Όταν έρχεται η ώρα να αγοράσουμε ή να ανανεώσουμε μια εφαρμογή, συνήθως συζητάμε για την τιμή, τις άδειες και τις νέες δυνατότητες. Πόσο συχνά ρωτάμε όμως κάτι εξίσου σημαντικό; Μέχρι πότε θα λαμβάνει ενημερώσεις ασφαλείας;
Αλέξια Χριστοφή
CEO, Cysoft
www.cysoft.gr
Και αν αύριο βρεθεί μια σοβαρή ευπάθεια, πώς θα το μάθουμε; Θα ξέρουμε αν επηρεάζει τα δικά μας συστήματα και τι πρέπει να κάνουμε;
Αυτές είναι ερωτήσεις που οφείλουμε πλέον να κάνουμε. Ο ευρωπαϊκός Cyber Resilience Act, γνωστός ως CRA, θέτει απαιτήσεις ασφάλειας για πολλά προϊόντα που περιέχουν λογισμικό ή συνδέονται με άλλα συστήματα. Οι κύριες απαιτήσεις του θα εφαρμοστούν από τις 11 Δεκεμβρίου 2027. Από τις 11 Σεπτεμβρίου 2026 ισχύουν ήδη οι υποχρεώσεις των κατασκευαστών να αναφέρουν ορισμένες σοβαρές ευπάθειες και περιστατικά.
Οι υποχρεώσεις του κατασκευαστή δεν μεταφέρονται σε μια επιχείρηση μόνο και μόνο επειδή αγόρασε το προϊόν του. Αυτό όμως δεν σημαίνει ότι ο αγοραστής πρέπει να περιμένει παθητικά. Μπορεί να ζητήσει καλύτερη ενημέρωση και να οργανωθεί ώστε να αντιδράσει γρήγορα όταν παρουσιαστεί πρόβλημα.
Πριν πούμε «ναι» στον προμηθευτή
Στην επόμενη αγορά ή ανανέωση, ας ρωτήσουμε τον προμηθευτή:
- Για πόσο καιρό θα υποστηρίζεται το προϊόν με ενημερώσεις ασφαλείας;
- Πώς θα ενημερωθούμε αν εντοπιστεί σοβαρή ευπάθεια;
- Ποιος θα μας δώσει οδηγίες και βοήθεια για την αντιμετώπισή της;
- Τι θα γίνει όταν η έκδοση που χρησιμοποιούμε πάψει να υποστηρίζεται;
Οι απαντήσεις δεν πρέπει να μένουν σε μια συζήτηση. Χρειάζεται να ξέρουμε πού βρίσκονται οι συμβάσεις, οι όροι υποστήριξης και τα στοιχεία επικοινωνίας. Το ManageEngine ServiceDesk Plus, για παράδειγμα, μπορεί να βοηθήσει μια ομάδα ΙΤ να συγκεντρώνει συμβάσεις και σχετικά έγγραφα και να λαμβάνει ειδοποιήσεις πριν λήξουν.
Πρέπει όμως να προσέξουμε κάτι: η λήξη της σύμβασης δεν είναι απαραίτητα η λήξη της υποστήριξης ασφαλείας. Μια εφαρμογή μπορεί να συνεχίζει να λειτουργεί κανονικά, αλλά η έκδοσή της να μη λαμβάνει πλέον διορθώσεις. Αυτή είναι μια πληροφορία που χρειάζεται να παρακολουθούμε χωριστά.
«Μας επηρεάζει αυτή η ευπάθεια;»
Ας πούμε ότι ο κατασκευαστής ανακοινώνει ένα σοβαρό πρόβλημα. Η πρώτη ερώτηση που θα ακούσει η ομάδα ΙΤ είναι: «Το έχουμε κι εμείς;».
Για να απαντήσει, πρέπει να γνωρίζει σε ποια συστήματα είναι εγκατεστημένη η εφαρμογή και ποια έκδοση χρησιμοποιεί το καθένα. Το ManageEngine Endpoint Central βοηθά στην απογραφή του λογισμικού στα συστήματα που διαχειρίζεται. Έτσι, η ομάδα μπορεί να συγκρίνει όσα έχει εγκατεστημένα με την ανακοίνωση του κατασκευαστή.
Μερικές φορές το πρόβλημα βρίσκεται βαθύτερα, σε ένα κομμάτι λογισμικού που έχει ενσωματωθεί στην εφαρμογή. Τότε η απογραφή των εγκατεστημένων προγραμμάτων μπορεί να μην αρκεί. Χρειαζόμαστε πληροφορίες από τον κατασκευαστή για τα μέρη από τα οποία αποτελείται το προϊόν του. Σε αυτό μπορεί να βοηθήσει ένας κατάλογος συστατικών λογισμικού, το λεγόμενο SBOM – Software Bill of Materials.
Έπειτα πρέπει να αποφασίσουμε τι διορθώνουμε πρώτο. Δεν έχουν όλα τα συστήματα την ίδια σημασία για την επιχείρηση και δεν αντιμετωπίζονται όλες οι ευπάθειες με τον ίδιο τρόπο. Το Vulnerability Manager Plus και οι δυνατότητες ασφάλειας του Endpoint Central μπορούν να βοηθήσουν την ομάδα να εντοπίσει προβλήματα και να οργανώσει τις επόμενες κινήσεις της. Όπου υπάρχει διαθέσιμη ενημέρωση για λογισμικό που υποστηρίζεται, το Endpoint Central μπορεί επίσης να βοηθήσει στη δοκιμή, την εγκατάσταση και την παρακολούθησή της.
Δεν αρκεί να εγκαταστήσουμε μια ενημέρωση
Αφού γίνει η διόρθωση, μένει μια ακόμη ερώτηση: Πρόλαβε κάποιος να εκμεταλλευτεί την ευπάθεια;
Η ομάδα ασφάλειας μπορεί να εξετάσει τις καταγραφές των συστημάτων για ύποπτες συνδέσεις ή ενέργειες. Το Log360 βοηθά να συγκεντρωθούν και να συσχετιστούν αυτές οι πληροφορίες από τα συστήματα που παρακολουθούνται.
Αν χρειαστεί να παρέμβει από απόσταση ο προμηθευτής, η πρόσβασή του πρέπει να είναι ελεγχόμενη. Το PAM360 μπορεί να βοηθήσει στον έλεγχο αυτής της πρόσβασης και στην καταγραφή των συνεδριών που γίνονται μέσω της πλατφόρμας. Με το ServiceDesk Plus μπορεί επίσης να οργανωθεί η αλλαγή: ποιος την εγκρίνει, ποιος την κάνει, πότε θα γίνει και τι θα κάνουμε αν κάτι δεν πάει καλά.
Όλα αυτά μπορεί να ακούγονται σαν πολλά βήματα για μία ενημέρωση. Στην πράξη, όμως, μας βοηθούν να διορθώσουμε το πρόβλημα χωρίς να δημιουργήσουμε ένα καινούργιο.
Τι χρειάζεται να γνωρίζει η διοίκηση
Η διοίκηση δεν χρειάζεται να βλέπει μόνο μια μεγάλη λίστα από τεχνικά προβλήματα. Χρειάζεται απαντήσεις σε λίγες καθαρές ερωτήσεις: Ποιες σημαντικές εφαρμογές δεν υποστηρίζονται πλέον; Ποιες σοβαρές ευπάθειες παραμένουν ανοικτές; Και πόσο χρόνο χρειαζόμαστε από τη στιγμή που ενημερωνόμαστε μέχρι να δράσουμε;
Οι άνθρωποι της Cysoft είναι σε θέση να βοηθήσουν τις επιχειρήσεις να αποκτήσουν καλύτερη εικόνα αυτών των θεμάτων και να οργανώσουν την αντιμετώπισή τους με τις κατάλληλες λύσεις της ManageEngine. Τα εργαλεία είναι χρήσιμα όταν ξέρουμε τι θέλουμε να πετύχουμε, ποιος έχει την ευθύνη και ποια διαδικασία θα ακολουθήσουμε.
Ο CRA είναι μια καλή αφορμή να αρχίσουμε να κάνουμε πιο συγκεκριμένες ερωτήσεις στους προμηθευτές μας. Και, εξίσου σημαντικό, να βεβαιωθούμε ότι όταν έρθει η επόμενη ειδοποίηση για μια σοβαρή ευπάθεια, θα ξέρουμε τι χρησιμοποιούμε, ποιον να καλέσουμε και τι να κάνουμε.
