Публичен сектор и НПО
Тестване, съобразено с публичен сектор и НПО.
Услугите към гражданите и данните зад тях са цели с висока стойност и ниска търпимост към провал. Тестваме строго и отчитаме ясно, в рамките на ограниченията на публичния сектор.
Защо има значение
Защо обществените услуги се нуждаят от проверка срещу реалистични атаки
Публичните институции съхраняват чувствителни данни, които гражданите често са длъжни да предоставят. Слабост в портал за социални плащания, регистър или система за преписки може да разкрие информация и да подкопае доверието в услугата. Ако гражданите престанат да използват цифровия канал, се връщат към по-бавни и по-скъпи начини за обслужване.
Нападателите могат да използват доверието в институциите чрез съобщения, които имитират държавна агенция, данъчна служба или благотворителна организация. Защитата се затруднява и от ограничени бюджети и остарели системи. Неправителствени организации в областта на правата на човека, журналистиката и хуманитарната помощ могат да бъдат цел и на групи, свързани с държави. Тестването помага да насочите ограничените ресурси към слабостите с най-съществено въздействие.
Картина на заплахите
Основни рискове в публичния сектор
Логически дефекти в гражданските портали
Онлайн услугите за заявления, плащания и справки често свързват системите за идентичност, преписки и документи. Слабата оторизация на ниво обект, предвидимите идентификатори или невалидираните стъпки в работния процес могат да позволят на един гражданин да вижда, променя или подава данни, принадлежащи на друг.
Представяне за агенция и смишинг
Кампаниите, които имитират официални уведомления, глоби или съобщения за възстановяване на суми, събират идентификационни данни и платежна информация както от граждани, така и от служители. Домейните-двойници, липсващото удостоверяване на електронната поща и непоследователните официални канали правят тези примамки по-трудни за разпознаване.
Остаряла и споделена инфраструктура
По-стари платформи, споделен хостинг между ведомства и продължителен достъп на доставчици могат да свържат системи на различни организации. При недостатъчна сегментация компрометирането на система, директория или административен интерфейс може да позволи достъп до услуги на друго ведомство.
Целенасочено проникване срещу гражданското общество
Неправителствените организации, застъпническите групи и независимите медии може да се сблъскат с упорити и добре обезпечени противници, търсещи контакти, източници или вътрешна кореспонденция. Личните устройства, облачните инструменти за съвместна работа и малките ИТ екипи оставят пропуски, които целенасоченият spear-phishing и превземането на акаунти използват.
Как тестваме
Как тестваме в рамките на ограниченията на публичния сектор
Определяне на обхват, готов за обществена поръчка
Превръщаме вашето изискване във фиксиран обхват с определени обекти, усилие, резултати и цена, написан така, че да може да бъде приложен към тръжна, рамкова или документация за пряко възлагане без преработка.
Разрешение и правила
Преди началото договаряме писмено правилата за тестване, периодите за работа, контактите и необходимите разрешения. При хостинг или услуги на трети страни включваме и техните ограничения, така че всяко действие да е разрешено и проследимо.
Приоритизирани, практични констатации
Всяка констатация носи ясна оценка на риска, доказателства и насоки за отстраняване, подредени по въздействие и усилие, което помага на екипите с ограничени бюджети да отстранят първо най-съществените проблеми.
Повторен тест и доказателства за надзора
След отстраняването тестваме повторно засегнатите констатации и издаваме обновен доклад, потвърждаващ състоянието, което дава на одитните комитети, инспекторите и финансиращите ясен запис какво е отстранено и кога.
Регулация
Регулаторен контекст за тестването
Рамките по-долу обикновено оформят как публичните органи и неправителствените организации определят обхвата на тестването на сигурността; националното транспониране и съответният компетентен орган определят конкретните задължения.
На какво се съсредоточаваме
- Граждански портали и уеб услуги
- Идентичност и достъп
- Вътрешни мрежи
- Конфигурация на облака и хостинга
Директива NIS2
Много субекти от публичната администрация попадат в обхвата на централно и, където държавите членки решат, на регионално ниво. Тестването осигурява доказателства, че мерките за управление на риска, включително работата с уязвимости и сигурността на мрежовите и информационните системи, са ефективни на практика.
GDPR
Член 32 очаква подходяща сигурност, включително процес за редовно изпитване и оценяване на ефективността на мерките. Тестването за проникване на системи, обработващи данни на граждани, подкрепя това очакване и захранва оценките на въздействието върху защитата на данните.
eIDAS и цифрова идентичност
Когато услугите разчитат на електронна идентификация, удостоверителни услуги или Европейския портфейл за цифрова идентичност, тестването следва да обхване потоците за удостоверяване, управлението на сесиите и точките на интеграция, за да не бъде подкопана увереността в идентичността от заобикалящото приложение.
Акт на ЕС за киберсигурността и национални правила
Схемите за сертификация и националните закони или стандарти за киберсигурност може да задават допълнителни базови контроли за публичните системи. Тестването може да бъде съотнесено към тези контроли, така че констатациите да подкрепят оценките на съответствието и вътрешните програми по сигурност.
Документация за обществени поръчки
Възлагащите органи често се нуждаят от определен обхват, квалификация на тестерите, условия за работа с данни и ясни резултати в тръжните досиета. Добре документирана методология и формат на доклада улесняват оценяването, управлението на договора и по-късния одит на ангажимента.
От нашата работа
Анонимизирани примери от практиката в този сектор
Кога ви е нужно
Типични ангажименти в публичния сектор
Ангажиментите се оформят около услугата, данните, които тя съхранява, и надзора, на който трябва да отговаря.
Тест на граждански портал преди пускане
Преди нова цифрова услуга да влезе в експлоатация, тестваме удостоверяването, оторизацията, качването на документи и платежните потоци, така че решенията за пускане да се основават на проверена сигурност, а не на предположения.
Оценка на устойчивостта на служителите срещу фишинг
Договорени, етично проектирани симулации измерват как служителите реагират на примамки с тематика на агенцията, съчетани с преглед на удостоверяването на електронната поща и процесите по сигнализиране, за да се подсилят както техническите, така и човешките защити.
Преглед на вътрешната мрежа и директорията
Оценка с предполагаем пробив на вътрешните мрежи и Active Directory показва докъде би могъл да се придвижи нападател от една компрометирана работна станция, като извежда наяве проблемите със сегментацията и привилегиите в споделените среди.
Преглед на сигурността за неправителствена организация в риск
Оценяваме облачните инструменти за съвместна работа, защитата на акаунтите и устройствата и риска от целенасочен фишинг. Малките екипи получават план с ясни приоритети, съобразен с ресурсите им и със способностите на потенциалните противници.
Често задавани въпроси
Често задавани въпроси
Можете ли да работите в рамките на нашия процес за обществени поръчки?
Да. Предоставяме предложения с фиксиран обхват, ясни резултати, усилие и ценообразуване, които могат да бъдат използвани в търгове, възлагания по рамкови споразумения или преки възлагания. Можем да осигурим и описания на методологията, профили на тестерите и условия за работа с данни, каквито оценителите обичайно изискват.
Тази страница правен съвет или съвет за съответствие ли е?
Не. Регулаторната информация тук е обща насока, която да ви помогне да определите обхвата на тестването. Вашите задължения зависят от националното транспониране, вашия сектор и вашия компетентен орган, затова потвърдете конкретиката с вашите правни съветници или съветници по съответствие.
Как подхождате към системи, хоствани от доставчици — трети страни?
Определяме хостинг и сервизните доставчици при определянето на обхвата и договаряме верига на разрешения, преди тестването да започне. Когато е нужно съгласие от доставчик, помагаме ви да го получите, а тестването на тези активи започва едва след като е налице писмено одобрение.
Имаме ограничен бюджет. Откъде да започнем?
Обикновено е полезно да започнете с публично достъпните услуги за граждани и системите за идентичност и достъп. Можем да предложим поетапна програма, съобразена с бюджета, при която всяка проверка надгражда предишната.
Работите ли с неправителствени организации и организации на гражданското общество?
Да. Определяме обхвата на оценките съразмерно за по-малки екипи, с фокус върху сигурността на акаунтите, платформите за съвместна работа, устройствата и целенасочения фишинг. Обработваме чувствителната информация за служители, партньори и източници при строга поверителност.
Какви доказателства получаваме за одитори и надзорни органи?
Получавате технически доклад с доказателства и насоки за отстраняване, резюме за ръководството и, след отстраняването, доклад от повторен тест, потвърждаващ състоянието на всяка констатация. Тези документи са направени така, че да подкрепят одита, инспекциите и отчитането пред финансиращите.
Относими услуги
Регулаторните бележки на тази страница са обща насока, а не правен съвет. Вашият компетентен орган, одитор или оценител определя какво се отнася за вас.
Определете обхвата на ангажимент за публичния сектор и НПО.
Кажете ни какво искате да защитите. Опитен специалист ще ви помогне да определите обхвата и следващите стъпки. Обикновено отговаряме в рамките на един работен ден.
Поверителност от първия разговор
Можем да подпишем вашето NDA, преди да споделите чувствителни детайли. За запитването ви се прилага политиката ни за поверителност.
Как защитаваме информацията ви · Политика за поверителност