Oktober nam je pokazal, zakaj je usklajeno vzdrževanje tako pomembno

Spletna stran je za obiskovalca le vsebina na zaslonu, v ozadju pa delujejo strežniki in programska oprema, ki jo omogočajo. PHP je eden od programskih jezikov, ki skrbijo za delovanje številnih spletnih strani in aplikacij. Uporablja ga približno 69 % spletnih strani, pri katerih je znan strežniški programski jezik.

Ko je ogrožen velik del spleta

Oktobra so v PHP-ju odkrili dve kritični ranljivosti. V določenih okoliščinah lahko napadalcu omogočita oddaljeno izvajanje poljubne kode na ranljivem sistemu, tudi brez predhodne prijave. Posledice so odvisne od okoliščin in pravic, s katerimi deluje prizadeti proces, lahko pa vključujejo ogrožanje podatkov in motnje v delovanju storitev.

SI-CERT je organizacijam svetoval, naj identificirajo prizadete sisteme, se pripravijo na namestitev popravkov in do njihove razpoložljivosti po potrebi izvedejo dodatne zaščitne ukrepe. Priporočila so vključevala tudi možnost začasne izolacije spletnih aplikacij iz javnih omrežij, kadar tveganja ni bilo mogoče ustrezno zmanjšati drugače.

Nekatere organizacije so se ob razkritju kritičnih ranljivosti v PHP odločile za začasno omejitev dostopa do svojih spletnih strani. Ker varnostni popravki ob objavi opozoril še niso bili na voljo, so bili takšni ukrepi namenjeni zmanjšanju izpostavljenosti morebitnim napadom do takrat, ko bi bila na voljo ustrezna rešitev. Začasna nedostopnost spletne strani sama po sebi ne pomeni, da je bila ta že kompromitirana, temveč lahko predstavlja preventivni odziv na povečano varnostno tveganje.

Vzdrževanje zahteva načrt in sodelovanje

Dogodek je pokazal, kako pomembno je, da organizacije vedo, katero programsko opremo uporabljajo in kdo jo vzdržuje. Ko je treba namestiti nujno posodobitev, morajo pogosto sodelovati podjetje, ponudnik gostovanja, razvijalec spletne strani in skrbniki strežnikov.

Izpad spletne trgovine, aplikacije ali poslovnega orodja lahko prekine delo in povzroči izgubo prihodkov. Zato se podjetja in ponudniki vnaprej dogovorijo o podpori. Sporazum o ravni storitev (SLA) določa, kako hitro se ponudnik odzove, kakšno pomoč zagotovi in kako ukrepa ob težavah.

Zanesljiva povezljivost vključuje tudi varnost

Zanesljivost storitev temelji na stalnem spremljanju, preventivnem vzdrževanju in pravočasnih nadgradnjah sistemov. Pomembna sta tudi ustrezno obveščanje uporabnikov in usklajeno izvajanje posegov v infrastrukturo.

Oktobrski primer sicer ni bil izpad telekomunikacijskega omrežja, je pa pokazal, kako lahko ranljivost v široko uporabljeni programski opremi vpliva na dostopnost digitalnih storitev in zakaj je pripravljenost na takšne dogodke pomembna.

Podjetja zato ob stabilni povezljivosti in zanesljivem gostovanju potrebujejo še učinkovito zaščito pred kibernetskimi grožnjami. T-2 zagotavlja in razvija storitve kibernetske varnosti, ki podjetjem pomagajo zmanjševati tveganja in krepiti varnost digitalnega okolja.

Mednarodno sodelovanje za večjo kibernetsko odpornost

T-2 koordinira mednarodni projekt INTERCEPT, v katerem sodelujejo partnerji iz Slovenije in Hrvaške. Projekt razvija platformo za varno izmenjavo informacij o kibernetskih grožnjah ter krepi zmogljivosti varnostno-operativnih centrov (SOC). Hitrejša izmenjava informacij lahko organizacijam pomaga, da grožnje prej prepoznajo in se nanje odzovejo.

Več informacij o projektu INTERCEPT: https://interceptcybersecurity.eu/

Odpornost se gradi pred težavo

Pri načrtovanju neprekinjenega poslovanja in informacijske varnosti so organizacijam v pomoč tudi mednarodni standardi.

ISO 22301 določa okvir za neprekinjeno poslovanje, ISO 27001 pa za upravljanje informacijske varnosti. Oba poudarjata obvladovanje tveganj in vnaprej določene postopke.

Zanesljivost digitalnih storitev se gradi z rednim vzdrževanjem, jasnimi odgovornostmi, učinkovito kibernetsko zaščito in pripravljenostjo na hitro ukrepanje. Ko organizacije poznajo svoje sisteme in vedo, kdo skrbi zanje, lahko varnostne težave odpravijo hitreje ter zmanjšajo motnje za uporabnike.

Si upate preizkusiti svoje vzdrževanje?

Oktober je bil za marsikatero podjetje nenapovedan test. Prišlo je opozorilo o kritični ranljivosti, časa je bilo malo, vprašanj pa veliko. Kdo ukrepa? Kdo pokliče ponudnika? Kako dolgo bo spletna stran izpostavljena?

Na papirju ima vzdrževanje urejeno skoraj vsako podjetje. Resnični test pa ni pogodba, ampak tistih nekaj ur, ko je treba ukrepati.

Naslednji test bo zagotovo prišel. Je vaše vzdrževanje pripravljeno nanj?

Si upate preveriti? Preizkusite nas.

Vaš T-2