Szefowie agencji Five Eyes opublikowali 22 czerwca wspólny apel o działania wobec zmian ryzyka cybernetycznego, które wiążą z AI. Wśród działań wskazali ograniczenie ekspozycji, szybsze poprawki, kontrolę dostępu i przygotowanie reakcji. Dla zarządu organizacji z zaległościami technicznymi to dobry moment, by ocenę odporności oprzeć na sprawdzeniu, jak kontrole działają pod presją i ile naprawdę trwa wdrożenie poprawki.
Ile dni mija w naszej organizacji od wydania poprawki przez producenta do jej wdrożenia na systemie dostępnym z internetu? Na posiedzeniu zarządu łatwo o odpowiedź wziętą z polityki: termin zapisany w procedurze. Taka odpowiedź opisuje zamiar, a pytanie dotyczyło wyniku. Apel opublikowany na stronie NCSC nosi tytuł „The AI shift in cyber risk: why leaders must act now” i już w tytule zwraca się do kierownictwa. Oceny tego, jak AI zmieni ryzyko, należą do agencji. Prognoza nie jest zmierzonym wzrostem liczby ataków i tak ją traktujmy w rozmowie o budżecie. Wskazane obszary da się jednak sprawdzić we własnej firmie od razu, bez czekania, aż prognoza się potwierdzi.
Zalecenia agencji to lista pytań do sprawdzenia
Według NCSC szefowie agencji Five Eyes wśród kierunków działania wskazali ograniczenie ekspozycji, szybsze poprawki, kontrolę dostępu i przygotowanie reakcji. Materiał ma formę wspólnego apelu, bez opisu pojedynczego incydentu. Te zalecenia dotyczą obszarów, nad którymi organizacja ma kontrolę.
Proponujemy przełożyć każdy obszar na pytanie, na które da się odpowiedzieć danymi. Przy ekspozycji pytamy, które usługi są dostępne z internetu i kto odpowiada za każdą z nich. Przy poprawkach liczymy dni od wydania ostatniej poprawki bezpieczeństwa do jej wdrożenia na wybranym systemie. Przy kontroli dostępu sprawdzamy, kto ma uprawnienia administracyjne i kiedy ktoś ostatnio potwierdził, że są potrzebne. Przy reakcji ustalamy, kto może zdecydować o odcięciu systemu i czy ktoś kiedykolwiek ćwiczył tę decyzję.
Te pytania są redakcyjną propozycją pomiaru, apel ich nie formułuje. Pozwalają jednak zamienić ogólne wezwanie w cztery wiersze raportu dla zarządu, każdy z liczbą albo nazwiskiem.
Ocenę odporności opierajmy na zmierzonym czasie wdrożenia poprawki, a termin z polityki traktujmy wyłącznie jako punkt odniesienia.
Zaległości techniczne wychodzą na jaw dopiero pod presją
Polityka poprawek opisuje zwykły tydzień. Sprawdzian przychodzi wtedy, gdy pilna poprawka dotyczy systemu, którego nie da się zaktualizować bez przestoju, a jedyna osoba znająca jego konfigurację jest na urlopie. Jeśli taki system ma wyjątek od polityki poprawek, sprawdźmy, czy ktoś go zapisał i zatwierdził.
Z apelu z 22 czerwca bierzemy dwa zalecenia, które w takiej chwili zderzają się najmocniej: szybsze poprawki i przygotowanie reakcji. Jeśli wdrożenie poprawki trwa długo, organizacja potrzebuje planu na czas oczekiwania: ograniczenia dostępu do systemu z internetu, zawężenia uprawnień albo decyzji o czasowym wyłączeniu usługi. Każdy z tych kroków ktoś musi zatwierdzić. Gdy procedura nie wskazuje tej osoby, decyzja zapada w trakcie zdarzenia, a czas na nią trudno potem odtworzyć.
Dlatego proponujemy, by ocena odporności zawierała ćwiczenie z warunkami utrudnionymi. Scenariusz może być prosty: pilna poprawka do systemu dostępnego z internetu, który wymaga przestoju. Zapiszmy, kto zdecydował, ile czasu to zajęło i której informacji zabrakło. Wynik powie więcej niż deklaracja zgodności z polityką.
Kolejność spłaty zaległości ustala zarząd
Tytuł dokumentu NCSC mówi wprost, że działać mają liderzy. W praktyce oznacza to decyzje, których zespół IT sam nie podejmie: który system dostaje pierwszeństwo, na jaki przestój firma się zgadza i które ryzyko firma świadomie akceptuje na kolejny kwartał.
Organizacja z długą listą zaległości nie usunie ich wszystkich naraz. Obszary wskazane w apelu agencji pozwalają ułożyć rozsądną kolejność rozmowy: najpierw systemy dostępne z internetu, potem czas wdrażania poprawek na nich, następnie uprawnienia administracyjne do tych systemów, wreszcie gotowość do reakcji. Przy każdym punkcie zapiszmy koszt, osobę odpowiedzialną i termin ponownego sprawdzenia.
Przy uzasadnianiu wydatków zachowajmy ostrożność. Prognoza agencji o wpływie AI na ryzyko nie jest pomiarem wzrostu ataków, więc nie powinna zastępować danych z własnego środowiska. Lepszym argumentem dla rady nadzorczej będzie zmierzony czas wdrożenia poprawki na trzech systemach niż ogólne odwołanie do AI.
Zaległość, której nie da się usunąć w tym kwartale, zarząd powinien zaakceptować na piśmie, ze wskazanym właścicielem i datą przeglądu.
Polska organizacja nie musi czekać na krajowe dane
Apel nie mówi, jak opisywane w nim zmiany przekładają się na polskie organizacje. Tej skali nie oceniamy i nie przypisujemy jej konkretnym sektorom.
Zalecenia mają jednak charakter operacyjny i dają się zastosować także w firmach działających w Unii Europejskiej. Ograniczenie ekspozycji, szybsze poprawki, kontrola dostępu i przygotowanie reakcji to obszary, które polski zarząd może sprawdzić na własnych systemach w ciągu jednego posiedzenia. Organizacjom z zaległościami technicznymi proponujemy zacząć od jednego systemu dostępnego z internetu i przejść na jego przykładzie przez cztery zaproponowane wyżej pytania. Wynik dla pojedynczego systemu nie jest oceną całej firmy, ale pokazuje, które dane w ogóle da się zebrać.
Co z tym zrobić w poniedziałek
- Wybierz jeden system dostępny z internetu i dla jego ostatniej poprawki bezpieczeństwa zapisz dwie daty: wydania przez producenta i wdrożenia. Różnicę porównaj z terminem z polityki, a brak którejś daty zapisz jako ustalenie.
- Poproś o listę kont z uprawnieniami administracyjnymi do tego systemu. Sprawdź, kto i kiedy ostatnio potwierdził potrzebę każdego z nich, i przypisz wyjaśnienie braków konkretnej osobie.
- Zapisz, kto może zdecydować o przestoju albo odcięciu tego systemu od internetu, gdy pilnej poprawki nie da się wdrożyć od razu, i czy ta osoba ma zastępcę. Wpisz do kalendarza ćwiczenie tej decyzji.
Apel szefów agencji Five Eyes wskazuje obszary, które zarząd może zamienić w pytania z odpowiedzią popartą danymi. Odporność, której nikt nie sprawdził pod presją, pozostaje założeniem.
Źródła
Redakcja cyberinsight.pl.