Az NCC által meghirdetett kiberbiztonsági pályázat komoly lehetőséget jelent a magyar kis- és középvállalkozások számára. A program keretében akár több millió forintos támogatás is igényelhető kiberbiztonsági fejlesztésekre.
A kérdés azonban sok vállalatnál nem az, hogy érdemes-e pályázni, hanem az, hogy:
milyen kiberbiztonsági beruházásokra érdemes elkölteni a támogatást.
Sok szervezet ilyenkor új eszközök vásárlásában gondolkodik, pedig gyakran nem az eszköz hiánya a legnagyobb probléma, hanem a rendszerek valódi biztonsági állapotának ismerete.
Ebben a cikkben bemutatjuk, hogy:
· milyen fejlesztések hozzák a legnagyobb biztonsági előnyt
· milyen kiberbiztonsági vizsgálatok érdemesek a támogatásra
· hogyan lehet a pályázati forrásból valódi kockázatcsökkentést elérni
A legtöbb cég rosszul költi el a kiberbiztonsági keretet
Amikor egy vállalat kiberbiztonsági fejlesztésekre kap forrást, gyakran az alábbi lépések történnek:
1. új biztonsági szoftver beszerzése
2. infrastruktúra bővítés
3. monitoring eszköz vásárlása
Ezek mind hasznos beruházások lehetnek.
Azonban ha a szervezet nem tudja pontosan, hogy hol vannak a sérülékenységek, akkor könnyen előfordulhat, hogy a beruházás nem a legkritikusabb problémát oldja meg.
Ezért a legtöbb érett kiberbiztonsági stratégia nem eszközvásárlással kezdődik, hanem biztonsági vizsgálattal.
1. Sérülékenységvizsgálat: a kockázatok feltérképezése
A vulnerability assessment célja az informatikai rendszerek sérülékenységeinek feltárása.
Ez magában foglalhatja:
· hálózati rendszerek vizsgálatát
· szerverek és operációs rendszerek ellenőrzését
· alkalmazások biztonsági tesztelését
Egy jól elvégzett sérülékenységvizsgálat után a vállalat pontos képet kap arról:
· milyen kockázatok léteznek
· mely hibák kritikusak
· milyen javításokra van szükség
Ez ideális első lépés lehet egy pályázati projektben.
2. Penetrációs tesztelés: valós támadási szimuláció
A penetration testing már egy lépéssel tovább megy.
Itt a szakértők valós támadási módszerekkel próbálják kihasználni a rendszerek gyengeségeit.
A cél nem csak az, hogy megtaláljuk a hibát, hanem az is, hogy megértsük:
· milyen támadási láncok léteznek
· milyen adatokat lehetne megszerezni
· meddig juthatna el egy támadó
Ez különösen fontos a modern kibertámadásoknál, ahol több sérülékenység kombinációja vezet kompromittáláshoz.
3. Threat-led penetration testing és Red Teaming
A legérettebb szervezetek számára a threat-led penetration testing vagy red teaming nyújtja a legrealistább képet.
Ez a megközelítés:
· valós támadási forgatókönyveket használ
· a teljes infrastruktúrát vizsgálja
· és azt is teszteli, hogy a szervezet észleli-e a támadást.
A módszer különösen hasznos lehet azoknál a cégeknél, amelyek már rendelkeznek biztonsági eszközökkel, és szeretnék tudni, mennyire működik a védelem a gyakorlatban.
Hogyan segíthet ebben a SuperiorPentest?
A SuperiorPentest kiberbiztonsági szakértői csapata olyan vizsgálatokat végez, amelyek segítenek feltárni a szervezetek valódi biztonsági kockázatait.
Szolgáltatásaink közé tartozik:
· threat-led penetration testing
Ezek a vizsgálatok segítenek a szervezeteknek:
· azonosítani a kritikus sérülékenységeket
· csökkenteni a támadási felületet
· és felkészülni a modern kibertámadásokra.
Összefoglalás
Az NCC kiberbiztonsági pályázat kiváló lehetőség arra, hogy a vállalatok erősítsék informatikai védelmüket.
A legfontosabb azonban az, hogy a támogatás valódi kockázatcsökkentést eredményezzen, ne csak új eszközök beszerzését.
A legtöbb esetben a leghatékonyabb kezdő lépések:
· threat-led biztonsági tesztelés
Ha szeretné megtudni, hogy vállalata milyen kiberbiztonsági fejlesztésekre pályázhat, érdemes egy szakértői biztonsági felméréssel kezdeni.