zabezpieczenie

Zabezpieczenie to pojedynczy środek techniczny, organizacyjny lub fizyczny, który ma obniżyć konkretne ryzyko. NIST definiuje zabezpieczenie (security control) jako środek ochronny przewidziany dla systemu informacyjnego lub organizacji, który ma chronić poufność, integralność i dostępność systemu i jego informacji ^[1]. Polski słownik NSC 7298 podaje zamienne nazwy „zabezpieczenia”, „środki bezpieczeństwa” i „mechanizmy zabezpieczeń” oraz opisuje je jako środki zarządcze, organizacyjne lub technologiczne stosowane w celu zapewnienia poufności, integralności i dostępności informacji ^[2]. W aktach prawnych ta sama rzecz nazywa się zwykle „środkami technicznymi i organizacyjnymi” ^[4].

Jak działa

Zabezpieczenie nie istnieje samo dla siebie. Dobiera się je do ryzyka, które wynika z szacowania ryzyka, a po wdrożeniu sprawdza, czy działa. Dokumentacja WordPressa ujmuje to krótko: bezpieczeństwo to zmniejszanie ryzyka, a nie jego eliminacja ^[6]. To, co zostaje po wdrożeniu zabezpieczeń, nazywa się ryzykiem szczątkowym.

RODO opisuje ten sam cykl. Administrator wdraża odpowiednie środki techniczne i organizacyjne, a środki te są w razie potrzeby poddawane przeglądom i uaktualniane ^[4]. Wśród środków bezpieczeństwa przetwarzania rozporządzenie wymienia regularne testowanie, mierzenie i ocenianie ich skuteczności ^[4]. Schemat poniżej pokazuje tę pętlę.

RYS. 1Cykl życia zabezpieczenia

Katalogi zabezpieczeń porządkują ten wybór. Najbardziej znany to NIST SP 800-53 w wersji 5, który zawiera katalog zabezpieczeń bezpieczeństwa i prywatności dla systemów informacyjnych i organizacji ^[3]. Po polsku terminologię porządkuje słownik NSC 7298 z serii Narodowych Standardów Cyberbezpieczeństwa, który przy zabezpieczeniach kompensacyjnych odsyła do standardu NSC 800-53 ^[2].

Rodzaje

Najczęściej dzieli się zabezpieczenia według tego, czym są. NSC 7298 wymienia środki zarządcze, organizacyjne i technologiczne ^[2], a osobno opisuje fizyczne środki bezpieczeństwa: urządzenia kontroli dostępu, alarmy włamaniowe, sprzęt do monitoringu i pracowników ochrony ^[2].

Słownik opisuje też szczególne odmiany. Zabezpieczenia kompensacyjne to środki stosowane zamiast zalecanych zabezpieczeń bazowych, które zapewniają równoważną lub porównywalną ochronę ^[2]. Zabezpieczenia bazowe to zestaw minimalnych zabezpieczeń dla systemu o niskim, umiarkowanym lub wysokim wpływie na poufność, integralność i dostępność ^[2].

W WordPressie

Podręcznik utwardzania WordPressa jest w praktyce listą zabezpieczeń dla typowej instalacji ^[6]. Każde z nich odpowiada na inne ryzyko.

• Aktualizacje. Dokumentacja zaleca, by zawsze używać najnowszej wersji WordPressa ^[6], bo stare wersje mają znane podatności.
• Kopie zapasowe. Należy regularnie kopiować dane, w tym bazy MySQL ^[6]. To zabezpieczenie nie zapobiega atakowi, ale pozwala wrócić do stanu sprzed niego.
• Uprawnienia plików. Uprawnienia plików warto zablokować tak mocno, jak to możliwe, i luzować tylko na czas potrzebnej zmiany ^[6].
• Wyłączenie edytora plików. Stała DISALLOW_FILE_EDIT w wp-config.php działa tak jak odebranie uprawnień edit_themes, edit_plugins i edit_files ^[6]; zob. edytor plików motywów i wtyczek.
• Drugi składnik logowania. Dokumentacja uznaje uwierzytelnianie dwuetapowe za dobry dodatkowy środek bezpieczeństwa ^[6].
• Logi. Według podręcznika logi są najlepszym sposobem zrozumienia, co dzieje się na stronie ^[6].

Nie każde działanie jest zabezpieczeniem w pełnym sensie. Ukrywanie elementów systemu, na przykład zmiana adresu logowania, dokumentacja ocenia jako zasadniczo nietrafną strategię podstawową ^[6]. Może uzupełniać ochronę, ale nie zastępuje utwardzania ani WAF.

Dobre praktyki

Pojedyncze zabezpieczenie rzadko wystarcza. Podręcznik WordPressa grupuje je wokół kilku idei, które pomagają ocenić, czy zestaw jest kompletny ^[6].

• Ograniczanie dostępu. Chodzi o świadome wybory, które zmniejszają liczbę możliwych punktów wejścia dla atakującego ^[6]. Przykładem jest zasada najmniejszych uprawnień przy nadawaniu ról użytkownikom.
• Ograniczanie skutków. System należy skonfigurować tak, by w razie przejęcia szkody były jak najmniejsze ^[6].
• Przygotowanie. Obejmuje przechowywanie kopii zapasowych i regularne sprawdzanie stanu instalacji ^[6].
• Zaufane źródła. Dokumentacja odradza pobieranie wtyczek i motywów z niezaufanych źródeł i zaleca ograniczenie się do katalogu WordPress.org albo znanych firm ^[6]; zob. piracka wtyczka (nulled plugin).
• Monitorowanie. Narzędzia śledzące system plików mogą powiadamiać o zmienionych i dodanych plikach ^[6], co opisuje hasło monitorowanie integralności plików.

Zabezpieczenie trzeba też przypisać do właściciela. NSC 7298 opisuje zabezpieczenia ogólne systemu, które można stosować w wielu systemach organizacji, a za ich rozwój, wdrażanie i ocenę odpowiadają wskazane stanowiska inne niż właściciel pojedynczego systemu ^[2]. Dla strony WordPress takim zabezpieczeniem wspólnym bywa zapora lub kopia zapasowa zapewniana przez hosting dla wszystkich stron na serwerze.

Znaczenie w prawie

Obowiązek stosowania zabezpieczeń wynika wprost z przepisów. RODO w art. 32 wymaga od administratora i podmiotu przetwarzającego wdrożenia środków technicznych i organizacyjnych odpowiednich do ryzyka, uwzględniając stan wiedzy technicznej i koszt wdrożenia ^[4]. Przykładowo wymienia szyfrowanie i pseudonimizację, zdolność do zapewnienia poufności, integralności, dostępności i odporności systemów oraz szybkiego przywrócenia dostępu do danych po incydencie ^[4].

Dyrektywa NIS2 w art. 21 nakłada podobny obowiązek na podmioty kluczowe i ważne: mają wprowadzać odpowiednie i proporcjonalne środki techniczne, operacyjne i organizacyjne ^[5]. Lista minimalna obejmuje m.in. obsługę incydentów, ciągłość działania i kopie zapasowe, bezpieczeństwo łańcucha dostaw, praktyki cyberhigieny i szkolenia oraz, w stosownych przypadkach, uwierzytelnianie wieloskładnikowe (MFA) ^[5].

Historia i przykłady

Brak zabezpieczeń bywa podstawą kary, nawet gdy samego włamania nie dało się uniknąć. W komunikacie z 8 lutego 2024 roku UODO poinformował o ponownym ukaraniu spółki Morele.net karą ponad 3,8 mln zł ^[7]. Postępowanie wykazało, że do naruszenia ochrony danych doszło przez brak odpowiednich zabezpieczeń, co doprowadziło do wycieku danych 2,2 mln osób ^[7]. Organ wskazał, że administrator nie stosował uwierzytelniania dwuskładnikowego, nie szyfrował części danych, nie przeprowadził analizy ryzyka i nie miał rozwiązań pozwalających monitorować ruch w sieci ^[7]. Wcześniejszą decyzję w tej sprawie Naczelny Sąd Administracyjny uchylił 9 lutego 2023 roku ^[7].