Aneks A, deo 19: A.8.15–8.18 — Praćenje i logovanje

 Devetnaesti deo serije o Aneksu A. Ove četiri kontrole odgovaraju na pitanje koje je, u suštini, stajalo iza najvećeg propusta koji smo pratili kroz čitav ovaj blog — zajedničkog administratorskog naloga. Problem sa njim nikad nije bio samo to što je bio deljen, nego to što niko nije mogao da kaže ko je šta tačno uradio.

Šta ove kontrole traže

A.8.15 — Logovanje. Logovi koji beleže aktivnosti, izuzetke, greške i druge relevantne događaje treba da se proizvode, čuvaju, štite i analiziraju.

A.8.16 — Aktivnosti praćenja. Mreže, sistemi i aplikacije treba da se prate radi otkrivanja neuobičajenog ponašanja, uz preduzimanje odgovarajućih mera za procenu mogućih bezbednosnih incidenata.

A.8.17 — Sinhronizacija časovnika. Časovnici sistema koje firma koristi treba da budu sinhronizovani sa odobrenim izvorima vremena.

A.8.18 — Upotreba privilegovanih uslužnih programa. Upotreba alata koji mogu da zaobiđu uobičajene sistemske i aplikativne kontrole treba da bude ograničena i strogo kontrolisana.

Zašto su ove kontrole bitne

Setite se, poslednji put u ovoj seriji, originalnog problema koji je pokrenuo veći deo priče o knjigovodstvenoj agenciji — zajednički administratorski nalog za bazu klijenata. Kad smo taj rizik prvi put opisali u tekstu o proceni rizika, glavni problem nije bio samo to što je pristup bio deljen, nego to što se nikad nije moglo utvrditi ko je tačno pristupio čemu i kada. A.8.15 je kontrola koja to direktno rešava — ne posredno, kroz bolju organizaciju naloga, nego direktno, kroz zapis svake aktivnosti.

Primer iz prakse

A.8.15, razlika koju individualni nalozi konačno omogućavaju: otkad su uvedeni individualni nalozi sa dvofaktorskom autentifikacijom, cloud platforma agencije beleži svaki pristup klijentskim podacima — ko je pristupio, kada, i šta je pregledao ili izmenio. Ovi logovi direktno hrane mesečnu proveru pristupa opisanu u tekstu o klauzuli 8.1, i, kad zatreba, istragu uzroka nekog incidenta opisanu u klauzuli 10.2. Ono što je pre bilo nemoguće utvrditi — ko je tačno uradio šta — sada je jednostavno pitanje otvaranja loga.

A.8.16, upozorenje koje je sprečilo nedoumicu: sistem je automatski generisao upozorenje kad je jedan nalog, u kratkom vremenskom periodu, pristupio neuobičajeno velikom broju različitih klijentskih dosijea — obrazac koji bi mogao značiti legitiman, obiman zadatak, ili nalog kojim neko zloupotrebljava pristup da prikupi što više podataka odjednom. Koordinatorka je, umesto da nagađa, jednostavno proverila sa zaposlenim o čemu se radi — ispostavilo se da je pripremao godišnji izveštaj koji je zahtevao pregled svih klijenata odjednom, potpuno legitiman razlog. Upozorenje nije sprečilo incident koji se nikad nije ni desio, ali je sprečilo neizvesnost — pitanje je bilo postavljeno i odgovoreno u roku od nekoliko minuta, ne ostavljeno da tinja.

A.8.17, detalj koji čini razliku kad zaista zatreba: svi sistemi agencije, i lokalni i cloud, sinhronizovani su na isti izvor tačnog vremena. Ovo zvuči kao nevažna tehnička sitnica, sve dok se ne pojavi potreba da se log iz jednog sistema uporedi sa mejlom iz drugog tokom istrage nekog incidenta — ako se časovnici razlikuju za nekoliko minuta ili sati, teško je sa sigurnošću utvrditi šta se tačno kada desilo.

A.8.18, alat koji ne stoji svima na dohvat ruke: spoljni IT saradnik povremeno koristi napredne administrativne alate koji mogu direktno da menjaju podatke zaobilazeći uobičajene provere same aplikacije — alate koji su, u pogrešnim rukama, mnogo moćniji od običnog korisničkog pristupa. Agencija je odlučila da ti alati ne budu trajno instalirani niti dostupni bilo kome osim IT saradniku, i da se svaka njihova upotreba beleži posebno, odvojeno od uobičajenih logova.

Gde se dokumentuje

A.8.15 dokumentuje se kroz same generisane logove, uz jasno određeno koliko dugo se čuvaju. A.8.16 dokumentuje se kroz postavke automatskih upozorenja i kratke beleške svaki put kad se upozorenje pojavi i proveri, poput primera iznad. A.8.17 se ne dokumentuje posebno — dovoljna je potvrda da su sistemi podešeni da koriste isti izvor vremena. A.8.18 dokumentuje se kroz spisak ko ima pristup privilegovanim alatima i zaseban zapis njihove upotrebe.

Najčešća greška

Najčešća greška kod A.8.15 je generisanje logova koje niko nikad ne pogleda — isti problem koji smo opisali za mnoge druge kontrole u ovoj seriji, samo primenjen na tehničke zapise umesto na dokumenta. Kod A.8.16, greška je odsustvo bilo kakvog automatskog upozorenja, oslanjajući se isključivo na to da neko ručno primeti nešto neuobičajeno, što se retko dešava na vreme. Kod A.8.17, greška je jednostavno nikad ne razmišljati o ovome, sve dok se prvi put ne pojavi potreba da se dva loga uporede, a časovnici se ne slažu. Kod A.8.18, najčešća greška je ostavljanje moćnih administrativnih alata trajno dostupnih širem krugu ljudi nego što je stvarno potrebno, „za slučaj da zatrebaju".

Šta sledi

Sledeći deo serije ide na kontrole A.8.19 i A.8.32–8.33 — softver i upravljanje promenama, gde se vraćamo na temu planiranih promena iz klauzule 6.3, sada iz ugla instalacije i ažuriranja softvera.