Daremo l'accesso al fornitore per l'incident response da remoto — cosa deve contenere il contratto sulle autorizzazioni?

Al posto di una VPN permanente piazzate in mezzo una soluzione di Privileged Access Management (PAM). L'analista quando si collega non deve conoscere la password in chiaro, la credenziale deve essere iniettata in automatico dal vault e ogni comando deve essere inviato in tempo reale a un server di log separato via syslog. In questo modo non potranno ripulire le proprie tracce.

Nel testo legale deve essere definita in modo inequivocabile la distinzione tra responsabile del trattamento e titolare del trattamento ai sensi della legge KVKK. Inoltre, per evitare che la catena di custodia (chain of custody) venga compromessa durante le analisi forensi, è necessario vincolare contrattualmente l'applicazione di metodologie conformi agli standard internazionali riconosciuti.

Due anni fa abbiamo dato una VPN permanente a una società di consulenza simile per dei test; il lavoro è finito ma l'account non è stato chiuso. Nove mesi dopo hanno rubato il portatile a un loro dipendente e degli aggressori sono entrati nella nostra rete. Per fortuna ce ne siamo accorti presto dai log. Da quel giorno non apriamo le porte a nessuno se non con account temporanei.

Limitate la connessione tramite firewall consentendo solo due indirizzi IP statici comunicati dall'azienda. Bloccate del tutto gli accessi da casa, bar o IP dinamici. Rendete obbligatoria l'autenticazione a più fattori (MFA) tramite chiave hardware.

La scusa del "non possiamo intervenire nella prima mezz'ora" è per lo più pigrizia. Con uno script di approvazione automatica ci vogliono 90 secondi per attivare un account. Non lasciate la vostra infrastruttura perennemente vulnerabile solo per far stare comodi loro.

3 clausole da far inserire assolutamente nel contratto: 1) Elenco con nomi e fedina penale degli specialisti che faranno parte del team di intervento. 2) Standard di crittografia e protocollo di distruzione per i dati estratti dal sistema a scopo di analisi (ad esempio RAM dump). 3) Massimali di risarcimento applicabili in caso di interruzione del servizio dovuta a un loro intervento errato.

Lasciare privilegi permanenti di root o domain admin a un'azienda esterna è inaccettabile secondo qualsiasi standard di sicurezza.

Il team che interverrà dispone di un'assicurazione di responsabilità civile professionale? Se per caso con un comando sbagliato vi cancellano il database o si verifica un data leak, la polizza assicurativa fino a che punto copre il danno?

Vorrei fare una domanda. Avere il backup accessibile sulla stessa rete e con le stesse credenziali lo rende parte del bersaglio.

Chiunque abbia fretta su contratto autorizzazioni intervento da remoto si blocca nello stesso punto. Questa è la mia opinione, non la scrivo come verità assoluta.

Esattamente così. Se cerchi di cambiare tutto insieme, niente si stabilizza.

Lascio una nota, potrebbe servire.

Riassumo quanto detto finora. Il fatto che tutti facciano una cosa non significa che sia quella giusta.

Avere il backup accessibile sulla stessa rete e con le stesse credenziali lo rende parte del bersaglio. Lascio una nota, potrebbe servire.

Ottimo lavoro. Gli ambienti di test dimenticati diventano spesso un punto d'accesso più frequente del sistema live.

Buon lavoro.

Preso nota, grazie.

Grazie mille, proverò oggi. Se permessi e ambito non sono scritti, quel test non deve iniziare.

Io seguirei questa strada.

sono d'accordo.

Ci proverò.

Avete ragione sono passato anch'io per la stessa strada. Se rimproverate i falsi allarmi nessuno segnalerà più nulla.

Se avete domande scrivete, rispondo per quanto possibile.

riassumo quanto detto finora. la risposta varia molto in base al settore, non esiste una regola generale.

se avete domande scrivete, rispondo per quanto possibile.