näidata sihtkohta, selgitamata, milline teave sinna läks.

Kasutage üksteist täiendavaid allikaid ja säilitage iga leiu päritolu.

Selgitage, miks avastamine toimub, mida kogutakse, kes saab seda vaadata ja kui kaua seda säilitatakse. Järgige kohaldatavaid privaatsus- ja tööõiguse reegleid. Eelistage metaandmeid, mis on piisavad teenuse ja selle juurdepääsu tuvastamiseks, sõnumite sisu, salvestiste või isikliku sirvimise sisu kogumisele. Piirake juurdepääsu ka avastamiskirjetele endile.

Esitage meeskondadele praktilisi küsimusi: kus te jagate suuri faile, salvestate koosolekuid, tõlgite dokumente, kogute klientide tagasisidet või automatiseerite korduvaid ülesandeid? Küsige, millised tööriistad katkestaksid töö, kui need homme eemaldataks. Need küsimused paljastavad sõltuvused, mida domeenide loetelu ei suuda.

Normaliseerige leiud enne nende loendamist. Tarnijal võib olla mitu domeeni, toodet, tööruumi ja arveldusüksust. Eraldage toote identiteet rentniku identiteedist ning eristage tõendeid paigaldamise, volitamise, sisselogimise ja kinnitatud ärilise kasutuse kohta. Salvestage ebakindlad leiud kandidaatidena, selle asemel et kuulutada iga vaadeldud sihtkoht volitamata rakenduseks.

Muutke iga leid omandikirjeks

Kasulik register kirjeldab kasutust, mitte ainult tarnijat. Kahel sama toodet kasutaval meeskonnal võivad olla erinevad andmed, juurdepääs, lepingud ja tagajärjed.

Salvestage iga kinnitatud kasutuse kohta:

• Toode, tarnija, rentniku või tööruumi identifikaator ja avastamisallikas.
• Äriline eesmärk, sõltuv protsess, kasutajaskond ja kriitilisus.
• Andmekategooriad, andmeallikad, sihtkohad, jagamisseaded ja säilitamine.
• Kontotüübid, administraatorid, autentimine, integratsioonid ja antud õigused.
• Lepingu omanik, tellimuspakett, uuendamise üksikasjad ja asjakohane töötlemiskorraldus.
• Äriline omanik, tehniline haldaja, ülevaataja, kavandatud käsitlus ja ülevaatuse kuupäev.

Äriline omanik põhjendab vajadust ja koordineerib vastuvõetavat kasutust. Tehniline haldaja haldab konfiguratsiooni, juurdepääsu, integratsioone ja kasutusest kõrvaldamist. Turvalisus hindab riski; hanke- ja privaatsusspetsialistid vaatavad üle oma pädevusse kuuluvad küsimused. Väikeses organisatsioonis võivad need kohustused olla ühel inimesel, kuid need peaksid jääma selgesõnaliseks.

Kui keegi teenust omama ei hakka, ärge liigitage seda heakskiidetuks pelgalt seetõttu, et kasutajad selle meeldivaks peavad. Määrake ajutine vastutav toetaja ja otsuse tähtaeg. Salvestage, mis jääb teadmata ja kes selle lahendab.

Järgige lisaks rakendusele ka andmeid. Tööriist võib vastu võtta üleslaadimisi, sünkroonida terveid kaustu, luua transkriptsioone või saata sisu teisele teenuseosutajale. Meie andmete avastamise juhend selgitab, kuidas neid seoseid jälgida.

Kontrollige OAuthi juurdepääsu rakenduse kasutusest eraldi

OAuth võimaldab rakendusel saada volitatud juurdepääsu ilma kasutaja parooli saamata. See on kasulik, kuid volitus võib olla laiem või pikaajalisem, kui ülesanne nõuab. Rakendusse sisselogimine ja sellele ettevõtte ressurssidele juurdepääsu andmine on erinevad sündmused.

Kontrollige iga ühendatud rakenduse puhul võimaluse korral väljaandja või kliendi identiteeti, õiguse andnud kasutajat, ressurssi, ulatusi, nõusoleku liiki ja andmise kuupäeva. Eristage kasutaja nimel kasutatavat delegeeritud juurdepääsu rakenduse õigustest, mis võivad toimida ilma interaktiivse kasutajata. Uurige värskendusloa käitumist ja seda, kas volitus võib jätkuda ka pärast seda, kui kasutaja on tööriista aktiivse kasutamise lõpetanud.

Seadke prioriteediks õigused, mis lubavad postkasti lugemist, failide muutmist, kataloogi juurdepääsu, hoidlate muutmist või laia juurdepääsu üle kasutajate. Kontrollige, kas küsitud ulatused vastavad kirjeldatud eesmärgile. Kalendrijuurdepääsu küsiv ajaplaneerimise utiliit tekitab teistsuguse küsimuse kui utiliit, mis küsib postkasti sisu ja piiramatut juurdepääsu failidele.

Praktilise meetmena piirake suure mõjuga nõusolekud administraatoritele või ülevaatuse töövoole, kui platvorm seda toetab. Vaadake üle uued antud õigused ja olemasolevate rakenduste muudatused, mitte ainult uute rakenduste registreerimised.

Brauserilaiendi eemaldamine või kasutajale suunatud integratsiooni lahtiühendamine ei pruugi eemaldada kõiki õigusi, lubasid ega väliseid andmekoopiaid. Kontrollige tühistamist ressursiplatvormis ja tarnija kontol. Krüpteeritud edastus ei tõenda, et integratsioon on turvaline, ega muuda igasugust kontrollimist võimatuks; nähtavus sõltub olemasolevatest meetmetest ja telemeetriast.

Prioriseerige riski ja ärilise sõltuvuse järgi

Kasutage esmast hindamist, et otsustada, mis vajab esmajärjekorras tähelepanu. Vältige iga heaks kiitmata tööriista käsitlemist võrdselt kiireloomulisena.

Hinnake asjaomase teabe tundlikkust ja mahtu, juurdepääsu ulatust, välist jagamist, seadme seisundit, halduskontrolli ja kompromiteerimise tõendeid. Arvestage ka käideldavust: dokumenteerimata automatiseering võib olla ainus tee tellimuste saatmiseks tarnijale.

Avalik disainiviidete tööriist, mida kasutatakse ilma üleslaadimisteta, võib vajada vaid kerget registreerimist. Tehisintellektiga koosolekuassistent, millel on kalendrijuurdepääs, salvestised ja kliendiarutelud, vajab õiguste, salvestamise, säilitamise ja edasise töötlemise põhjalikumat ülevaatust. Haldamata kaugjuurdepääsuteenus tootmissüsteemis nõuab kiiret ohjeldamist ja uurimist.

Salvestage konkreetne riskistsenaarium, mitte „vari-IT risk“. Näiteks: „Endisel töötajal säilib tööruumi haldusõigus ja ta saab eksportida kliendipakkumisi.“ See väide osutab omanikule, meetme muudatusele ja testile.

Avastamine ei ole automaatselt rikkumise tõend. Kui leiud viitavad volitamata avalikustamisele või kompromiteerimisele, liikuge intsidendiprotsessi, säilitades asjakohased logid. Kui see puudutab isikuandmeid, sõltub teavitamise hindamine asjaoludest ja organisatsioonilisest rollist GDPR-i artiklite 33 ja 34 alusel, mitte lihtsalt sellest, kas tööriist oli heaks kiidetud.

Valige käsitlus, mis säilitab ärivajaduse

Iga otsus vajab omanikku, põhjendust, lõpetamise kriteeriume ja järeltegevust. Praktikas on kasulikud neli käsitlust.

Kiitke heaks ja võtke haldusse

Heakskiit peaks kirjeldama lubatud kasutust, mitte andma tootele piiramatut luba. Kehtestage ettevõtte kontrollitav haldus, sobiv autentimine, vähimate õigustega juurdepääs, liituja-ümberpaigutatava-lahkuja käsitlemine ja toetatud konfiguratsioon. Kontrollige logimist, jagamispiiranguid, taastamis- või ekspordivõimalusi ja säilitamist kasutusjuhu seisukohast.

Vaadake asjakohasel juhul üle tarnija ja leping. Kui tarnija töötleb isikuandmeid organisatsiooni nimel, hinnake GDPR-i artikli 28 kohaselt nõutavat volitatud töötleja korraldust. Rahvusvahelise edastamise korraldus nõuab eraldi hindamist; valitud majutuspiirkond ei lahenda kõiki küsimusi. Artikli 32 turvameetmed on riskipõhised, mitte üldine kontroll-loend, mida saab täita ühe seadega.

Säilitage heakskiidu tõendid: konfiguratsiooni ekspordid, administraatorite määramised, juurdepääsutestid, lepingu ülevaatus ja aktsepteeritud jääkrisk.

Asendage sobiva alternatiiviga

Asendamine toimib ainult siis, kui alternatiiv vastab tegelikule vajadusele. Testige failipiiranguid, välist koostööd, ligipääsetavust, automatiseerimist ja nõutavaid integratsioone enne migreerimise kohustuslikuks tegemist.

Määratlege migreerimise järjestus, võrrelge kirjeid ja kinnitage, et kasutajad suudavad töövoo läbida. Säilitage nõutavad kirjed ja asjakohased metaandmed. Kontrollige pärast üleminekut jagatud linke ja integratsioone ning sulgege seejärel vana rentnik, selle asemel et lihtsalt maksmine lõpetada.

Eemaldage põhjendamatu kasutus

Tööriista puhul, millel puudub põhjendatud eesmärk või mille risk on vastuvõetamatu, peatage uus kasutus ja kavandage eemaldamine. Tühistage õigused ja load, eemaldage laiendid või tarkvara, keelake kontod, sulgege jagamislingid ja tegelege juba eksporditud andmetega. Vahetage paljastatud mandaadid, kui leiud seda õigustavad.

Konto kustutamine ei tõenda, et kogu tarnija hoitav teave on kadunud. Hankige olemasolevad kustutamise tõendid ja dokumenteerige lepinguline säilitamine, varukoopiad või muud piirangud. Säilitage teave, mille suhtes kehtib nõutav säilitamine või õiguslik säilitamiskohustus.

Lubage kontrollitud ajutine erand

Ärikriitiline tööriist võib vajada üleminekuperioodi. Täpsustage lubatud kasutajad ja andmed, kompenseerivad meetmed, vastutav riski aktsepteerija, aegumine ja väljumistingimused. Piirake võimaluse korral edasist laienemist. Alaline „ajutine“ erand ilma ülevaatuseta on lahendamata juhtimispuudujääk.

Näide: tehisintellektiga koosolekuassistent

Vaatleme illustreerivat organisatsiooni, mis vaatab üle oma müügiprotsessi. Oletame, et kaheksa töötajat kasutavad isiklike kontode kaudu tasuta koosolekuassistenti. Intervjuud kinnitavad, et see salvestab kliendikõnesid; identiteedi eksport näitab kalendriõigusi. Hankekirje puudub ja müügijuht tugineb üleandmistel transkriptsioonidele.

Esimene otsus on peatada täiendavad salvestised ja kasutajad, kuni selgitatakse, mida salvestati. Turvalisus salvestab õigused ja kontode identiteedid. Juht tuvastab mõjutatud koosolekud ja tegevusvajaduse. Privaatsus ja hanked vaatavad üle töötlemiskorralduse, osalejatele antava teabe, tarnija tingimused, säilitamise ja asjakohase edastamiskorralduse. Meeskond kontrollib ka, kas salvestised või transkriptsioonid on avalikult kättesaadavad ja kas teenus kasutab sisu muudel eesmärkidel.

Oletame, et ülevaatus tuvastab, et tasuta pakett ei suuda pakkuda ettevõtte kontrollitavat haldust ega nõutavaid säilitamisseadeid. Otsus on asendamine, mitte üleandmisprotsessist loobumine. Müük testib heakskiidetud alternatiivi sobivate juurdepääsu- ja salvestusmeetmetega, samal ajal kui tehniline haldaja tühistab vanad kalendriõigused ja migreerib lubatud kirjed.

Sulgemise tõendid hõlmavad mõjutatud kontode loetelu, asendaja konfiguratsiooni, õiguste tühistamise tulemusi, vanade jagamislinkide kontrolle ja kättesaadavaid kustutamiskinnitusi. Iga lahendamata varukoopiate säilitamise piirang jääb salvestatuks. Müügijuht vastutab vastuvõetava kasutuse eest; IT vastutab konfiguratsiooni ja lahkumisprotsessi eest. Ülevaatus lõpeb hallatud protsessiga, mitte lihtsalt blokeeritud rakendusega.

Vältige järgmist pimeala kasutatava vastuvõtuprotsessiga

Meeskonnad võtavad tööriistu sageli kasutusele, et ületada aeglaseid heakskiite, puuduvaid funktsioone või olemasolevate süsteemide hõõrdumist. Avastamine peaks need põhjused tuvastama. Vastasel juhul viib eemaldamine sama tegevuse lihtsalt kuhugi vähem nähtavasse kohta.

Muutke taotluste esitamine lihtsaks. Küsige eesmärki, kasutajaid, andmekategooriaid, integratsioone, kiireloomulisust ja ärilist omanikku. Avaldage kriteeriumid, mis käivitavad põhjalikuma ülevaatuse, ja pakkuge praktilist teed madala riskiga katsetusteks. Andke taotlejatele olek ja oodatav otsustuspunkt; ärge jätke taotlusi selgituseta järjekorda.

Õpetage konkreetset käitumist: küsige enne teenuse ühendamist ettevõtte e-postiga, vältige kliendiandmete üleslaadimist üle vaatamata tööriista ja teatage olemasolevast tööruumist enne selle uuendamist. Andke meeskondadele avalikustamise tee, mis keskendub puudujääkide parandamisele, mitte heas usus teatamise karistamisele.

Jätkake muudatuste jälgimist ka pärast heakskiitu. Vaadake üle uued OAuthi õigused, haldusmuudatused, väline jagamine, äsja sisse lülitatud tehisintellekti funktsioonid ja laienemine tundlikumatele andmetele. Praktilise soovitusena kombineerige sündmuspõhised kontrollid omaniku perioodilise kinnitusega. Ülevaatuse sagedus peaks kajastama riski ja ärilist kriitilisust, mitte üldist intervalli.

Muutke tõendid ISMS-i jaoks kasulikuks

ISO/IEC 27001 käsitleb kindlaksmääratud ulatusega infoturbe juhtimissüsteemi. Vari-IT leiud võivad toetada varahaldust, tarnijate ülevaatust, juurdepääsukontrolli, riskihindamist ja käsitlust. Meetmete valik jääb riskipõhiseks; rakenduste loetelu ei ole ISMS ega tõend, et meetmed toimivad.

Hoidke avastamise ulatus, hindamine, käsitlusotsus, rakendamise tõendid ja tõhususe kontroll lahus. Suletud pilet märkega „eemaldatud“ on nõrgem tõend kui tühistatud juurdepääs koos testitud tulemusega. Riski aktsepteerimine peaks tuvastama, kellel oli volitus seda aktsepteerida ja millal see tuleb uuesti läbi vaadata. Sertifitseerimine iseenesest ei tõenda vastavust GDPR-ile.

Secani pakub seotud tööruumi süsteemide ja teenuste modelleerimiseks, tõendite sidumiseks nõuete ja otsustega ning omanike ja ülevaatusülesannete määramiseks. Hoidke avastamine ja jõustamine asjakohastes tegevussüsteemides ning tooge seejärel asjakohased ekspordid, ülevaatused ja heakskiidud sellesse vastavuskonteksti. Käsitlege tehisintellekti abil tehtud soovitusi mustanditena, mis vajavad inimese ülevaatust, säilitades allikate jälgitavuse.

Valige järgmiseks ülevaatuseks üks äriprotsess ja võrrelge selle identiteedi-, kulu-, lõppseadme- ja intervjuuleide. Lõpetage iga kinnitatud leid nimelise omaniku, käsitluse, tähtaja ja sulgemistestiga. Kasulikud mõõdikud on omanikega kaetus, hilinenud otsused, aeguvad erandid ja lõpetatud juurdepääsu eemaldamise kontrollid, mitte ainult avastatud tööriistade arv.