Stack cyberbezpieczeństwa: praktyczny przewodnik dla liderów IT

jak myśleć o stacku

Najtrudniejsze w bezpieczeństwie dla kogoś spoza branży jest to, że ta dziedzina nie ma oczywistego kształtu, więc wygląda jak niekończąca się lista produktów z trzyliterowymi skrótami. Sposób, żeby to ogarnąć, to spojrzeć na całość przez dwie proste perspektywy naraz.

Pierwsza perspektywa to co chronisz. Narzędzia security grupują się wokół terytoriów, a jest ich niewiele: tożsamości, urządzenia, sieć, dane, aplikacje, chmura i ludzie. Niemal każdy produkt na rynku broni jednego z nich. Kiedy zobaczysz terytoria, nazwy produktów przestają być przypadkową listą.

Druga perspektywa to czy każde terytorium jest faktycznie pokryte. Nie wystarczy mieć narzędzie w danym terytorium, trzeba wiedzieć, co ono robi, a czego nie robi. Najczystszy sposób sprawdzenia kompletności to NIST Cybersecurity Framework, który dzieli wszystko na sześć funkcji: Govern (decydowanie o podejściu do ryzyka i o tym, kto za co odpowiada), Identify (wiedza o tym, co masz), Protect (zapobieganie złym rzeczom), Detect (zauważanie, kiedy zapobieganie zawodzi), Respond (działanie na podstawie tego, co wykryjesz) i Recover (powrót do normalności po incydencie). Możesz mieć terytorium dobrze chronione, ale kompletnie niewykrywane, a to częsta i niebezpieczna luka.

Połącz obie perspektywy i dostajesz siatkę: twoje terytoria z boku, sześć funkcji na górze. Kompletny stack ma coś realnego w większości komórek. Typowy stack firmy z mid-marketu ma kilka komórek mocno przeinwestowanych, kilka pustych i nikogo, kto kiedykolwiek spojrzał na to w ten sposób. Jeszcze jedna idea, którą warto zapamiętać: obrona w głąb (defense in depth). Żadna pojedyncza kontrola nie zatrzyma wszystkiego, więc bezpieczeństwo działa warstwami, przy założeniu, że każda z nich może zawieść. Stack jest silny, kiedy warstwy się nakładają, a słaby tam, gdzie jedno terytorium zostawiono pod opieką pojedynczej kontroli, bez niczego za nią.

terytoria po kolei

tożsamość i dostęp

Kto może dosięgnąć czego i jak dowodzi, że jest tym, za kogo się podaje. To terytorium, które ma największe znaczenie, bo perymetr sieci się rozpuścił i tożsamość jest teraz główną rzeczą stojącą między atakującym a twoimi systemami. Kategorie: dostawca tożsamości (IdP) z single sign-on (SSO) to warstwa katalogu i logowania. Uwierzytelnianie wieloskładnikowe (MFA) dodaje drugi dowód. Zarządzanie dostępem uprzywilejowanym (PAM) kontroluje konta administracyjne. Identity governance (IGA) zajmuje się tym, kto dostaje dostęp, a kto go traci. Identity threat detection and response (ITDR) pilnuje ataków na tożsamość. Tożsamość maszynowa (NHI) obejmuje konta serwisowe, klucze API i agentów AI, których jest już więcej niż twoich ludzi. A zero trust network access (ZTNA) przyznaje dostęp per aplikacja, na podstawie tożsamości. Kiedy tego potrzebujesz: zawsze i jako pierwsze. Nawet najmniejsza firma potrzebuje IdP, z którego korzysta w pełni, MFA wszędzie i czystego offboardingu. Cięższe elementy dochodzą wraz ze wzrostem.

endpointy i urządzenia

Laptopy, telefony i serwery, na których pracują twoi ludzie. Kategorie: antywirus i endpoint protection (EPP) blokują znane malware. Endpoint detection and response (EDR) pilnuje zachowania urządzeń pod kątem ataków i pozwala reagować, a extended detection and response (XDR) rozciąga to na urządzenia i tożsamość. Mobile device management (MDM) lub unified endpoint management (UEM) konfiguruje, zabezpiecza i czyści urządzenia. Do tego szyfrowanie dysku i patching. Kiedy tego potrzebujesz: EDR albo przynajmniej solidny endpoint protection jest niezbędny niemal dla każdego, a zarządzanie urządzeniami zaczyna mieć znaczenie, gdy masz więcej niż garstkę laptopów.

sieć

Połączenia między twoimi systemami a światem zewnętrznym. Kategorie: firewall i jego nowoczesna forma next-generation firewall (NGFW) kontrolują ruch. ZTNA zastępuje stare VPN w dostępie zdalnym. Secure web gateway (SWG) filtruje ruch webowy, a DNS security blokuje złośliwe domeny. Intrusion detection and prevention (IDS i IPS) pilnują ruchu pod kątem ataków. Zebrane w chmurze stają się SSE, a z dodaną warstwą sieciową SASE. Kiedy tego potrzebujesz: firewall to oczywistość. Większym ruchem dla większości firm jest dziś zastąpienie VPN przez ZTNA, bo płaski VPN, który wrzuca użytkowników prosto do sieci, jest zarówno codzienną irytacją, jak i ulubioną drogą ransomware.

e-mail i warstwa ludzka

E-mail wciąż jest głównym wejściem dla większości ataków, a to twoi ludzie je otwierają. Kategorie: secure email gateway (SEG) albo nowoczesny email security odfiltrowuje phishing, malware i business email compromise. Security awareness training i symulowany phishing uczą ludzi rozpoznawać to, co się przebije. Coraz istotniejsza jest też obrona przed deepfake i social engineeringiem wspieranym przez AI. Kiedy tego potrzebujesz: email security jest niezbędny dla każdego. Szkolenia z świadomości są tanie i wartościowe, choć działają jako uzupełnienie kontroli technicznych, a nie ich zamiennik. Warstwę ludzką traktuj jako coś, co wspierasz, nie coś, co obwiniasz.

dane

To, co ostatecznie chronisz. Kategorie: klasyfikacja danych identyfikuje i oznacza to, co wrażliwe, i jest fundamentem, na którym opiera się wszystko inne. Data loss prevention (DLP) zatrzymuje wyciek wrażliwych danych przez e-mail, przeglądarkę, narzędzia AI i inne kanały. Data security posture management (DSPM) znajduje miejsca, w których wrażliwe dane są wystawione w chmurze i SaaS. Szyfrowanie chroni dane w spoczynku i w tranzycie. A backup utrzymuje kopię, z której można odzyskać dane, twoją ostatnią linię obrony przed ransomware. Kiedy tego potrzebujesz: klasyfikacja i backup są dla każdego, a nietestowany backup to jedna z najczęstszych i najbardziej niebezpiecznych luk, jakie istnieją.

aplikacje

Oprogramowanie, które budujesz albo uruchamiasz. Kategorie: szeroko rozumiany application security (AppSec), z SAST i DAST testującymi kod pod kątem błędów, web application firewall (WAF) filtrujący ataki na aplikacje webowe, API security, secrets management, żeby dane uwierzytelniające nie leżały w kodzie, i software bill of materials (SBOM). Kiedy tego potrzebujesz: jeśli budujesz oprogramowanie, to terytorium jest kluczowe. Jeśli tylko kupujesz i uruchamiasz oprogramowanie, kurczy się do pilnowania patchy i starannego wyboru dostawców.

saas

Dziesiątki albo setki aplikacji chmurowych, z których faktycznie korzystają twoje zespoły, a większości z nich IT nigdy formalnie nie zatwierdziło. Kategorie: SaaS management wykrywa twoje aplikacje i kontroluje wydatki. SaaS security posture management (SSPM) znajduje ryzykowne ustawienia i ryzyko podpiętych aplikacji. CASB pośredniczy w dostępie do aplikacji chmurowych i go kontroluje. Do tego granty OAuth i integracje aplikacja-aplikacja, które po cichu dają stronom trzecim stały dostęp. Kiedy tego potrzebujesz: w momencie, gdy twoja firma używa więcej SaaS, niż IT jest w stanie wymienić z pamięci, czyli niemal od razu.

infrastruktura chmurowa

Jeśli uruchamiasz obciążenia w AWS, Azure czy Google Cloud, to jest bezpieczeństwo tej infrastruktury. Kategorie: cloud security posture management (CSPM) znajduje błędne konfiguracje. Cloud workload protection (CWPP) zabezpiecza działające obciążenia. CIEM zarządza tym, kto i co ma uprawnienia w chmurze. Zebrane razem stają się CNAPP. Kiedy tego potrzebujesz: gdy tylko uruchamiasz istotną infrastrukturę w chmurze publicznej. Źle skonfigurowany bucket w chmurze to jedna z najczęstszych przyczyn wycieku danych.

ai

Najnowsze terytorium i to, które zmienia się najszybciej. Dzieli się na dwa zadania. AI security kontroluje AI jako kanał wycieku danych i powierzchnię ataku. AI governance to strona nadzoru i zgodności: wiedza o tym, jakiego AI używasz, i spełnianie obowiązków takich jak unijny AI Act. Obie opierają się na inwentarzu AI: wiedzy o tym, jakie AI jest faktycznie w użyciu. Kiedy tego potrzebujesz: teraz, bo twój zespół już używa AI, niezależnie od tego, czy to nadzorujesz. Pierwszy krok jest mały i darmowy: wiedzieć, co jest w użyciu.

warstwy przekrojowe

Detekcja i reagowanie. Posiadanie narzędzi ochronnych to nie to samo, co obserwowanie ataków. SIEM zbiera i koreluje logi, SOC to zespół, który obserwuje, MDR to ta obserwacja kupiona jako usługa zarządzana, a SOAR automatyzuje reakcję. Częsta luka jest ogromna: firmy kupują narzędzia detekcyjne i nie mają nikogo, kto zadziała na podstawie tego, co te narzędzia znajdą. Jeśli nie masz zespołu, który obserwuje, managed detection jest zwykle uczciwą odpowiedzią.

Governance i ryzyko. Warstwa decyzyjna. Narzędzia GRC śledzą governance, ryzyko i zgodność. Frameworki takie jak NIST Cybersecurity Framework, ISO 27001 czy CIS Controls dają strukturę, względem której pracujesz. Tu decydujesz, co się liczy i kto za co odpowiada.

Odporność i odzyskiwanie. Co się dzieje, kiedy coś pójdzie nie tak. Backup i disaster recovery, plan incident response i planowanie business continuity. Powtarzającą się porażką jest backup, którego nigdy nie przetestowano i który okazuje się nie działać, co wychodzi na jaw w najgorszym możliwym momencie.

czego naprawdę potrzebujesz, w zależności od wielkości i sytuacji

Najszybszy sposób na zmarnowanie pieniędzy na security to kupić enterprise'owy stack dla firmy z mid-marketu, a najszybszy sposób na naruszenie to zostawić podstawowe terytorium bez pokrycia. Właściwa odpowiedź zmienia się razem z twoją wielkością, sektorem i tym, czym się zajmujesz.

• Tożsamość, MFA, SSO · Lean / mała (poniżej ~50): Niezbędne · Rosnący mid-market (50-500): Niezbędne · Większa / wielopodmiotowa (500-2000): Niezbędne · Enterprise / regulowana: Niezbędne
• Ochrona endpointów / EDR · Lean / mała (poniżej ~50): Niezbędne · Rosnący mid-market (50-500): Niezbędne · Większa / wielopodmiotowa (500-2000): Niezbędne · Enterprise / regulowana: Niezbędne
• Bezpieczeństwo poczty · Lean / mała (poniżej ~50): Niezbędne · Rosnący mid-market (50-500): Niezbędne · Większa / wielopodmiotowa (500-2000): Niezbędne · Enterprise / regulowana: Niezbędne
• Backup, testowany · Lean / mała (poniżej ~50): Niezbędne · Rosnący mid-market (50-500): Niezbędne · Większa / wielopodmiotowa (500-2000): Niezbędne · Enterprise / regulowana: Niezbędne
• Świadomość bezpieczeństwa · Lean / mała (poniżej ~50): Niezbędne · Rosnący mid-market (50-500): Niezbędne · Większa / wielopodmiotowa (500-2000): Niezbędne · Enterprise / regulowana: Niezbędne
• Widoczność SaaS i AI · Lean / mała (poniżej ~50): Zacznij teraz · Rosnący mid-market (50-500): Niezbędne · Większa / wielopodmiotowa (500-2000): Niezbędne · Enterprise / regulowana: Niezbędne
• Firewall / ZTNA · Lean / mała (poniżej ~50): Podstawowy · Rosnący mid-market (50-500): ZTNA zastępujące VPN · Większa / wielopodmiotowa (500-2000): SSE · Enterprise / regulowana: SASE
• Cloud posture (CSPM) · Lean / mała (poniżej ~50): Jeśli cloud-native · Rosnący mid-market (50-500): Jeśli cloud-native · Większa / wielopodmiotowa (500-2000): Niezbędne · Enterprise / regulowana: Niezbędne
• PAM · Lean / mała (poniżej ~50): Podstawowa higiena · Rosnący mid-market (50-500): Dopasowany do skali · Większa / wielopodmiotowa (500-2000): Pełny · Enterprise / regulowana: Pełny
• Access governance (IGA) · Lean / mała (poniżej ~50): Proces + IdP · Rosnący mid-market (50-500): Proces + IdP · Większa / wielopodmiotowa (500-2000): Platforma · Enterprise / regulowana: Pełny
• DLP · Lean / mała (poniżej ~50): Wbudowany · Rosnący mid-market (50-500): Wbudowany plus kanał AI · Większa / wielopodmiotowa (500-2000): Szerszy · Enterprise / regulowana: Pełny program
• Detekcja i reagowanie · Lean / mała (poniżej ~50): Zarządzana (MDR) · Rosnący mid-market (50-500): Zarządzana lub hybrydowa · Większa / wielopodmiotowa (500-2000): SOC plus narzędzia · Enterprise / regulowana: SOC 24/7
• ITDR · Lean / mała (poniżej ~50): Wbudowane w IdP · Rosnący mid-market (50-500): XDR lub zarządzane · Większa / wielopodmiotowa (500-2000): Dedykowane · Enterprise / regulowana: Pełne
• Narzędzia GRC · Lean / mała (poniżej ~50): Arkusz kalkulacyjny · Rosnący mid-market (50-500): Arkusz kalkulacyjny lub lekkie narzędzie · Większa / wielopodmiotowa (500-2000): Platforma · Enterprise / regulowana: Platforma

Pierwsze pięć wierszy jest niezbędne dosłownie dla każdego, a firma, która ma tylko to, ale zrobione porządnie, jest w lepszej sytuacji niż firma z tuzinem narzędzi i luką w podstawach. Większość cięższych narzędzi dotyczy skalowania i dowodów, a nie fundamentalnej ochrony. A rzeczą, której najczęściej brakuje niezależnie od wielkości, jest warstwa detekcji i reagowania, dlatego tak często pojawia się jako „zarządzana”. Twój sektor też zmienia priorytety: software house stawia na application security; podmiot finansowy pod DORA stawia na odporność, kontrolę dostępu i dowody; podmiot ochrony zdrowia stawia na ochronę danych i dostęp do systemów pacjentów; firma usług profesjonalnych stawia na bezpieczeństwo poczty i ochronę danych klientów. Terytoria są te same, zmienia się kolejność.

jak zmapować własny stack

Czytanie o stacku jest przydatne. To zmapowanie własnego realnie coś zmienia i zajmuje jedno popołudnie. Narysuj siatkę: z boku terytoria, które cię dotyczą, na górze sześć funkcji. Teraz wypełnij ją uczciwie, komórka po komórce. Dla tożsamości: Govern, czyli czy masz politykę i właściciela; Identify, czyli czy znasz każde konto i to, do czego ma dostęp; Protect, czyli czy masz MFA i least privilege; Detect, czyli czy wykrywasz ataki na tożsamość; Respond, czyli czy potrafisz szybko wyłączyć skompromitowane konto; Recover, czyli czy potrafisz czysto przywrócić dostęp. Oznacz każdą komórkę jako pokrytą, częściową albo pustą. Bądź bezwzględny, bo wygodna mapa jest bezużyteczna.

Potem odczytaj wzorzec. Puste komórki to brakująca zdolność, a te, które bolą najbardziej, są zwykle w Detect i Respond, gdzie firmy mają narzędzia ochronne, ale nikt nie obserwuje, oraz w Identify, gdzie chronią rzeczy, których w pełni nie widzą. Osierocone terytoria to te bez żadnego właściciela, często SaaS, AI i tożsamość maszynowa, bo urosły szybciej niż czyjkolwiek zakres obowiązków. Potem ustaw priorytety według wpływu, a nie według tego, którą lukę najłatwiej zamknąć. Wybierz kilka luk, które zabolałyby najbardziej, i zamknij je najpierw. Ta krótka, uszeregowana lista to twój plan bezpieczeństwa, zbudowany na jasnym obrazie, a nie na pitchu dostawcy.

luki, które widać najczęściej

W firmach z mid-marketu powtarzają się te same dziury i żadna z nich nie jest egzotyczna. Tożsamość jest niedopokryta względem tego, jak duże ma znaczenie: MFA włączone, ale nie wszędzie, offboarding ręczny i nieszczelny, dostęp uprzywilejowany stały i nieobserwowany. Detekcja i reagowanie brakuje w całości, narzędzia ochronne generują alerty w próżnię. SaaS i AI są niewidzialne, dwa całe terytoria, które urosły poza czyimkolwiek zakresem odpowiedzialności. Backup istnieje na papierze, ale nigdy nie był testowany, więc plan odzyskiwania po raz pierwszy spotyka rzeczywistość podczas prawdziwego incydentu. A governance jest nieobecny, więc nie ma jasnego właściciela bezpieczeństwa jako całości i decyzje zapadają narzędzie po narzędziu, a nie względem planu. Wątkiem, który łączy je wszystkie, jest widoczność. Nie da się nadzorować, chronić ani obserwować terytorium, którego nie widzisz, a terytoria, które szkodzą firmom, to niemal zawsze te, na które nikt nie patrzył.