Difiża kontra l-malware fuq endpoints: evidenza ISO 27001 għar-regoli tal-UE

Huma s-07:42 ta’ nhar ta’ Tnejn. Maniġer tal-finanzi jiftaħ fattura ta’ fornitur minn katina ta’ emails li tidher leġittima. Ftit minuti wara, il-console tas-sejbien fuq l-endpoints timmarka eżekuzzjoni suspettuża ta’ script, tentattiv ta’ persistenza, u traffiku ħiereġ lejn dominju mhux magħruf. L-aġent EDR jiżola l-laptop awtomatikament. Il-katina tar-ransomware tinkiser qabel jibda l-iċċifrar.

Is-sigurtà ħadmet. Iżda l-mistoqsija diffiċli tiġi wara.

Il-CISO ma jiġix mistoqsi biss, “Waqqafna l-malware?” Il-Kap Eżekuttiv u l-bord jistaqsu, “Nistgħu nuru li din kienet reżiljenza mid-disinn, mhux xorti? Nistgħu nuru lill-awdituri, lill-klijenti, lir-regolaturi, u lill-assiguraturi li l-protezzjoni tal-endpoints tagħna ħadmet b’mod li jissodisfa ISO/IEC 27001:2022, l-iġjene ċibernetika ta’ NIS2, il-ġestjoni tar-riskju tal-ICT ta’ DORA, u GDPR Article 32?”

Din hija l-isfida definittiva tas-sigurtà tal-endpoints fl-2026. Il-protezzjoni tal-endpoints m’għadhiex biss funzjoni tal-operazzjonijiet tal-IT. Hija sistema ta’ evidenza tal-konformità.

Twissija waħda dwar malware fuq laptop tista’ ssir kampjun ta’ awditjar għal ISO/IEC 27001:2022, evalwazzjoni ta’ inċident sinifikanti taħt NIS2, reġistru ta’ inċident relatat mal-ICT taħt DORA, trijaġġ ta’ ksur ta’ data personali taħt GDPR, diskussjoni dwar ir-riskju tal-fornituri, u rieżami tal-governanza mill-bord. L-organizzazzjonijiet li jimmaniġġjaw dan sew ma jimplimentawx EDR biss. Huma jgħaqqdu politika, inventarju, kontrolli tekniċi, monitoraġġ, rispons għall-inċidenti, trijaġġ legali, kuntratti tal-fornituri, metriċi, u titjib kontinwu f’narrattiva waħda ta’ kontroll difensibbli.

Clarysec tara l-istess mudell f’ambjenti SaaS, fintech, servizzi ġestiti, u ambjenti diġitali regolati. Il-biċċa l-kbira tal-organizzazzjonijiet diġà għandhom għodod b’saħħithom: EDR, antivirus, MDM, scanners tal-vulnerabbiltajiet, SIEM, sigurtà tal-posta elettronika, filtrazzjoni tal-web, pjattaformi ta’ backup, u sistemi ta’ ticketing. Il-lakuna normalment mhijiex it-teknoloġija. Il-lakuna hija d-disinn tal-evidenza.

Dan l-artiklu juri kif tinbena evidenza dwar malware fuq endpoints, lesta għall-awditjar, billi tuża ISO/IEC 27001:2022 bħala s-sinsla tal-ISMS, Endpoint Protection / Malware Policy ta’ Clarysec Endpoint Protection / Malware Policy, il-Endpoint Protection - Malware Policy għall-SMEs Endpoint Protection - Malware Policy - SME, Zenith Blueprint: An Auditor’s 30-Step Roadmap Zenith Blueprint, u Zenith Controls: The Cross-Compliance Guide Zenith Controls.

Għaliex id-difiża kontra l-malware fuq endpoints issa hija kwistjoni ta’ konformità fil-livell tal-bord

L-endpoint modern huwa fejn jiltaqgħu l-identità, id-data tan-negozju, l-imġiba tal-utent, it-tekniki tal-attakkanti, u r-responsabbiltà regolatorja. Il-laptops jikkonnettjaw minn netwerks domestiċi u ajruporti. L-iżviluppaturi jħaddmu għodod lokali. L-eżekuttivi jivvjaġġaw b’email u fajls fil-cache. Il-kuntratturi jistgħu jużaw apparati ġestiti jew parzjalment ġestiti. Il-mowbajls japprovaw prompts tal-MFA. Workloads fil-cloud u servers iġibu ruħhom bħal endpoints mill-perspettiva tal-EDR.

Fil-Zenith Blueprint, fil-fażi Kontrolli fl-Azzjoni, Pass 19: Kontrolli Teknoloġiċi I, Clarysec tiddeskrivi l-apparati endpoint tal-utenti bħala “bibien u twieqi” lejn l-organizzazzjoni:

L-apparati endpoint tal-utenti, laptops, smartphones, tablets, desktops, u anki thin clients, huma fejn tibda l-interazzjoni diġitali. Huma l-bibien u t-twieqi lejn is-sistemi tiegħek. U, bħal kull struttura fiżika, għandhom jissaħħu, jiġu mmonitorjati, u jiġu kkontrollati.

Dan il-qafas huwa importanti għaliex il-protezzjoni tal-endpoints mhijiex biss dwar l-imblukkar tal-malware. Għandha turi li l-organizzazzjoni taf liema apparati jeżistu, tmexxi governanza dwar kif jintużaw, tapplika linji bażi tas-sigurtà, tiskopri kompromess, tirrispondi b’mod konsistenti, tippreserva l-evidenza, tirrestawra l-operazzjonijiet, u titjieb wara l-inċidenti.

Programm matur ta’ difiża kontra l-malware fuq endpoints għandu jwieġeb erba’ mistoqsijiet ta’ awditjar mingħajr eżitazzjoni:

1. Nafu kull endpoint li jista’ jaċċessa sistemi tan-negozju jew data personali?
2. Kull endpoint huwa protett b’difiża kontra l-malware jew EDR approvati u ġestiti ċentralment?
3. Nistgħu nuru evidenza ta’ konfigurazzjoni, skannjar, aġġornamenti, twissijiet, kwarantina, iżolament, investigazzjoni, u għeluq?
4. Nistgħu ngħaqqdu l-avvenimenti tal-endpoints mat-trattament tar-riskju, ir-rispons għall-inċidenti, ir-rappurtar regolatorju, is-sorveljanza tal-fornituri, u r-rieżami tal-maniġment?

ISO/IEC 27001:2022 tipprovdi s-sistema ta’ ġestjoni meħtieġa biex dawn il-mistoqsijiet jitwieġbu. Il-klawżoli 4.1 sa 4.4 jeħtieġu li l-organizzazzjoni tiddefinixxi l-kuntest, il-partijiet interessati, l-obbligi legali u kuntrattwali, l-interfaċċi, id-dipendenzi, u l-kamp ta’ applikazzjoni tal-ISMS. Għall-protezzjoni tal-endpoints, il-kamp ta’ applikazzjoni ma jistax jieqaf ma’ “IT korporattiva.” Għandu jikkunsidra xogħol remot, workstations privileġġjati, apparati mobbli, aċċess cloud, apparati ġestiti minn fornituri, logijiet tal-endpoints, servizzi SOC jew MDR esternalizzati, u kwalunkwe endpoint li jista’ jaffettwa s-sigurtà tal-informazzjoni.

Il-klawżoli 5.1 sa 5.3 jagħmlu r-responsabbiltà tat-tmexxija espliċita. It-tmexxija għolja għandha tappoġġa l-ISMS, tassenja rwoli, tipprovdi riżorsi, u tiżgura l-allinjament tal-politiki. F’termini ta’ endpoints, il-bord ma jistax japprova objettivi ta’ iġjene ċibernetika waqt li jħalli liċenzjar tal-EDR, backlog tal-patches, eċċezzjonijiet BYOD, jew lakuni fl-eskalazzjoni tal-MDR mhux solvuti.

Il-klawżoli 6.1.1 sa 6.1.3 joħolqu l-magna tat-trattament tar-riskju. Ir-riskji tal-malware fuq endpoints għandhom jiġu identifikati, evalwati, trattati, immappjati mal-kontrolli tal-Anness A, riflessi fid-Dikjarazzjoni ta’ Applikabbiltà, u aċċettati mis-sidien tar-riskju fejn jibqa’ riskju residwu. Il-klawżoli 8.1 sa 8.3 imbagħad jibdlu t-trattament tar-riskju f’operazzjonijiet ikkontrollati, bidliet ippjanati, evalwazzjoni tar-riskju f’intervalli jew wara bidliet sinifikanti, u riżultati tat-trattament tar-riskju.

L-istorja għall-awditjar mhijiex “installajna EDR.” L-istorja għall-awditjar hija “ir-riskju tal-malware fuq endpoints huwa identifikat, evalwat, trattat, operat, immonitorjat, ittestjat, sostnut b’evidenza, irrappurtat, u mtejjeb.”

Il-pont tal-politika ta’ Clarysec bejn is-settings tal-EDR u l-evidenza tal-awditjar

Il-politika hija fejn ir-realtà teknika ssir intenzjoni li tista’ tiġi awditjata. Mingħajr politika, il-konfigurazzjonijiet tal-endpoints huma biss settings tal-għodod. Bil-politika, dawk is-settings isiru rekwiżiti ta’ kontroll.

Il-Endpoint Protection / Malware Policy għall-intrapriżi ta’ Clarysec tistabbilixxi dan il-pont fil-klawżola 1.3:

Din il-politika tappoġġa direttament il-konformità ma’ ISO/IEC 27001:2022 Clause 8.1 u Annex A Control 8.7 u hija allinjata mal-obbligi reġjonali taċ-ċibersigurtà taħt GDPR, NIS2, u DORA.

Dik il-klawżola waħda tagħti lill-organizzazzjoni linja diretta mill-operazzjonijiet tal-endpoints għal ISO/IEC 27001:2022, NIS2, DORA, u GDPR. L-awdituri mbagħad jistgħu jittestjaw jekk il-programm reali tal-endpoints tal-organizzazzjoni jaqbilx mal-impenn tal-politika.

L-istess politika għall-intrapriżi tistabbilixxi l-mudell operattiv mistenni fir-Rekwiżiti ta’ Governanza, klawżola 5.2:

L-endpoints kollha għandhom jiġu rreġistrati f’sistemi ta’ protezzjoni kontra l-malware ġestiti ċentralment (eż., EDR, antivirus, jew pjattaformi ekwivalenti) b’konfigurazzjoni bażi infurzata.

Din hija eżattament it-tip ta’ dikjarazzjoni li l-awdituri jistennew għaliex tista’ tiġi ttestjata. Jekk “l-endpoints kollha” għandhom jiġu rreġistrati, l-evidenza għandha turi l-popolazzjoni sħiħa tal-endpoints, il-popolazzjoni mistennija fl-EDR, l-istatus tar-reġistrazzjoni, l-eċċezzjonijiet, il-kontrolli kumpensatorji, u l-progress tar-rimedjazzjoni.

Għall-SMEs, il-Endpoint Protection - Malware Policy tagħti rekwiżiti diretti u operattivi. Il-klawżola 5.1.3 tgħid:

L-endpoints kollha għandhom jiġu rreġistrati fl-inventarju tal-assi tal-IT u marbuta mal-għodda ta’ protezzjoni tal-endpoint li tkun qed tintuża

Il-klawżola 5.2.1 iżżid:

L-endpoints kollha għandhom iħaddmu biss soluzzjonijiet antivirus jew EDR (endpoint detection and response) approvati mill-organizzazzjoni

Il-klawżola 6.1.1.1 teħtieġ:

Ħaddem skannjar antivirus u antimalware f’ħin reali b’mod kontinwu

U l-klawżola 8.1.1 teħtieġ:

L-avvenimenti tal-malware għandhom jiġu mmonitorjati b’mod kontinwu permezz tal-console tal-antivirus jew dashboard ċentralizzat tal-EDR

Flimkien, dawn il-klawżoli joħolqu test ta’ evidenza sempliċi iżda b’saħħtu: uri l-inventarju, uri l-għodda ta’ protezzjoni tal-endpoint, uri l-konfigurazzjoni approvata, uri l-monitoraġġ kontinwu, uri l-avvenimenti, uri t-tickets, u uri l-għeluq.

Immappjar tal-kontrolli tal-endpoints f’ISO/IEC 27001:2022 u ISO/IEC 27002:2022

Il-protezzjoni tal-endpoints spiss tfalli fl-awditi għaliex it-timijiet jittrattawha bħala kontroll wieħed. Fir-realtà, id-difiża kontra l-malware fuq endpoints tiddependi fuq diversi kontrolli li jsaħħu lil xulxin.

Il-kontrolli ċentrali ta’ ISO/IEC 27002:2022 huma A.8.1 Apparati endpoint tal-utenti u A.8.7 Protezzjoni kontra l-malware. Iżda difiża effettiva tal-endpoints tiddependi wkoll fuq ġestjoni tal-vulnerabbiltajiet, ġestjoni tal-logijiet, monitoraġġ, rispons għall-inċidenti, backup, filtrazzjoni tal-web, kontroll tal-mezzi ta’ ħżin rimovibbli, restrizzjoni tal-aċċess, ġestjoni tal-fornituri, governanza tas-servizzi cloud, għarfien dwar is-sigurtà, u kontinwità tan-negozju.

Zenith Controls jimmappa l-kontroll A.8.7 ta’ ISO/IEC 27002:2022, Protezzjoni kontra l-malware, bħala preventiv, detettiv, u korrettiv. Dan jappoġġa l-kunfidenzjalità, l-integrità, u d-disponibbiltà, u jingħaqad b’mod naturali mas-sigurtà tas-sistemi u tan-network, il-protezzjoni tal-informazzjoni, u l-kapaċitajiet ta’ sejbien. Juri wkoll li A.8.1, Apparati endpoint tal-utenti, huwa kontroll preventiv li jappoġġa l-kunfidenzjalità, l-integrità, u d-disponibbiltà permezz tal-ġestjoni tal-assi u l-governanza tal-endpoints.

Zenith Controls huwa partikolarment utli għaliex juri kif id-difiża tal-endpoints tiddependi fuq kontrolli relatati. Protezzjoni kontra l-malware tingħaqad ma’ A.5.7 Intelligence dwar it-theddid għaliex id-difiżi kontra l-malware għandhom jadattaw għal tattiki li jinbidlu. Tingħaqad ma’ A.8.8 Ġestjoni tal-vulnerabbiltajiet tekniċi għaliex il-malware spiss jisfrutta dgħufijiet magħrufa. Tingħaqad ma’ A.8.15 Logging u A.8.16 Attivitajiet ta’ monitoraġġ għaliex detezzjonijiet, kwarantini, skans, u aġġornamenti għandhom jinġabru u jiġu rieżaminati. Tingħaqad ma’ A.8.23 Filtrazzjoni tal-web għaliex siti malizzjużi jibqgħu triq komuni ta’ infezzjoni. Tingħaqad ma’ A.7.10 Mezzi ta’ ħżin għaliex mezzi ta’ ħżin rimovibbli jistgħu jintroduċu malware jekk ma jkunux ikkontrollati.

Apparati endpoint tal-utenti jingħaqdu wkoll ma’ A.5.10 Użu aċċettabbli tal-informazzjoni u assi assoċjati oħra, A.6.7 Xogħol remot, A.8.3 Restrizzjoni tal-aċċess għall-informazzjoni, A.8.5 Awtentikazzjoni sigura, A.6.3 Għarfien, edukazzjoni u taħriġ dwar is-sigurtà tal-informazzjoni, u A.6.6 Ftehimiet ta’ kunfidenzjalità jew ta’ nuqqas ta’ divulgazzjoni.

Fi kliem sempliċi, endpoint sigur mhuwiex biss apparat b’aġent. Huwa ambjent tax-xogħol fejn il-politika tiġi infurzata.

Kif twissija dwar malware issir katina ta’ evidenza difensibbli

Nirritornaw għall-avveniment tal-malware tat-Tnejn filgħodu. L-aġent EDR iżola l-laptop, iżda l-kapaċità li tintwera l-konformità tiddependi fuq il-katina ta’ evidenza li ssegwi.

Katina tajba ta’ evidenza dwar malware fuq endpoints tinkludi:

• Ir-reġistru tal-assi li juri s-sid, il-funzjoni tan-negozju, il-kritiċità, it-tip ta’ apparat, is-sistema operattiva, il-profil tal-aċċess għad-data, u l-istatus tal-iċċifrar.
• Ir-reġistru tal-protezzjoni tal-endpoint li juri s-saħħa tal-aġent EDR, il-politika applikata, il-protezzjoni kontra t-tbagħbis, l-istatus tal-aġġornamenti, u l-iskannjar f’ħin reali.
• Ir-reġistru tad-detezzjoni li juri l-ID tat-twissija, it-timestamp, is-siġra tal-proċess, il-loġika tad-detezzjoni, is-severità, il-fajls affettwati, l-indikaturi tan-network, u l-azzjonijiet awtomatizzati.
• Ir-reġistru SIEM li jikkorrelata DNS, email, identità, proxy, cloud, u telemetrija tal-endpoint.
• Ir-reġistru tat-ticket li juri trijaġġ, eskalazzjoni, trażżin, eradikazzjoni, irkupru, kawża ewlenija, u għeluq.
• Id-deċiżjoni dwar l-inċident li turi jekk l-avveniment baqax avveniment ta’ sigurtà jew sarx inċident.
• It-trijaġġ regolatorju li juri jekk ġewx ikkunsidrati l-limiti ta’ NIS2, DORA, jew GDPR.
• Ir-reġistru tal-lessons learned li juri tuning tal-politika, patching, azzjoni ta’ sensibilizzazzjoni, ticket tal-fornitur, jew aġġornament tar-Reġistru tar-Riskji.

Il-Endpoint Protection / Malware Policy issaħħaħ dan il-mudell ta’ rispons permezz tar-Rekwiżiti għall-Implimentazzjoni tal-Politika tagħha, klawżola 6.3, bit-titlu:

Azzjonijiet ta’ rispons u trażżin

Għall-SMEs, il-klawżola 6.3.1.2 hija saħansitra aktar diretta:

Il-Fornitur ta’ Appoġġ tal-IT għandu jqiegħed l-apparat fil-kwarantina, jikkonferma l-infezzjoni, u jwettaq analiżi tal-kawża ewlenija

Avveniment ta’ malware imblukkat m’għandux jisparixxi ġo console. Jekk huwa importanti biżżejjed biex jiġi skopert, huwa importanti biżżejjed biex jiġi kklassifikat, iddokumentat, u magħluq.

Evidenza tal-iġjene ċibernetika ta’ NIS2 mill-protezzjoni tal-endpoints

NIS2 tagħmel l-iġjene ċibernetika bażika kwistjoni ta’ governanza. Organizzazzjonijiet koperti għandhom jifhmu jekk humiex fil-kamp ta’ applikazzjoni, jekk humiex entitajiet essenzjali jew importanti, u kif japplikaw l-obbligi nazzjonali ta’ traspożizzjoni.

Għad-difiża kontra l-malware fuq endpoints, Article 21 hija d-dispożizzjoni ewlenija. Teħtieġ miżuri tekniċi, operattivi, u organizzattivi xierqa u proporzjonati biex jiġu mmaniġġjati r-riskji għan-netwerks u s-sistemi tal-informazzjoni u biex jiġi evitat jew minimizzat l-impatt tal-inċidenti. Il-miżuri jinkludu analiżi tar-riskju u politiki tas-sigurtà tas-sistemi tal-informazzjoni, ġestjoni tal-inċidenti, kontinwità tan-negozju, sigurtà tal-katina tal-provvista, akkwist u manutenzjoni siguri inkluża ġestjoni tal-vulnerabbiltajiet, evalwazzjoni tal-effettività, iġjene ċibernetika bażika u taħriġ, kontrolli kriptografiċi, sigurtà tar-riżorsi umani, kontroll tal-aċċess, ġestjoni tal-assi, u fejn xieraq MFA jew awtentikazzjoni kontinwa.

L-evidenza tal-endpoints timmappa direttament ma’ dawn l-aspettattivi.

NIS2 Article 23 huwa importanti wkoll għaliex il-malware jista’ jsir inċident sinifikanti. Jekk jikkawża jew jista’ jikkawża tfixkil operattiv sever, telf finanzjarju, jew dannu materjali jew mhux materjali konsiderevoli lil oħrajn, jista’ jkun meħtieġ rappurtar f’fażijiet. NIS2 tinkludi twissija bikrija fi żmien 24 siegħa, notifika ta’ inċident fi żmien 72 siegħa, aġġornamenti interim jekk jintalbu, u rapport finali fi żmien xahar wara n-notifika.

L-evidenza tal-endpoints tappoġġa kull stadju. It-twissija tal-EDR tipprovdi l-ewwel indikatur. L-inventarju tal-assi jidentifika s-servizzi affettwati u l-kritiċità. Id-data SIEM u t-tickets jappoġġaw l-analiżi tal-impatt. Ir-reġistri tat-trażżin juru l-azzjoni meħuda. L-analiżi tal-kawża ewlenija tappoġġa r-rappurtar finali.

Tweġiba lesta għal NIS2 mhijiex “għandna antivirus.” Hija “nafu l-endpoints tagħna, ninfurzaw il-protezzjoni, inmonitorjaw kontinwament, nikklassifikaw l-inċidenti, inħarrġu lill-utenti, nimmaniġġjaw il-vulnerabbiltajiet, nippreservaw l-evidenza, u nirrapportaw meta jintlaħqu l-limiti.”

Ġestjoni tar-riskju tal-ICT taħt DORA u difiża kontra l-malware fuq endpoints

Għall-entitajiet finanzjarji, DORA toħloq qafas settorjali speċifiku ta’ reżiljenza operattiva diġitali. Id-difiża kontra l-malware fuq endpoints timmappa b’mod qawwi mal-ġestjoni tar-riskju tal-ICT, il-ġestjoni tal-inċidenti, l-ittestjar, il-kontinwità, l-irkupru, u r-riskju ta’ partijiet terzi tal-ICT.

DORA Article 5 tqiegħed ir-responsabbiltà għar-riskju tal-ICT fuq il-korp maniġerjali. Article 6 teħtieġ qafas tal-ġestjoni tar-riskju tal-ICT sod, komprensiv, u dokumentat. Articles 8 u 9 jeħtieġu identifikazzjoni u klassifikazzjoni ta’ funzjonijiet tan-negozju appoġġati mill-ICT, assi tal-informazzjoni, assi tal-ICT, dipendenzi, theddid ċibernetiku, vulnerabbiltajiet, konfigurazzjonijiet, u interdipendenzi. Jkopru wkoll politiki u għodod għall-protezzjoni, il-prevenzjoni, is-sejbien, il-kontroll tal-aċċess, awtentikazzjoni b’saħħitha, ġestjoni tat-tibdil, u patching.

Articles 11 u 12 huma ċentrali għar-reżiljenza kontra r-ransomware. Jeħtieġu politika ta’ kontinwità tan-negozju tal-ICT, pjanijiet ta’ rispons u rkupru, politiki ta’ backup, proċeduri ta’ restawr, ittestjar, u kontrolli tal-integrità. Article 17 jeħtieġ proċess ta’ ġestjoni ta’ inċidenti relatati mal-ICT biex jiġu skoperti, immaniġġjati, ikklassifikati, irreġistrati, eskalati, ikkomunikati, u biex l-operazzjonijiet jiġu restawrati wara inċidenti. Article 19 joħloq obbligi ta’ rappurtar għal inċidenti maġġuri relatati mal-ICT. Articles 24 sa 26 jindirizzaw ittestjar tar-reżiljenza operattiva diġitali. Articles 28 sa 30 jindirizzaw ir-riskju ta’ partijiet terzi tal-ICT u l-arranġamenti kuntrattwali.

Għal entità finanzjarja, l-istess inċident tal-malware li juri l-operat ta’ A.8.7 jista’ juri wkoll evidenza superviżorja taħt DORA: klassifikazzjoni tal-assi, operat tal-kontroll, ġestjoni tal-inċidenti, kapaċità ta’ rkupru, storja tal-ittestjar, responsabbiltà ta’ partijiet terzi, u sorveljanza tal-maniġment.

GDPR Article 32 u trijaġġ ta’ ksur ta’ data personali

GDPR Article 32 jeħtieġ li l-kontrolluri u l-proċessuri jimplimentaw miżuri tekniċi u organizzattivi xierqa għar-riskju. Dawn il-miżuri jinkludu l-kunfidenzjalità, l-integrità, id-disponibbiltà, u r-reżiljenza tas-sistemi u s-servizzi tal-ipproċessar, il-kapaċità li jiġu restawrati d-disponibbiltà u l-aċċess għad-data personali, u ttestjar, evalwazzjoni, u rieżami regolari tal-miżuri tas-sigurtà.

Il-malware fuq endpoint isir evidenza taħt GDPR meta endpoint jista’ jaċċessa data personali: reġistri tal-klijenti, tickets ta’ appoġġ, fajls tar-riżorsi umani, esportazzjonijiet, informazzjoni relatata mal-pagamenti, informazzjoni dwar is-saħħa, data ta’ kategorija speċjali, logijiet tal-awtentikazzjoni, jew applikazzjonijiet cloud li fihom data personali.

Il-mistoqsija tal-privatezza hija speċifika għall-fatti. Il-malware ġie eżegwit? Aċċessa fajls? Qabad kredenzjali? Insteraq tokens? Saret eżfiltrazzjoni tad-data? L-endpoint kien iċċifrat? Il-kont ġie diżattivat? Is-sessjonijiet ġew revokati? Kienu disponibbli logijiet? Ġiet identifikata d-data personali affettwata? Ġie evalwat ir-riskju għall-individwi?

It-telemetrija tal-endpoint spiss tkun l-uniku mod kredibbli biex dawn il-mistoqsijiet jitwieġbu.

Pakkett ta’ evidenza tal-endpoint lest għal GDPR għandu jgħaqqad klassifikazzjoni tad-data u reġistri tal-ipproċessar, mogħdijiet ta’ aċċess tal-endpoint, iċċifrar, restrizzjoni tal-aċċess, telemetrija EDR, logijiet SIEM, analiżi tal-eżfiltrazzjoni, azzjonijiet ta’ reset tal-kredenzjali, reġistri tar-restawr, rieżami legali, deċiżjonijiet dwar ksur, u lessons learned.

It-timijiet tal-privatezza għandhom jipparteċipaw fit-tfassil tal-playbooks tal-inċidenti tal-endpoints. Li tistenna sa wara inċident tal-malware biex tistaqsi jekk data personali kinitx affettwata joħloq riskju ta’ responsabbiltà li seta’ jiġi evitat.

Ibni pakkett ta’ evidenza dwar malware fuq endpoints f’30 minuta

Qabel l-awditjar li jmiss, agħżel detezzjoni waħda ta’ malware fuq endpoint mill-aħħar 90 jum, anki jekk kienet ta’ severità baxxa jew fajl tat-test imblukkat. Ibni pakkett ta’ evidenza bħallikieku l-awditur għażlu bħala kampjun.

Uża l-Zenith Blueprint, fil-fażi Kontrolli fl-Azzjoni, Pass 19, bħala l-iskript tar-rieżami tiegħek. Pass 19 jiggwida lit-timijiet biex jirrieżaminaw l-istrateġija ta’ protezzjoni kontra l-malware billi jiċċekkjaw li l-endpoints kollha għandhom anti-malware jew EDR ġestiti ċentralment installati, attivi, u aġġornati awtomatikament, li l-iskannjar f’ħin reali jkopri tipi ta’ fajls, attività tan-network, u mezzi ta’ ħżin rimovibbli, li jeżistu protezzjonijiet fil-gateway, li logijiet riċenti tal-malware jew kwarantini jiġu investigati u riżolti, u li l-utenti jirċievu taħriġ kontinwu ta’ sensibilizzazzjoni dwar phishing u malware.

Iġbor din l-evidenza:

1. Reġistru tal-assi: isem l-apparat, numru tas-serje, utent, sid, unità tan-negozju, post, tip ta’ apparat, sistema operattiva, kritiċità, profil tal-aċċess għad-data.
2. Reġistrazzjoni fl-EDR: screenshot jew esportazzjoni li turi li l-aġent huwa installat, attiv, aġġornat, il-politika hija applikata, u l-protezzjoni kontra t-tbagħbis hija attivata.
3. Konformità mal-linja bażi: iċċifrar, issakkar tal-iskrin, firewall, status ta’ amministratur lokali, livell tal-patches, status ta’ software pprojbit.
4. Reġistru tad-detezzjoni: ID tat-twissija, timestamp, isem jew imġiba tad-detezzjoni, severità, siġra tal-proċess, fajls affettwati, indikaturi tan-network.
5. Azzjoni ta’ trażżin: kwarantina, iżolament, terminazzjoni tal-proċess, tneħħija tal-fajl, bini mill-ġdid tal-apparat, reset tal-kredenzjali.
6. Noti tal-investigazzjoni: trijaġġ tal-analista, kawża ewlenija, triq tal-phishing, triq tal-web, triq tal-exploit, evalwazzjoni tad-data affettwata.
7. Deċiżjoni dwar l-inċident: avveniment ta’ sigurtà jew inċident, evalwazzjoni tal-limiti ta’ NIS2, DORA, u GDPR fejn rilevanti.
8. Evidenza tal-għeluq: għeluq tat-ticket, approvazzjoni, lessons learned, aġġornament tar-Reġistru tar-Riskji jekk meħtieġ.
9. Metriċi: ħin għas-sejbien, ħin għat-trażżin, ħin għar-rimedjazzjoni, għadd ta’ twissijiet simili, status ta’ riżultat pożittiv falz.
10. Azzjoni ta’ titjib: dominju mblukkat, tuning tar-regola tal-posta, implimentazzjoni tal-patches, assenjazzjoni ta’ sensibilizzazzjoni lill-utent, eskalazzjoni lill-fornitur.

Issa qabbel il-pakkett ta’ evidenza mal-politika tiegħek. Jekk il-politika għall-intrapriżi tgħid li l-endpoints kollha għandhom jiġu rreġistrati fi protezzjoni kontra l-malware ġestita ċentralment b’linja bażi infurzata, tista’ turi dan? Jekk il-politika għall-SMEs tgħid li l-avvenimenti tal-malware għandhom jiġu mmonitorjati kontinwament permezz tal-console tal-antivirus jew dashboard ċentralizzat tal-EDR, tista’ turi d-dashboard, ir-reviżur, it-twissija, it-ticket, u l-għeluq?

Hekk id-data tal-EDR issir evidenza tal-awditjar.

Kif awdituri differenti jittestjaw l-istess kontrolli tal-endpoints

Timijiet differenti ta’ assigurazzjoni jaraw il-protezzjoni tal-endpoints minn perspettivi differenti. L-evidenza tista’ tkun l-istess, iżda l-mistoqsijiet jinbidlu.

NIST CSF 2.0 huwa partikolarment utli bħala lingwa ta’ pont għall-eżekuttivi. Il-funzjoni GOVERN tiegħu tappoġġa l-aspettattivi tal-partijiet interessati, l-obbligi legali, l-aptit għar-riskju, ir-responsabbiltà, il-politika, ir-riżorsi, u s-sorveljanza. Il-funzjonijiet operattivi tiegħu jgħinu jispjegaw kif il-ġestjoni tal-assi, il-kontroll tal-aċċess, il-protezzjoni tad-data, il-monitoraġġ, ir-rispons għall-inċidenti, it-trażżin, l-eradikazzjoni, l-irkupru, u l-komunikazzjonijiet jaħdmu flimkien.

Fil-proġetti ta’ Clarysec, ISO/IEC 27001:2022 tipprovdi s-sinsla formali tal-ISMS, Zenith Controls jipprovdi l-gwida tal-immappjar bejn oqfsa ta’ konformità, u NIST CSF 2.0 jipprovdi saff ta’ komunikazzjoni li jinftiehem mill-bord.

Servizzi tal-endpoints ġestiti minn fornituri huma parti mill-mudell tal-evidenza

Ħafna organizzazzjonijiet jesternalizzaw partijiet mid-difiża tal-endpoints lil MSPs, MSSPs, fornituri MDR, fornituri ta’ desktops cloud, jew fornituri EDR. L-esternalizzazzjoni tista’ ttejjeb il-kapaċità, iżda ma testernalizzax ir-responsabbiltà.

NIS2 Article 21 jinkludi sigurtà tal-katina tal-provvista u relazzjonijiet mal-fornituri. DORA tmur aktar ’il quddiem għall-entitajiet finanzjarji billi teħtieġ strateġija tar-riskju ta’ partijiet terzi tal-ICT, reġistri ta’ arranġamenti kuntrattwali, diliġenza dovuta, analiżi tar-riskju ta’ konċentrazzjoni, drittijiet ta’ awditjar u spezzjoni, drittijiet ta’ terminazzjoni, assistenza għall-inċidenti, strateġiji ta’ ħruġ, u allokazzjoni ċara tar-responsabbiltajiet. L-Anness A ta’ ISO/IEC 27001:2022 jinkludi kontrolli tar-relazzjoni mal-fornituri, ftehimiet mal-fornituri, kontrolli tal-katina tal-provvista tal-ICT, monitoraġġ u ġestjoni tat-tibdil tas-servizzi tal-fornituri, u akkwist, użu, ġestjoni, u ħruġ mis-servizzi cloud.

L-evidenza tal-esternalizzazzjoni tal-endpoints għandha tinkludi:

• Diliġenza dovuta tal-fornitur qabel l-onboarding.
• Klawżoli kuntrattwali għall-monitoraġġ, notifika tal-inċidenti, aċċess, post tad-data, drittijiet ta’ awditjar, livelli tas-servizz, u kooperazzjoni.
• Matriċi tar-responsabbiltajiet għat-trijaġġ tat-twissijiet, l-iżolament, l-analiżi tal-kawża ewlenija, ir-rappurtar, u l-preservazzjoni tal-evidenza.
• Rapporti li juru l-prestazzjoni tal-fornitur u l-konformità mal-SLA.
• Evidenza li l-inċidenti tal-fornitur u l-qtugħ tal-pjattaforma jiġu rieżaminati.
• Pjan ta’ ħruġ jekk il-fornitur EDR jew MDR ifalli, jiġi terminat, jew isir inaċċettabbli.
• Konferma li logijiet u evidenza forensika jibqgħu disponibbli għall-organizzazzjoni.

Falliment komuni fl-awditjar huwa dashboard MDR mingħajr sjieda. L-organizzazzjoni tista’ tara twissijiet, iżda ma tistax turi min hu sid ir-riskju, x’għandu jagħmel il-fornitur, kif tiġi rieżaminata l-kwalità tat-twissijiet, jew kif l-evidenza tiġi ppreservata għal skopijiet regolatorji u legali.

Metriċi li jibdlu l-għodod tal-endpoints f’evidenza għall-maniġment

Il-bordijiet u r-regolaturi m’għandhomx bżonn volum mhux ipproċessat ta’ twissijiet. Jeħtieġu indikaturi li juru jekk ir-riskju tal-malware fuq endpoints huwiex ikkontrollat.

Dawn il-metriċi jappoġġaw l-evalwazzjoni tal-prestazzjoni u r-rieżami tal-maniġment ta’ ISO/IEC 27001:2022, is-sorveljanza mill-korp maniġerjali taħt NIS2, il-governanza u l-istrateġija tar-riskju tal-ICT taħt DORA, ir-responsabbiltà taħt GDPR, u l-ippjanar tal-awditjar intern.

Il-Endpoint Protection / Malware Policy għall-intrapriżi, fit-taqsima Infurzar u Konformità, klawżola 8.2, tgħid:

L-Awditjar Intern għandu jwettaq rieżamijiet perjodiċi tal-konformità tal-protezzjoni tal-endpoint, inkluż:

L-awditjar intern jista’ jibdel il-metriċi ta’ hawn fuq f’test trimestrali tal-kontroll: jagħmel kampjunar ta’ endpoints, iqabbel l-inventarju mar-reġistrazzjoni fl-EDR, jivverifika l-iskannjar f’ħin reali, jirrieżamina l-istatus tal-patches, jikkonferma li l-utenti ma jistgħux jiddiżattivaw il-protezzjoni, jispezzjona twissijiet riċenti tal-malware, u jittraċċa twissijiet magħżula mid-detezzjoni sal-għeluq.

Lakuni komuni fl-evidenza tal-endpoints li ssib Clarysec

Anki organizzazzjonijiet maturi jissieltu mal-kwalità tal-evidenza tal-endpoints. L-istess lakuni jidhru ripetutament:

• L-inventarju tal-assi u l-inventarju tal-EDR ma jaqblux.
• Workstations tal-iżviluppaturi huma inqas ikkontrollati minn laptops standard.
• Apparati mobbli huma esklużi mill-evidenza tal-endpoints.
• Aċċess BYOD huwa permess mingħajr kontrolli infurzabbli tal-pożizzjoni tas-sigurtà tal-apparat.
• Aġenti EDR huma installati iżda l-protezzjoni kontra t-tbagħbis hija diżattivata.
• Twissijiet jiġu mmonitorjati minn fornitur, iżda r-regoli ta’ eskalazzjoni huma vagi.
• Malware fil-kwarantina mhuwiex marbut ma’ ticket ta’ inċident.
• L-analiżi tal-kawża ewlenija tinqabeż għal detezzjonijiet “imblukkati”.
• L-eċċezzjonijiet tal-patches m’għandhomx approvazzjoni tas-sid tar-riskju jew dati tal-iskadenza.
• Logijiet jinżammu għal perjodu qasir wisq biex jappoġġaw evalwazzjoni tal-ksur.
• Ir-restawr minn backup jiġi ttestjat b’mod ġenerali iżda mhux kontra xenarji tar-ransomware.
• Ir-rappurtar lill-bord juri għadd ta’ twissijiet aktar milli tnaqqis tar-riskju.

Is-soluzzjoni mhijiex aktar spreadsheets. Is-soluzzjoni hija mudell operattiv konness fejn politika, inventarju, konfigurazzjoni tal-endpoints, monitoraġġ, rispons għall-inċidenti, ġestjoni tal-fornituri, trijaġġ regolatorju, metriċi, u ttestjar tal-awditjar isaħħu lil xulxin.

Għaxart ijiem tax-xogħol biex id-difiża kontra l-malware fuq endpoints tkun lesta għall-awditjar

Jekk għandek bżonn punt tat-tluq rapidu, ħu dawn l-azzjonijiet fl-għaxart ijiem tax-xogħol li ġejjin:

1. Esporta l-inventarju tal-endpoints u l-inventarju tal-EDR tiegħek, imbagħad irrikonċiljahom.
2. Identifika endpoints mhux ġestiti, inattivi, skaduti, duplikati, u b’eċċezzjoni.
3. Ikkonferma l-iskannjar f’ħin reali, il-protezzjoni kontra t-tbagħbis, l-aġġornament awtomatiku, l-iżolament, u s-settings tal-kwarantina.
4. Agħmel kampjunar ta’ ħames twissijiet tal-malware u traċċa kull waħda sal-investigazzjoni u l-għeluq.
5. Iċċekkja jekk l-avvenimenti tal-endpoints jistgħux jappoġġaw it-trijaġġ ta’ inċidenti taħt NIS2, DORA, u GDPR.
6. Irrevedi l-kuntratti tal-fornituri MDR, MSP, u EDR għall-appoġġ għall-inċidenti, aċċess għall-evidenza, drittijiet ta’ awditjar, SLAs, u termini ta’ ħruġ.
7. Żid kopertura tal-endpoints, saħħa tal-aġenti, ħin għall-iżolament, konformità tal-patches, u tlestija tal-analiżi tal-kawża ewlenija mar-rappurtar lill-maniġment.
8. Ħaddem kampjun tal-awditjar intern billi tuża l-lista ta’ kontroll ta’ Zenith Blueprint Pass 19.
9. Uża Zenith Controls biex timmappa A.8.1 u A.8.7 ma’ logging, monitoraġġ, ġestjoni tal-vulnerabbiltajiet, rispons għall-inċidenti, kontrolli tal-fornituri, u rkupru.
10. Aġġorna l-linja bażi tal-governanza tiegħek billi tuża Endpoint Protection / Malware Policy ta’ Clarysec jew il-Endpoint Protection - Malware Policy għall-SMEs.

Id-difiża kontra l-malware fuq endpoints fl-2026 mhijiex biss dwar it-twaqqif tar-ransomware. Hija dwar li turi li l-organizzazzjoni tiegħek tista’ tipprevjeni, tiskopri, trażżan, tirkupra, tirrapporta, u titjieb.

Clarysec tista’ tgħinek tbiddel il-protezzjoni tal-endpoints minn implimentazzjoni ta’ għodda għal sistema difensibbli ta’ evidenza bejn oqfsa ta’ konformità. Niżżel il-Endpoint Protection / Malware Policy, ibda bil-Endpoint Protection - Malware Policy għall-SMEs jekk għandek bżonn mudell operattiv aktar ħafif, uża Zenith Blueprint biex timplimenta l-kontrolli, u uża Zenith Controls biex tgħaqqad l-evidenza tal-endpoints tiegħek ma’ ISO/IEC 27001:2022, NIS2, DORA, GDPR Article 32, NIST CSF 2.0, u l-aspettattivi tal-awditjar.