Ēnu IT: pārvērtiet atklāšanu skaidrā atbildībā

Komanda ievieš rīku, jo tas atrisina reālu problēmu. Drošības problēma sākas tad, kad organizācijas uzskaite, līgumi un piekļuves procesi šo lietojumu neatspoguļo. Lietotne var kļūt neaizstājama biznesa procesā, pirms kāds ir izlēmis, kas to administrē, kādus datus tajā drīkst glabāt vai kā to izbeigt.

Ēnu IT ietver pakalpojumus, lietotnes un ierīces, ko izmanto ārpus noteiktajiem apstiprināšanas vai pārvaldības procesiem. Atklāšanai būtu jānoved pie samērīga lēmuma un vārdā nosaukta īpašnieka, nevis vienkārši pie garāka aizdomīgu domēnu saraksta.

Tehnoloģiju direktoram mērķis ir darbības: izprast atkarību, ierobežot nepieņemamu apdraudējumu un dot uzņēmumam praktiski izmantojamu ceļu uz pārvaldītām tehnoloģijām.

Definējiet robežu, pirms vācat signālus

Ēnu IT ir pārvaldības stāvoklis, nevis pēc būtības nedrošu produktu kategorija. Uzticams sadarbības pakalpojums var būt nepārvaldīts, ja darbinieki izveido personīgas darbvietas. Personīgais klēpjdators var būt likumīgs saskaņā ar kontrolētu kārtību par personīgo ierīču izmantošanu darbā. Un otrādi: iegādāts pakalpojums joprojām var būt ārpus efektīvas pārvaldības, ja neviens nekontrolē tā administratorus vai piekļuves izbeigšanu.

Skatieties tālāk par nepazīstamiem programmatūras nosaukumiem. Būtiski piemēri ietver:

• Personīgo mākoņkrātuvi, ziņapmaiņas kontus un paroļu pārvaldniekus, ko izmanto uzņēmuma informācijai.
• Pārlūkprogrammu paplašinājumus, MI sanāksmju asistentus un transkripcijas pakalpojumus ar piekļuvi uzņēmuma saturam.
• Trešo pušu lietotnes, kas caur OAuth savienotas ar e-pastu, kalendāriem, repozitorijiem vai failu krātuvi.
• Nepārvaldītus klēpjdatorus, noņemamus datu nesējus, tīkla ierīces un attālinātās piekļuves utilītas.
• Komandu pārziņā esošus mākoņkontus, zema koda lietotnes un automatizācijas skriptus, kas atbalsta ražošanas darba plūsmas.

Arī apstiprinātām lietotnēm var rasties nepārvaldīti lietojumi. Jauna integrācija, publiskas kopīgošanas iestatījums vai MI funkcija var mainīt sākotnējo riska novērtējumu, nemainot produkta nosaukumu.

Sāciet ar vienu biznesa procesu vai nodaļu. Definējiet, kuri konti, galiekārtas, tīkli, piegādātāji un datu plūsmas ietilpst pirmajā pārskatīšanā. Tas padara konstatējumus izmantojamus rīcībai un atklāj metodes nepilnības, pirms sākas vākšana visā organizācijā.

Veidojiet ainu no vairākiem avotiem

Neviens atsevišķs atklāšanas avots neparāda visus rīkus. Identitātes ierakstos nav redzami lokālie konti; izdevumu ierakstos nav redzami bezmaksas pakalpojumi; tīkla žurnāli var parādīt galamērķi, nepaskaidrojot, kāda informācija tur nonāca.

Izmantojiet savstarpēji papildinošus avotus un saglabājiet katra konstatējuma izcelsmi.

Izskaidrojiet, kāpēc notiek atklāšana, kas tiks vākts, kas to var pārbaudīt un cik ilgi tas tiks glabāts. Ievērojiet piemērojamos privātuma un darba tiesību noteikumus. Dodiet priekšroku metadatiem, kas ir pietiekami, lai identificētu pakalpojumu un tā piekļuvi, nevis ziņojumu saturam, ierakstiem vai personīgās pārlūkošanas saturam. Ierobežojiet piekļuvi arī pašiem atklāšanas ierakstiem.

Uzdodiet komandām praktiskus jautājumus: kur jūs kopīgojat lielus failus, ierakstāt sanāksmes, tulkojat dokumentus, vācat klientu atsauksmes vai automatizējat atkārtotus uzdevumus? Pajautājiet, kuri rīki pārtrauktu darbu, ja tos noņemtu rīt. Šie jautājumi atklāj atkarības, ko domēnu saraksts nevar atklāt.

Normalizējiet konstatējumus, pirms tos skaitāt. Piegādātājam var būt vairāki domēni, produkti, darbvietas un norēķinu vienības. Nošķiriet produkta identitāti no nomnieka identitātes un nošķiriet instalēšanas, pilnvarošanas, pieteikšanās un apstiprināta biznesa lietojuma pierādījumus. Reģistrējiet neskaidrus konstatējumus kā kandidātus, nevis pasludiniet katru novēroto galamērķi par neatļautu lietotni.

Pārvērtiet katru konstatējumu atbildības ierakstā

Noderīgs reģistrs apraksta lietojumu, ne tikai piegādātāju. Divām komandām, kas izmanto vienu un to pašu produktu, var būt atšķirīgi dati, piekļuve, līgumi un sekas.

Katram apstiprinātajam lietojumam reģistrējiet:

• Produktu, piegādātāju, nomnieka vai darbvietas identifikatoru un atklāšanas avotu.
• Biznesa nolūku, atkarīgo procesu, lietotāju kopu un kritiskumu.
• Datu kategorijas, datu avotus, galamērķus, kopīgošanas iestatījumus un glabāšanu.
• Kontu veidus, administratorus, autentifikāciju, integrācijas un piešķirtās atļaujas.
• Līguma turētāju, abonēšanas plānu, atjaunošanas informāciju un attiecīgo apstrādes kārtību.
• Biznesa īpašnieku, tehnisko pārzini, pārskatītāju, ierosināto apstrādi un pārskatīšanas datumu.

Biznesa īpašnieks pamato vajadzību un koordinē pieņemamu lietojumu. Tehniskais pārzinis pārvalda konfigurāciju, piekļuvi, integrācijas un lietošanas izbeigšanu. Drošības komanda novērtē risku; iepirkumu un privātuma speciālisti pārskata jautājumus savas kompetences ietvaros. Mazā organizācijā šie pienākumi var būt vienai personai, taču tiem jāpaliek skaidri noteiktiem.

Ja pakalpojumam nebūs neviena īpašnieka, neklasificējiet to kā apstiprinātu tikai tāpēc, ka lietotājiem tas patīk. Norīkojiet pagaidu atbildīgo sponsoru un lēmuma termiņu. Reģistrējiet, kas joprojām nav zināms un kas to noskaidros.

Sekojiet datiem, ne tikai lietotnei. Rīks var saņemt augšupielādes, sinhronizēt veselas mapes, izveidot transkripcijas vai nosūtīt saturu citam pakalpojumu sniedzējam. Mūsu datu atklāšanas ceļvedis izskaidro, kā izsekot šīm attiecībām.

Pārbaudiet OAuth piekļuvi atsevišķi no lietotnes lietojuma

OAuth ļauj lietotnei iegūt pilnvarotu piekļuvi, nesaņemot lietotāja paroli. Tas ir noderīgi, taču pilnvarojums var būt plašāks vai ilgāks, nekā uzdevumam nepieciešams. Pieteikšanās lietotnē un piekļuves piešķiršana tai uzņēmuma resursiem ir dažādi notikumi.

Katrai savienotajai lietotnei, ja iespējams, pārbaudiet izdevēja vai klienta identitāti, lietotāju, kas piešķīra piekļuvi, resursu, tvērumus, piekrišanas veidu un piešķiršanas datumu. Nošķiriet deleģētu piekļuvi, ko izmanto lietotāja vārdā, no lietotnes atļaujām, kas var darboties bez interaktīva lietotāja. Izvērtējiet atsvaidzes marķieru darbību un to, vai pilnvarojums var turpināties pēc tam, kad lietotājs vairs aktīvi neizmanto rīku.

Piešķiriet prioritāti piešķīrumiem, kas ļauj lasīt pastkastes, mainīt failus, piekļūt direktorijam, veikt izmaiņas repozitorijos vai plaši piekļūt vairāku lietotāju datiem. Pārbaudiet, vai pieprasītie tvērumi atbilst norādītajam nolūkam. Plānošanas utilīta, kas pieprasa piekļuvi kalendāram, rada citu jautājumu nekā utilīta, kas pieprasa pastkastes saturu un neierobežotu piekļuvi failiem.

Kā praktisku kontroli, ja platforma to atbalsta, ierobežojiet augstas ietekmes piekrišanu ar administratoriem vai pārskatīšanas darba plūsmu. Pārskatiet jaunpiešķirtās atļaujas un esošo lietotņu izmaiņas, ne tikai jaunu lietotņu reģistrācijas.

Pārlūkprogrammas paplašinājuma noņemšana vai lietotājam redzamas integrācijas atvienošana var nenoņemt katru piešķīrumu, marķieri vai ārēju datu kopiju. Pārbaudiet atsaukšanu resursa platformā un piegādātāja kontā. Šifrēta pārsūtīšana nepierāda, ka integrācija ir droša, un tā arī nepadara jebkādu pārbaudi neiespējamu; pārskatāmība ir atkarīga no pieejamajām kontrolēm un telemetrijas.

Prioritizējiet pēc apdraudējuma un biznesa atkarības

Izmantojiet šķirošanu, lai izlemtu, kam vispirms jāpievērš uzmanība. Neuzskatiet katru neapstiprinātu rīku par vienlīdz steidzamu.

Novērtējiet iesaistītās informācijas sensitivitāti un apjomu, piekļuves plašumu, ārēju kopīgošanu, ierīču stāvokli, administratīvo kontroli un kompromitēšanas pierādījumus. Ņemiet vērā arī pieejamību: nedokumentēta automatizācija var būt vienīgais ceļš pasūtījumu nosūtīšanai piegādātājam.

Publiskam dizaina atsauču rīkam, ko izmanto bez augšupielādēm, var pietikt ar vienkāršu reģistrāciju. MI sanāksmju asistentam ar piekļuvi kalendāram, ierakstiem un sarunām ar klientiem nepieciešama padziļināta atļauju, glabāšanas, glabāšanas laika un turpmākās apstrādes pārskatīšana. Nepārvaldīts attālinātās piekļuves pakalpojums ražošanas sistēmā prasa tūlītēju ierobežošanu un izmeklēšanu.

Reģistrējiet konkrētu riska scenāriju, nevis „ēnu IT risku”. Piemēram: „Bijušajam darbiniekam saglabājas darbvietas administrēšanas tiesības, un viņš var eksportēt klientu piedāvājumus.” Šāds apgalvojums norāda uz īpašnieku, kontroles izmaiņām un testu.

Atklāšana automātiski nav pierādījums drošības pārkāpumam. Ja konstatējumi liecina par neatļautu izpaušanu vai kompromitēšanu, pārejiet uz incidentu procesu, saglabājot attiecīgos žurnālus. Ja ir iesaistīti personas dati, paziņošanas novērtējums ir atkarīgs no apstākļiem un organizatoriskās lomas saskaņā ar VDAR 33. un 34. pantu, nevis vienkārši no tā, vai rīks bija apstiprināts.

Izvēlieties apstrādi, kas saglabā biznesa vajadzību

Katram lēmumam nepieciešams īpašnieks, pamatojums, pabeigšanas kritēriji un turpmākā rīcība. Praksē noderīgi ir četri apstrādes veidi.

Apstipriniet un iekļaujiet pārvaldībā

Apstiprinājumā būtu jāapraksta atļautais lietojums, nevis jāpiešķir neierobežota atļauja produktam. Nodrošiniet uzņēmuma kontrolētu administrēšanu, piemērotu autentifikāciju, mazāko privilēģiju piekļuvi, pieņemšanas, pārcelšanas un aiziešanas pārvaldību un atbalstītu konfigurāciju. Pārbaudiet žurnālēšanu, kopīgošanas ierobežojumus, atjaunošanas vai eksporta iespējas un glabāšanu attiecībā pret lietošanas gadījumu.

Attiecīgā gadījumā pārskatiet piegādātāju un līgumu. Ja piegādātājs apstrādā personas datus organizācijas vārdā, novērtējiet nepieciešamo apstrādātāja kārtību saskaņā ar VDAR 28. pantu. Starptautiskas nosūtīšanas kārtībai nepieciešams atsevišķs novērtējums; izvēlētais mitināšanas reģions neatrisina visus jautājumus. 32. panta drošības pasākumi ir balstīti uz riskiem, nevis universāls kontrolsaraksts, ko izpilda viens iestatījums.

Saglabājiet apstiprinājuma pierādījumus: konfigurācijas eksportus, administratoru piešķīrumus, piekļuves testus, līguma pārskatīšanu un pieņemto atlikušo risku.

Aizstājiet ar piemērotu alternatīvu

Aizstāšana darbojas tikai tad, ja alternatīva atbilst faktiskajai vajadzībai. Pirms migrācijas noteikšanas par obligātu testējiet failu ierobežojumus, ārējo sadarbību, piekļūstamību, automatizāciju un nepieciešamās integrācijas.

Definējiet migrācijas secību, saskaņojiet ierakstus un pārliecinieties, ka lietotāji var pabeigt darba plūsmu. Saglabājiet nepieciešamos ierakstus un attiecīgos metadatus. Pēc pārslēgšanās pārbaudiet koplietotās saites un integrācijas, pēc tam slēdziet veco nomnieku, nevis tikai pārtrauciet maksājumus.

Noņemiet nepamatotu lietojumu

Rīkam bez pamatota nolūka vai ar nepieņemamu apdraudējumu apturiet jaunu lietojumu un plānojiet noņemšanu. Atsauciet piešķīrumus un marķierus, noņemiet paplašinājumus vai programmatūru, atspējojiet kontus, slēdziet kopīgošanas saites un risiniet jau eksportēto datu jautājumu. Ja konstatējumi to pamato, nomainiet atklātos akreditācijas datus.

Konta dzēšana nepierāda, ka visa piegādātāja glabātā informācija ir izzudusi. Iegūstiet pieejamos dzēšanas pierādījumus un dokumentējiet līgumisko glabāšanu, rezerves kopijas vai citus ierobežojumus. Saglabājiet informāciju, uz kuru attiecas obligāta glabāšana vai juridiska aizturēšana.

Atļaujiet kontrolētu, pagaidu izņēmumu

Biznesam kritiskam rīkam var būt nepieciešams pārejas periods. Norādiet atļautos lietotājus un datus, kompensējošās kontroles, atbildīgo riska pieņēmēju, derīguma termiņu un izstāšanās nosacījumus. Ja iespējams, ierobežojiet turpmāku paplašināšanos. Pastāvīgs „pagaidu” izņēmums bez pārskatīšanas ir neatrisināta pārvaldības nepilnība.

Praktisks piemērs: MI sanāksmju asistents

Aplūkosim ilustratīvu organizāciju, kas pārskata savu pārdošanas procesu. Pieņemsim, ka astoņi darbinieki izmanto bezmaksas sanāksmju asistentu ar individuāliem kontiem. Intervijas apstiprina, ka tas ieraksta zvanus ar klientiem; identitātes eksports parāda kalendāra piešķīrumus. Iepirkuma ieraksta nav, un pārdošanas vadītājs paļaujas uz transkripcijām darba nodošanā.

Pirmais lēmums ir apturēt papildu ierakstus un lietotājus, kamēr tiek noskaidrots, kas ir ierakstīts. Drošības komanda reģistrē piešķīrumus un kontu identitātes. Vadītājs nosaka skartās sanāksmes un darbības vajadzību. Privātuma un iepirkumu speciālisti pārskata apstrādes kārtību, dalībnieku informēšanu, piegādātāja noteikumus, glabāšanu un jebkādu attiecīgo nosūtīšanas kārtību. Komanda arī pārbauda, vai ieraksti vai transkripcijas ir publiski pieejamas un vai pakalpojums izmanto saturu citiem nolūkiem.

Pieņemsim, ka pārskatīšanā atklājas, ka bezmaksas plāns nevar nodrošināt uzņēmuma kontrolētu administrēšanu vai nepieciešamos glabāšanas iestatījumus. Lēmums ir aizstāšana, nevis atteikšanās no darba nodošanas procesa. Pārdošanas komanda testē apstiprinātu alternatīvu ar piemērotām piekļuves un ierakstīšanas kontrolēm, kamēr tehniskais pārzinis atsauc vecos kalendāra piešķīrumus un migrē atļautos ierakstus.

Slēgšanas pierādījumi ietver skarto kontu sarakstu, aizstājēja konfigurāciju, piešķīrumu atsaukšanas rezultātus, veco kopīgošanas saišu pārbaudes un pieejamos dzēšanas apstiprinājumus. Jebkurš neatrisināts rezerves kopiju glabāšanas ierobežojums paliek reģistrēts. Pārdošanas vadītājs atbild par pieņemamu lietojumu; IT atbild par konfigurāciju un piekļuves izbeigšanu. Pārskatīšana noslēdzas ar pārvaldītu procesu, nevis tikai ar bloķētu lietotni.

Novērsiet nākamo aklo zonu ar lietojamu pieteikšanas procesu

Komandas bieži ievieš rīkus, lai apietu lēnu apstiprināšanu, trūkstošas funkcijas vai neērtības esošajās sistēmās. Atklāšanai būtu jāidentificē šie cēloņi. Pretējā gadījumā noņemšana vienkārši pārvieto to pašu darbību uz mazāk redzamu vietu.

Padariet pieprasījumu iesniegšanu vienkāršu. Jautājiet par nolūku, lietotājiem, datu kategorijām, integrācijām, steidzamību un biznesa īpašnieku. Publicējiet kritērijus, kas ierosina padziļinātu pārskatīšanu, un nodrošiniet praktisku ceļu zema riska izmēģinājumiem. Sniedziet pieprasītājiem statusu un sagaidāmo lēmuma brīdi; neatstājiet pieprasījumus neizskaidrotā rindā.

Māciet konkrētu rīcību: pajautājiet, pirms savienojat pakalpojumu ar uzņēmuma e-pastu, neaugšupielādējiet klientu informāciju nepārskatītā rīkā un ziņojiet par esošu darbvietu, pirms to atjaunojat. Nodrošiniet komandām atklāšanas ceļu, kas vērsts uz nepilnību novēršanu, nevis uz godprātīgas ziņošanas sodīšanu.

Turpiniet uzraudzīt izmaiņas pēc apstiprināšanas. Pārskatiet jaunus OAuth piešķīrumus, administratīvās izmaiņas, ārēju kopīgošanu, jaunieslēgtas MI funkcijas un paplašināšanos uz sensitīvākiem datiem. Kā praktisku rekomendāciju apvienojiet notikumu ierosinātas pārbaudes ar periodisku īpašnieka apstiprinājumu. Pārskatīšanas biežumam jāatspoguļo apdraudējums un biznesa kritiskums, nevis universāls intervāls.

Padariet pierādījumus noderīgus ISMS

ISO/IEC 27001 attiecas uz informācijas drošības pārvaldības sistēmu ar definētu tvērumu. Ēnu IT konstatējumi var sniegt informāciju aktīvu pārvaldībai, piegādātāju pārskatīšanai, piekļuves kontrolēm, riska novērtējumam un apstrādei. Kontroļu izvēle joprojām ir balstīta uz riskiem; lietotņu saraksts nav ne ISMS, ne pierādījums, ka kontroles darbojas.

Nošķiriet atklāšanas tvērumu, novērtējumu, apstrādes lēmumu, ieviešanas pierādījumus un efektivitātes pārbaudi. Slēgts pieteikums ar norādi „noņemts” ir vājāks pierādījums nekā atsaukta piekļuve kopā ar pārbaudītu rezultātu. Riska pieņemšanā būtu jānorāda, kam bija pilnvaras to pieņemt un kad tā jāpārskata. Sertifikācija pati par sevi neapliecina atbilstību VDAR.

Secani nodrošina savienotu darbvietu sistēmu un pakalpojumu modelēšanai, pierādījumu sasaistei ar prasībām un lēmumiem un īpašnieku un pārskatīšanas uzdevumu piešķiršanai. Atklāšanu un izpildes nodrošināšanu veiciet atbilstošās darbības sistēmās, pēc tam ievietojiet attiecīgos eksportus, pārskatus un apstiprinājumus šajā atbilstības kontekstā. Uzskatiet ar MI atbalstītus ieteikumus par melnrakstiem, kuriem nepieciešama cilvēka pārskatīšana, saglabājot avotu izsekojamību.

Nākamajai pārskatīšanai izvēlieties vienu biznesa procesu un saskaņojiet tā identitātes, izdevumu, galiekārtu un interviju konstatējumus. Noslēdziet katru apstiprināto konstatējumu ar vārdā nosauktu īpašnieku, apstrādi, termiņu un slēgšanas testu. Noderīgi rādītāji ietver īpašnieku pārklājumu, nokavētus lēmumus, izņēmumus, kuriem beidzas termiņš, un pabeigtas piekļuves noņemšanas pārbaudes, nevis tikai atklāto rīku skaitu.