Аудит информационной безопасности в Дубае

Исходите из того, что письмо будет убедительным, и уберите единую точку отказа. Контроли, которые останавливают такие атаки, сначала процедурные и лишь потом технические.

Процедурные меры, по силе эффекта:

1. Требуйте подтверждения по независимому каналу для каждого платёжного поручения и каждой смены банковских реквизитов поставщика — по номеру из вашей базы, а не из письма.
2. Применяйте это правило независимо от того, кто просит и насколько срочно это звучит, и сделайте его нарушение дисциплинарным вопросом, а не вопросом усмотрения.
3. Дайте сотрудникам финансов явный маршрут эскалации без обвинений для запроса, который кажется странным: атака держится на том, что никто не переспросил.
4. Проводите необъявленные учения для финансовой службы и ассистентов руководителей. Одно упражнение говорит о вашей уязвимости больше любого документа.

Технические меры, которые их подкрепляют:

• Опубликуйте SPF, DKIM и DMARC с политикой принудительного применения, чтобы ваш домен нельзя было подделать напрямую.
• Заметно помечайте внешнюю почту в клиенте, в том числе на мобильных, где выдача себя за другого чаще всего срабатывает.
• Отслеживайте логи прозрачности сертификатов и ленты регистраторов на предмет доменов-двойников вашего бренда.
• Внедрите устойчивую к фишингу многофакторную аутентификацию, желательно аппаратную, чтобы украденного пароля было недостаточно.
• Настройте оповещения о создании правил в почтовом ящике и изменении пересылки — обычное первое действие после захвата учётной записи.

Стоимость определяется объёмом, а не численностью персонала. Оценка разрывов по одному стандарту для компании среднего размера обычно занимает четыре-шесть недель работы консультантов. Добавление технического тестирования контролей, нескольких площадок или сразу нескольких стандартов увеличивает срок. Мы определяем объём исходя из вашей архитектуры и регуляторных обязательств, а затем предлагаем фиксированную стоимость проекта, а не открытую дневную ставку.

Четыре-шесть недель для точечной оценки разрывов, восемь-двенадцать для полного обзора по нескольким стандартам. Полевая работа обычно занимает из этого две-три недели; остальное — разбор доказательств, проверка и формулирование выводов, которые выдержат возражения.

Да, и мы намеренно разделяем эти две работы. Там, где независимость аудиторского мнения должна сохраняться, например перед сертификацией или проверкой со стороны заказчика, устранение идёт отдельным проектом с другими людьми. Там, где независимость не требуется, те же инженеры, которые нашли проблему, могут внедрить исправление в рамках нашего консалтинга по кибербезопасности в Дубае.

Для технического тестирования контролей обычно достаточно доступа только на чтение, и его можно ограничить конкретными системами и временными окнами. Для разбора документации и интервью доступ к системам не нужен вовсе. Все данные оценки могут оставаться на инфраструктуре внутри ОАЭ, включая полностью изолированные среды, где ничего не покидает площадку.

Аудит спрашивает, существует ли контроль, работает ли он как задумано и можно ли это подтвердить. Тест на проникновение спрашивает, сможет ли атакующий пройти, что бы контроли ни утверждали. Это разные вопросы, и одно не заменяет другое: мы встречали среды, которые чисто проходят аудит контролей и падают на одном неверно настроенном доверительном отношении, и среды, которые выдерживают тест, но не отвечают ни одному документальному требованию, которое проверит регулятор.

Рассчитывайте примерно на два-четыре часа на каждого владельца контроля за период полевой работы, сосредоточенных в интервью и разборе доказательств. Техническое тестирование с доступом только на чтение для пользователей незаметно. Интервью мы планируем заранее и присылаем список запрашиваемых доказательств вперёд, чтобы никого не просили достать документ прямо на встрече.

Да. Отчёт для совета директоров написан так, чтобы его можно было передавать как есть, и именно этот документ обычно и хотят видеть службы проверки поставщиков у заказчиков. Инженерный отчёт содержит детали систем и пути воспроизведения, поэтому обычно остаётся внутренним либо передаётся под NDA в отредактированном виде. По запросу мы готовим отдельное письмо-резюме для конкретного заказчика или регулятора.

Раз в год для полной оценки, с точечной перепроверкой прежних выводов через три-шесть месяцев, чтобы устранение было подтверждено, а не предполагалось. Всё, что существенно меняет архитектуру — миграция в облако, новое направление бизнеса, поглощение — требует внеочередного разбора затронутого периметра, а не ожидания годового цикла.