Переводы \ Как (не) нужно строить программу безопасности "с нуля"

Нашел два очень интересных поста и решил их перевести (второй является ответом на первый). Очень интересное сравнение теоретического подхода с практическим.

• Построение программы безопасности "с нуля" / Building a security program from the ground up
• Как НЕ следует строить программу безопасности / How NOT To Build a Security Program

P.S. Оказывается сложности в построении ИБ в Америке не сильно отличаются от наших :)

Итак, первый пост написал некий Энди, который (судя по информации, которую он указал о себе в своем блоге) является бывшим ИТ-специалистом, сравнительно недавно увлекшимся вопросами безопасности.

Построение программы безопасности "с нуля"

Если бы я пришел в компанию, в которой у меня были бы развязаны руки и я мог бы делать то, что хотел, я сначала поискал бы вещи, от которых я смог бы получить максимальную отдачу очень быстро, а затем сосредоточился бы на долгосрочном стратегическом планировании. Конечно, легко сказать, я сделаю «X» и «Y», но реальное внедрение – это отдельная история. Перед внедрением потребуется время на планирование и тестирование. Я бы сказал, что первое, что я сделал бы – это внедрил систему мониторинга, чтобы получить некоторое представление о происходящем. Вероятно, что-то типа Snort в режиме чистого IDS – это позволит мне идти дальше.

Как только это заработает, я, наверное, перейду к реализации программы Управления Уязвимостями, которая начнется с патчей к приложениям и операционным системам, а затем я сосредоточусь на сканировании, тестировании, эксплойтах и т.д... После того, как Управление Уязвимостями будет внедрено, я буду работать над созданием хорошей программы обучения и повышения осведомленности в области безопасности, чтобы помочь своим пользователям понять риски. Одновременно с этим я буду заниматься вопросом стратегического управления (governance) – я буду работать с бизнес-подразделениями, чтобы понять их потребности и обеспечить тем самым актуальность и эффективность Политик и Процедур.

Это всего лишь отправная точка. Предстоит сделать еще множество вещей. Конечно, это просто пример, и большинство реальных решений будет зависеть от текущей позиции безопасности, рисков, уязвимостей, потребностей бизнеса и т.п.

Ему в своем блоге отвечает некий Бен, который (судя по его резюме) является гораздо более опытным специалистом в ИБ.

Как НЕ следует строить программу безопасности

Если вы собираетесь взяться за работу на еще «непаханом поле», где не сделано еще ничего, вы столкнетесь с огромным сопротивлением и инертностью организации. Конечно, вам рассказали чудесную историю на собеседовании, заверили в чрезвычайной важности безопасности для организации и полной поддержке со стороны руководства, но реальность гораздо сложнее. У вас не будет способов узнать о действительной поддержке высшего руководства, пока вы реально не приступите к работе в организации и не обратитесь за реальной поддержкой.

"Если бы я пришел в компанию, в которой у меня были бы развязаны руки и я мог бы делать то, что хотел, я сначала поискал бы вещи, от которых я смог бы получить максимальную отдачу очень быстро, а затем сосредоточился бы на долгосрочном стратегическом планировании".

Здесь есть неправильное неявное предположение. Никто всерьез не будет обещать вам «развязанных рук» и позволять делать «что вы хотите». Реальность такова, что бизнес уже существовал до вашего прихода, и, вероятно, сможет существовать и без вас в будущем, по крайней мере, в глубине души они будут считать именно так.

Кевин Риггинс очень верно подметил в комментариях к посту Энди, что первое, что следует сделать после приема на работу – это вернуться к руководству и снова, уже всерьез, обсудить свои обязательства и его (руководства) поддержку. Без этого ваша жизнь станет намного труднее. Если вы думаете, что вы сможете сделать что-то существенное «снизу-вверх», то вы заблуждаетесь. Подход «снизу-вверх» применим для некоторых текущих задач, но не смейте при таком подходе даже заикаться о стратегиях и рисках.

"Я бы сказал, что первое, что я сделал бы - это внедрил систему мониторинга, чтобы получить некоторое представление о происходящем".

Нельзя сказать, что это неправильно, просто это попытка перепрыгнуть через ряд шагов. Мониторинга чего? Логов? IDS? Журналов межсетевого экрана? А есть ли сервер для хранения логов? Вы говорите о системе SIEM?! Что у нас при этом с политиками и практиками работы? Ну хорошо, вы включили мониторинг и увидели массу плохих вещей... и что теперь? У вас есть политика и поддержка высшего руководства, необходимые для того, чтобы действительно что-то сделать с увиденными проблемами? А это определяющий фактор, без вариантов.

Вашей первоначальной целью должна быть быстрая оценка текущего состояния среды и подготовка к реализации защищенного и восстановимого состояния среды. Обратите внимание, я говорю "быстрая оценка". Она может быть действительно сделана достаточно быстро. Следует прогуляться по нескольким помещениям организации, по-человечески поговорить с людьми, зайти к руководителям технических подразделений. А уже затем приступать к построению плана действий.

Самое важное, вам необходимо узнать, что имеет решающее значение для бизнеса. Типа, если что-то произойдет с «X», то для «Y» все закончится очень плохо.

Кроме того, обратите внимание, что я не говорю о "рисках" вообще. Забудьте на мгновение о рисках и подумайте о простой приоритезации. Это очень просто приводит к: а) выяснить, что является критичным для бизнеса, б) защитить то, что является критичным для бизнеса, и в) создать планы восстановления того, что является критичным для бизнеса, если произойдет что-то нехорошее.

"Как только это заработает, я, наверное, перейду к реализации программы Управления Уязвимостями, которая начнется с патчей к приложениям и операционным системам, а затем я сосредоточусь на сканировании, тестировании, эксплойтах и т.д... "

Честно говоря, у меня отвалилась челюсть, когда я читал это… Безусловно, патчи очень важны, но в таком контексте это создает ложное впечатление, что это легко и тривиально. В действительности нужно сделать очень много вещей, прежде чем переходить к такой программе! Управление изменениями, управление конфигурациями, управление доступом и т.д. Конечно, все это не обязательно для непосредственной установки патчей, но программа Управления Уязвимостями без этого работать не будет. Тем более сканирование, тестирование и эксплойты… Это же просто игры с огнем, в этой области нужно быть очень осторожным, очень!

Чтобы перейти от работы с патчами по принципу «установи и молись» к нормальной программе Управления Уязвимостями, необходимо точно знать, какие изменения происходят в вашей среде, когда они происходят, что они делают (воздействие), кто выполняет изменения, а также кто разрешил это, между прочим. Да, нужно начать устанавливать патчи (если это еще не делается), но не стоит торопиться с проектом Управления Уязвимостями, пока нет других процессов.

«После того, как Управление Уязвимостями будет внедрено, я буду работать над созданием хорошей программы обучения и повышения осведомленности в области безопасности, чтобы помочь своим пользователям понять риски. Одновременно с этим я буду заниматься вопросом стратегического управления (governance) – я буду работать с бизнес-подразделениями, чтобы понять их потребности и обеспечить тем самым актуальность и эффективность Политик и Процедур».

Ранее Энди говорил о долгосрочном стратегическом планировании, которое очень хорошо в теории, но на практике – не очень. Энди заканчивает свой пост фразой "это всего лишь отправная точка". Справедливо, однако такой подход слишком техничен. Он не предполагает реального понимания и знания бизнеса, окружения и, самое важное, людей.

Позвольте мне предложить альтернативный совет:

1. Получите реальную поддержку руководства. Вам необходима очень сильная поддержка руководства. Без этого получается что-то типа «ответственности без полномочий». Если у вас нет полномочий вносить изменения напрямую (крайне маловероятно), вам придется каждый раз проходить через несколько уровней руководства, чтобы сделать что-то. А пассивное сопротивление с их стороны может быть смертельно опасным.

2. Молниеносная оценка. Вы должны понять, что важно для бизнеса, а также начать получать представление о том, почему все происходит именно таким образом, как происходит реально (в отношении технических решений и т.д.). Я не говорю здесь о какой-либо формальной оценке, и я, конечно, не говорю о "рисках". Это буквально очень быстрая прогулка по организации, чтобы увидеть, кто вокруг вас, что делают люди, и, что более важно, чем все остальное, что является действительно критичным для бизнеса. Если вам не удается это выяснить, то я советую вам сразу начать искать новую работу. Если бизнес не имеет твердого направления ("делать деньги" не является твердым направлением), то вы не сможете сделать свой вклад в успех этой организации. Кстати, в дополнение к определению того, что является критичным для бизнеса, вы также должны обращать внимание на огромные зияющие «дыры», которые требуют немедленного устранения.

3. Разделить обязанности, Обеспечить подотчетность. Безопасность должна быть общей задачей всех сотрудников организации. В этом заключается роль обучения и повышения осведомленности. Но я говорю здесь о чем-то более радикальном. Недостаточно просто рассказать людям о безопасности. Нужно, чтобы они были реально заинтересованы в том, чтобы критичные активы были защищены и могли быть быстро восстановлены, если случится что-то плохое. После этих инвестиций (в виде обучения) появляется рычаг для обеспечения подотчетности. И, увы, в это время бизнесу придется откатиться немного назад от опасного, излишне свободного подхода и потребуется обязать HR применять дисциплинарные меры (вплоть до увольнения) к сотрудникам, которые делают бестолковые или заведомо плохие вещи. Кажется, из-за этого мы потеряем некоторое преимущество в бизнесе, но это именно та область, которая поможет нам вернуть его обратно.

4. Не все "низковисящие плоды" равны. Очень велик соблазн, попав в новую ситуацию, сразу же браться за то, что вы лично хорошо знаете и можете сделать быстро и легко. К сожалению, это может быть совсем непригодно в общей схеме вещей (ну, может не совсем). Основываясь на результатах вашей молниеносной оценки (см. выше), вы должны уже знать, что действительно важно для бизнеса. Исходя из этого, вы получаете возможность сконцентрироваться на том, насколько хорошо защищены эти важнейшие активы сейчас. Именно здесь нужно искать свои "низковисящие плоды". Очевидно, что в это время следует вспомнить также про те замеченные ранее зияющие «дыры», которые являются столь вопиющими, что их необходимо немедленно устранять.

5. Борьба за упрощение. Одной из самых больших сложностей при работе «с нуля» - это удержать себя «на земле». Так просто перегрузить себя, увидев список всего того, что нужно сделать. Именно поэтому я рекомендую на предыдущих шагах заставить себя найти действительно важные системы, а затем практически полностью сконцентрироваться на них. Можно утверждать, что такой подход может быть опасен, и это абсолютно верно. Долгосрочное фокусирование на отдельных узких частях предприятия – это неправильный подход. Мы рассматриваем сейчас этот урезанный подход только как подходящий для того, чтобы начать работу, а не для долгосрочной стратегии. В какой-то момент вы должны посмотреть на картину в целом. НО… вы не сможете реально сделать ничего действительно существенного, пока не будут созданы основы, набран некий политический вес, который затем можно будет свободно использовать на что-то большее и лучшее.

6. Документирование и Процессы. Одна из вещей, которую вы наверняка держите на вооружении, это способность генерировать документацию. Приведет ли это к чему-нибудь реальному – это другой вопрос, но это, по крайней мере, та вещь, которую вы можете – и, безусловно, должны – применять. Вам следует документировать выявленные вами факты, ваши планы на ближайшее будущее, ваши идеи, ваши "низковисящие плоды", ваши важные выводы в отношении бизнеса и т.д. Другая часть очень полезной документации относится к процессам. Лучше всего начать с документирования того, что люди делают сегодня, а затем предлагать дополнительные улучшения для лучшей формализации и стандартизации этой работы. Аналогично, если ничего не делается формально (например, управление изменениями), вы можете разработать основные процессы, чтобы сформировать фундамент (официальные записи, официальное утверждение, бумажные свидетельства), а затем вы можете пойти по пути постепенных улучшений (по мере необходимости). Ключевым здесь является а) начать писать документацию, начиная с первого дня, б) постоянно помнить про разницу между описанием процесса и следованием описанному процессу.

7. Стратегия. Все хотят стратегию, но многие ли реально используют ее? Серьезно. Безопасность исторически имела реактивный характер. Есть много проактивных вещей, которые помогут снизить некоторые угрозы, но в общей схеме вещей может быть очень сложно предпринимать проактивные усилия, пока у вас нет базисов, относительно которых вы будете измерять успех. Тем не менее, вам потребуется общая картина в какой-то момент (желательно, чтобы не раньше, чем через 6 месяцев после начала вашей работы). Важная роль стратегии заключается в том, что она рассматривает организацию в целом, но она неприменима, пока вы работаете с краткосрочными вопросами, направленными на поддержку критичных ресурсов. Вам потребуется в определенный момент взглянуть на все в целом, поскольку наличие слабых звеньев может привести опаснейшим атакам. Ваша стратегия должна также установить уровень допустимого простоя, прерывания и потери данных. Мы говорим о том, что при первоначальной оценке следует рассматривать только критические ресурсы, а уже потом расширять этот круг, обсуждая с руководством, с чем они готовы мириться в определенных областях. Это поможет вам установить общие приоритеты на долгосрочную перспективу. Это поможет вам определить минимально необходимый уровень защищенности и восстанавливаемости.