Безопасность

Что входит в эту полку

Защита систем и учётных записей от захвата: управление личностью и доступом, защита рабочих станций, управление уязвимостями, секреты, мониторинг подозрительной активности и реагирование, когда что-то произошло.

Продукты бывают от одной меры до платформ, покрывающих всю инфраструктуру. Важен охват тех путей, которыми атакующие пользуются на самом деле, и он намного уже, чем обещает маркетинг.

Хранение учётных данных для команд относится к категории управление паролями. Доказательства для аудита и стандарты это комплаенс и GRC.

Покупайте в порядке, соответствующем реальному риску

Большинство инцидентов в малых и средних компаниях начинается в одном из трёх мест: украденный пароль, непропатченная система, доступная из интернета, или человек, которого убедили что-то сделать по почте.

Этот порядок подсказывает, что покупать первым. Многофакторная аутентификация на всём, особенно на почте и административных учётных записях. Управляемый способ поддерживать обновления систем. Защита рабочих станций с центральным обзором, а не лицензия, без присмотра стоящая на каждом ноутбуке.

Продвинутые платформы стоит иметь позже. Купленные первыми, они порождают оповещения, которые некому читать, а это расходы без защиты.

Теперь периметр это идентичность

Контроль доступа стал основной защитой, потому что граница сети почти перестала что-либо значить, когда работа переехала в браузеры и телефоны.

• Единый вход, чтобы учётные записи создавались и удалялись в одном месте.
• Автоматическое предоставление доступа, привязывающее его к трудоустройству, а не к памяти.
• Надёжные вторые факторы с вариантами, устойчивыми к фишингу, для администраторов.
• Минимальные привилегии, включая краткосрочное повышение прав вместо постоянных.
• Контроль сессий, чтобы у украденного токена был ограниченный срок жизни.

Спросите, как продукт работает с учётными записями, оказавшимися вне единого входа. Они есть в любой организации, и о них забывают, когда человек уходит.

Рабочие станции, уязвимости и скучное обслуживание

Защита рабочих станций сместилась от блокировки известных угроз к записи поведения и возможности расследовать случившееся позже. Полезный вопрос: что аналитик действительно может сделать? Изолировать компьютер, получить файл, увидеть историю процессов, откатить изменение.

Управление уязвимостями менее увлекательно и закрывает больше дыр. Важна не длина отчёта, а то, расставляет ли он приоритеты по эксплуатируемости и достижимости и можно ли отслеживать исправления до конца, а не вечно держать их в списке.

Регулярность обновлений превосходит почти любую другую меру в этой категории. Инструмент, который говорит, чего не хватает, но не помогает это установить, переносит работу, а не сокращает её.

Наблюдение и кто им занимается

Сбор логов и оповещения помогают, только если кто-то реагирует.

Перед покупкой платформы решите, кто читает оповещения в два часа ночи и какими полномочиями он обладает. Если честный ответ «никто», лучшая покупка это управляемый сервис, потому что он превращает инструмент в реакцию.

Затем определите ожидания по шуму. Объём принимаемых данных определяет стоимость, а ложные срабатывания вызывают усталость, так что настройка это постоянная работа, а не задача при запуске. Спросите, как выглядит настройка в продукте и как измеряется качество оповещений.

Люди и самая дешёвая из доступных мер

Обучение и учебный фишинг высмеивают, но они работают, потому что направлены на самую распространённую атаку.

Делайте его коротким, частым и привязанным к ситуациям, с которыми ваши сотрудники действительно сталкиваются. Сочетайте с каналом сообщения о проблеме, который занимает секунды, и считайте сообщение о подозрительном письме успехом, а не помехой.

Цены в этой категории считаются за рабочую станцию, за пользователя, за объём принимаемых данных или за сканирование, а управляемые сервисы отдельно берут плату за внимание людей. Смоделируйте итог с учётом этого внимания, а не только лицензию, вместе с привычками, описанными в материале что скрывают страницы с ценами.

Как выглядит хороший результат на трёх масштабах

Для компании меньше двадцати человек хорошо означает: каждая учётная запись защищена вторым фактором, ноутбуки зашифрованы и обновлены, пароли лежат в хранилище, а за тему отвечает один человек. Этого можно добиться без отдельной команды безопасности.

На ста сотрудниках к этому добавляются управление идентификацией, автоматизация приёма и увольнения, обнаружение угроз на рабочих станциях и задокументированный план реагирования, который кто-то действительно отрепетировал.

Дальше вопросы становятся организационными, а не техническими: кто следит за оповещениями, как быстро можно изолировать взломанную учётную запись и выдерживают ли ответы проверку в два часа ночи в праздничный день.

Стоит заметить, что расходы редко оказываются напрасными из-за слишком дешёвого инструмента. Они оказываются напрасными, потому что результат никому не принадлежал, а это решение о кадрах, а не о закупках.