Průvodce pro CISO k forenzní připravenosti obstojící při auditu: sjednocení NIS2, DORA, ISO 27001 a GDPR

Maria, CISO ve středně velké fintech společnosti, ucítila známé sevření žaludku. Na stole před ní ležela zpráva z externího auditu k certifikaci ISO/IEC 27001:2022 a její strohý závěr byl neúprosný: závažná neshoda.

Před třemi týdny mladší vývojář omylem vystavil neprodukční datové úložiště veřejnému internetu na 72 minut. Z provozního hlediska byla reakce na incident úspěšná. Tým jednal rychle, systém uzamkl a potvrdil, že nebyla dotčena žádná citlivá zákaznická data.

Z pohledu souladu to však byla katastrofa.

Když auditor požádal o důkazy, které by prokázaly, co se během těch 72 minut stalo přesně, tým je nedokázal dodat. Logy poskytovatele cloudových služeb byly obecné a po 24 hodinách se přepsaly. Logy firewallu ukazovaly spojení, ale chyběly jim podrobnosti na úrovni paketů. Interní aplikační logy nebyly nakonfigurovány tak, aby zaznamenávaly konkrétní provedená volání API. Tým nedokázal jednoznačně prokázat, že se žádná neoprávněná strana nepokusila o eskalaci oprávnění nebo přesun do jiných systémů.

Zjištění auditora bylo tvrdé: „Organizace není schopna poskytnout dostatečné a spolehlivé důkazy k rekonstrukci časové osy bezpečnostní události, což prokazuje nedostatečnou forenzní připravenost. To vyvolává významné pochybnosti o souladu s požadavky NIS2 na řízení incidentů, s požadavkem DORA na detailní sledování incidentů a se zásadou odpovědnosti podle GDPR.“

Mariin problém nebyl selháním reakce na incidenty, ale selháním předvídavosti. Její tým výborně hasil požáry, ale nevybudoval schopnost vyšetřit žháře. Právě v této kritické mezeře leží forenzní připravenost — schopnost, která již není nadstandardem, ale nevyjednatelným požadavkem moderní regulace.

Od reaktivního protokolování k proaktivní forenzní připravenosti

Mnoho organizací, podobně jako ta Mariina, se mylně domnívá, že „mít logy“ znamená být připraven na vyšetřování. Neznamená. Forenzní připravenost je strategická schopnost, nikoli náhodný vedlejší produkt provozu IT. Jak ji vymezuje mezinárodní norma ISO/IEC 27043, organizace musí zavést procesy, které zajistí, že digitální důkazy budou připravené, dostupné a nákladově efektivně využitelné s předstihem před potenciálními bezpečnostními incidenty.

V kontextu NIS2, DORA, ISO 27001:2022 a GDPR to znamená, že dokážete:

• Detekovat relevantní události dostatečně rychle, abyste splnili přísné lhůty pro hlášení.
• Rekonstruovat důvěryhodnou posloupnost událostí z logů chráněných proti manipulaci.
• Doložit auditorům a regulačním orgánům, že vaše opatření pro protokolování a monitorování jsou založena na rizicích, respektují soukromí a jsou účinná.

Implementační doporučení Clarysec v Clarysec’s Zenith Controls: The Cross-Compliance Guide Zenith Controls to shrnuje jednoduše:

Účinná forenzní připravenost v kontextu souladu vyžaduje omezit sběr logových dat na nezbytné minimum, vyhnout se ukládání nadměrného množství osobních nebo citlivých údajů a tam, kde je to proveditelné, data anonymizovat nebo pseudonymizovat. Mezi další osvědčené postupy patří uplatňování robustních bezpečnostních opatření, jako je řízení přístupu, šifrování, časté audity a průběžné monitorování, společně s prosazováním politik uchovávání údajů sladěných s GDPR a pravidelným mazáním nepotřebných informací.

Jde o zásadní změnu uvažování:

• Od hromadění dat k účelovému sběru: Namísto sběru všeho definujete důkazy potřebné k zodpovězení klíčových otázek: Kdo co udělal? Kdy a kde se to stalo? Jaký byl dopad?
• Od izolovaných logů ke korelovaným časovým osám: Logy firewallu, aplikací a cloudu jsou jednotlivé dílky skládačky. Forenzní připravenost je schopnost složit je do konzistentního obrazu.
• Od provozního nástroje k důkaznímu aktivu: Logy neslouží pouze k ladění. Jsou právním a regulačním důkazem, který musí být chráněn, zachován a zpracováván s jasným řetězcem opatrování důkazů.

Neschopnost prokázat, co se během bezpečnostního incidentu stalo, je dnes sama o sobě považována za selhání opatření, bez ohledu na původní dopad incidentu.

Základ: propojení správy, politik a praxe

Dříve než se nakonfiguruje jediný log, začíná program forenzní připravenosti jasnou správou a řízením. První otázka auditora nebude „Ukažte mi svůj SIEM“, ale „Ukažte mi svou politiku“. Právě zde strukturovaný přístup přináší okamžitou a obhajitelnou hodnotu.

V The Zenith Blueprint: An Auditor’s 30-Step Roadmap Zenith Blueprint je krok 14 fáze „Risk & Implementation“ věnován právě této základní práci. Cíl je výslovný:

„Vytvořte nebo zpřesněte konkrétní politiky a postupy podle požadavků vámi zvolených způsobů ošetření rizik (a opatření z přílohy A) a zajistěte jejich soulad s předpisy, jako jsou GDPR, NIS2 a DORA.“

Tento krok nutí organizace převést rozhodnutí o rizicích do dokumentovaných a vymahatelných pravidel. Pro CISO, jako je Maria, to znamená vytvořit soubor vzájemně propojených politik, které definují forenzní schopnost organizace. Šablony politik Clarysec poskytují architektonický plán této struktury. Klíčové je vytvořit výslovné vazby mezi politikami a tím nastavit soudržný rámec správy a řízení.

Tím, že tento rámec politik zavedete jako první, vytváříte obhajitelnou pozici. Například naše Politika sběru důkazů a forenzního šetření uvádí svou závislost na P22 – Politice protokolování a monitorování, aby zajistila „dostupnost logů událostí a telemetrie pro sběr důkazů a forenzní korelaci“. Tato jediná věta vytváří silný mandát: účelem protokolování není jen provoz, ale také podpora forenzní analýzy.

U menších organizací jsou principy stejné. Naše Politika sběru důkazů a forenzního šetření pro SME odkazuje na vlastní základní politiku protokolování: „P22S – Politika protokolování a monitorování: Poskytuje surová data používaná jako forenzní důkaz a stanoví požadavky na uchovávání, řízení přístupu a protokolování.“

Tato dokumentovaná strategie říká auditorům, regulačním orgánům i interním týmům, že máte definovaný a záměrný přístup ke správě důkazů.

Technický motor: podpora připravenosti strategickým monitorováním

S pevným základem v politikách je dalším krokem vybudování technického motoru. Ten stojí na dvou klíčových opatřeních z ISO/IEC 27001:2022: 8.15 Protokolování a 8.16 Monitorovací činnosti. Přestože se o nich často hovoří společně, mají odlišné účely. Opatření 8.15 se týká zaznamenávání událostí. Opatření 8.16 se týká jejich aktivní analýzy za účelem detekce anomálií a bezpečnostních událostí. To je tep forenzní připravenosti.

Příručka Zenith Controls, naše proprietární metodika mapující opatření ISO na globální normy a auditní postupy, podrobně popisuje, jak je 8.16 Monitorovací činnosti klíčovým prvkem propojujícím surová data s použitelnými poznatky. Neexistuje izolovaně; je součástí hluboce propojeného bezpečnostního ekosystému:

• Vazba na 8.15 Protokolování: Účinné monitorování není možné bez robustního protokolování. Opatření 8.15 zajišťuje existenci surových dat. Opatření 8.16 poskytuje analytický mechanismus, který jim dává význam. Bez monitorování jsou logy jen tichým a neprozkoumaným archivem.
• Vstup do 5.25 Posouzení a rozhodnutí o událostech informační bezpečnosti: Upozornění a anomálie označené monitorováním (8.16) jsou primárními vstupy do procesu posouzení událostí (5.25). Jak uvádí příručka Zenith Controls, právě tak rozlišíte drobnou odchylku od plnohodnotného incidentu vyžadujícího eskalaci.
• Využití 5.7 Informace o hrozbách: Monitorování nesmí být statické. Informace o hrozbách (5.7) poskytují nové indikátory kompromitace a vzorce útoků, které mají být využívány k aktualizaci monitorovacích pravidel a vyhledávání, čímž vzniká proaktivní zpětnovazební smyčka.
• Rozšíření na 5.22 Monitorování služeb dodavatelů: Viditelnost nesmí končit na vašem vlastním perimetru. U cloudových služeb a dalších dodavatelů musíte zajistit, aby jejich možnosti monitorování a protokolování splňovaly vaše forenzní požadavky, což je klíčový aspekt pro NIS2 a DORA.

Strategie protokolování a monitorování připravená pro forenzní účely začíná jasným účelem. Prahové hodnoty upozornění musí vycházet z vašeho posouzení rizik; příklady zahrnují monitorování prudkého nárůstu odchozího síťového provozu, rychlého zamykání účtů, událostí eskalace oprávnění, detekcí malwaru a instalací nepovoleného softwaru.

Stejně tak musí být uchovávání logů vědomým rozhodnutím. Příručka Zenith Controls doporučuje:

Uchovávání a zálohování logů má být řízeno po předem stanovenou dobu, s ochranou proti neoprávněnému přístupu a změnám. Doby uchovávání logů musí být určeny obchodními potřebami, posouzeními rizik, osvědčenými postupy a právními požadavky…

To znamená definovat doby uchovávání pro jednotlivé systémy (např. 12 měsíců online, 3–5 let archivace pro systémy kritické podle DORA) a zajistit, aby záložní kopie byly uchovány alespoň tak dlouho, jak dlouho jsou logy pravidelně přezkoumávány.

Vyvažování souladu: sběr důkazů bez porušení GDPR

Instinktivní reakcí na auditní selhání, jaké zažila Maria, by mohlo být protokolovat všechno a všude. Tím však vzniká nový a stejně závažný problém: porušení zásad ochrany údajů podle GDPR. Forenzní připravenost a ochrana soukromí bývají často vnímány jako protichůdné síly, ale musí být sladěny.

Zde se stává kritickým opatření ISO 27001:2022 5.34 Soukromí a ochrana PII. Tvoří most mezi vaším bezpečnostním programem a povinnostmi v oblasti ochrany soukromí. Jak podrobně uvádí Zenith Controls, implementace 5.34 je přímým důkazem vaší schopnosti splnit GDPR Article 25 (ochrana osobních údajů již od návrhu a ve výchozím nastavení) a Article 32 (zabezpečení zpracování).

K dosažení této rovnováhy musí váš forenzní program integrovat klíčová opatření zvyšující ochranu soukromí:

• Integrace s 5.12 Klasifikace informací: Zajistěte, aby logy pocházející ze systémů zpracovávajících PII byly klasifikovány jako vysoce citlivé a získaly nejpřísnější ochranu.
• Implementace 8.11 Maskování dat: Aktivně používejte pseudonymizaci nebo maskování k zakrytí osobních identifikátorů v logách tam, kde nejsou pro vyšetřování vyžadovány surové hodnoty. Jde o přímé uplatnění minimalizace údajů.
• Uplatnění 5.15 a 5.16 (řízení přístupu a správa identit): Omezte přístup k surovým logům striktně podle principu potřeby znát, zejména u událostí týkajících se zaměstnanců nebo zákazníků.
• Mapování na rámce ochrany soukromí: Podpořte program normami, jako jsou ISO/IEC 27701 (pro PIMS), ISO/IEC 27018 (pro PII v cloudu) a ISO/IEC 29100 (pro zásady ochrany soukromí).

Integrací těchto opatření můžete navrhnout strategii protokolování a monitorování, která je forenzně spolehlivá i citlivá k ochraně soukromí a současně uspokojí bezpečnostní týmy i pověřence pro ochranu osobních údajů.

Od teorie k auditu: co různí auditoři skutečně hledají

Úspěšné absolvování auditu vyžaduje předložit správné důkazy způsobem, který odpovídá konkrétní metodice auditora. Auditor ISO 27001 uvažuje jinak než auditor COBIT a oba se zaměřují na něco jiného než regulační orgán pro NIS2.

Sekce audit_methodology v naší příručce Zenith Controls pro 8.16 Monitorovací činnosti poskytuje CISO mimořádně užitečný plán, který převádí cíl opatření do konkrétních důkazů pro různé auditní perspektivy.

Takto se připravíte na prověřování z různých úhlů:

Porozumění těmto různým pohledům je zásadní. Pro auditora ISO je dobře dokumentovaný proces řešení falešného poplachu vynikajícím důkazem funkčního systému. Pro auditora NIST je přesvědčivější živý test, při němž se upozornění spustí v reálném čase. Pro regulační orgán NIS2 nebo DORA je nejdůležitější důkaz včasné detekce a eskalace. Mariin tým selhal, protože nedokázal poskytnout důkazy, které by obstály v kterékoli z těchto perspektiv.

Praktický scénář: vytvoření důkazního balíčku připraveného pro audit

Aplikujme to na reálný scénář: malwarová kampaň zasáhne několik koncových bodů ve vašich provozech v EU, z nichž některé zpracovávají zákaznické PII. Musíte uspokojit GDPR, NIS2, DORA i auditora ISO 27001.

Váš důkazní balíček má být strukturovaným popisem událostí, nikoli pouhým výpisem dat. Má obsahovat:

1. Technická časová osa a artefakty:

   • Upozornění SIEM ukazující počáteční detekci, navázaná na 8.16 Monitorovací činnosti.
   • Logy EDR s hash hodnotami souborů, stromy procesů a opatřeními k zamezení šíření.
   • Logy firewallu a sítě ukazující pokusy o komunikaci C2.
   • Logy autentizace ukazující případné pokusy o laterální pohyb.
   • Hash hodnoty všech shromážděných logových souborů k prokázání integrity, v souladu s 8.24 Používání kryptografie.

2. Důkazy správy a procesní důkazy:

   • Kopii vaší Politiky sběru důkazů a forenzního šetření.
   • Kopii vaší Politiky protokolování a monitorování, která prokazuje mandát ke sběru těchto dat.
   • Relevantní výňatek z vaší Politiky uchovávání údajů Politika uchovávání údajů, který ukazuje doby uchovávání pro tyto konkrétní logy.

3. Vazba na řízení incidentů:

   • Tiket reakce na incidenty ukazující klasifikaci, posouzení závažnosti a eskalaci, propojující monitorování (8.16) s posouzením incidentu (5.25).
   • Záznamy rozhodovacího procesu pro oznámení orgánům podle NIS2 Article 23 nebo GDPR Article 33.

4. Důkazy souladu v oblasti ochrany soukromí:

   • Poznámku od pověřence pro ochranu osobních údajů potvrzující, že byl proveden přezkum důkazního balíčku z hlediska ochrany soukromí.
   • Prokázání, že veškeré PII obsažené v logách bylo zpracováno podle politiky (např. přístup byl omezen), v souladu s opatřením 5.34 Soukromí a ochrana PII.

5. Regulační komunikace:

   • Záznam veškeré korespondence s Úřadem pro ochranu osobních údajů nebo národním orgánem kybernetické bezpečnosti, jak doporučují naše pokyny v Zenith Controls.

Takto strukturovaný balíček promění chaotickou událost v prokázání kontroly, procesu a náležité péče.

Budování trezoru důkazů: praktický plán

Jak může CISO přejít od reaktivního postoje ke stavu průběžné forenzní připravenosti, která obstojí při auditu? Klíčem je systematicky budovat „trezor důkazů“ obsahující důkazy, které auditoři potřebují, ještě předtím, než si o ně řeknou.

1. Zdokumentujte svou strategii:

• Dokončete politiky: Schvalte a publikujte Politiku protokolování a monitorování, Politiku sběru důkazů a Politiku uchovávání údajů; jako vodítko použijte krok 14 z Zenith Blueprint.
• Zmapujte tok dat: Udržujte diagram znázorňující, odkud se logy sbírají, kde se agregují (např. SIEM) a jak jsou chráněny.

2. Nakonfigurujte a ověřte nástroje:

• Nastavte prahové hodnoty založené na rizicích: Zdokumentujte prahové hodnoty pro klíčová upozornění a odůvodněte je na základě svého posouzení rizik.
• Ověřte nastavení uchovávání: Pořiďte snímky obrazovky z platformy pro správu logů nebo cloudové konzole, které jasně ukazují nakonfigurované doby uchovávání pro různé typy dat.
• Prokažte integritu: Zaveďte proces kryptografického hashování kritických důkazních souborů při jejich sběru a ukládejte hash hodnoty odděleně.

3. Prokažte provozní účinnost:

• Veďte podrobné záznamy: Uchovávejte záznamy o tom, jak jste zpracovali alespoň tři nedávné bezpečnostní události, včetně falešných poplachů. Ukažte počáteční upozornění, poznámky z triáže, přijatá opatření a konečné vyřešení s časovými razítky.
• Protokolujte přístup k logům: Buďte připraveni ukázat, kdo má přístup k prohlížení surových logů, a poskytnout auditní stopu jejich přístupu.
• Testujte a zaznamenávejte: Uchovávejte záznamy prokazující, že vaše monitorovací systémy jsou v pořádku a že jsou prováděny a logovány pravidelné testy (např. testy alarmů).

Mariino auditní selhání nebylo technické, ale strategické. Tvrdě se naučila, že v dnešním regulačním prostředí je incident, který nelze vyšetřit, téměř stejně závažný jako incident samotný. Logy již nejsou prostým vedlejším produktem IT; jsou kritickým aktivem pro správu a řízení, řízení rizik a soulad.

Nečekejte, až neshoda odhalí vaše mezery. Vybudováním skutečné schopnosti forenzní připravenosti proměníte svá bezpečnostní data z potenciální odpovědnosti ve své největší aktivum pro prokazování náležité péče a odolnosti.

Jste připraveni vybudovat vlastní forenzní schopnost, která obstojí při auditu? Prozkoumejte Clarysec The Zenith Blueprint: An Auditor’s 30-Step Roadmap a vybudujte svůj zdokumentovaný ISMS od základů; poté se ponořte do našich Zenith Controls, abyste porozuměli přesným důkazům, které auditoři vyžadují u každého opatření. Naplánujte si konzultaci ještě dnes a zjistěte, jak mohou naše integrované sady nástrojů urychlit vaši cestu k prokazatelnému souladu.