eSI – eSystem Integration in SolutionseSI – eSystem Integration in Solutions
Megfelelőség · Kiberbiztonság

Kiberbiztonság KKV-knak

Bevezetjük és üzemeltetjük azokat az IT-biztonsági intézkedéseket, amelyek egy kis- vagy középvállalatnál az alapvédelmet adják: többfaktoros belépés, tesztelt és változtathatatlan mentés, ütemezett frissítés, végponti észlelés és reagálás (EDR), központi naplózás, munkatársi tudatosság, és válaszcsomag a nagy ügyfelek beszállítói kérdőíveire.

Olyan sorrendben, hogy egy hackertámadás, például egy zsarolóvírus vagy egy ellopott jelszó után is legyen honnan újraindulni.

  • 3-2-1-1-0 mentési szabály, ellenőrzött visszaállítással
  • MFA először az admin- és a távoli elérésű fiókokon
  • 80–150 kérdés egy tipikus beszállítói biztonsági kérdőívben
Kérj biztonsági felméréstGyorsteszt, 2 perc
Védelmi alapok

Hat intézkedés, amelyre a védelem épül

Egyik sem új vagy egzotikus. A különbség abban van, hogy be vannak-e állítva mindenhol, és kipróbálta-e valaki, hogy működnek.

  • Többfaktoros hitelesítés

    Először az admin-, a VPN- és a távoli elérésű fiókokon, aztán mindenhol, ahol céges adat van. Egy ellopott jelszó így önmagában nem elég a belépéshez.

    MFAHozzáférés

  • Mentés, amely vissza is áll

    3-2-1-1-0: három másolat, két különböző tárolón, egy telephelyen kívül, egy változtathatatlan vagy offline, és nulla hiba az ellenőrzött visszaállításnál. A visszaállítást rendszeresen ki is próbáljuk.

    ImmutableVisszaállítási teszt

  • Frissítés és sebezhetőség-kezelés

    Ütemezett operációsrendszer- és alkalmazásfrissítés, rendszeres sebezhetőség-vizsgálat, határidő a kritikus hibák javítására. A gyakorlati keretünkben a kritikus javítás célideje 7 nap.

    PatchVulnerability scan

  • Végponti észlelés és reagálás (EDR)

    A vírusirtón túl a gyanús viselkedést is figyeli, és leválaszthatja a fertőzött gépet, mielőtt a támadás továbbterjedne a hálózaton.

    EDRVégpont

  • Naplózás és riasztás

    Központi naplógyűjtés a kritikus rendszerekről, riasztással; gyakorlati célértékként legalább 12 hónap megőrzéssel. Incidensnél ebből derül ki, mi történt, és ez kell a bejelentéshez is.

    LogSIEM

  • Tudatosság és képzés

    Rövid, rendszeres oktatás és adathalász-szimuláció, hogy a munkatársak felismerjék a csaló leveleket, és tudják, kinek szóljanak.

    Phishing-szimuláció

Ha mégis baj van

Incidenskezelés, amely kész, mielőtt szükség lenne rá

  1. Előre rögzített szerepek

    Ki dönt, ki kit értesít, ki beszél az ügyfelekkel, éjjel és hétvégén is.

  2. Elszigetelés és helyreállítás

    Leírt lépések a fertőzött gép vagy fiók leválasztására és a mentésből való visszaállásra, előre meghatározott helyreállítási idővel (RTO) és elfogadható adatvesztéssel (RPO).

  3. Bejelentés, ha kell

    NIS2- vagy DORA-érintettségnél a jelentési határidők órákban mérhetők, ezért a sablonokat előre elkészítjük.

  4. Tanulság

    Hibáztatás nélküli (blameless) utólagos elemzés, gyökérok, és felelőshöz, határidőhöz kötött javító lépések.

Beszállítói kérdőívek

Ha egy nagy ügyfél biztonsági kérdőívet küld

Bankok, közművek, állami szervek és más szabályozott cégek a NIS2 és a DORA miatt átvilágítják a beszállítóikat, jellemzően 80–150 kérdéses kérdőívvel. Ez akkor is megérkezhet, ha a céged maga nem NIS2-kötelezett.

A legtöbb kérdőívhez nem feltétel a tanúsítvány, de a válaszok mögött dokumentált, működő kontroll kell. Ezért egyszer összerakunk veled egy „security overview” csomagot, és kérdőívenként csak hozzáigazítjuk:

  • az információbiztonsági politika kivonata, vezetői jóváhagyással;
  • kontroll-mátrix: a NIS2 14 területe vagy az ISO 27001 kontrolljai, és a tényleges megvalósítás;
  • egyszerű hálózati és adatfolyam-ábra;
  • mentési és helyreállítási összefoglaló a legutóbbi teszt dátumával;
  • az incidens-eljárás kivonata és az értesítési vállalás.

Ahol még hiányzik egy kontroll, nem írunk be olyat, ami nincs: dátumozott bevezetési tervet adunk mellé. A beszállítói kérdőív útmutató indikatív becslése szerint így egy kérdőív 5–8 munkanap helyett fél–egy nap alatt kitölthető.

Felhő és konténerek

Ha a rendszer felhőben vagy konténerben fut

Felhőben megoszlik a felelősség: a szolgáltató az infrastruktúrát védi, a hozzáférések, a konfiguráció és az adat viszont a tiétek. Konténeres környezetben a 4C modell (Cloud, Cluster, Container, Code) mentén dolgozunk: minimális, nem root-ként futó image, szkennelés és SBOM, aláírás, alapértelmezetten tiltó hálózati szabályok.

GYIK

Gyakori kérdések a KKV-kiberbiztonságról

Mivel kezdjen egy kisvállalkozás, ha eddig semmit nem csinált?

Többfaktoros belépéssel a kritikus fiókokon, egy változtathatatlan másolatot is tartalmazó, kipróbált mentéssel, és az elmaradt frissítések pótlásával. Ezek védenek az ellopott jelszó, a zsarolóvírus és az ismert sebezhetőségek ellen, és a többi intézkedés erre épül.

Elég egy jó vírusirtó?

Nem. A vírusirtó az ismert kártevőket fogja meg; a zsarolóvírus ellen a tesztelt, változtathatatlan mentés, az ellopott jelszó ellen az MFA, a gyanús viselkedés ellen az EDR és a naplózás véd. Rétegekben érdemes gondolkodni.

Kell ISO 27001 tanúsítvány egy beszállítói kérdőívhez?

A legtöbb kérdőív önnyilatkozat-alapú, tanúsítvány nélkül is kitölthető, ha a válaszok mögött dokumentált, működő kontroll áll. Középtávon az ISO 27001 sokat egyszerűsít, mert egy dokumentummal igazolja a kontrollok nagy részét.

Ti üzemeltetitek a védelmet, vagy csak tanácsot adtok?

Mindkettő lehetséges. A kontrollokat az IT-üzemeltetési szolgáltatásunk keretében folyamatosan is visszük; ha van belső rendszergazdátok, mellette dolgozunk, és mi adjuk a keretet, a felülvizsgálatot és a hiányzó elemeket.

Mennyibe kerül?

A cég méretétől, a meglévő eszközöktől és attól függ, mennyi hiányzik a fenti alapokból. Az üzemeltetési csomagjaink közzétett árait az IT-üzemeltetés oldalon találod; a biztonsági felmérés után konkrét ajánlatot adunk.

Első lépés

Nézzük meg, hol a leggyengébb pont

Egy rövid felmérés megmutatja, mi működik már (mentés, MFA, frissítés), mi hiányzik, és mi a sorrend. Munkanapokon 24 órán belül válaszolunk.

Kérj biztonsági felméréstProjekt-előkészítés