Nie da się już wprowadzać poprawek wystarczająco szybko. Oto dlaczego mechanizmy kompensacyjne nabierają kluczowego znaczenia

Przez lata cyberbezpieczeństwo opierało się na prostej zasadzie: wykrywanie luk w zabezpieczeniach i ich usuwanie. Model ten zakłada jednak coś, co nie jest już pewne. Zakłada on bowiem, że mamy czas.

W środowisku zagrożeń opartym na sztucznej inteligencji luki w zabezpieczeniach są wykrywane i wykorzystywane szybciej, niż większość organizacji jest w stanie je załatać. Według badań przytoczonych w serwisie The Hacker News w 2024 r. odnotowano 61-procentowy wzrost liczby wykorzystanych luk, dla których poprawka była dostępna od ponad 30 dni, a liczba wykorzystanych luk wzrosła niemal dwukrotnie w porównaniu z rokiem poprzednim. Organizacje nie tylko borykają się z większą liczbą luk w zabezpieczeniach. Coraz więcej z nich jest wykorzystywanych jako broń, zanim pojawi się poprawka.

Właśnie dlatego mechanizmy kompensacyjne nie są już koncepcją niszową. Stają się one fundamentalnym elementem strategii zapewniania bezpieczeństwa przez organizacje.

Ograniczenia stosowania poprawek

Współczesne środowiska IT nie zostały stworzone z myślą o szybkości. Składają się one z systemów starszego typu, integracji z rozwiązaniami innych producentów oraz ciągłych aktualizacji, co sprawia, że instalowanie poprawek jest procesem złożonym i czasochłonnym nawet w idealnych warunkach. Najpierw należy zidentyfikować problem, przetestować poprawkę, a następnie ostrożnie wdrożyć zmiany, aby uniknąć zakłóceń w działaniu. W dużych lub złożonych środowiskach może to trwać nawet kilka tygodni.

Właśnie z tego powodu w ramach NIST Cybersecurity Framework od dawna kładzie się nacisk na wielopoziomowe zarządzanie ryzykiem, uznając, że żadne pojedyncze zabezpieczenie nie jest wystarczające i że organizacje muszą tworzyć wielowarstwowe systemy ochrony. Gdy atakujący są w stanie przejść od wykrycia luki w zabezpieczeniach do jej aktywnego wykorzystania w ciągu kilku godzin, proces instalowania poprawek trwający tygodnie po prostu nie wystarcza.

Czym właściwie są mechanizmy kompensacyjne

Środki kompensacyjne to zabezpieczenia, które ograniczają ryzyko w sytuacjach, gdy natychmiastowe wprowadzenie bezpośredniej poprawki nie jest możliwe. Nie zastępują one instalowania poprawek. Pozwalają one zyskać na czasie i ograniczyć narażenie w trakcie przygotowywania poprawki. W praktyce może to oznaczać ograniczenie dostępu do podatnych na ataki usług, segmentację sieci w celu ograniczenia potencjalnych szkód, wzmocnienie monitorowania i systemów ostrzegania wokół systemów zagrożonych lub wprowadzenie tymczasowych zmian w procesach, które zmniejszają prawdopodobieństwo wykorzystania luki. Celem jest utrzymanie odpowiedniego poziomu ochrony, nawet jeśli system nie został jeszcze w pełni załatany.

Dlaczego ma to znaczenie z punktu widzenia zgodności z przepisami

Ramy takie jak NIS2 i DORA nie wymagają doskonałości. Oczekują one ustrukturyzowanego i proporcjonalnego zarządzania ryzykiem. Obie wymagają od organizacji wdrożenia odpowiednich środków kontroli, zapewnienia ciągłości działania oraz utrzymania bezpieczeństwa nawet w obliczu zmieniających się warunków. Obejmuje to wyraźnie wielopoziomowe środki kontroli, a nie tylko poleganie na instalowaniu poprawek. Organizacja, która jest w stanie wykazać, że zidentyfikowała lukę w zabezpieczeniach, oceniła ryzyko, wdrożyła środki kompensacyjne oraz śledziła postępy w kierunku pełnego usunięcia luki, demonstruje dokładnie ten rodzaj zarządzania, do którego promowania zostały stworzone te ramy.

Wyzwanie operacyjne

Problem wielu organizacji nie polega na braku świadomości. Chodzi o brak odpowiedniej struktury. Bez jasnego rozeznania, gdzie konieczne są mechanizmy kontrolne, bez zdefiniowanych procesów umożliwiających ich szybkie wdrożenie oraz bez odpowiedniej dokumentacji dotyczącej wprowadzonych rozwiązań, mechanizmy kompensacyjne pozostają raczej doraźnym rozwiązaniem niż dobrze zarządzanym elementem zdolności operacyjnej. To właśnie w tej lukie między zamierzeniami a realizacją tkwi ryzyko związane z przestrzeganiem przepisów.

Od działań doraźnych do zarządzania

Aby środki kompensacyjne funkcjonowały jako część szerszej strategii bezpieczeństwa, konieczne jest jasne powiązanie ryzyk z mechanizmami kontroli, określenie procedur dotyczących tego, kiedy i w jaki sposób mechanizmy te są uruchamiane, ciągłe monitorowanie i przegląd oraz dokumentacja, którą można przedstawić w razie potrzeby. Dzięki temu reaktywny środek przekształca się w ustrukturyzowany system zarządzania, który można wykazać zarówno organom regulacyjnym, audytorom, jak i kierownictwu.

Jeśli Twoja organizacja ma trudności z utrzymaniem przejrzystości w zakresie ryzyk, środków kontroli i dokumentacji, Trustlinks zostało stworzone właśnie po to, by Ci pomóc. Dzięki Trustlinks możesz rejestrować i śledzić ryzyka w scentralizowanym rejestrze ryzyk, powiązać incydenty bezpośrednio z ryzykami, które ujawniają, oraz przyporządkować każde ryzyko do wielu ram jednocześnie. Gdy wprowadzona zostanie kontrola kompensacyjna, zostaje ona udokumentowana, powiązana i podlega audytowi. Jedna platforma, pełny nadzór, zawsze gotowa do audytu.