Dostawca IT mówi, że wszystko działa. Skąd wiecie, że ma rację?

Sytuacja

Obsługę IT prowadzi firma zewnętrzna. Dobra, od lat, bez większych awarii. Na pytanie o bezpieczeństwo odpowiada: mamy antywirus, backup, firewall, wszystko aktualne. Nikt niezależny tego nie sprawdzał, bo po co, skoro działa.

Co to naprawdę znaczy

Dostawca ocenia sam siebie. Nawet uczciwy dostawca nie zauważy luk we własnej konfiguracji, bo patrzy na nią codziennie. Nie ma też motywacji, żeby wykazać, że backup nie odtwarza się od roku albo że zdalny dostęp serwisowy nie ma drugiego składnika. NIS2 wymaga od was nadzoru nad łańcuchem dostaw: to wy macie sprawdzić dostawcę, nie odwrotnie.

Co robimy w takiej sytuacji

1. Cyber Pentesty: niezależne testy infrastruktury zewnętrznej i wewnętrznej, aplikacji i konfiguracji. Wynik to lista podatności z oceną ryzyka, którą przekazujecie dostawcy jako zakres prac, a nie prośbę.
2. Cyber Audyt (część techniczna): ocena architektury, dostępów, aktualizacji, backupów i monitoringu plus przegląd umowy z dostawcą pod kątem odpowiedzialności za bezpieczeństwo. Często okazuje się, że umowa jej nie obejmuje.
3. Cyber Care: Odporność 24/7: jeśli chcecie stałego, niezależnego oka na infrastrukturę, SOC monitoruje logi i alerty niezależnie od dostawcy, a przy incydencie koordynuje jego pracę.

Dlatego w FortCyber

Nie świadczymy usług utrzymania IT, więc nie konkurujemy z waszym dostawcą i nie mamy interesu w tym, żeby go zastąpić. Naszym zadaniem jest dać wam fakty do rozmowy z nim. Dobrzy dostawcy po takich testach pracują lepiej.