Aneks A, deo 17: A.8.6–8.10 — Osnovne operacije: malver, ranjivosti, konfiguracija

 Sedamnaesti deo serije o Aneksu A. Ovih pet kontrola čine svakodnevnu tehničku higijenu svake firme, male ili velike — manje uzbudljivo od kontrole pristupa, ali podjednako bitno, jer je upravo ovde najlakše postati nemaran kad ništa akutno ne izgleda pogrešno.

Šta ove kontrole traže

A.8.6 — Upravljanje kapacitetom. Korišćenje resursa treba da bude praćeno i prilagođeno trenutnim i očekivanim potrebama za kapacitetom — prostor za skladištenje, procesorska snaga, mrežni protok.

A.8.7 — Zaštita od malvera. Treba primeniti zaštitu od malicioznog softvera, uz odgovarajuću svest korisnika kao dopunu tehničkoj meri.

A.8.8 — Upravljanje tehničkim ranjivostima. Informacije o tehničkim ranjivostima sistema koje firma koristi treba pribavljati, izloženost tim ranjivostima procenjivati, i preduzimati odgovarajuće mere.

A.8.9 — Upravljanje konfiguracijom. Konfiguracije hardvera, softvera, usluga i mreža, uključujući bezbednosne postavke, treba da budu uspostavljene, dokumentovane, primenjene, praćene i preispitivane.

A.8.10 — Brisanje informacija. Informacije sačuvane u sistemima, uređajima ili na bilo kom drugom mediju treba obrisati kad više nisu potrebne.

Zašto su ove kontrole bitne

Nijedna od ovih pet kontrola ne zvuči dramatično, i upravo je to razlog zašto se najčešće zanemaruju — nema jasnog trenutka kad neko primeti da nedostaju, sve dok se ne pojavi problem koji je mogao biti sprečen mesecima ranije.

Primer iz prakse

A.8.6, pouka koju smo već sreli: setite se otkrića iz dela serije o kontinuitetu poslovanja — rezervna kopija lokalnog servera nije radila tri meseca jer je isticao prostor za skladištenje, a niko nije bio obavešten. To je bio propust upravljanja kapacitetom pre nego što je uopšte imao ime. Posle tog otkrića, agencija je uvela automatsko upozorenje kad slobodan prostor padne ispod određenog praga, umesto da se problem otkrije tek kroz godišnji test obnavljanja.

A.8.7, kombinacija koja radi zajedno: svaki uređaj u agenciji ima instaliran i redovno ažuriran antivirusni softver, deo standardnog postupka pri pripremi uređaja za novog zaposlenog. Ali tehnička mera sama nije dovoljna — ista obuka o svesti iz klauzule 7.3 koja je pomogla da se prepozna sumnjiv telefonski poziv uči zaposlene i da prepoznaju sumnjive priloge i linkove, jer nijedan antivirus ne hvata baš svaku pretnju.

A.8.8, rok koji čini razliku: spoljni IT saradnik prati bezbednosna ažuriranja za operativne sisteme koje agencija koristi, kroz iste kanale opisane u delu serije o odnosu sa vlastima i pretnjama, i primenjuje kritične bezbednosne zakrpe u roku od nedelju dana od objavljivanja, ne kad se „nađe vremena". Ovaj rok je eksplicitno dogovoren, ne prepušten proceni trenutka.

A.8.9, isti laptop, svaki put: kad se priprema novi uređaj za zaposlenog, IT saradnik prati dokumentovanu, standardnu konfiguraciju — enkripcija diska uključena, vatrozid aktivan, nepotrebni servisi isključeni, isti osnovni set softvera. Pre uvođenja ove kontrole, svaki uređaj je bio podešen malo drugačije, zavisno od toga ko ga je te nedelje pripremao, što je otežavalo i održavanje i proveru da li su sve bezbednosne postavke zaista na mestu.

A.8.10, podaci koji ne ostaju zauvek „za svaki slučaj": finansijski podaci klijenata čuvaju se onoliko koliko zakon zahteva, u skladu sa registrom pravnih zahteva opisanim u ranijem delu serije — ali ne duže. Kad saradnja sa klijentom prestane i zakonski propisan rok čuvanja istekne, agencija sistematski briše te podatke, umesto da ih ostavi „za svaki slučaj" zauvek. Ovo je direktna suprotnost problemu opisanom kod agencije za zapošljavanje iz mini-serije primera, gde je baza kandidata rasla godinama bez ikakve politike o tome kada se podaci uklanjaju.

Gde se dokumentuje

A.8.6 dokumentuje se kroz postavke automatskog upozorenja i, po potrebi, kratak zapis kad se kapacitet proširi. A.8.7 se dokumentuje kroz potvrdu da je antivirusni softver instaliran na svakom uređaju, deo standardne pripreme opreme. A.8.8 dokumentuje se kroz kratak zapis primenjenih zakrpa i datuma. A.8.9 dokumentuje se kroz standardnu konfiguracionu listu koju IT saradnik prati za svaki novi uređaj. A.8.10 dokumentuje se kroz jasno napisane rokove čuvanja po vrsti podataka, iz istog registra pravnih zahteva pomenutog u ranijem delu serije.

Najčešća greška

Najčešća greška kod A.8.6 je otkrivanje problema sa kapacitetom tek kad nešto prestane da radi, kao u primeru sa rezervnom kopijom. Kod A.8.7, greška je oslanjanje isključivo na tehničku meru, bez svesti korisnika kao dopune — ili obrnuto. Kod A.8.8, najčešća greška je odlaganje bezbednosnih ažuriranja bez jasnog roka, dok „nađemo vremena" postane nekoliko meseci. Kod A.8.9, greška je nedosledna konfiguracija uređaja, gde svaki liči malo drugačije, što otežava proveru da li su svi zaista bezbedni. Kod A.8.10, najčešća greška je suprotna od one koju bi neko očekivao — ne prerano brisanje, nego nikad ne brisanje, iz straha da će nešto zatrebati „možda jednog dana", što samo gomila rizik bez ikakve stvarne koristi.

Šta sledi

Sledeći deo serije ide na kontrole A.8.11–8.14 — zaštitu podataka i rezervne kopije, gde detaljnije obrađujemo temu koju smo već nekoliko puta dotakli kroz ovu seriju, sada kao samostalnu celinu.