SIEM, SOC i obsługa incydentów
Całodobowe monitorowanie bezpieczeństwa dla urzędów i firm, które nie mają własnego zespołu dyżurnego. Logi z zapór, serwerów i Active Directory trafiają w jedno miejsce, a podejrzane zdarzenia są wychwytywane także w nocy i w weekendy.
Dlaczego całą dobę
Urząd albo biuro pracuje zwykle około 8 godzin w dni robocze. Ataki, takie jak ransomware czy przejęcia kont, często zaczynają się w nocy i w weekendy, kiedy nikt nie patrzy.
Terminy zgłoszeń z ustawy o KSC są krótkie. Bez całodobowego wykrywania mijają, zanim organizacja w ogóle dowie się o incydencie. Etaty analityków z dyżurami 24/7 są zwykle poza zasięgiem urzędu, a ustawa pozwala powierzyć te zadania firmie zewnętrznej.
- 24 h
- wczesne ostrzeżenie do CSIRT
- 72 h
- zgłoszenie incydentu, a przy danych osobowych także do UODO
- 1 mies.
- raport końcowy z przyczyną
Co obejmuje usługa
Dane
- Centralne logiz Active Directory, serwerów, zapór i poczty, w jednym miejscu, chronione przed modyfikacją
- Przechowywanieprzez wymagany okres, w KRI co najmniej 2 lata
Wykrywanie
- Incydentywykrywanie i obsługa podejrzanych zdarzeń przez całą dobę
- Podatnościbieżąca informacja o podatnych systemach i nowych zagrożeniach dla posiadanej infrastruktury
- Dostawcy i serwisancimonitoring sesji zdalnych firm zewnętrznych
- Nadużycia wewnętrznenietypowe użycie uprawnień, masowe przeglądanie danych, logowania poza godzinami pracy
Reakcja i raporty
- Zgłoszeniaprzygotowanie zgłoszeń i danych technicznych dla CSIRT i UODO
- Analiza powłamaniowaustalenie przyczyny incydentu do raportu końcowego
- Raporty dla kierownictwaregularne zestawienia, które pokazują, że zabezpieczenia działają
Narzędzia
- WazuhSIEM i XDR do zbierania i korelacji zdarzeń
- FortiAnalyzerlogi i raporty z zapór FortiGate
Jak SOC pomaga spełnić wymagania
Każda funkcja odpowiada konkretnemu wymogowi. To przydaje się w uzasadnieniu wniosku do dyrektora albo do planu zamówień.
| Potrzeba | Podstawa |
|---|---|
| Wykrywanie i obsługa incydentów przez całą dobę | KSC, system zarządzania bezpieczeństwem; NIS2 art. 21 ust. 2 lit. b |
| Dotrzymanie terminów zgłoszeń | KSC, zgłaszanie poważnych incydentów do CSIRT; NIS2 art. 23; KRI § 20 ust. 2 pkt 13 |
| Rozliczalność i centralne logi | KRI § 21 |
| Zarządzanie podatnościami | KRI § 20 ust. 2 pkt 11; NIS2 art. 21 ust. 2 lit. e |
| Dowody na audyt | KRI § 20 ust. 2 pkt 14 |
| Nadzór kierownictwa | NIS2 art. 20; obowiązki kierownika podmiotu w KSC |
| Kontrola dostępu dostawców | NIS2 art. 21 ust. 2 lit. d; KRI § 20 ust. 2 pkt 9 |
| Ochrona danych osobowych | RODO art. 32 i 33; KRI § 20 ust. 2 pkt 6 |
Czego SOC nie załatwia
Po stronie organizacji zostaje
- dokumentacja systemu zarządzania bezpieczeństwem: polityki, procedury, analiza ryzyka, plan ciągłości działania
- szkolenia pracowników i kierownictwa
- wewnętrzna procedura reagowania na incydenty z jasnym podziałem ról między organizacją a dostawcą
- wpis do wykazu KSC i współpraca z właściwym CSIRT
Audytor sprawdzi oba obszary, więc warto to uwzględnić od początku.
Na co uważać w umowie
- czasy reakcji zgodne z ustawowymi terminami 24 i 72 godzin
- zasady dostępu do logów po zakończeniu umowy
- okres przechowywania logów co najmniej taki, jakiego wymagają przepisy
- podział ról przy incydencie: kto zgłasza, kto decyduje, kto informuje kierownictwo
Pozostałe usługi z cyberbezpieczeństwa
Rozważasz zewnętrzny SOC?
Pomogę oszacować zakres, przygotować uzasadnienie i wymagania do zamówienia.