Egy új üzleti vagy HR-alkalmazás kiválasztásakor kézenfekvő a funkciókra, az árra és a felhasználói élményre koncentrálni, miközben legalább ilyen fontos kérdés, hogy milyen IT-biztonsági kockázatot hozunk be vele a szervezetbe. Különösen igaz ez akkor, ha a rendszer érzékeny vagy személyes adatokat kezel. De mit érdemes megvizsgálni egy szoftverlicensz, egy SaaS vagy kiszervezett szolgáltatás beszerzése előtt? Hopka László, a NEXON IT-biztonsági igazgatója segítségével összegyűjtöttük a legfontosabb szempontokat a sérülékenységvizsgálattól és a többfaktoros azonosítástól az incidenskezelésen át az üzletmenet-folytonosságig.

Egy HR-alkalmazás vagy szolgáltatás rengeteg személyes adatot kezel, melyek a leggyakoribb célpontok közé tartoznak a kiberbűnözés területén. Ha az adatok illetéktelen kezekbe kerülnek, az nemcsak anyagi, de akár reputációs károkat is okozhatnak, jogi következményekkel is járhatnak.

Hopka László
IT-biztonsági igazgató
NEXON

Egy alkalmazás vagy szolgáltatás megvásárlásakor nemcsak terméket vagy szolgáltatást vásárol a vállalat, hanem kockázatot is. Magától értetődő, hogy míg a termék, szolgáltatás estében minél több funkciót, a lehető legjobb minőséget szeretnénk, a kockázatokból minél kevesebbet, vagyis a lehető legmagasabb biztonságot kívánja a cég megkapni. Optimális esetben a kockázatok nem nőnek, sőt egy jó választással akár csökkenthetőek.

Ez nemcsak a vállalat jól felfogott érdeke, de követelmény is lehet, hiszen ha a cég rendelkezik ISO tanúsítvánnyal vagy érintett a NIS2 rendelet által, akkor köteles vizsgálni, hogy partnerei mekkora kockázatot jelentenek és köteles biztosítani, hogy a beszállítók bevonása ne növelje, hanem legalább szinten tartsa vagy meg inkább csökkentse a kitettségét a kibertámadásokkal szemben.

Melyek azok a szempontok, amelyeket vizsgálni érdemes annak érdekében, hogy a megvásárolt termék vagy szolgáltatás eleget tesz-e a fenti követelményeknek?

Termék vásárlása esetén (on-prem ügyfél esetén) vizsgálni érdemes:
- az alkalmazás a teljes időtartam alatt nem tartalmazhat számottevő sérülékenységet. Ezt a terméket készítő vállalatnak alá is kell tudni támasztani a következő módokon:

• a fejlesztési folyamatban elismert statikus alkalmazásbiztonsági tesztelést biztosító (SAST) rendszer használata
• minden kiadott alkalmazásverzió vizsgálata elismert dinamikus alkalmazásbiztonsági tesztelést biztosító (DAST) eszközzel, csak olyan verzió kiadása, melyben az eszköz nem jelez jelentős sérülékenységet
• az alkalmazás vizsgálata legfeljebb évente, elismert, független IT-biztonsági cég által végzett behatolás vizsgálat (penteszt) formájában, a riport rendelkezésre bocsátásával
• a feltárt sérülékenységeket a szolgáltató rövid időn belül javítsa, a meglévő sérülékenységkezelési folyamatnak és szabályzatnak megfelelően

- az adatok tárolása titkosított formában történjen (pl. adatbázis titkosítás lehetősége), így az adatbázis megszerzése önmagában nem ad lehetőséget az adatok megszerzésére
- az alkalmazás biztosítson lehetőséget a szerepkör alapú jogosultságkezelésre, a kétfaktoros azonosításra és amennyiben szükséges, Single Sign On bejelentkezésre
- a más rendszerekkel való kommunikációra kialakított felület (API, amennyiben szükséges) védett, a kommunikáció titkosított legyen

SaaS szolgáltatás esetében a fentieken túl vizsgálni érdemes:

-  a SaaS-környezet biztonságát:

• a szolgáltatónak folyamatosan vizsgálni kell a SaaS-környezet biztonságát elismert sérülékenységelemző rendszerrel, rendelkeznie kell a sérülékenységek megfelelő kezelését biztosító folyamattal
• a környezetet biztonságos infrastruktúrán a legjobb gyakorlatnak megfelelő folyamatok szerint kell kialakítani, mely magas szintű biztonságot és rendelkezésre állást biztosít
  • a fejlesztési, tesztelési és éles hálózati környezeteket szét kell választani
  • a hálózatot modern (legalább IDS, de még inkább IPS-sel rendelkező) tűzfallal kell védeni
  • biztosítani kell a feltöltött állományok vizsgálatát, kártékony állományok feltöltésének megakadályozását a tűzfalon és a szervereken
  • webes alkalmazás esetében nem elég a tűzfal, szükség van a kifejezetten webes alkalmazások támadásainak kivédésére kifejlesztett web alkalmazás tűzfalra (WAF-ra) is
  • az adatközpontnak magas rendelkezésre állást kell biztosítani a folyamatos üzem biztosítására, lehetőleg nemzetközileg elismert cég által validált (pl Tier III besorolású) megbízhatósággal
  • a környezetnek hibatűrőnek kell lennie, a környezetet futtató szervereknek, hálózati elemeknek nagyfokú redundanciát kell biztosítania
  • az ügyfél környezetéhez szolgáltató oldaláról hozzáférő privilegizált felhasználók hozzáféréseit szigorú szabályok és folyamatok mentén kell a minimálisan szükségesre korlátozni, lehetőleg privilegizált felhasználókezelő (PAM) rendszerrel monitorozva, a privilegizált felhasználók kétfaktoros azonosítást követően férhessenek hozzá Megrendelő környezetéhez
  • a szolgáltatónak rendelkeznie kell a legjobb gyakorlatnak megfelelő katasztrófaelhárítási tervvel, melynek tesztelését lefeljebb évente ismételni kell és eredményét be kell tudni mutatni
  • az infrastruktúra környezetet folyamatosan monitorozni kell, a hibák gyors elhárítására megfelelő folyamatot kell kialakítani a magas szintű rendelkezésre állás biztosítása érdekében

- a szolgáltatás biztonságát folyamatosan monitorozni kell, a naplóállományok elemzését, megőrzését és az incidenskezelést hatékony folyamatok szerint kell végrehajtani

• a szolgáltatónak elismert SIEM-rendszert kell fenntartania mely biztosítja a szolgáltatást nyújtó rendszerek naplóállományainak, működésének monitorozását, a rosszindulatú tevékenységek korai felismerését és megakadályozását és a naplóadatok megőrzését egy évig az utólagos vizsgálatok támogatása érdekében
• az alkalmazásban végzett felhasználói tevékenységek naplóállományait igény esetén biztosítani kell a megrendelő számára
• a szolgáltatónak incidenskezelési folyamattal kell rendelkeznie, mely biztosítja a megrendelő értesítését egy munkanapon belül, rendszeres kommunikációt biztosít a megoldás ideje alatt, valamint garantálja az incidens hatékony elhárítását

- a környezet biztonsági támogatását a nemzetközi iparági és jogi követelményeknek és szabványoknak megfelelő folyamatok szerint és annak megfelelő szervezettel kell végrehajtani

• a szolgáltatónak lehetőleg többféle nemzetközi kontrollrendszernek, szabványnak és legjobb gyakorlatnak való megfelelést kell tudni felmutatni (pl NIS2, ISO 27001 tanúsítvány, SOC riport, CIS)
• rendelkeznie kell a követelményeknek megfelelően kialakított és dokumentált irányítási és szabályozói környezettel (pl. információbiztonsági, jogosultságkezelési, naplókezelési, sérülékenységkezelési szabályzatok, üzletmenet-folytonossági és katasztrófaelhárítási tervek stb)
• támogatja a megrendelő megfelelését a rá vonatkozó követelmények tekintetében (DORA, NIS2, TISAX, GDPR ),
• az információbiztonsági folyamatokat és rendszereket megfelelően kialakított információbiztonsági szervezetnek és megfelelő képzettséggel rendelkező IT-biztonsági szakembereknek kell támogatnia.

Outsource-szolgáltatás esetén a fentieken túl

- a szolgáltató által használt környezetnek rendelkeznie kell a legjobb gyakorlatnak megfelelő védelmi képességekkel:

• a szolgáltatást végzőknek rendszeres információbiztonsági képzése, eszközeik többszintű védelme (végpontvédelem, mobil eszközkezelő rendszer MDM, adatszivárgás elleni védelem DLP),
• a szolgáltatáshoz való hozzáférést szabályozott jogosultságkezelési folyamat és jogosultságkezelő rendszer alapján kell végezni, a jogosultságokat évente felül kell vizsgálni
• a szolgáltatónak üzletmenet-folytonossági tervvel kell rendelkeznie, melyet évente tesztelni kell

- biztonságos adatcserét kell biztosítani a megrendelő és a szolgáltató között titkosított csatornán, többfaktoros hitelesítéssel
- távoli munkavégzést kizárólag titkosított csatornán, többfaktoros azonosítást követően végezzen a szolgáltató.

A NEXON, mint kiemelt biztonságot nyújtó szolgáltató, IT-securityCyber Defense felelősségbiztosítással rendelkezik. Ez a biztosítás önmagában is megerősíti a fent felsorolt biztonsági szempontokat, tekintve, hogy ilyen speciális biztosítást kizárólag neves, tőkeerős biztosítók kötnek, akik maguk is szigorúan vizsgálják és tesztelik a biztosított IT-sérülékenységét. Magyarországon az IT-szolgáltatásokat nyújtó társaságok közül még kevesek rendelkeznek ilyen biztosítással.

www.nexon.hu/informaciobiztonsag-nexon