Διακυβέρνηση της κόπωσης MFA και των επιθέσεων push bombing

Η ειδοποίηση push στις 2:13 π.μ. που έγινε ερώτημα προς το Διοικητικό Συμβούλιο

Στις 2:13 π.μ., μια ανώτερη διαχειρίστρια οικονομικών λαμβάνει ειδοποίηση στο κινητό της: «Έγκριση σύνδεσης;». Είναι μισοκοιμισμένη, θεωρεί ότι πρόκειται για λήξη χρονικού ορίου από μια οικονομική πλατφόρμα σε περιβάλλον νέφους και πατά έγκριση.

Στις 2:19 π.μ., ο επιτιθέμενος βρίσκεται μέσα στον πάροχο ταυτότητας. Στις 2:31 π.μ., επιχειρεί πρόσβαση σε εξαγωγή μισθοδοσίας, σε προνομιούχα κονσόλα νέφους και σε κοινόχρηστο γραμματοκιβώτιο που χρησιμοποιείται για πληρωμές προμηθευτών. Στις 3:05 π.μ., το SOC βλέπει επαναλαμβανόμενες προτροπές MFA, ασυνήθιστη γεωγραφική θέση, επιτυχή έγκριση και νέα συνεδρία από μη διαχειριζόμενη συσκευή.

Η πρωινή συζήτηση είναι γνώριμη:

• «Μα είχαμε MFA.»
• «Γιατί το ενέκρινε ο χρήστης;»
• «Καταγράψαμε τις λεπτομέρειες της πρόκλησης MFA;»
• «Είναι αυτό παραβίαση δεδομένων προσωπικού χαρακτήρα;»
• «Έχουμε υποχρεώσεις αναφοράς εντός 24 ή 72 ωρών;»
• «Θα το θεωρήσει ο ελεγκτής ISO 27001:2022 αστοχία ελέγχου;»
• «Επηρεάζει αυτό το NIS2, το DORA, το GDPR, τις συμβάσεις πελατών ή την ασφάλιση κυβερνοκινδύνων;»

Αυτό είναι το κενό διακυβέρνησης πίσω από την κόπωση MFA και το push bombing. Οι επιτιθέμενοι δεν σπάνε την κρυπτογραφία. Εξαντλούν την ανθρώπινη κρίση, εκμεταλλεύονται αδύναμο σχεδιασμό αυθεντικοποίησης και αναζητούν μη παρακολουθούμενες εξαιρέσεις. Η αστοχία ελέγχου σπάνια είναι «δεν ήταν ενεργοποιημένο το MFA». Συνήθως είναι αλυσίδα από αδύναμη διασφάλιση ταυτότητας, επισφαλή σχεδιασμό έγκρισης push, απουσία αντιστοίχισης αριθμού, ασαφείς κανόνες προνομιούχας πρόσβασης, ανεπαρκή καταγραφή συμβάντων αυθεντικοποίησης, ανεπαρκή διαλογή ειδοποιήσεων, ανεπαρκώς εκπαιδευμένους χρήστες και έλλειψη τεκμηριωμένων αποδείξεων ότι ο οργανισμός ανασκόπησε και διόρθωσε την αδυναμία.

Για τους CISO, τους Διευθυντές Συμμόρφωσης, τους ελεγκτές και τους ιδιοκτήτες επιχειρήσεων, η κόπωση MFA πρέπει να αντιμετωπίζεται ως ζήτημα τεκμηρίωσης του ISMS και όχι μόνο ως ρύθμιση παρόχου ταυτότητας. Η απάντηση συνδυάζει αντιμετώπιση κινδύνων ISO 27001:2022, ελέγχους ISO/IEC 27002:2022, υποχρεώσεις πολιτικής, ευαισθητοποίηση χρηστών, απόκριση σε περιστατικά, διακυβέρνηση προμηθευτών και διαπλαισιακές χαρτογραφήσεις για NIS2, DORA, GDPR, NIST CSF 2.0 και COBIT 2019.

Η κόπωση MFA είναι αστοχία διασφάλισης, όχι πρόβλημα χρήστη

Η κόπωση MFA, γνωστή επίσης ως push bombing ή prompt bombing, συμβαίνει όταν ένας επιτιθέμενος με έγκυρο κωδικό πρόσβασης ενεργοποιεί επανειλημμένα αιτήματα έγκρισης MFA έως ότου ο χρήστης αποδεχθεί ένα από αυτά. Μερικές φορές ο επιτιθέμενος προσθέτει κοινωνική μηχανική, όπως ψεύτικη κλήση από το helpdesk, μήνυμα που ισχυρίζεται «δοκιμάζουμε τον λογαριασμό σας» ή αίτημα έγκρισης σύνδεσης «για να σταματήσουν οι ειδοποιήσεις».

Ο επιχειρησιακός κίνδυνος είναι ότι οι οργανισμοί συχνά αντιμετωπίζουν όλες τις μορφές MFA ως ισοδύναμες. Δεν είναι.

Μια απλή ειδοποίηση push «έγκριση ή απόρριψη» είναι ασθενέστερη από την αντιστοίχιση αριθμού, τα κλειδιά ασφαλείας FIDO2 ανθεκτικά στο phishing, την αυθεντικοποίηση βάσει πιστοποιητικών ή την πρόσβαση υπό όρους που αποκλείει αδύνατη μετακίνηση και μη διαχειριζόμενες συσκευές. Το MFA αποτυγχάνει επίσης όταν οι εξαιρέσεις παράκαμψης δεν τεκμηριώνονται, οι λογαριασμοί υπηρεσίας επιτρέπουν διαδραστικές συνδέσεις, τα πρωτόκολλα παλαιού τύπου παραμένουν ενεργά ή η πρόσβαση υψηλού κινδύνου δεν απαιτεί ισχυρότερη αυθεντικοποίηση.

Στο Zenith Blueprint: An Auditor’s 30-Step Roadmap, η Clarysec εντάσσει την ασφαλή αυθεντικοποίηση στη φάση Controls in Action, Step 19: Technological Controls I. Η καθοδήγηση είναι σαφής:

Η αυθεντικοποίηση είναι η πρώτη και πιο κρίσιμη γραμμή άμυνας ανάμεσα σε έναν φορέα απειλής και στα συστήματα, τα δεδομένα και τις υπηρεσίες σας. Εάν η αυθεντικοποίηση είναι αδύναμη, όλα τα υπόλοιπα —κρυπτογράφηση, παρακολούθηση, τμηματοποίηση— μπορούν να παρακαμφθούν.

Το ίδιο Zenith Blueprint καλύπτει επίσης τον έλεγχο ISO/IEC 27002:2022 5.17 στο Step 22:

Εάν η ταυτότητα είναι η ερώτηση «Ποιος είσαι;», τότε η αυθεντικοποίηση είναι η απόδειξη. Ο έλεγχος 5.17 είναι το σημείο όπου η θεωρία συναντά την εμπιστοσύνη. Απαιτεί οι πληροφορίες αυθεντικοποίησης να διαχειρίζονται με ασφάλεια σε όλο τον κύκλο ζωής τους, διασφαλίζοντας ότι οι μέθοδοι και τα διαπιστευτήρια που χρησιμοποιούνται για την επαλήθευση της ταυτότητας δεν γίνονται τα ίδια ο ασθενέστερος κρίκος.

Αυτές οι δύο δηλώσεις εξηγούν γιατί το push bombing ανήκει στο Μητρώο Κινδύνων. Η κρυπτογράφηση δεν βοηθά εάν ο επιτιθέμενος γίνει εγκεκριμένος χρήστης. Η τμηματοποίηση δικτύου βοηθά λιγότερο εάν η προνομιούχα πρόσβαση σε περιβάλλον νέφους εγκριθεί μέσω προτροπής που αποδέχθηκε ένας κουρασμένος χρήστης. Η παρακολούθηση λειτουργεί μόνο εάν τα συμβάντα αυθεντικοποίησης καταγράφονται με επαρκή λεπτομέρεια και ανασκοπούνται γρήγορα.

Μια ώριμη διατύπωση κινδύνου πρέπει να είναι σαφής:

Εδώ έχει σημασία το ISO 27001:2022. Το πρότυπο απαιτεί πλαίσιο, ενδιαφερόμενα μέρη, ηγεσία, αξιολόγηση κινδύνου, σχεδιασμό αντιμετώπισης, επιχειρησιακό έλεγχο, παρακολούθηση, εσωτερικό έλεγχο, ανασκόπηση από τη διοίκηση και συνεχή βελτίωση. Η κόπωση MFA αγγίζει όλα αυτά.

Η δέσμη ελέγχων ISO 27001:2022 που θα εξετάσουν οι ελεγκτές

Το ISO 27001:2022 παρέχει τη δομή του συστήματος διαχείρισης. Το ISO/IEC 27002:2022 παρέχει καθοδήγηση εφαρμογής για τους ελέγχους. Για την κόπωση MFA και το push bombing, οι ελεγκτές συνήθως θα εστιάσουν σε μια δέσμη ελέγχων και όχι σε έναν μεμονωμένο έλεγχο.

Το Zenith Controls: The Cross-Compliance Guide της Clarysec χαρτογραφεί τον έλεγχο ISO/IEC 27002:2022 8.5 Secure authentication σε υποστηρικτικούς ελέγχους, όπως 5.17 Authentication information, 8.2 Privileged access rights, 8.16 Monitoring activities, 5.24 Information security incident management planning and preparation και 5.34 Privacy and protection of PII. Αυτή η διασύνδεση είναι σημαντική, επειδή ένα στιγμιότυπο οθόνης που δείχνει «MFA enabled» δεν αρκεί. Οι ελεγκτές θέλουν απόδειξη ότι η αυθεντικοποίηση σχεδιάζεται, παρακολουθείται, ανασκοπείται και βελτιώνεται βάσει κινδύνου.

Μια υποστηρίξιμη δέσμη τεκμηρίων πρέπει να περιλαμβάνει:

1. Αξιολόγηση κινδύνου που αναγνωρίζει το push bombing και την κοινωνική μηχανική μέσω προτροπών MFA.
2. Πρότυπο αυθεντικοποίησης που ορίζει αποδεκτές μεθόδους MFA ανά κρισιμότητα συστήματος.
3. Πολιτική προνομιούχας πρόσβασης που απαιτεί ισχυρότερη αυθεντικοποίηση για διαχειριστική και απομακρυσμένη πρόσβαση.
4. Εξαγωγή διαμόρφωσης παρόχου ταυτότητας που δείχνει αντιστοίχιση αριθμού, όρια προτροπών, πρόσβαση υπό όρους και αποκλεισμένη αυθεντικοποίηση παλαιού τύπου.
5. Αρχεία καταγραφής που δείχνουν επιτυχημένα και αποτυχημένα συμβάντα MFA, απορριφθείσες προτροπές, αδύνατη μετακίνηση και πλαίσιο συσκευής.
6. Κανόνες ειδοποίησης για επαναλαμβανόμενες προτροπές MFA, επαναλαμβανόμενες αποτυχίες και ασυνήθιστη επιτυχή έγκριση.
7. Αρχεία απόκρισης σε περιστατικά για ειδοποιήσεις που σχετίζονται με αυθεντικοποίηση.
8. Περιεχόμενο εκπαίδευσης ευαισθητοποίησης που καθοδηγεί τους χρήστες να μην εγκρίνουν απρόσμενες προτροπές.
9. Αρχεία αναθεώρησης δικαιωμάτων πρόσβασης για προνομιούχα συστήματα και συστήματα υψηλού αντικτύπου.
10. Μητρώο Εξαιρέσεων με ημερομηνίες λήξης, εγκρίσεις Ιδιοκτητών Κινδύνου και αντισταθμιστικούς ελέγχους.

Η πολιτική μετατρέπει το «μην εγκρίνετε απρόσμενες προτροπές» σε τεκμήριο

Πολλοί οργανισμοί λένε στους χρήστες να μην εγκρίνουν ύποπτες προτροπές. Η συμβουλή είναι χρήσιμη, αλλά δεν αρκεί για πιστοποίηση ISO 27001:2022, εποπτεία NIS2, ανθεκτικότητα DORA, λογοδοσία GDPR, δέουσα επιμέλεια πελατών ή ασφάλιση κυβερνοκινδύνων.

Το πρώτο σημείο αγκύρωσης πολιτικής είναι η P38 Secure Communications and Multi-Factor Authentication (MFA) Policy. Αντιμετωπίζει άμεσα την ανθρώπινη διάσταση:

Ευαισθητοποίηση χρηστών: Οι χρήστες πρέπει να εκπαιδεύονται ώστε να διακρίνουν τα ασφαλή από τα μη ασφαλή κανάλια επικοινωνίας. Η εκπαίδευση πρέπει να καλύπτει την ορθή χρήση της πολυπαραγοντικής αυθεντικοποίησης (MFA) (π.χ. να μην εγκρίνουν απρόσμενες προτροπές σύνδεσης) και πρακτικές ασφαλούς επικοινωνίας (π.χ. επαλήθευση συνδέσμων τηλεδιάσκεψης και αποφυγή συζήτησης εμπιστευτικών θεμάτων μέσω μη ασφαλών γραμμών).

Αυτό μετατρέπει την κόπωση MFA σε εκπαιδευτική υποχρέωση, όχι σε άσκηση απόδοσης ευθύνης. Επιτρέπει στον CISO να αποδείξει ότι το prompt bombing καλύπτεται στη διαδικασία ένταξης, στην επαναληπτική εκπαίδευση, στην εκπαίδευση βάσει ρόλων και στις ενημερώσεις προνομιούχων χρηστών.

Η ίδια P38 Secure Communications and Multi-Factor Authentication (MFA) Policy δημιουργεί επίσης υποχρέωση παρακολούθησης:

Η Ασφάλεια Πληροφοριών πρέπει να παρακολουθεί συνεχώς τα αρχεία καταγραφής αυθεντικοποίησης για τυχόν απόπειρες σύνδεσης με μονοπαραγοντική αυθεντικοποίηση ή ανώμαλες αποτυχίες πολυπαραγοντικής αυθεντικοποίησης (MFA). Τα αρχεία καταγραφής από συστήματα ασφαλούς επικοινωνίας, όπου εφαρμόζεται, πρέπει να παρακολουθούνται για απόπειρες μη εξουσιοδοτημένης πρόσβασης ή αλλαγές διαμόρφωσης.

Για τις ΜΜΕ, η P11S User Account and Privilege Management Policy - SME θέτει μια πρακτική βασική γραμμή:

Η πολυπαραγοντική αυθεντικοποίηση (MFA) πρέπει να είναι ενεργοποιημένη, όπου είναι τεχνικά εφικτό, για λογαριασμούς διαχειριστών ή ευαίσθητα συστήματα.

Η φράση «όπου είναι τεχνικά εφικτό» δεν πρέπει ποτέ να γίνει παραθυράκι. Εάν ένα σύστημα δεν μπορεί να υποστηρίξει ισχυρό MFA, η εξαίρεση πρέπει να καταγράφεται με ιδιοκτήτη, ημερομηνία λήξης, αντισταθμιστικούς ελέγχους, παρακολούθηση και σχέδιο μετεγκατάστασης. Οι μεγαλύτεροι οργανισμοί μπορούν να ευθυγραμμίσουν την ίδια προσδοκία με την P11 User Account and Privilege Management Policy και στη συνέχεια να ελέγξουν εάν η πολιτική και η επιχειρησιακή πραγματικότητα συμφωνούν.

Τα τεκμήρια ανίχνευσης προέρχονται από την P22S Logging and Monitoring Policy - SME, η οποία απαιτεί καταγραφή συμβάντων αυθεντικοποίησης:

Αρχεία καταγραφής αυθεντικοποίησης: Επιτυχημένες και αποτυχημένες απόπειρες σύνδεσης, διάρκεια συνεδρίας, χρήση MFA

Απαιτεί επίσης άμεση ανασκόπηση σημάτων αυθεντικοποίησης υψηλού κινδύνου:

Άμεση ανασκόπηση κατά την ανίχνευση ειδοποιήσεων υψηλής σοβαρότητας (π.χ. κακόβουλο λογισμικό, αποτυχημένη πολυπαραγοντική αυθεντικοποίηση (MFA), επαναλαμβανόμενες αποτυχίες σύνδεσης)

Η ευαισθητοποίηση πρέπει να εξελίσσεται όσο εξελίσσονται οι απειλές. Η Information Security Awareness and Training Policy - SME υποστηρίζει αυτόν τον κύκλο:

Τα θέματα πρέπει να περιλαμβάνουν αναδυόμενους κινδύνους (π.χ. ηλεκτρονικό ψάρεμα), συναφείς αλλαγές πολιτικής και εσωτερικές τάσεις περιστατικών.

Όταν το SOC ανιχνεύει απόπειρες κόπωσης MFA, αυτή η πληροφόρηση πρέπει να τροφοδοτεί ειδοποιήσεις χρηστών, σενάρια επικοινωνίας του helpdesk, ασκήσεις επιτραπέζιων σεναρίων και επικαιροποιήσεις εκπαίδευσης.

Δέσμη ελέγχων για τη διακυβέρνηση της κόπωσης MFA

Ας υποθέσουμε ότι ο οργανισμός σας χρησιμοποιεί πάροχο ταυτότητας σε περιβάλλον νέφους, SaaS CRM, οικονομική πλατφόρμα, VPN και πάροχο διαχειριζόμενων υπηρεσιών ασφάλειας. Ο στόχος είναι η διακυβέρνηση της κόπωσης MFA με χρήση του Zenith Blueprint της Clarysec, της βιβλιοθήκης πολιτικών και του οδηγού χαρτογράφησης συμμόρφωσης Zenith Controls.

Ξεκινήστε με το Step 19 στο Zenith Blueprint, το οποίο καθοδηγεί τις ομάδες να ορίζουν απαιτήσεις αυθεντικοποίησης ανά σύστημα και προειδοποιεί ότι η αυθεντικοποίηση μόνο με κωδικό πρόσβασης πρέπει να αποφεύγεται για λογαριασμούς διαχειριστών, κονσόλες νέφους, εργαλεία απομακρυσμένης πρόσβασης και συστήματα εκτεθειμένα στο διαδίκτυο. Στη συνέχεια εφαρμόστε την πρακτική δραστηριότητα ανασκόπησης:

Ανασκοπήστε την ανάπτυξη MFA: εντοπίστε τυχόν κενά και σχεδιάστε το κλείσιμό τους. Επαληθεύστε ότι οι λογαριασμοί υπηρεσίας είναι μη διαδραστικοί όπου είναι δυνατό, διαθέτουν ισχυρά διαπιστευτήρια και είναι τεκμηριωμένοι. Επιβεβαιώστε ότι δεν παραμένουν προεπιλεγμένα διαπιστευτήρια σε οποιοδήποτε σύστημα ή εφαρμογή.

Μετατρέψτε αυτή την καθοδήγηση σε λειτουργική δέσμη ελέγχων.

Βήμα 1: ταξινομήστε τα συστήματα βάσει κινδύνου αυθεντικοποίησης

Βήμα 2: αφαιρέστε τη συμπεριφορά push υψηλού κινδύνου

Για λογαριασμούς διαχειριστών και λογαριασμούς υψηλού αντικτύπου, απενεργοποιήστε τη βασική έγκριση push. Χρησιμοποιήστε αυθεντικοποιητές ανθεκτικούς στο phishing όπου είναι δυνατό. Όπου το push παραμένει, εφαρμόστε αντιστοίχιση αριθμού, πλαίσιο εφαρμογής, γεωγραφικό πλαίσιο, δέσμευση συσκευής και όρια ρυθμού προτροπών. Αποκλείστε την αυθεντικοποίηση παλαιού τύπου και απαιτήστε εκ νέου αυθεντικοποίηση για συνεδρίες υψηλού κινδύνου.

Βήμα 3: ορίστε κανόνες ειδοποίησης για την κόπωση MFA

Ένας πρακτικός κανόνας SIEM πρέπει να ενεργοποιείται όταν ένα ή περισσότερα από τα ακόλουθα μοτίβα εμφανίζονται μέσα σε σύντομο χρονικό παράθυρο:

• Τρεις ή περισσότερες προτροπές push MFA για έναν χρήστη.
• Δύο απορριφθείσες προτροπές που ακολουθούνται από μία εγκεκριμένη προτροπή.
• Έγκριση MFA από νέα γεωγραφική περιοχή ή μη διαχειριζόμενη συσκευή.
• Προτροπή MFA μετά από ένδειξη password spraying ή credential stuffing.
• Έγκριση MFA για προνομιούχα πρόσβαση εκτός κανονικού ωραρίου εργασίας.
• Νέα εγγραφή αυθεντικοποιητή λίγο μετά από αποτυχημένες απόπειρες σύνδεσης.

Η ειδοποίηση πρέπει να δημιουργεί δελτίο περιστατικού, να ειδοποιεί το SOC ή τον επικεφαλής ασφάλειας και να απαιτεί βήματα περιορισμού: αναστολή συνεδρίας, ανάκληση διακριτικών ανανέωσης, απαίτηση επαναφοράς κωδικού πρόσβασης, επαλήθευση συσκευής, συνέντευξη χρήστη, ανασκόπηση πρόσβασης κατά τη διάρκεια της συνεδρίας και ταξινόμηση του κατά πόσο υπήρξε αντίκτυπος σε δεδομένα προσωπικού χαρακτήρα ή σε κρίσιμη υπηρεσία.

Βήμα 4: συνδέστε τα αρχεία ιδιωτικότητας και περιστατικών

Εάν ο λογαριασμός μπορεί να προσπελάσει δεδομένα προσωπικού χαρακτήρα, εφαρμόστε την PII Security and Access Control Policy. Απαιτεί ισχυρή αυθεντικοποίηση πριν από πρόσβαση σε δεδομένα προσωπικού χαρακτήρα υψηλού αντικτύπου:

[Both] Ο Επικεφαλής Ασφάλειας Πληροφοριών ΠΡΕΠΕΙ να απαιτεί ισχυρή αυθεντικοποίηση για προνομιούχα, απομακρυσμένη, διαχειριστική πρόσβαση ή πρόσβαση υψηλού αντικτύπου σε δεδομένα προσωπικού χαρακτήρα πριν ενεργοποιηθεί η πρόσβαση αυτή και να καταγράφει την απαίτηση στο REG12.

Απαιτεί επίσης να ορίζεται το πεδίο καταγραφής:

[Both] Ο Ιδιοκτήτης Συστήματος / Ιδιοκτήτης Εφαρμογής ΠΡΕΠΕΙ να ορίζει το πεδίο καταγραφής για δεδομένα προσωπικού χαρακτήρα για συμβάντα αυθεντικοποίησης, συμβάντα πρόσβασης, προνομιούχες ενέργειες, δραστηριότητα εξαγωγής δεδομένων προσωπικού χαρακτήρα και ουσιώδεις αλλαγές διαμόρφωσης στο REG12 πριν από τη χρήση σε παραγωγικό περιβάλλον ή πριν από ουσιώδη αλλαγή.

Όταν η παρακολούθηση υποδεικνύει μη εξουσιοδοτημένη πρόσβαση σε δεδομένα προσωπικού χαρακτήρα, δημιουργεί υποχρέωση ανοίγματος αρχείου περιστατικού:

[Conditional] Ο Συντονιστής Απόκρισης σε Περιστατικά ΠΡΕΠΕΙ να ανοίγει ή να συνδέει αρχείο REG10 εντός μίας εργάσιμης ημέρας όταν η παρακολούθηση υποδεικνύει ύποπτη μη εξουσιοδοτημένη πρόσβαση σε δεδομένα προσωπικού χαρακτήρα, ύποπτη κοινολόγηση δεδομένων προσωπικού χαρακτήρα, ύποπτη αλλοίωση δεδομένων προσωπικού χαρακτήρα ή ύποπτη απώλεια διαθεσιμότητας δεδομένων προσωπικού χαρακτήρα.

Η κλιμάκωση ιδιωτικότητας ολοκληρώνεται από την PII Incident and Breach Management Policy:

[Conditional] Ο Επικεφαλής Ιδιωτικότητας / Υπεύθυνος PIMS ΠΡΕΠΕΙ να αξιολογεί τα εφαρμοστέα νομικά, τομεακά, χρηματοοικονομικά, κυβερνοασφάλειας, συμβατικά, πελατειακά και προς αποδέκτες υπηρεσιών εναύσματα αναφοράς για κάθε περιστατικό υψηλού αντικτύπου που αφορά δεδομένα προσωπικού χαρακτήρα και να καταγράφει το αποτέλεσμα εφαρμοσιμότητας στα REG01, REG08 και REG10.

Αυτό μετατρέπει μια ειδοποίηση MFA σε τεκμήρια έτοιμα για έλεγχο σε ασφάλεια, ιδιωτικότητα και συμμόρφωση.

NIS2, DORA και GDPR: ένα περιστατικό, διαφορετικά ερωτήματα

Η κόπωση MFA είναι χρήσιμο stress test συμμόρφωσης μεταξύ πλαισίων, επειδή αγγίζει τη διακυβέρνηση, την κυβερνοϋγιεινή, τον έλεγχο πρόσβασης, την ανίχνευση περιστατικών, την πρόσβαση προμηθευτών και την αναφορά παραβιάσεων.

NIS2: λογοδοσία διοίκησης και κυβερνοϋγιεινή

Το NIS2 εφαρμόζεται σε πολλές βασικές και σημαντικές οντότητες, ανάλογα με τον τομέα, το μέγεθος και τον χαρακτηρισμό από το κράτος μέλος. Το Article 20 θέτει λογοδοσία στα διοικητικά όργανα για την έγκριση μέτρων διαχείρισης κινδύνων κυβερνοασφάλειας, την εποπτεία της εφαρμογής και τη λήψη εκπαίδευσης. Το Article 21 απαιτεί κατάλληλα τεχνικά, επιχειρησιακά και οργανωτικά μέτρα, συμπεριλαμβανομένων του χειρισμού περιστατικών, της κυβερνοϋγιεινής, της ασφάλειας εφοδιαστικής αλυσίδας, του ελέγχου πρόσβασης, της διαχείρισης περιουσιακών στοιχείων, της εκπαίδευσης και της πολυπαραγοντικής ή συνεχούς αυθεντικοποίησης όπου ενδείκνυται. Το Article 23 εισάγει κλιμακωτές υποχρεώσεις αναφοράς περιστατικών για σημαντικά περιστατικά, συμπεριλαμβανομένης έγκαιρης προειδοποίησης εντός 24 ωρών από τη λήψη γνώσης και γνωστοποίησης περιστατικού εντός 72 ωρών.

Ένα περιστατικό push bombing γίνεται, επομένως, ερώτημα σε επίπεδο Διοικητικού Συμβουλίου: σχεδιάστηκε το MFA με ασφαλή τρόπο ή απλώς ενεργοποιήθηκε;

DORA: η αυθεντικοποίηση ως ψηφιακή επιχειρησιακή ανθεκτικότητα

Για τις καλυπτόμενες χρηματοοικονομικές οντότητες, το DORA εφαρμόζεται από τις 17 Ιανουαρίου 2025. Αναμένει διαχείριση κινδύνων ΤΠΕ, ανίχνευση, απόκριση, ανάκαμψη, αναφορά περιστατικών, πρόγραμμα δοκιμών ψηφιακής επιχειρησιακής ανθεκτικότητας και διαχείριση κινδύνου τρίτων παρόχων ΤΠΕ.

Το DORA Article 9 καλύπτει την προστασία και την πρόληψη, συμπεριλαμβανομένων μέτρων ελέγχου πρόσβασης και αυθεντικοποίησης. Το Article 10 καλύπτει την ανίχνευση ανώμαλης δραστηριότητας. Το Article 17 απαιτεί διαδικασία διαχείρισης περιστατικών που σχετίζονται με τις ΤΠΕ. Σε περιβάλλον DORA, τα τεκμήρια κόπωσης MFA πρέπει να δείχνουν ότι τα επηρεαζόμενα περιουσιακά στοιχεία ΤΠΕ αναγνωρίστηκαν, η παρακολούθηση ανίχνευσε ανώμαλη συμπεριφορά, το περιστατικό ταξινομήθηκε με χρήση κριτηρίων αντικτύπου, έγινε κλιμάκωση στην ανώτερη διοίκηση όπου απαιτούνταν και τα διδάγματα που αντλήθηκαν ενσωματώθηκαν ξανά στο πλαίσιο κινδύνων ΤΠΕ.

GDPR: ασφάλεια της επεξεργασίας και λογοδοσία

Το GDPR Article 5(1)(f) απαιτεί ακεραιότητα και εμπιστευτικότητα. Το Article 5(2) απαιτεί λογοδοσία. Το Article 32 απαιτεί ασφάλεια ανάλογη με τον κίνδυνο. Το Article 4 ορίζει την παραβίαση δεδομένων προσωπικού χαρακτήρα ως παραβίαση της ασφάλειας που οδηγεί σε τυχαία ή παράνομη καταστροφή, απώλεια, αλλοίωση, μη εξουσιοδοτημένη κοινολόγηση ή πρόσβαση σε δεδομένα προσωπικού χαρακτήρα.

Εάν ένα περιστατικό κόπωσης MFA αγγίζει δεδομένα προσωπικού χαρακτήρα, το ερώτημα τεκμηρίων είναι απλό: μπορεί ο οργανισμός να αποδείξει κατάλληλους ελέγχους αυθεντικοποίησης, παρακολούθηση, απόκριση σε περιστατικά και αξιολόγηση παραβίασης;

Διασταυρούμενη χαρτογράφηση για ISO, NIST CSF 2.0, COBIT 2019 και ελεγκτικά τεκμήρια

Το NIST CSF 2.0 είναι χρήσιμο επειδή μεταφράζει τη διακυβέρνηση MFA σε αποτελέσματα GOVERN, IDENTIFY, PROTECT, DETECT, RESPOND και RECOVER.

Το COBIT 2019 προσθέτει σαφήνεια διακυβέρνησης. Ένας ελεγκτής με προσέγγιση COBIT μπορεί να εξετάσει τα DSS05.04 Manage identity and logical access, DSS05 Manage security services, APO13 Managed security και MEA03 Managed compliance with external requirements. Η εστίαση δεν είναι ο προμηθευτής MFA. Είναι το κατά πόσο η αυθεντικοποίηση υποστηρίζει τους επιχειρησιακούς στόχους, κατά πόσο τα δικαιώματα πρόσβασης διέπονται, κατά πόσο η παρακολούθηση είναι αποτελεσματική και κατά πόσο η διοίκηση λαμβάνει ουσιαστική διασφάλιση.

Μια ενοποιημένη χαρτογράφηση βοηθά τις ομάδες συμμόρφωσης να αποφεύγουν κατακερματισμένα αιτήματα τεκμηρίων:

Τι θα ζητήσουν οι ελεγκτές και οι ρυθμιστικές αρχές

Ένα ισχυρό πρόγραμμα διαχείρισης της κόπωσης MFA πρέπει να αντέχει σε πολλαπλές προσεγγίσεις ελέγχου. Ο οδηγός χαρτογράφησης συμμόρφωσης Zenith Controls της Clarysec δείχνει πώς οι έλεγχοι ISO/IEC 27002:2022 δοκιμάζονται σε μεθοδολογίες ISO, NIST, COBIT και ISACA.

Ένα αδύναμο πρόγραμμα λέει: «Ρωτήσαμε τον χρήστη και επαναφέραμε τον κωδικό πρόσβασης». Ένα διεπόμενο πρόγραμμα παράγει ειδοποίηση SIEM, δελτίο περιστατικού, αρχείο ανάκλησης συνεδρίας, τεκμήρια επαναφοράς κωδικού πρόσβασης, ανασκόπηση παράγοντα MFA, ανάλυση αρχείων καταγραφής πρόσβασης, αξιολόγηση δεδομένων προσωπικού χαρακτήρα, αξιολόγηση εναυσμάτων αναφοράς, δήλωση βασικής αιτίας, διορθωτικές ενέργειες και εισροή στην ανασκόπηση από τη διοίκηση.

Σχέδιο ενεργειών 30 ημερών για τη διακυβέρνηση της κόπωσης MFA

Ο στόχος δεν είναι η τελειότητα σε 30 ημέρες. Ο στόχος είναι ορατότητα, ιδιοκτησία και τεκμήρια.

Εβδομάδα 1: αναγνώριση και οριοθέτηση πεδίου

• Καταγράψτε όλους τους παρόχους ταυτότητας, τα VPN, τις κονσόλες νέφους, τις πλατφόρμες SaaS και τα εργαλεία προνομιούχας πρόσβασης.
• Αναγνωρίστε συστήματα με δεδομένα προσωπικού χαρακτήρα, οικονομικά δεδομένα, πρόσβαση σε περιβάλλον παραγωγής ή λειτουργίες που επηρεάζουν την υπηρεσία.
• Εξαγάγετε τις τρέχουσες μεθόδους και εξαιρέσεις MFA.
• Αναγνωρίστε εξωτερικούς λογαριασμούς και λογαριασμούς προμηθευτών.
• Προσθέστε την κόπωση MFA και το push bombing στο Μητρώο Κινδύνων.
• Αναθέστε Ιδιοκτήτη Κινδύνου και ιδιοκτήτη αντιμετώπισης.

Εβδομάδα 2: σκλήρυνση της αυθεντικοποίησης

• Απενεργοποιήστε την αυθεντικοποίηση παλαιού τύπου.
• Απαιτήστε MFA ανθεκτικό στο phishing για διαχειριστές όπου είναι εφικτό.
• Ενεργοποιήστε αντιστοίχιση αριθμού και πλαίσιο εφαρμογής για push MFA.
• Εφαρμόστε πρόσβαση υπό όρους για τοποθεσία, συμμόρφωση συσκευής και αδύνατη μετακίνηση.
• Περιορίστε τις επαναλαμβανόμενες προτροπές push.
• Απαιτήστε εκ νέου αυθεντικοποίηση για ενέργειες υψηλού κινδύνου.
• Καταστήστε τους λογαριασμούς υπηρεσίας μη διαδραστικούς όπου είναι δυνατό.
• Τεκμηριώστε τις εξαιρέσεις με ημερομηνία λήξης και αντισταθμιστικούς ελέγχους.

Εβδομάδα 3: παρακολούθηση και άσκηση

• Διασφαλίστε ότι τα αρχεία καταγραφής αυθεντικοποίησης αποτυπώνουν επιτυχία, αποτυχία, διάρκεια συνεδρίας και χρήση MFA.
• Δημιουργήστε κανόνες ειδοποίησης για επαναλαμβανόμενες προτροπές, απορριφθείσες προτροπές που ακολουθούνται από έγκριση, εγγραφή νέας συσκευής και ασυνήθιστη τοποθεσία.
• Δοκιμάστε τις ειδοποιήσεις με ελεγχόμενη προσομοίωση.
• Επικυρώστε τη δημιουργία και κλιμάκωση δελτίου περιστατικού.
• Εκπαιδεύστε τους χρήστες με σύντομη άσκηση «απρόσμενης προτροπής MFA».
• Επικαιροποιήστε τα σενάρια επικοινωνίας του helpdesk για την αποτροπή κοινωνικής μηχανικής κατά τις επαναφορές κωδικών πρόσβασης και την επανεγγραφή MFA.

Εβδομάδα 4: τεκμήρια και ανασκόπηση από τη διοίκηση

• Αποθηκεύστε εξαγωγές διαμόρφωσης και στιγμιότυπα οθόνης.
• Καταγράψτε τα αποτελέσματα αναθεωρήσεων δικαιωμάτων πρόσβασης.
• Συνδέστε την ολοκλήρωση εκπαίδευσης με προνομιούχους χρήστες.
• Ανασκοπήστε περιστατικά και παρ’ ολίγον συμβάντα.
• Επικαιροποιήστε τη Δήλωση Εφαρμοσιμότητας και το σχέδιο αντιμετώπισης.
• Παρουσιάστε τον υπολειπόμενο κίνδυνο και τις μετρικές στη διοίκηση.
• Προγραμματίστε δειγματοληψία εσωτερικού ελέγχου.

Κάντε την κόπωση MFA ελέγξιμη πριν γίνει αναφερόμενη

Η κόπωση MFA υπενθυμίζει ότι οι έλεγχοι ασφάλειας αποτυγχάνουν στα σημεία σύνδεσης: ανάμεσα στην ταυτότητα και την παρακολούθηση, ανάμεσα στην πολιτική και την εκπαίδευση, ανάμεσα στους προμηθευτές και την εσωτερική πρόσβαση, ανάμεσα στην απόκριση σε περιστατικά και την αναφορά ιδιωτικότητας.

Οι οργανισμοί που τη διαχειρίζονται σωστά δεν «ενεργοποιούν απλώς το MFA». Διέπουν την αυθεντικοποίηση ως κύκλο ζωής, την παρακολουθούν ως σήμα απειλής, εκπαιδεύουν τους χρήστες ως μέρος του ελέγχου και διατηρούν τεκμήρια ως μέρος του ISMS.

Η Clarysec συνδυάζει τρία στοιχεία:

• Το Zenith Blueprint: An Auditor’s 30-Step Roadmap, ιδίως το Step 19 για ασφαλή αυθεντικοποίηση, το Step 22 για πληροφορίες αυθεντικοποίησης και το Step 16 για αναφορά περιστατικών που καθοδηγείται από το προσωπικό.
• Πρότυπα πολιτικών της Clarysec, συμπεριλαμβανομένων των P38 Secure Communications and Multi-Factor Authentication (MFA) Policy, P22S Logging and Monitoring Policy - SME, P11S User Account and Privilege Management Policy - SME, Information Security Awareness and Training Policy - SME, PII Security and Access Control Policy και PII Incident and Breach Management Policy.
• Το Zenith Controls: The Cross-Compliance Guide, το οποίο χαρτογραφεί τους ελέγχους ISO/IEC 27002:2022 5.17, 8.5, 8.15 και 8.16 σε υποστηρικτικούς ελέγχους, προσδοκίες ελέγχου ISO, GDPR, NIS2, DORA, NIST και COBIT.

Εάν είστε CISO, Διευθυντής Συμμόρφωσης, ελεγκτής ή ιδιοκτήτης επιχείρησης, πραγματοποιήστε ανασκόπηση τεκμηρίων κόπωσης MFA διάρκειας μίας εβδομάδας. Συγκεντρώστε τη διαμόρφωση MFA, τα αρχεία καταγραφής αυθεντικοποίησης, τον κατάλογο προνομιούχας πρόσβασης, τον κατάλογο πρόσβασης προμηθευτών, το εγχειρίδιο ενεργειών περιστατικών, το εκπαιδευτικό υλικό και το Μητρώο Εξαιρέσεων. Εάν αυτά τα τεχνουργήματα δεν αφηγούνται μία συνεκτική ιστορία, η Clarysec μπορεί να σας βοηθήσει να δημιουργήσετε τη δέσμη ελέγχων πριν τη ζητήσει ένας επιτιθέμενος, ελεγκτής ή ρυθμιστική αρχή.

Εξερευνήστε το Zenith Blueprint, ανασκοπήστε το Zenith Controls ή προγραμματίστε μια κλήση αρχικής διερεύνησης με την Clarysec για να μετατρέψετε την κόπωση MFA από αιφνιδιασμό σε επίπεδο Διοικητικού Συμβουλίου σε υποστηρίξιμο, ελέγξιμο πρόγραμμα αυθεντικοποίησης.