Postup je na papíře. Ale ví všichni, co dělat, když přijde útok?

Bezpečnostní směrnice existuje. Incident response plán je zpracovaný. Kontakty na dodavatele jsou někde uložené a odpovědnosti byly rozděleny. Na papíře může být organizace připravená velmi dobře. Skutečný test ale přichází až ve chvíli, kdy se něco opravdu stane.

Kdo má zavolat dodavateli? Kde je aktuální smlouva? Jaké má SLA? Které systémy jsou na napadené infrastruktuře závislé? Kdo zastupuje člověka, který je právě na dovolené?

Právě rozdíl mezi dokumentací a skutečným stavem organizace byl jedním z hlavních témat nové epizody CZECH CYBER TV PODCASTU.

Dokumentace začíná stárnout prakticky okamžitě

Organizace dnes pracují s obrovským množstvím informací. Mají organizační struktury, bezpečnostní dokumentaci, seznamy aktiv, smlouvy s dodavateli, analýzy rizik, provozní postupy nebo výsledky auditů.

Problém nemusí být v tom, že informace neexistují. Mohou být rozdělené mezi různé systémy, tabulky, dokumenty a jednotlivá oddělení.

A především se mění realita, kterou mají popisovat.

Přibude nový systém. Změní se dodavatel. Zaměstnanec odejde. Aktualizuje se smlouva. Změní se infrastruktura. Proces, který byl při posledním auditu popsán správně, tak nemusí za několik měsíců odpovídat skutečnosti.

Při běžném provozu nemusí být rozdíl příliš vidět. Při incidentu se ale čas strávený hledáním správné informace může stát zásadním problémem.

Když nejdůležitější dokumentace není v dokumentaci

Ještě složitější je provozní paměť organizace.

Radek Doležal v rozhovoru popisuje situaci, kdy má ve svém IT týmu dva zkušené pracovníky blížící se důchodovému věku. V IT pracují přes třicet let a znají množství souvislostí, které nikdy nebyly formálně zdokumentovány.

Podobnou situaci pravděpodobně zná řada organizací. Na otázku, jak určitá část infrastruktury funguje, existuje jednoduchá odpověď:

„To ví kolega.“

Jenže co se stane, když kolega nepřijde do práce? Nebo po třiceti letech z organizace definitivně odejde?

Nejde přitom pouze o technickou konfiguraci. Zkušený člověk často zná historii systému, jeho zvláštnosti, vazby na další služby, dodavatele nebo postupy, které vznikly během let provozu.

Zachycení tohoto know-how proto začíná být stejně důležité jako samotná technická dokumentace.

Čtyřhodinové SLA nemusí znamenat čtyři hodiny

Dalším příkladem je dodavatelský řetězec.

Organizace může mít smluvně stanovenou reakční dobu svého dodavatele například na čtyři hodiny. Dodavatel ale může být závislý na dalším subdodavateli s osmihodinovou reakční dobou. A ten zase na někom, kdo garantuje zásah například během dvou dnů.

Pohled pouze na první smlouvu tak nemusí ukázat skutečnou dobu potřebnou k obnovení kritické služby.

Právě znalost vazeb mezi službami, systémy, lidmi a dodavateli je při incidentu důležitá. Nestačí vědět, co přestalo fungovat. Organizace potřebuje rychle zjistit také co dalšího je na daném systému závislé, kdo za jednotlivé části odpovídá a koho je potřeba kontaktovat.

Od dokumentů k aktuálnímu obrazu organizace

Právě tady vstupuje do debaty společnost Altworx se svou platformou, kterou popisuje jako „síť reality“.

Principem je propojit informace, které už v organizaci existují, s daty z jednotlivých systémů a vytvořit mezi nimi vazby. Výsledkem nemá být další statický dokument, ale průběžně aktualizovaný pohled na fungování organizace.

V rozhovoru zaznívá několik příkladů využití: evidence odpovědností, dodavatelských vztahů a SLA, správa aktiv, eskalační scénáře při incidentech nebo rozdílné pohledy na stejná data podle role konkrétního uživatele.

Smyslem přitom není dostat do jednoho systému úplně všechna dostupná data. Podstatné je identifikovat informace a vazby, které jsou důležité pro konkrétní proces nebo scénář.

Altworx uvádí, že nasazení typicky začíná omezeným proof of conceptem. Ten má na existující dokumentaci a několika vybraných scénářích ukázat, jak by propojený obraz organizace mohl vypadat, ještě před případným širším nasazením.

AI může změnit způsob, jakým firmy předávají know-how

Zajímavým tématem v závěru rozhovoru je také využití umělé inteligence.

Pokud organizace dokáže dostatečně dobře popsat vlastní prostředí, procesy a vzájemné vazby, může nad těmito informacemi v budoucnu vzniknout úplně nový způsob práce s firemním know-how.

Nový zaměstnanec už nemusí vědět, ve kterém dokumentu má informaci hledat. Může se systému jednoduše zeptat.

To může být důležité právě ve chvíli, kdy z firem postupně odcházejí lidé s desítkami let zkušeností a současně přicházejí zaměstnanci, kteří potřebují prostředí organizace pochopit co nejrychleji.

Technologie samozřejmě zkušeného člověka nenahradí. Může ale pomoci zabránit tomu, aby s jeho posledním pracovním dnem zmizela také významná část provozní paměti organizace.

Připravenost se nepozná podle počtu dokumentů

Nové regulatorní požadavky nutí řadu organizací znovu přemýšlet nad řízením kybernetické bezpečnosti. Samotné splnění dokumentačních povinností ale ještě nemusí znamenat skutečnou připravenost.

Mnohem praktičtější otázka zní:

Pokud se zítra ráno něco stane, dokážeme během několika minut zjistit, co bylo zasaženo, jaký to má dopad, kdo za danou oblast odpovídá a co máme udělat dál?

Pokud odpověď vyžaduje několik telefonátů, hledání ve složkách a člověka, který si zrovna vzpomene, kde je správný Excel, může být mezi dokumentovaným a skutečným stavem organizace větší rozdíl, než se na první pohled zdá.