Segurtasunaren kasuak
Segurtasuna: esku-hartzeen erregistroak
Gure merkatuetan egindako segurtasun-berrikuspen, gotortze eta aholkularitza-lan osatuen laburpen egituratuak.
Hauek benetako burututako konpromisoak dira. Bezeroen izenak eta identifikazio-xehetasunak konfidentzialtasunagatik ez dira ezagutarazten. Emaitzak konpromiso bakoitzaren baieztatutako esparruaren barruan deskribatzen dira.
Ziber-asegurua berritzeko prestatzen ari zen finantza-zerbitzuetako enpresa batek bere kontrolen berrikuspen egituratua behar zuen Essential Eight esparruarekiko. Barne-taldeek ez zuten eragiketak eten gabe ebaluazioa egiteko baliabide dedikaturik.
Zer zen esparrua
Australian Signals Directorate-ren Essential Eight esparruak definitutako zortzi arintze-estrategien berrikuspena. Ebaluazioak erakundearen ekoizpen-ingurune nagusia eta administrazio-sarbideen kontrolak hartu zituen. Esparrua lana hasi aurretik idatziz definitu eta berretsi zen.
Zer aztertu zen
- Aplikazioen kontrolaren konfigurazioa endpoint nagusietan
- Internetera begira dauden zerbitzuetarako patch-en aplikazioen estaldura
- Office makroen konfigurazioa eta politika-kontrolak
- Erabiltzailearen aplikazioaren gogortze-ezarpenak
- Pribilegio administratiboen esleipenaren murrizketa
- Sistema eragilearen adabakien eguneratutasuna esparruko aktiboetan
- Faktore anitzeko autentifikazioaren estaldura administratzaile-kontuetarako
- Eguneroko babeskopien konfigurazioa eta probatutako berreskuratze-prozedurak
Zer entregatu zen
- Estrategia bakoitzeko heldutasun-maila duen idatzizko oinarrizko berrikuspen-txostena
- Lehentasunak ezarritako aurkikuntzen erregistroa, gomendatutako konponketa-ordenarekin
- Kontseiluan edo aseguru-etxean aurkezpen bat egiteko egokia den laburpen exekutiboa.
- Ekintza eskatzen duen aurkikuntza bakoitza konpontzeko jarraibide-oharrak
Ez dago sartuta
- ×Penetrazio-probak edo ustiapen-saiakera aktiboak
- ×Definitutako esparruaren mugatik kanpoko azpiegituren berrikuspena
- ×Ziurtagiriak edo konformitate-ziurtagiriak ematea
- ×Etengabeko monitorizazioa edo kudeatutako segurtasun-zerbitzuak
Zer aldatu zen lanaren ondoren?
Erakundeak berrikuspen-txostena bere ziber-aseguru-etxeari aurkeztu zion, uneko kontrolen egoeraren froga gisa. Barne-taldeek aurkikuntzen erregistroa erabili zuten hurrengo hiruhilekoko konponketa-lana lehenesteko. Sei hilabete geroago, jarraipeneko berrebaluazio bat eskatu zen.
Gomendatutako hurrengo urratsa
Essential Eight birrebaluazioa zuzenketaren ondoren, edo etengabeko orientaziorako Monthly Security Advisory (Segurtasuna).
Zergatik argitaratzen ditugu laburpen hauek?
Segurtasuna erosten dutenek zer erosten ari diren ulertu behar dute konpromisoa hartu aurretik. Kasu hauek deskribatzen dute zer zegoen esparruaren barruan, zer entregatu zen eta zer ez zen barne hartu, zerbitzua zure egoerari egokitzen zaion ebaluatu ahal izan dezazun.
Nola irakurri kasu hauek
Froga, gehiegizko aldarrikapenik gabe
Segurtasun-kasu bakoitza bezeroarekin amaitutako benetako lan bat da. Bezeroen izenak eta identifikatzen duten xehetasun operatiboak konfidentzialtasunagatik ezkutatzen dira. Abiapuntua, adostutako esparrua, berrikusitako eremuak, entregagarriak, mugak eta hurrengo urratsa erakusten ditu, erosleek ulertu ahal izan dezaten BilgeQor-ek arriskuaren testuingurua Segurtasuna Fitxategi praktiko bihurtzen duen modua.
Esparrua baieztatua
Kasu bakoitza idatzizko esparru batetik hasten da, ez mugarik gabeko promesa batetik.
Froga kontserbatuak
Entregagarriak erregistro, laburpen, ondorio eta konponketa-orientabide gisa deskribatzen dira.
Mugak garbi.
Adibideek bezeroen izenak, ziurtagiri-eskaerak, auditoreen onarpena eta emaitza bermatutakoak saihesten dituzte.
Segurtasunaren berrikuspenak
Oinarri-lerroko eta esparruko ebaluazio egituratuak, beren segurtasun-jarrera ebaluatzen duten erakundeentzat.
Egoera
Enpresa-kontuetarako bezeroen dokumentazio konfidentziala kudeatzen zuen zerbitzu profesionalen enpresa batek segurtasun-prestutasuna erakutsi behar izan zien hornitzaile-diligentzia egiten ari ziren bezero potentzialei. Bazkideek sarbide-kontrolak, amaiera-puntuetako praktikak eta datuen kudeaketa-prozedurak biltzen zituen ebidentzia-oinarri egituratu bat eskatu zuten bezero-enkargu handi baten aurretik.
Zer zen esparrua
Enpresaren lan-estazio nagusien ingurunearen azterketa, posta elektronikoaren eta fitxategi-partekatzearen konfigurazioa, sarbide-kontrol administratiboak eta datuak tratatzeko prozedurak. Ebaluazioak aurkikuntzak zuzenketa-lehentasun praktikoei lotu zizkien. Esparrua idatziz definitu eta berretsi zen lana hasi aurretik.
Denbora-lerroa eta lan-eredua
Berrikuspena esparrua baieztatu ondorengo hamar lanegunen barruan amaitu zen. Ez zen tokiko sarbiderik behar izan. Berrikuspen osoa urrutitik egin zen, adostutako dokumentazioa eta plataformaren konfigurazioaren ebidentziak oinarri hartuta.
Zer aztertu zen
- E-posta plataforma segurtasun konfigurazioa eta phishing-aren aurkako kontrolak
- Fitxategiak partekatzeko eta hodei-biltegiratzeko sarbide-kontrolak eta kanpo partekatzeko politikak
- Lan-estazioko eta plataformako kontuetan administrazio-pribilegioak esleitzea
- Faktore anitzeko autentifikazioaren estaldura negozioarentzat kritikoak diren kontuentzat
- Amaiera-puntuetako patch-en eguneratasuna eta softwarearen eguneratze-praktikak
- Langileen eta kontratisten sarbiderako datuen kudeaketa eta irteera-prozedurak
Zer entregatu zen
- Prestasun-berrikuspenaren txosten idatzia, aurkikuntza lehenetsiekin
- Bezeroari aurkezteko diligentzia egokiko berrikuspenerako egokia den laburpen exekutiboa
- Erremediatzeko lehentasunen zerrenda, ekintza-segida gomendatuarekin
- Arreta behar duen aurkikuntza bakoitzerako orientazio-oharrak
Zer aldatu zen lanaren ondoren?
Enpresak laburpen exekutiboa dokumentazio osagarri gisa erabili zuen hornitzaileen galdetegiari emandako erantzunean. Barneko bazkideek lehentasunezko sarbide-kontrolaren aurkikuntzak ezarri zituzten bezeroarekiko lana hasi aurretik. Jarraipeneko aholkularitza-lan bat aipatu zen hiruhilekako berrikuspen jarraiturako.
Ez dago sartuta
Gomendatutako hurrengo urratsa
Monthly Security Advisory, orientazio egituratu eta jarraiturako, edo berrebaluazio programatu bat, lehentasunezko aurkikuntzak inplementatu ondoren.
Egoera
Zer entregatu zen
- Oinarrizko berrikuspen-txosten idatzia, lehentasunez sailkatutako aurkikuntzekin
- Ospitaleko erosketa-berrikuspenerako egokia den laburpen exekutiboa
4 ×
Gomendatutako hurrengo urratsa
Segurtasuna: Monthly Security Advisory etengabeko jarreraren ikusgarritasunerako, edo lehentasunezko aurkikuntzak ezarri ondoren berrebaluazio baterako.
Egoera
Zer entregatu zen
- Oinarrizko berrikuspen-txosten idatzia, lehentasunez sailkatutako aurkikuntzekin
- Bazkideen diligentzia egokiaren berrikuspenerako laburpen exekutibo egokia
4 ×
Gomendatutako hurrengo urratsa
Monthly Security Advisory, orientazio egituratu eta jarraiturako, edo berrebaluazio bat, lehentasunezko aurkikuntzak inplementatu ondoren.
Webguneak eta sistema indartzea
Konfigurazioa zuzenean gogortzea eta egiaztatzea web aplikazioetarako eta azpiegiturarako.
Egoera
Pila pertsonalizatu batean denda-aurrealde berri bat abiarazten ari zen merkataritza elektronikoko eragile batek abiarazi aurreko segurtasun-gogortzea behar zuen. Taldeak garapen-konfiantza zuen, baina ez zuen segurtasun-baliabide dedikaturik konfigurazioa martxan jarri aurretik berrikusteko.
Zer zen esparrua
Ekoizpenari lotutako web aplikazio baten Segurtasuna indartzea, zerbitzariaren konfigurazioa, HTTP segurtasun-buruaren inplementazioa, autentifikazio-fluxuaren berrikuspena eta mendekotasunen eguneratasun-egiaztapena barne hartuta. Esparrua aplikazio-instantzia bakarrera eta hari lotutako azpiegitura-geruzara mugatzen da.
Denbora-lerroa eta lan-eredua
Berrikuspena zortzi lanegunetan osatu zen. Lehentasunezko aurkikuntzak ezarri ondoren, aplikazioa martxan jartzeko prest zegoen. Konponketaren osteko berrespena birbidalketatik hiru laneguneko epean osatu zen.
Zer aztertu zen
- HTTP segurtasun-goiburuen konfigurazioa eta politika-ezarpenak
- TLS/SSL konfigurazioa eta ziurtagiri kateak
- Autentikazio-fluxuaren eta saioen kudeaketaren kontrolak
- Hirugarrenen menpekotasunen gaurkotasuna eta ezagutzen diren ahultasunen egoera
- Administrazio-sarbideen kontrolak eta kredentzialen esposizio-egiaztapenak
- Akatsen kudeaketaren eta informazioaren zabalkundearen berrikuspena
Zer entregatu zen
- Gogortze-txostena, larritasunaren arabera sailkatutako aurkikuntzekin
- Konfigurazio-gomendioak inplementazio-jarraibideekin
- Garapen taldeko konponketa-zerrenda
- Zuzenketaren osteko baieztapen-berrikuspena (txanda bat barne)
Zer aldatu zen lanaren ondoren?
Lehentasun-aurkikuntzak abiarazte-data baino lehen konpondu ziren. Taldeak indartze-zerrenda erabili zuen hurrengo aplikazioen martxan jartzeko eredu gisa. Konponketa osteko baieztapen-berrikuspenaren ondoren ez zen arazo kritikorik identifikatu.
Ez dago sartuta
Gomendatutako hurrengo urratsa
App Security Review, aplikazio mugikor osagarrirako, edo Monthly Security Advisory, etengabeko laguntza operatiborako.
Egoera
Zer entregatu zen
- Larritasunaren eta lehentasunaren arabera sailkatutako aurkikuntzak dituen gogortze-txosten bat
- Konfigurazio-gomendioak eta urratsez urratseko inplementazio-gidaritza
4 ×
Gomendatutako hurrengo urratsa
App Security Review, API geruzarako eta edozein bezero-aplikazio mugikorretarako, edo Monthly Security Advisory, orientazio egituratu eta jarraiturako.
Egoera
Zer entregatu zen
- Larritasunaren eta lehentasunaren arabera sailkatutako aurkikuntzak dituen gogortze-txosten bat
- Konfigurazio-gomendioak inplementazio-jarraibideekin
4 ×
Gomendatutako hurrengo urratsa
Segurtasuna lantzeko: App Security Review edozein bezero mugikorrentzat, edo Monthly Security Advisory etengabeko jarraibide operatiboetarako.
Aplikazioen Segurtasuna
Mugikorretarako eta web aplikazioen segurtasun-berrikuspenak, banaketarako edo araudia betetzeko prestatzen ari diren taldeentzat.
Egoera
Erabilera klinikorako aplikazio mugikor bat prestatzen ari zen osasun-teknologiako hornitzaile batek segurtasun-berrikuspena behar zuen profesionalei banatu aurretik. Bezeroaren zuzendaritza-taldeak lehentasuntzat identifikatu zituen araudi-prestutasuna eta pazienteen datuen tratamendua.
Zer zen esparrua
Mugikorreko kudeaketa klinikorako aplikazio baten Segurtasuna aztertzea, aplikazioaren binarioa, haren API komunikazio-geruza eta autentifikazioaren zein datuen biltegiratzearen inplementazioa barne. iOS eta Android eraikuntzak adostutako esparruan aztertu dira. Azterketa OWASP Mobile Top 10 erreferentzia-esparru gisa egin da.
Denbora-lerroa eta lan-eredua
Berrikuspena hamalau lan-egunen barruan emango da, adostutako aplikazio-bertsioak eta API dokumentazioa jaso ondoren. Berrikuspen guztia urrunetik egiten da. Ez da ekoizpen-ingurunerako sarbiderik behar.
Zer aztertu zen
- Aplikazioaren bitarraren eta analisi estatikoaren azterketa, ezagutzen diren ahultasun-ereduen bila
- API komunikazio segurtasuna, garraio geruza eta autentifikazioa barne
- Gaixoen datuen biltegiratze-ikuspegia eta gailuko zifratze lokala
- Autentikazio eta saio tokenak kudeatzea
- Hirugarrenen SDK eta liburutegiak eguneratuta egotea
- Datu sentikorren kudeaketa aplikazioaren bizi-zikloko egoeretan zehar
Zer entregatu zen
- Segurtasun mugikorraren azterketa-txostena, aurkikuntzekin eta larritasun-sailkapenarekin
- OWASP Mobile Top 10-en estalduraren laburpena
- Aurkikuntza bakoitzeko garatzaileentzat prest dagoen zuzenketa-orientabidea
- Datuen kudeaketaren ebaluazioa gomendioekin
Zer aldatu zen lanaren ondoren?
Garapen taldeak larritasun handiko eta kritikoko aurkikuntzak landu zituen erabiltzaile klinikoei banatu aurretik. Berrikuspenaren txostena erreferentzia gisa erabili zen gobernantzaren barneko berrikuspenean. Care Plan esparruan aholkularitza zerbitzu bat abiarazi zen programatutako berrikuspenerako eta hurrengo ekintzak idatziz jasotzeko, ez aplikazioaren etengabeko monitorizaziorako edo erantzun estaldurarako.
Ez dago sartuta
Gomendatutako hurrengo urratsa
Segurtasuna zaintzeko etengabeko jarrerari eusteko Monthly Security Advisory, edo aplikazioaren bertsio-aldaketa handien ondorengo berrizko ebaluazioa.
Egoera
Zer entregatu zen
- Segurtasun mugikorraren azterketa-txostena, aurkikuntzekin eta larritasun-sailkapenarekin
- OWASP Mobile Top 10-en estalduraren laburpena
4 ×
Gomendatutako hurrengo urratsa
Monthly Security Advisory, araudi-betetzearen egoerari etengabeko laguntza emateko, edo berrebaluazioa aplikazioaren bertsioan aldaketa esanguratsuak egin ondoren.
Egoera
Zer entregatu zen
- API segurtasun-berrikuspenaren txostena, aurkikuntzekin eta larritasun-sailkapenarekin
- Aurkikuntza bakoitzeko garatzaileentzat prest dagoen zuzenketa-orientabidea
4 ×
Gomendatutako hurrengo urratsa
Monthly Security Advisory, API eta plataformen Segurtasuna modu egituratuan eta etengabe jorratzeko, edo API bertsio nagusiak aldatu ondoren berriro ebaluatzeko.
Aholkuak eta berreskuratzea
Segurtasun operazionaleko taldeentzako etengabeko aholkularitza-laguntza eta gertakarien berreskuratze egituratua.
Egoera
Hiri anitzetan eragiketak eskalatzen ari zen logistika-teknologiako enpresa batek segurtasun-orientazio egituratua behar zuen, lanaldi osoko segurtasun-kontratazio baten kosturik gabe. Enpresak duela gutxi kredentzialen esposizio-gertakari bat izan zuen eta aholkularitza-laguntza sistematikoa nahi zuen.
Zer zen esparrua
Etengabeko hileko aholkularitzak erakundearen web plataforma, barne tresnak eta taldearen segurtasun-praktikak hartzen ditu barne. Aholkularitzaren esparrua bezeroaren harreran definitzen da, eta hiru hilean behin egokitu daiteke adostutako mugen barruan. Ez da kudeatutako segurtasun-zerbitzua; aholkularitza eta orientazioa baino ez.
Denbora-lerroa eta lan-eredua
Etengabeko hileroko lankidetza. Hasierako sarrera-prozesua baieztapenetik astebeteko epean osatu da. Hileroko aholkularitza-saioak kadentzia finkoan. Lankidetza hilabetez hilabete berritzen den oinarrian jarduten da, hiruhileko esparru-berrikuspenarekin.
Zer aztertu zen
- Segurtasun-egoeraren hileroko berrikuspena adostutako kontrol-multzoaren aurka
- Irismenean sartutako sistemen adabaki eta eguneraketen egungotasunaren berrikuspena
- Hiruhileko bakoitzean sarbide-kontrolaren eta pribilegioen berrikuspena
- Gertakarien eta alerten azterketa, bezeroak emandako erregistroetan oinarrituta
- Taldearen gidaritza sektorearekin lotutako mehatxu berrien inguruan
Zer entregatu zen
- Hileko aholkularitza-txostena, behaketekin eta gomendatutako ekintzekin
- Hiruhileko jarreraren laburpen-txostena
- Lehenetsitako ekintza-zerrenda berrikuspen-ziklo bakoitzaren ondoren
- Esparruaren barruan denbora-sentikorrak diren galderetarako aholkularitza-kanal zuzena
Zer aldatu zen lanaren ondoren?
Taldeak adabakiak berrikusteko prozesu egituratua ezarri zuen, hileko aholkularitza-txosten laburra gida operatibo gisa erabiliz. Lehen hiruhilekoan identifikatutako sarbide-kontroleko arazoak hurrengo berrikuspen-zikloa baino lehen konpondu ziren. Zerbitzu-harremanak berritzearen bidez jarraitu zuen, hasierako hiru hilabeteko epearen ondoren.
Ez dago sartuta
Gomendatutako hurrengo urratsa
Aholkularitzaren berritzea, edo oinarrizko lerroaren berrikuspen programatu bat, postura-ebaluazio formalago baterako.
Egoera
Zer entregatu zen
- Hileko aholkularitza-txostena, behaketekin eta gomendatutako ekintzekin
- Hiruhileko jarrera-laburpena, joera-behaketekin
4 ×
Gomendatutako hurrengo urratsa
Aholkularitza-berritzea, edo leialtasun-plataformaren aplikazio-geruzarako App Segurtasuna berrikuspen egituratu bat.
Egoera
Zer entregatu zen
- Hasierako triage-txostena, baieztatutako eta susmatutako segurtasun-urraketen irismenarekin
- Arriskuen mapa ikusgarria, berehalako ekintza lehenetsiekin
5 ×
Aurkikuntza-deia gomendatzen da
Gomendatutako hurrengo urratsa
Monthly Security Advisory, egituratutako eta etengabeko Segurtasuna jarrerarako, edo oinarrizko berrikuspen bat, erabateko berreskurapenaren ondoren kontrolen hobekuntzak ebaluatzeko.
Prest zaude segurtasun-enkargu bat hasteko?
Konpromiso gehienak eskaera batekin hasten dira. Partekatu buruan duzun zerbitzua edo esparrua; berrikuspen-, indartze- edo aholkularitza-bide zuzena baieztatuko dugu edozein ordainketa-urrats baino lehen.