Handlingsplan efter red teaming: ejere på tværs af afdelinger

Når en red team-øvelse er slut, peger fundene i flere retninger på én gang: mod overvågningen, mod IT-driften, mod receptionen og mod den leverandør, der nulstillede en adgang uden at spørge nok. En brugbar handlingsplan hviler på, at hvert punkt får én ejer i den funktion, der kan ændre forholdet, og at sikkerhedsfunktionen koordinerer uden at overtage ejerskabet.

Planen skal derfor bygges op om ejere og ikke om systemer. En driftschef, en HR-partner og en facility-ansvarlig skal hver kunne finde sine egne punkter i den og forstå, hvorfor de står der.

Hvorfor planen ser anderledes ud end efter en pentest

Efter en penetrationstest handler fundene som regel om bestemte systemer, og ejeren er den, der driver systemet. Hvordan sådan en plan bygges, forklarer penetrationtest.dk. En red team-øvelse afprøver noget andet: kæden fra første kontakt til målet og forsvarets reaktion undervejs. Fundene handler derfor også om arbejdsgange, mennesker, bygninger, aftaler og beslutninger.

Et tænkt eksempel: holdet kom ind i en filial med et påskud, fik adgang til et mødelokale med netværksforbindelse, fandt en konto med for brede rettigheder og blev først set, da det nåede målsystemet. Det er fire fund med fire forskellige ejere: facility, IT-drift, identitets- og adgangsstyring og overvågningen. Ingen af dem kan løse de andres del. → Red team-rapporten

Hvad de regulerede rammer forventer

For TLPT efter DORA fastlægger de tekniske reguleringsstandarder, hvad udbedringsplanen skal rumme for hvert resultat: en beskrivelse af de konstaterede mangler, de foreslåede tiltag med prioritering og forventet afslutning, en analyse af de grundlæggende årsager, de medarbejdere eller funktioner, der har ansvaret, og risikoen ved ikke at gennemføre tiltagene. Forordningen sætter også en frist: planen forelægges myndigheden senest otte uger efter den meddelelse, der er nævnt i artikel 12, stk. 7.

Nationalbanken beskriver i TIBER-DK planen som det, der skal understøtte business casen for forbedringerne. Kravene binder ikke en frivillig øvelse, men felterne er et godt mål for, hvad jeres egen plan skal kunne svare på. → Rodårsager efter red teaming

Fra fund til ejer

Ejeren er den funktion, der kan ændre det forhold, fundet handler om. Det er ikke nødvendigvis den, der opdagede fundet, eller den, der føler sig ramt af det. Mulige ejere efter en øvelse:

Overvågning og SOC · hændelser, der ikke blev set, eskaleret eller fulgt op.
IT-drift · opsætning, adskillelse af systemer og spor efter ændringer.
Identitet og adgang · konti, rettigheder og nulstilling af adgang.
HR · introduktion, træning og den måde, medarbejdere melder mistanke på.
Facility og ejendomsdrift · adgangskontrol, besøgende og aftaler med vagtselskab og udlejer.
Indkøb og leverandørstyring · fund, hvor en leverandørs rolle eller aftale var en del af vejen.
Beredskab og kommunikation · beslutninger, der blev truffet, da forsvaret reagerede.

Når samme skridt både kunne være forhindret og kunne være set, skal det stå som to punkter, fordi de to har forskellige ejere og forskellige løsninger. → Fund om opdagelse frem for forebyggelse

Én ejer, flere bidragydere

En forbedring kan kræve bidrag fra flere. En ny datakilde til overvågningen kræver, at IT-drift leverer data, at SOC’en bruger dem, og måske at en leverandør ændrer sin leverance. Planen skal alligevel have én ejer pr. punkt. Ejeren svarer for, at punktet bliver løst, og henter selv bidragene fra de andre. Bidragyderne står i planen, så de ved, at de er en del af løsningen.

Ejeren er en funktion med en navngiven ansvarlig. “IT” eller “organisationen” er ikke en ejer. Hvis ingen vil påtage sig et punkt, er det i sig selv et resultat, som ledelsen skal tage stilling til. → Afrapportering til direktion og bestyrelse

Planens felter

For hvert punkt bør planen mindst kunne svare på følgende:

Manglen · hvad øvelsen viste, beskrevet så ejeren forstår det uden holdets rapport.
Tiltaget · hvad der skal ændres, på det niveau ejeren kan handle på.
Rodårsagen · hvorfor manglen kunne opstå, så tiltaget ikke kun lukker det enkelte tilfælde.
Prioritet og forventet afslutning · fastsat ud fra jeres egen risiko og ikke ud fra en standardfrist.
Ejer og bidragydere · én ansvarlig og de funktioner, der skal hjælpe.
Risiko ved at vente · hvad der står åbent, hvis tiltaget ikke gennemføres.
Kontrol · hvordan det skal vises, at tiltaget virker.

Det sidste felt er let at springe over. Et gennemført tiltag er ikke det samme som et tiltag, der virker. → Opfølgning efter øvelsen

NIST beskriver en plan of action and milestones som et dokument, der angiver de opgaver, der skal løses, ressourcerne til dem, delmålene og de planlagte datoer for delmålene. Begrebet kan bruges som skabelon, hvis organisationen ikke har sin egen form.

Sikkerhedsfunktionens rolle

CISO’en og sikkerhedsfunktionen ejer planen som helhed, men ikke de enkelte punkter. Rollen er at oversætte holdets fund til et sprog, hver ejer forstår, at sikre, at alle punkter har ejere og datoer, og at følge op. Det kræver mandat. Hvis sikkerhedsfunktionen ikke kan kræve status fra driften, HR og facility, bliver planen en ønskeliste.

Oversættelsen er vigtig, fordi holdets rapport er skrevet til sikkerhedsfolk, og detaljerne er følsomme. HR har brug for at vide, hvilken arbejdsgang der svigtede, ikke hvordan holdet kom videre bagefter. Facility har brug for at vide, hvilken indgang og hvilket tidspunkt det drejede sig om, ikke hele angrebsvejen. → Fra social engineering-fund til bedre processer

Planen bør også kobles til risikostyringen. Punkter, der ikke kan løses inden for en rimelig tid, registreres som risici med en ejer og en bevidst accept. → Fra øvelse til risikoregister

Det skal I lade være med

At give hele planen til IT · en stor del af fundene handler om processer og bygninger.
At skrive “organisationen” som ejer · et punkt uden en navngiven ansvarlig bliver ikke løst.
At sende holdets rapport til alle ejere · giv hver ejer sin del i sit eget sprog.
At slå opdagelse og forebyggelse sammen · de to har forskellige ejere.
At sætte frister uden ejerens medvirken · en frist, ejeren ikke kan nå, giver falsk tryghed.
At lukke punkter uden kontrol · gennemført er ikke det samme som virksomt.

Hvad kan og ikke kan konkluderes

En handlingsplan viser, hvad organisationen har besluttet at gøre ved det, øvelsen fandt, og hvem der har ansvaret. Den viser ikke, at forsvaret er blevet bedre; det kræver opfølgning og afprøvning. Planen dækker heller ikke de svagheder, som øvelsens scenarier aldrig kom i nærheden af.