Pronix Information Technologies

Πρακτική ασφάλεια — OSSTMM, ISO 27001 & BSI Grundschutz

Ασφάλεια ως αποδείξιμος έλεγχος, όχι τσεκάρισμα — μετρήσιμα τεστ OSSTMM, ένα λιτό ISMS ISO 27001, baselines BSI Grundschutz και άμυνα σε βάθος, υλοποιημένα πρακτικά.

Η καλή ασφάλεια δεν είναι ένα πιστοποιητικό στον τοίχο — είναι έλεγχος που μπορείτε να αποδείξετε. Θεμελιώνουμε τη δουλειά μας σε τρία δοκιμασμένα πρότυπα — OSSTMM (μετρήσιμα, επαναλήψιμα τεστ), ISO 2700x (ένα σύστημα διαχείρισης βάσει κινδύνου) και BSI IT-Grundschutz (έναν πρακτικό κατάλογο μέτρων βάσης) — και βιώνουμε την άμυνα σε βάθος: στρωματωμένοι έλεγχοι, ώστε καμία μεμονωμένη αστοχία να μην είναι μοιραία. Σημασία έχει η ουσία, όχι η γραφειοκρατία: default-deny, ελέγξιμη, με μοντελοποίηση απειλών, επαληθεύσιμη.

Είμαστε πιστοποιημένοι OSSTMM/OPSA (OSSTMM Professional Security Analyst)· για ISO 27001 και BSI Grundschutz είμαστε practitioners που έχουν χτίσει ISMS επανειλημμένα και έχουν οδηγήσει οργανισμούς σε (επανα)πιστοποίηση — μπορούμε λοιπόν να σας κάνουμε έτοιμους για έλεγχο, είτε χρειάζεστε ποτέ το δίπλωμα στον τοίχο είτε όχι.

Τα πρότυπα που χρησιμοποιούμε — και τι προσφέρει το καθένα, πρακτικά

Πρότυπο / προσέγγισηΤι προσφέρει — πρακτικάΠού εμφανίζεται
OSSTMM (ISECOM)Μετρήσιμα, επαναλήψιμα τεστ ασφάλειας — γεγονότα αντί γνώμης, μια πραγματική μετρική επιχειρησιακής ασφάλειας (το rav). Ανάλυση που αποδεικνύει τον έλεγχο, όχι checklists. Είμαστε πιστοποιημένοι OSSTMM/OPSA (Professional Security Analyst).Αξιολογήσεις ασφάλειας & έλεγχοι · αποδείξεις ελέγχου στην Security & Observability Platform
ISO 2700xΈνα λιτό, βασισμένο σε κίνδυνο ISMS μαζί με τον κατάλογο μέτρων — διακυβέρνηση, αντιμετώπιση κινδύνου και επώνυμη ευθύνη χωρίς τη γραφειοκρατία. Έχουμε χτίσει ISMS και οδηγήσει (επανα)πιστοποιήσεις.Rent-a-Security-Officer · Rent-a-Data-Protection-Officer
BSI IT-GrundschutzΜια πρακτική baseline από δομικά στοιχεία (Bausteine) και η μέθοδος BSI 200-x — συμβατή με ISO 27001, σκλήρυνση εφαρμόσιμη στρώμα-στρώμα.Σκλήρυνση host / δικτύου · Sovereign Edge Firewall
Άμυνα σε βάθος (βιωμένη)Η αρχή που τα δένει όλα — στρωματωμένοι έλεγχοι default-deny, ώστε καμία μεμονωμένη αστοχία να μην είναι μοιραία, κάθε στρώμα ανεξάρτητα ελέγξιμο.Sovereign Edge Firewall · Abusive HTTP Watch · Sovereign Certificate Authority · Security & Observability Platform

Οι παρακάτω ερωτήσεις είναι ομαδοποιημένες για τον CEO (τι να κάνετε), τον CIO (πώς), τα πρότυπα και τη μεθοδολογία, και τη συνεργασία.

Για τον CEO — τι να κάνετε, και γιατί είναι θέμα διοίκησης

Είναι η ασφάλεια πράγματι θέμα διοίκησης — ή μπορώ να την αναθέσω στο IT;
Θέμα διοίκησης. Υπό το NIS2 (και το GDPR) η εποπτεία της ασφάλειας είναι ρητή ευθύνη της διοίκησης — τα στελέχη μπορούν να θεωρηθούν προσωπικά υπεύθυνα για ανεπαρκή διακυβέρνηση. Μια παραβίαση χτυπά έσοδα, φήμη και συνέχεια, όχι μόνο το δωμάτιο των διακομιστών. Τη δουλειά την αναθέτετε, την ευθύνη όχι. → Rent-a-Security-Officer · Σχετικά
Τι μου προσφέρει συγκεκριμένα η καλή ασφάλεια;
Αποδείξιμο έλεγχο: λιγότερα και μικρότερα περιστατικά, ταχύτερη ανάκαμψη και αποδείξεις που δίνετε σε ελεγκτές, ασφαλιστές, ρυθμιστές και πελάτες. Μετατρέπει την ασφάλεια από κέντρο κόστους και ρίσκο σε κάτι που κερδίζει διαγωνισμούς και συντομεύει κύκλους πώλησης. → Security & Observability Platform
Δεν είναι το πιστοποιητικό (ISO 27001) ο στόχος;
Το πιστοποιητικό είναι η απόδειξη, όχι η ασφάλεια. Έχουμε χτίσει ISMS και οδηγήσει οργανισμούς σε (επανα)πιστοποίηση — και παραδίδουμε την ουσία, είτε επιδιώκετε το δίπλωμα είτε όχι. Αν ένας διαγωνισμός ή πελάτης απαιτεί ISO 27001, σας κάνουμε έτοιμους για πιστοποίηση· αν όχι, έχετε ούτως ή άλλως πραγματικό, αποδείξιμο έλεγχο. Ουσία πρώτα, χαρτιά μόνο όπου αξίζει. → Συμβουλευτική
Ποιο είναι το ρίσκο του να μην κάνουμε τίποτα — μέχρι τώρα όλα καλά;
Το ρίσκο συσσωρεύεται σιωπηλά: αδιόρθωτη έκθεση, καμία ανίχνευση, κανένα σχέδιο περιστατικού — μέχρι το ένα γεγονός από το οποίο δεν ανακάμπτετε φθηνά και για το οποίο δεν αποδεικνύετε εύλογη επιμέλεια. Υπό το NIS2, το «δεν προλάβαμε» είναι από μόνο του εύρημα. → Rent-a-Security-Officer
Από πού ξεκινάμε — ποιο είναι το πρώτο βήμα;
Μια σύντομη, μετρήσιμη αξιολόγηση (τύπου OSSTMM) του πού στέκεστε πραγματικά, και μετά ένα συγκεκριμένο, αναστρέψιμο βήμα — όχι ένα ετήσιο πρόγραμμα πριν βελτιωθεί οτιδήποτε. Συχνά ένας κλασματικός CISO ή μια οριοθετημένη επισκόπηση παραδίδει την πρώτη μείωση ρίσκου σε εβδομάδες. → Συμβουλευτική · Επικοινωνία
Πόσα πρέπει να ξοδεύουμε για ασφάλεια;
Όσα χρειάζονται για να καλύψουν το πραγματικό σας ρίσκο, όχι περισσότερα — γι’ αυτό μετράμε πρώτα (OSSTMM) και αντιμετωπίζουμε το ρίσκο κατά προτεραιότητα (ISO 27005 / BSI). Η άμυνα σε βάθος επιτρέπει επένδυση στρώμα-στρώμα αντί για ένα μεγάλο στοίχημα. Το μοντελοποιούμε ως προς την πραγματική σας έκθεση, όχι έναν κατάλογο προμηθευτή.

Για τον CIO — πώς να το υλοποιήσετε

Πώς αξιολογείτε την ασφάλεια χωρίς να γίνεται checklist;
OSSTMM: μετρήσιμα, επαναλήψιμα τεστ της πραγματικής επιχειρησιακής ασφάλειας — τι είναι εκτεθειμένο, τι ελέγχεται, τι αποτελεί πραγματικό περιορισμό — παράγοντας μια μετρική (το rav) που παρακολουθείτε διαχρονικά, όχι ένα πέρασε/κόπηκε. Γεγονότα αντί γνώμης. → Security & Observability Platform
Μπορούμε να έχουμε ISMS χωρίς να πνιγούμε στη γραφειοκρατία;
Ναι — αυτό ακριβώς είναι το νόημα. Ένα λιτό ISMS ISO 27001 οριοθετημένο στα πραγματικά σας ρίσκα: τα μέτρα και αρχεία που πραγματικά χρειάζεστε, δομικά στοιχεία BSI-Grundschutz για τη baseline, και κανένα χαρτί που δεν μειώνει ρίσκο. Έχουμε χτίσει πολλά και τα λειτουργούμε. → Rent-a-Security-Officer
Τι σημαίνει «άμυνα σε βάθος» συγκεκριμένα στο stack μας;
Στρωματωμένοι έλεγχοι default-deny — περίμετρος και τμηματοποίηση, σκλήρυνση host και διαμόρφωσης, εφαρμογή και κώδικας, ταυτότητα και ρίζες εμπιστοσύνης, κρυπτογράφηση και ανίχνευση/απόκριση — κάθε ένα ανεξάρτητα ελέγξιμο, ώστε μια αστοχία να μην είναι μοιραία. → Sovereign Edge Firewall · Sovereign Certificate Authority
Πώς μαθαίνουμε για ένα περιστατικό πριν οι πελάτες μας;
Κεντρικοποιημένη ανίχνευση και ίχνη ελέγχου: SIEM/XDR σε endpoints, διακομιστές, δίκτυο και cloud, με ειδοποιήσεις και δοκιμασμένη διαδρομή απόκρισης — συν τις αναζητήσιμες αποδείξεις για να ανασυνθέσετε τι συνέβη. → Security & Observability Platform
Πώς ενσωματώνεται με αυτά που ήδη τρέχουμε;
Παίρνουμε το περιβάλλον σας όπως είναι — βασισμένο σε πρότυπα (syslog, τυπική ταυτότητα, API), agents όπου βοηθούν, σκλήρυνση σε υπάρχοντα συστήματα. Η άμυνα σε βάθος είναι προσθετική· δεν χρειάζεστε λευκή σελίδα. → Custom development
Ποιος λειτουργεί την ασφάλεια μετά την ανάθεση;
Ιδανικά η ομάδα σας: χτίζουμε ώστε να είναι λειτουργήσιμο, τεκμηριώνουμε τα πάντα και μπορούμε να σχεδιάσουμε προφίλ προσλήψεων και να εντάξουμε την εσωτερική σας ομάδα ασφάλειας/αρχιτεκτονικής — ή να το λειτουργήσουμε μεταβατικά όσο ανεβαίνετε. → Συμβουλευτική · Rent-an-Enterprise-Architect

Πρότυπα & μεθοδολογία

Τι είναι το OSSTMM, με απλά λόγια;
Το Open Source Security Testing Methodology Manual (ISECOM): ένας αυστηρός, ανεξάρτητος από προμηθευτές τρόπος να δοκιμάζεις την ασφάλεια ώστε το αποτέλεσμα να είναι μετρήσιμο και επαναλήψιμο. Αντί για τη γνώμη ενός ελεγκτή, παίρνετε γεγονότα για το τι είναι εκτεθειμένο και τι πραγματικά ελέγχεται — και μια μετρική (το rav) να παρακολουθείτε. Ασφάλεια αποδείξιμη εκ κατασκευής.
Τι είναι το ISO 2700x;
Η διεθνής οικογένεια για τη διαχείριση ασφάλειας πληροφοριών: ISO 27001 (το πιστοποιήσιμο ISMS — διακυβέρνηση, αντιμετώπιση κινδύνου, μέτρα Παραρτήματος Α), 27002 (οδηγίες μέτρων), 27005 (κίνδυνος). Το σύστημα διαχείρισης που κάνει την ασφάλεια επαναλήψιμη και υπεύθυνη αντί για ηρωική.
Τι είναι το BSI IT-Grundschutz;
Η προσέγγιση βασικής προστασίας της γερμανικής Ομοσπονδιακής Υπηρεσίας για την Ασφάλεια Πληροφορικής: ένας κατάλογος πρακτικών δομικών στοιχείων (Bausteine) συν η μέθοδος BSI 200-x (ISMS, μεθοδολογία, κίνδυνος). Πρακτικό και συμβατό με ISO 27001 — μια συγκεκριμένη baseline «κάντε αυτά» αντί για αφηρημένες αρχές.
OSSTMM vs. ISO vs. BSI — γιατί και τα τρία;
Κάνουν διαφορετικές δουλειές και αλληλοενισχύονται: το OSSTMM μετρά (τεστ και assurance), το ISO 27001 διακυβερνά (το σύστημα διαχείρισης), το BSI Grundschutz δίνει τη baseline (τα συγκεκριμένα μέτρα). Η άμυνα σε βάθος είναι η αρχιτεκτονική που τα δένει. Χρησιμοποιούμε το καθένα όπου προσθέτει αξία, κανένα ως τσεκάρισμα. → δείτε τον χάρτη παραπάνω
Είστε πιστοποιημένοι — OSSTMM, ISO 27001, BSI Grundschutz;
Είμαστε πιστοποιημένοι OSSTMM/OPSA (OSSTMM Professional Security Analyst). Για ISO 27001 και BSI Grundschutz είμαστε practitioners — έχουμε χτίσει ISMS και οδηγήσει οργανισμούς σε (επανα)πιστοποίηση — αλλά η ίδια η Pronix δεν κατέχει το εταιρικό πιστοποιητικό· δεν χρειαστήκαμε ποτέ το δίπλωμα στον τοίχο για να παραδώσουμε την ουσία, που είναι μάλλον το ζητούμενο. Όπου εσείς χρειάζεστε το πιστοποιητικό για διαγωνισμό ή πελάτη, σας κάνουμε έτοιμους για πιστοποίηση και στηρίζουμε τον έλεγχο. → Συμβουλευτική
Μπορείτε να μας οδηγήσετε σε πιστοποίηση ISO 27001 / BSI;
Ναι — αυτό ακριβώς έχουμε κάνει επανειλημμένα: οριοθέτηση του ISMS, κλείσιμο των κενών με baselines Grundschutz, παραγωγή των αποδείξεων και προετοιμασία σας για τον έλεγχο και την επαναπιστοποίηση. Παίρνετε πρώτα ένα λειτουργικό σύστημα ασφάλειας, και το πιστοποιητικό ως παραπροϊόν. → Rent-a-Security-Officer
Ισχύουν αυτά τα πρότυπα αν είμαστε μικροί ή μη ρυθμιζόμενοι;
Ναι, αναλογικά. Η μεθοδολογία κλιμακώνεται προς τα κάτω: μετρήστε ό,τι έχει σημασία (OSSTMM), ένα σωστά διαστασιολογημένο ISMS, μια baseline Grundschutz, άμυνα σε βάθος στην κλίμακά σας. Η ρύθμιση (NIS2, GDPR) ανεβάζει το διακύβευμα, αλλά ο αποδείξιμος έλεγχος είναι ασφάλεια για όλους. → Rent-a-Security-Officer

Συνεργασία με την Pronix

Πώς ξεκινά μια ανάθεση;
Με μια δωρεάν συζήτηση οριοθέτησης 30–60 λεπτών. Μια παράγραφος για την κατάστασή σας σας δίνει μια διευκρινιστική ερώτηση, μια κλήση, ή ένα ξεκάθαρο «δεν ταιριάζει — να ποιος ταιριάζει». Χωρίς φόρμες, χωρίς ακολουθίες nurturing. → Επικοινωνία
Τι είναι ένας κλασματικός CISO / «Rent-a-Security-Officer»;
Ένας ανώτερος ρόλος ασφάλειας με κλασματική ανάθεση (τυπικά 1–4 ημέρες/μήνα) αντί για πλήρη απασχόληση — η επώνυμη, υπεύθυνη λειτουργία και η πρακτική δουλειά, όταν τη χρειάζεστε αλλά δεν μπορείτε ακόμη να δικαιολογήσετε ή να καλύψετε θέση πλήρους απασχόλησης. → Rent-a-Security-Officer
Εξ αποστάσεως ή επιτόπου — και πού εργάζεστε;
Πρώτα εξ αποστάσεως, παγκοσμίως· η οριοθέτηση και το μεγαλύτερο μέρος της παράδοσης εξ αποστάσεως, επιτόπου όπου πραγματικά βοηθά. Γλώσσες εργασίας μεταξύ άλλων γερμανικά και αγγλικά.
Πώς τιμολογείτε;
Σταθερό μηνιαίο retainer βάσει συμφωνημένης συχνότητας και κάλυψης — όχι time-and-materials που ξεφεύγει. Ξέρετε το ποσό· εμείς διαχειριζόμαστε το εύρος. Η απόκριση σε περιστατικά οριοθετείται ξεχωριστά.
Τι συμβαίνει όταν τελειώσει η ανάθεση;
Κρατάτε τα πάντα: μια λειτουργική στάση ασφάλειας, τεκμηριωμένα μέτρα και αποφάσεις, το ISMS και τις αποδείξεις του. Επειδή χτίζουμε ανοιχτά και τεκμηριώνουμε στην πορεία, το τέλος είναι παράδοση, όχι ομηρία. → Σχετικά