Dla zarządu i finansów

Tym, co można pokazać, a nie przypuszczeniem. Dobra odpowiedź ma trzy części: co monitoring pokazuje dziś (otwarte alerty i incydenty oraz urządzenia, których dotyczą), co obejmuje (które lokalizacje, segmenty sieci i urządzenia są obserwowane) i czego nie widzi (treści szyfrowanego ruchu, działań, które nie przechodzą przez sieć, segmentów, których nikt nie monitoruje). Pewne „nie”, które później okaże się błędne, kosztuje więcej wiarygodności niż uczciwe „w obserwowanych częściach niczego nie widać”. NetSenX daje taki obraz prostym językiem: w każdym planie, także Free, oznacza beaconing C2, skanowanie, ruch lateralny i nietypowy wolumen danych wychodzących oraz pokazuje, które segmenty obserwują jego sensory. Nie udowodni, że gdzie indziej nic się nie stało.

Nie. Żadne narzędzie nie udowodni braku włamania; może jedynie pokazać, że w tym, co obserwuje, nie znalazło jego śladów. Atakujący, którzy używają skradzionych haseł i zwykłych narzędzi administracyjnych, mogą wyglądać jak pracownicy, a urządzenie, które milczy, nie pokazuje niczego. Zarząd może rozsądnie oczekiwać dowodów, że główne drogi do sieci i z niej są obserwowane, że ktoś czyta alerty i podejmuje decyzje oraz że luki są znane i spisane. Warto łączyć kilka perspektyw: wykrywanie na komputerach (EDR), logi tożsamości i poczty oraz wykrywanie sieciowe dla ruchu między urządzeniami. NetSenX obejmuje część sieciową i mówi wprost, których segmentów nie obserwuje. Do dostawcy, który obiecuje pewność, warto podchodzić ostrożnie.

To, co dzieje się między komputerami, czego antywirus nie obserwuje. Antywirus i EDR (endpoint detection and response) zaglądają do wnętrza każdej maszyny w poszukiwaniu złośliwych plików i zachowań. Sensor sieciowy patrzy na połączenia: komputer, który co kilka minut łączy się z nieznanym serwerem, stacja robocza, która nagle loguje się do wielu innych, serwer, który w nocy wysyła na zewnątrz znacznie więcej danych niż zwykle. To kroki, które atakujący wykonują po wejściu, często legalnymi narzędziami, które antywirus przepuszcza. NetSenX zgłasza je w każdym planie, także Free, i wyjaśnia każdy alert prostym językiem. Nie zastępuje antywirusa ani EDR: nie widzi szyfrowania pliku wewnątrz laptopa ani kopiowania folderu na pendrive. Obie perspektywy razem zostawiają mniej martwych pól.

Zwykle krótkiego pakietu: polityk bezpieczeństwa, listy incydentów z ostatnich lat wraz z opisem ich obsługi, wyników testów penetracyjnych lub audytów, posiadanych certyfikatów, polisy ubezpieczenia cyber, umów powierzenia przetwarzania danych i opisu, jak firma monitoruje włamania. Kupujący wycenia to, czego nie da się udokumentować, niższą ceną, rachunkiem escrow albo klauzulą odszkodowawczą, więc dokumenty ważą więcej niż zapewnienia. Warto zacząć zbierać je, zanim sprzedaż stanie się tematem: rejestr incydentów, decyzję podjętą przy każdym poważnym alercie i datę rozpoczęcia monitoringu. NetSenX przechowuje historię alertów i dziennik audytu decyzji zespołu w każdym planie, a raporty PDF udostępnia od planu Starter; to, jak daleko sięga historia, zależy od planu.

To zależy od planu: plan Free przechowuje historię alertów z 30 dni, plany płatne dłużej, a plan Enterprise bez limitu czasu. Dziennik audytu, który zapisuje, co zespół zrobił z każdym alertem i każdą zmianę ustawień, ma własny okres przechowywania, również rosnący z planem; oba podaje strona z cennikiem. Plan warto wybrać z myślą o dowodach, które mogą być potrzebne: kupujący, ubezpieczyciel lub audytor może zapytać o ostatni rok, a historii, której nie zachowano, nie da się później odtworzyć. Jeśli zapisy są potrzebne dłużej, niż przechowuje je plan, można eksportować raporty PDF od planu Starter albo alerty przez API od planu Pro i archiwizować je według własnej polityki przechowywania.

Tak, w formie zależnej od planu. Od planu Starter NetSenX tworzy raporty PDF z wykryć, które można przekazać kupującemu, inwestorowi lub audytorowi; od planu Pro alerty można eksportować przez API, a od planu Business przesyłać do systemu SIEM (security information and event management). Dziennik audytu decyzji jest prowadzony w każdym planie. Przed udostępnieniem warto sprawdzić zawartość raportu: nazwy urządzeń i adresy wewnętrzne zdradzają budowę sieci, a nazwy urządzeń czasem zawierają imiona i nazwiska pracowników, więc lepiej udostępniać na podstawie umowy o zachowaniu poufności i usunąć to, czego odbiorca nie potrzebuje. Eksport pokazuje to, co widział NetSenX; nie mówi nic o segmentach i systemach, których nie monitorował.

Kilka liczb, które zarząd może sprawdzić i porównywać w czasie, a nie długi raport techniczny. Przydatne są: otwarte incydenty i to, jak długo są otwarte; poważne alerty i czas do ich przejrzenia; które lokalizacje, segmenty i urządzenia są monitorowane, a które nie; data ostatniego udanego testu odtworzenia kopii zapasowych; odsetek kont chronionych uwierzytelnianiem wieloskładnikowym (MFA); zaległe krytyczne poprawki; incydenty zgłoszone organom, z dotrzymanymi lub przekroczonymi terminami. Każda liczba powinna mieć właściciela i jednozdaniowy komentarz, co się zmieniło. NetSenX dostarcza część sieciową: liczby alertów i incydentów, śledzenie terminów zgłoszeń NIS2 i listę monitorowanych segmentów. Testy kopii, MFA i poprawki pochodzą z innych systemów.

Rzadko. Jedna ocena miesza rzeczy, których nie da się zsumować, jak brak kopii zapasowych, niezałatany serwer i nieprzeszkolony dział finansów, a jej precyzja jest zwykle pozorna: nikt nie obroni, dlaczego firma ma 62, a nie 58. Liczba, która raz trafi do protokołu zarządu, jest cytowana latami i ukrywa, który problem naprawdę się zmienił. Zarządowi lepiej służy kilka prostych faktów: co jest monitorowane, co otwarte, co przetestowane, a co zaległe, każdy z trendem i właścicielem. Jeśli ocenę wystawia ubezpieczyciel lub portal dostawców, warto zapytać, jak jest liczona i czego nie obejmuje. NetSenX pomaga w części sieciowej tych faktów: liczbie alertów i incydentów oraz liście monitorowanych segmentów.

Opisując skutki i decyzje, a nie technologię. Zamiast „widzieliśmy beaconing C2 z hosta w VLAN 20” lepiej powiedzieć: „jeden komputer w księgowości co pięć minut łączył się z nieznanym serwerem; we wtorek go odizolowaliśmy, znaleźliśmy złośliwe oprogramowanie, wyczyściliśmy go i zmieniliśmy hasła, które na nim były”. Przy każdym punkcie: co się stało, ile mogło kosztować, co zrobiliście i czego potrzebujecie od zarządu: decyzji, budżetu albo niczego. Warto mieć stałą stronę z tymi samymi kilkoma wskaźnikami co kwartał, żeby zmiany było widać od razu. Na koniec: czego wciąż nie widać i co trzeba, by tę lukę zamknąć. NetSenX opisuje każdy alert prostym językiem, który można wykorzystać, a raporty PDF od planu Starter mogą trafić do materiałów zarządu jako załącznik.

Głównie o dowody, że podstawy działają i ktoś za nie odpowiada. Typowe listy kontrolne inwestorów pytają, kto odpowiada za bezpieczeństwo, czy firma ma spisane polityki, jak kontroluje dostęp (w tym uwierzytelnianie wieloskładnikowe), jak robi i odtwarza kopie zapasowe, czy miała incydenty i jak je obsłużyła, gdzie przechowuje dane klientów i na podstawie jakich umów oraz czy monitoruje włamania. Inwestorzy na wczesnym etapie rzadko oczekują certyfikatów, ale oczekują uczciwych odpowiedzi zgodnych z dokumentami. Warto przygotować krótki pakiet: imiennego właściciela, polityki, rejestr incydentów, umowy powierzenia i jednostronicowy opis monitoringu. NetSenX dostarczy jego część: historię alertów, dziennik audytu decyzji i, od planu Starter, raporty PDF; dane klientów pozostają w UE.

Coraz częściej tak, choć jako pytania, a nie sztywnego wymogu. Techniczne due diligence pyta, jak firma zauważyłaby włamanie, a „dowiedzielibyśmy się od klienta” to słaba odpowiedź. Inwestorów zwykle mniej interesuje nazwa produktu, a bardziej to, czy alerty do kogoś trafiają, czy ta osoba działa i czy zostaje po tym ślad. Monitorowana sieć z historią alertów i udokumentowanymi decyzjami odpowiada na to pytanie; nieużywane narzędzie nie. Jeśli monitoring ruszył tuż przed rundą, lepiej to powiedzieć: krótka historia przedstawiona uczciwie jest lepsza niż sugerowana długa. Plan Free w NetSenX nie ma limitu czasu, więc zapis można zacząć budować na długo przed due diligence i przejść na plan płatny, gdy potrzebna będzie dłuższa historia lub raporty.

Tak, bez zespołu bezpieczeństwa. Inwestorzy chcą zobaczyć, że monitoring istnieje, że ktoś dostaje alerty i że decyzje są zapisywane. Firma zatrudniająca 30 osób zrobi to jednym sensorem: agent NetSenX na porcie lustrzanym przełącznika (SPAN) lub na TAP-ie sieciowym obserwuje ruch całego segmentu i liczy się jako jedno urządzenie. Alerty przychodzą e-mailem w każdym planie, każdy wyjaśniony prostym językiem, więc może je przeczytać i zareagować kierownik biura lub zewnętrzny informatyk. Warto spisać na jednej stronie, co jest monitorowane i kto reaguje, oraz dołączyć raport PDF od planu Starter. Trzeba też jasno powiedzieć o granicach: sensor sieciowy nie zastępuje ochrony stacji końcowych, kopii zapasowych ani uwierzytelniania wieloskładnikowego, o które inwestorzy zwykle też pytają.

Zgodnie z prawdą, z faktami i z informacją, co się zmieniło, w granicach obowiązków prawnych i umownych. Najpierw trzeba ustalić wewnętrznie, co na potrzeby tej odpowiedzi jest incydentem: zablokowany e-mail phishingowy nie jest, przejęte konto zwykle jest. Potem odpowiedzieć datami, zakresem, informacją, czy dotyczyło to danych klientów, które organy powiadomiono i co poprawiono. Jeśli incydent jest jeszcze badany lub objęty poufnością, warto powiedzieć, co można, i kiedy będzie więcej. Mglista lub wymijająca odpowiedź zwykle kosztuje więcej zaufania niż dobrze obsłużony incydent. Ułatwiają to zapisy: rejestr incydentów, alerty, które za nim stoją, i podjęte decyzje. NetSenX przechowuje historię alertów i dziennik audytu decyzji przez okres przewidziany w planie.

Często tak, a czasem trzeba. Zgodnie z RODO osoby, których dotyczy naruszenie ochrony danych osobowych, muszą zostać poinformowane, gdy może ono powodować wysokie ryzyko dla nich; NIS2 może wymagać poinformowania odbiorców usług o poważnych incydentach, a umowy często dodają własne obowiązki powiadamiania. Poza tym, co obowiązkowe, ujawnienie jest decyzją biznesową: klienci, którzy o incydencie dowiadują się od dziennikarza lub ze strony z wyciekami, rzadko wybaczają milczenie, a jasny opis tego, co się stało i co zmieniono, może wzmocnić zaufanie. Linię komunikacji warto uzgodnić z zarządem, doradcą prawnym i ubezpieczycielem przed incydentem, a nie w jego trakcie. Fakty powinny być pod ręką: kiedy się zaczął, czego dotyczył i co zrobiono.

Rejestr incydentów i dowody stojące za każdym wpisem. Przy każdym incydencie warto zapisać, kiedy się zaczął, kiedy i przez kogo został wykryty, czego dotyczył (systemy, dane, klienci), jak go powstrzymano, czy i komu go zgłoszono, jaka była przyczyna i co zmieniono. Trzeba też zachować materiały: alerty, logi, zgłoszenia serwisowe, decyzje oraz korespondencję z organami lub klientami. RODO już wymaga od administratorów dokumentowania każdego naruszenia ochrony danych osobowych, także niezgłoszonego, a audytorzy i kupujący zapytają o te same fakty. NetSenX dostarcza część sieciową: alerty z czasem, urządzeniami i miejscami docelowymi, dziennik audytu, kto co zdecydował, oraz śledzenie terminów NIS2 dla każdego incydentu. Sam rejestr warto prowadzić w miejscu, nad którym ma się kontrolę.

Że to zwykle największy koszt cyberincydentu i taki, który można oszacować samemu. Dzień bez systemów oznacza utraconą sprzedaż lub produkcję, pensje za czekanie, nadgodziny na nadrobienie zaległości, kary umowne i klientów, którzy odchodzą. Warto poprosić dział finansów o oszacowanie jednego dnia dla własnej firmy na podstawie przychodów, płac i kluczowych umów, a dział IT o szczerą odpowiedź, ile dni zajęłoby pełne odtworzenie; iloczyn tych dwóch liczb mówi więcej niż jakakolwiek średnia branżowa. Ta kwota pomaga zarządowi ocenić kopie zapasowe, plany odtworzenia i limity ubezpieczenia. NetSenX zmienia moment: może pokazać kroki, które zwykle poprzedzają zablokowanie systemów przez ransomware, jak ruch lateralny i wyprowadzanie danych, gdy jest jeszcze czas na reakcję. Nie odtwarza systemów.

Takie, na które da się odpowiedzieć faktami. Pięć, które działają: Skąd wiedzielibyśmy dziś, że ktoś jest w naszej sieci, i kto dostałby alert w niedzielę w nocy? Kiedy ostatnio odtworzyliśmy cały system z kopii zapasowej i ile to trwało? Które konta wciąż logują się bez uwierzytelniania wieloskładnikowego? Którzy dostawcy mają dostęp do naszych systemów i w jaki sposób? Czego nie widzimy i ile kosztowałoby, żeby to zobaczyć? Odpowiedzi warto dostać na piśmie i wracać do nich co kwartał. Dobre odpowiedzi wskazują osobę, datę i dokument; słaba brzmi: „mamy na to narzędzie”. NetSenX pomaga odpowiedzieć na pierwsze i ostatnie pytanie w zakresie sieci: kto dostaje alerty i które segmenty są monitorowane, a które nie.

Tyle, by umieć ocenić ryzyka i decyzje, a nie konfigurować systemy. Dobre szkolenie dla zarządu obejmuje główne sposoby atakowania firm (skradzione hasła, phishing, niezałatane systemy, dostawcy), to, co incydent robi z firmą i jakie terminy zaczynają biec, własne obowiązki zarządu wynikające z przepisów takich jak NIS2, sposób czytania otrzymywanych wskaźników bezpieczeństwa oraz to, co robić w pierwszych godzinach incydentu. Krótkie ćwiczenie sztabowe, w którym zarząd przechodzi przez realistyczny incydent, uczy więcej niż slajdy. Zgodnie z NIS2 członkowie organów zarządzających podmiotów objętych dyrektywą muszą odbywać szkolenia, a szczegóły określa prawo krajowe. Warto zachować listy obecności: są częścią dowodów. NetSenX nie prowadzi szkoleń, ale jego alerty pisane prostym językiem są dobrymi przykładami z życia.

Jedna wskazana z imienia osoba na poziomie zarządu, nawet jeśli pracę wykonują inni. W małej firmie to często prezes lub dyrektor finansowy, a codzienne zadania wykonuje kierownik IT, jedyny administrator albo zewnętrzny dostawca IT. Odpowiedzialność oznacza ustalanie priorytetów i budżetu, otrzymywanie kwartalnego obrazu sytuacji i bycie osobą, do której się dzwoni, gdy zaczyna się incydent. Bez wskazanego właściciela zadania gubią się między IT, finansami i dostawcą, a nikt tego nie zauważa, dopóki coś się nie zepsuje. Warto spisać, kto za co odpowiada, w tym kto może zdecydować o odłączeniu systemów lub telefonie do ubezpieczyciela. W NIS2 odpowiedzialność za zatwierdzanie środków bezpieczeństwa i nadzór nad nimi spoczywa na organie zarządzającym, niezależnie od tego, kto wykonuje pracę. Żadne narzędzie nie przejmie tego ryzyka.

Szybko podjąć kilka decyzji i zostawić pracę techniczną tym, którzy ją wykonują. Potwierdzić, kto kieruje reakcją i kto mówi w imieniu firmy. Wcześnie zadzwonić na infolinię szkodową ubezpieczyciela, bo wiele polis wymaga niezwłocznego zawiadomienia i wskazuje firmę reagowania, za którą zapłaci. Włączyć doradcę prawnego, a jeśli mogą być dotknięte dane osobowe, także inspektora ochrony danych. Uruchomić zegary: w NIS2 wczesne ostrzeżenie trzeba złożyć w ciągu 24 godzin od uzyskania wiedzy o poważnym incydencie, a w RODO naruszenie zgłasza się organowi w miarę możliwości w ciągu 72 godzin. Nie pozwolić nikomu wyczyścić systemów, zanim zabezpieczy się dowody, i nie płacić ani nie kontaktować się z atakującymi bez porady. NetSenX śledzi terminy NIS2 dla każdego incydentu i przechowuje alerty pokazujące, co przeszło przez sieć.

Organ zarządzający, z pomocą prawników, ubezpieczyciela i firmy reagowania na incydenty, a nigdy jedna osoba pod presją. Przed decyzją firma potrzebuje faktów: czy systemy da się odtworzyć z kopii zapasowych i jak szybko; czy dane naprawdę wyciekły i ile; czy płatność jest w ogóle legalna, skoro niektóre grupy przestępcze są objęte sankcjami; co mówi polisa. Atakujący często twierdzą, że skopiowali dane, żeby zwiększyć presję, więc to twierdzenie trzeba sprawdzić na dowodach. Z góry warto ustalić, kto podejmuje tę decyzję i z kim musi się skonsultować. Zapłata nie gwarantuje ani działającego odszyfrowania, ani usunięcia skradzionych danych. NetSenX nie doradza w sprawie płatności; może pokazać, czy w dniach przed atakiem z monitorowanych urządzeń wychodziły nietypowe wysyłki danych i dokąd.

Kontrole procesowe w dziale finansów, bo to oszustwo dzieje się w poczcie i przez telefon, a nie w sieci. Najlepsze nic nie kosztują: każdą zmianę numeru rachunku dostawcy potwierdzać telefonem na numer, który już jest w dokumentach, nigdy na ten z e-maila; wymagać zatwierdzenia przez dwie osoby płatności powyżej ustalonej kwoty i każdej pierwszej płatności na nowy rachunek; pozwolić pracownikom bez konsekwencji odmówić pilnego polecenia przełożonego, dopóki nie zostanie sprawdzone. Do tego środki techniczne dla poczty: uwierzytelnianie wieloskładnikowe na skrzynkach oraz DMARC, standard, który utrudnia wysyłanie poczty w imieniu Twojej domeny. NetSenX nie filtruje poczty i nie zobaczy fałszywego polecenia; pomaga tylko wtedy, gdy oszustwo zaczyna się od złośliwego oprogramowania, które potem łączy się z siecią zewnętrzną.

Tak, zapisane jako ryzyka biznesowe, a nie jedna techniczna pozycja. Każde ryzyko warto opisać językiem zarządu: produkcja zatrzymana przez ransomware, kradzież danych klientów, oszustwo płatnicze, włamanie u kluczowego dostawcy, kara za przekroczony termin zgłoszenia. Przy każdym: prawdopodobny skutek, istniejące zabezpieczenia, właściciel i to, czego wciąż brakuje. Dzięki temu ryzyko cyber da się porównać z innymi przy ustalaniu budżetu, a audytorzy i ubezpieczyciele dostają czytelny ślad. Rejestr warto przeglądać co najmniej raz w roku i po każdym poważnym incydencie. NIS2 oczekuje, że podmioty objęte dyrektywą oprą swoje środki na analizie ryzyka, a ISO/IEC 27001 jest na niej zbudowana. NetSenX nie prowadzi rejestru ryzyk; dostarcza dowody dla zapisanych w nim środków wykrywania.

Łącząc każdą pozycję z ryzykiem, które zmniejsza, i wynikiem, który ma dać. Budżet warto dostać w trzech częściach: to, co utrzymuje podstawy (kopie zapasowe, poprawki, uwierzytelnianie wieloskładnikowe, ochrona stacji końcowych), to, co zamyka znane luki (na przykład brak kogokolwiek, kto w nocy obserwuje sieć), i to, co opcjonalne. Przy każdej pozycji pytać, co się stanie, jeśli zniknie, i jak sprawdzimy, że działa. Sumę lepiej porównać z własnym oszacowaniem kosztu dnia bez systemów niż ze średnimi branżowymi. Lepiej wybierać narzędzia z opublikowanym cennikiem i bez długiego związania, żeby koszt był znany z góry i dało się go zatrzymać. NetSenX publikuje ceny, od planu Free bez limitu czasu po plan Enterprise; strona z cennikiem wymienia, co zawiera każdy plan.

Alert to sygnał; incydent to potwierdzone zdarzenie, które szkodzi firmie lub jej zagraża. Narzędzie monitorujące zgłasza alert, gdy widzi coś nietypowego, na przykład komputer łączący się w regularnych odstępach z nieznanym serwerem. Potem ktoś go sprawdza: wiele alertów okazuje się niegroźnych, niektóre ujawniają prawdziwy problem. Gdy jeden alert lub kilka razem pokazuje, że systemy albo dane zostały naprawdę dotknięte, mamy incydent, z właścicielem, reakcją i być może obowiązkiem zgłoszenia. Dla zarządu przydatne są liczba incydentów i czas sprawdzenia alertów, a nie surowa liczba alertów. NetSenX pozwala zespołowi śledzić incydenty razem z alertami, które za nimi stoją, i terminami zgłoszeń NIS2; ocena, czy incydent jest poważny, należy do Ciebie.

Głównie przez to, co nie zostało udokumentowane, a nie przez sam incydent. Kupujący pytają o dawne incydenty w due diligence. Taki, który wykryto, opanowano, zgłoszono na czas i po którym wprowadzono poprawki, zwykle staje się jednym zdaniem w liście ujawnień. Taki, który wychodzi na jaw późno albo którego sprzedający nie potrafi wyjaśnić, prowadzi zwykle do niższej ceny, rachunku escrow, specjalnych gwarancji lub opóźnionego zamknięcia, bo kupujący nie wie, co jeszcze może być ukryte. Podobne pytania zadają ubezpieczyciele po stronie kupującego. Warto przygotować się, prowadząc rejestr incydentów, dowody monitoringu i decyzje podjęte przy każdym poważnym alercie. NetSenX przechowuje historię alertów i dziennik audytu decyzji przez okres przewidziany w planie, a można je wyeksportować jako dowód.

To ilość i rodzaj ryzyka cyber, które zarząd jest gotów zaakceptować, by prowadzić działalność, zapisane tak, by inni mogli się do tego stosować. Przekłada się na konkretne zdania, na przykład: produkcja może stać najwyżej jeden dzień; dane klientów nigdy nie opuszczają UE; akceptujemy, że laptop czasem zginie, ale nigdy niezaszyfrowany. Takie zdania pozwalają IT i dostawcom podejmować decyzje bez pytania zarządu za każdym razem i pokazują, gdzie potrzebne są pieniądze: jeśli pełne odtworzenie trwa pięć dni, a limit to jeden, jest luka do zamknięcia. Zapis warto trzymać krótki i przeglądać co roku. To decyzja zarządu, której żadne narzędzie nie podejmie. NetSenX pomaga zmierzyć jedną jej stronę: jak szybko widać nietypową aktywność w sieci.

Od obu, w różnych celach. Wewnętrzne raporty IT lub właściciela bezpieczeństwa dają regularny obraz: wskaźniki, otwarte sprawy i potrzebne decyzje. Niezależne spojrzenie, od audytora, z testu penetracyjnego lub od zewnętrznego doradcy, co rok lub dwa sprawdza, czy ten obraz jest prawdziwy. Opieranie się tylko na raportach wewnętrznych oznacza, że odpowiedzialni sami oceniają swoją pracę; tylko na zewnętrznych zostawia długie przerwy między migawkami. Warto poprosić obie strony o te same kilka wskaźników, żeby dało się porównać ich wnioski. Gdzie to możliwe, zarząd powinien widzieć też surowe dowody, na przykład raport z alertami, a nie tylko slajdy. Raporty NetSenX pochodzą z ruchu własnej sieci, więc mogą wspierać oba rodzaje przeglądu, ale obejmują tylko to, co obserwują jego sensory.

Poprosić o dowody w kilku punktach i część sprawdzić samemu. Umowa powinna mówić, co dostawca monitoruje, kto reaguje w nocy i w weekendy, jak szybko i jak incydenty są zgłaszane firmie. Potem co kwartał warto prosić o stan poprawek na serwerach, wynik ostatniego testu odtworzenia, listę kont bez uwierzytelniania wieloskładnikowego oraz incydenty i sposób ich obsługi. Jeśli dostawca ma szeroki zdalny dostęp do systemów, trzeba zapytać, jak ten dostęp jest chroniony, bo atakujący biorą na cel dostawców, by dostać się do ich klientów. Pomaga niezależny wgląd: alerty z własnego monitoringu pokazują, czy problemy są wykrywane, zanim się o nich usłyszy. Od planu Starter NetSenX obsługuje kilku użytkowników, więc alerty może widzieć zarówno dostawca, jak i ktoś w firmie.

Ktoś, kto może potwierdzić, że odpowiedzi są prawdziwe, zwykle właściciel bezpieczeństwa, a ważniejsze z nich powinny być znane zarządowi. W praktyce odpowiedzi z ankiet stają się częścią umowy: klient, który polegał na nieprawdziwym „tak”, może po incydencie żądać odszkodowania albo rozwiązać umowę. Dlatego odpowiadać trzeba za to, co działa dziś, a nie za plany, i pisać „częściowo” z krótkim wyjaśnieniem, gdy taka jest prawda. Dowody stojące za każdym „tak” warto trzymać w jednym folderze, żeby kolejna ankieta zajęła godziny, a nie tygodnie. Odpowiedzi trzeba przeglądać przy każdej zmianie, na przykład nowym dostawcy lub wycofanym narzędziu. Przy pytaniach o wykrywanie włamań NetSenX dostarcza konkretnych dowodów: które segmenty są monitorowane, historię alertów, dziennik audytu i przechowywanie danych w UE.

Wcześnie, rzeczowo i jednym głosem. Krótkie oświadczenie wstępne warto przygotować, zanim będzie potrzebne: co się stało, prostymi słowami, co firma robi, co powinni zrobić klienci (na przykład uważać na fałszywe faktury w imieniu firmy) i kiedy będzie kolejna informacja. Nie spekulować o sprawcy ani zakresie i nie obiecywać, że dane nie ucierpiały, jeśli nie da się tego wykazać. Treść uzgodnić z doradcą prawnym, ubezpieczycielem, a gdy chodzi o dane osobowe, z inspektorem ochrony danych, i utrzymać ją w zgodzie z tym, co zgłasza się organom. Wyznaczyć jednego rzecznika. Uczciwa komunikacja wymaga faktów: alerty NetSenX pokazują, kiedy zaczął się nietypowy ruch, których urządzeń dotyczył i czy dane opuściły monitorowane segmenty.

Tak, szybko, z tym, co mają zrobić, i bez niczego, co zaszkodzi dochodzeniu. Pracownicy widzą, gdy systemy przestają działać, i rozmawiają o tym, więc milczenie rodzi plotki, a czasem wpis w mediach społecznościowych. Warto powiedzieć, co wiadomo, co należy, a czego nie należy robić (nie włączać ponownie dotkniętych komputerów, zgłaszać dziwne e-maile, odsyłać pytania mediów do rzecznika) i skąd będą przychodzić aktualizacje. Jeśli mogą być dotknięte dane samych pracowników, mogą oni też mieć prawo do zawiadomienia na podstawie RODO. Trzeba podziękować osobie, która pierwsza zgłosiła podejrzenie: obwiniani przestają zgłaszać. Dowody z sieci pomagają skierować komunikat do działów i urządzeń, których sprawa naprawdę dotyczy, bez wskazywania osób, zanim fakty będą jasne.

Ćwiczenie sztabowe to prowadzona rozmowa o realistycznym incydencie i tak, zarząd powinien brać w nim udział co najmniej raz w roku. Prowadzący opisuje scenariusz krok po kroku, na przykład żądanie okupu na każdym ekranie w poniedziałek rano, a uczestnicy decydują, co by zrobili: kto kieruje, kto dzwoni do ubezpieczyciela, kiedy zgłosić incydent organom, czy zatrzymać produkcję, co powiedzieć klientom. Żadne systemy nie są ruszane. Wartość polega na znalezieniu luk, póki ich naprawa jest tania: brakujących numerów telefonów, niejasnych uprawnień do decyzji, nieprzetestowanych kopii zapasowych. Wnioski trzeba spisać razem z tym, kto naprawia każdy z nich. Prawdziwe alerty NetSenX, z czasem, urządzeniami i miejscami docelowymi, są dobrym punktem wyjścia do scenariusza dopasowanego do własnej sieci.

Przez obowiązki powiadamiania, poziomy usług i klauzule odpowiedzialności, które być może już podpisano. Wiele umów wymaga poinformowania klienta o incydencie bezpieczeństwa w określonym czasie, utrzymania poziomu dostępności i ochrony jego danych według określonego standardu; klienci objęci NIS2 lub DORA często wpisują takie obowiązki do umów z dostawcami. Spóźnione powiadomienie może samo w sobie być naruszeniem umowy, niezależnie od incydentu. Zanim cokolwiek się stanie, warto spisać największe umowy i ich klauzule incydentowe oraz dołączyć tę listę do planu reagowania, żeby właściwe osoby zostały powiadomione na czas. Trzeba też sprawdzić, czy ubezpieczenie obejmuje odpowiedzialność umowną. Dowody z NetSenX pomagają odpowiedzieć na pytania, które klienci zadają później: kiedy to się zaczęło, których urządzeń dotyczyło i co opuściło sieć.

Zwykle nie na pełen etat, ale ktoś musi wykonywać tę pracę. Dyrektor ds. bezpieczeństwa informacji (CISO) odpowiada za strategię bezpieczeństwa, ryzyko i reagowanie na incydenty. W firmie liczącej od kilkudziesięciu do kilkuset osób te zadania często się dzieli: członek zarządu jest właścicielem ryzyka, informatyk lub dostawca prowadzi zabezpieczenia, a zewnętrzny doradca lub „wirtualny CISO” na część etatu pomaga przy politykach, audytach i ankietach. Ważne, by przy każdym zadaniu stało czyjeś nazwisko i by zarząd regularnie dostawał obraz sytuacji. Gdy firma rośnie albo klienci wymagają więcej, osobna rola zaczyna się opłacać. Narzędzia odciążają w obserwowaniu, nie w ocenianiu: NetSenX wyjaśnia każdy alert tak, by mógł go wstępnie ocenić niespecjalista, ale decyzję wciąż podejmuje człowiek.

Decydując z góry, co musi działać i jak to prowadzić bez systemów, które mogą stanąć. Plan ciągłości działania wymienia krytyczne czynności (przyjmowanie zamówień, wypłaty dla pracowników, wysyłka towaru), systemy, od których każda zależy, oraz ręczny lub zastępczy sposób prowadzenia każdej przez kilka dni. Zawiera listy kontaktów na papierze, sposób komunikacji, gdy nie ma poczty, i kolejność odtwarzania systemów. Kopie zapasowe muszą być przechowywane tam, gdzie atakujący kontrolujący sieć ich nie usunie, a odtworzenia trzeba testować. Plan warto ćwiczyć raz w roku. NIS2 wymienia ciągłość działania, zarządzanie kopiami zapasowymi i zarządzanie kryzysowe wśród wymaganych środków. NetSenX nie odtwarza systemów; może dać wcześniejsze ostrzeżenie, by plan uruchomić szybciej.

Jakie ryzyko zmniejsza, kto będzie go używał i czego nie zrobi. Warto zapytać dostawcę i własny dział IT: który problem z naszej listy ryzyk to rozwiązuje; kto czyta wyniki i kiedy, także w nocy; po jakim czasie narzędzie zacznie być przydatne; jaki jest pełny roczny koszt, z czasem pracy ludzi; jakie dane zbiera, gdzie są przechowywane i na podstawie jakiej umowy; jak odejść i zabrać swoje dane. Granice narzędzia lepiej dostać na piśmie: dostawcy, który mówi, czego jego produkt nie widzi, łatwiej zaufać. Próba we własnej sieci jest lepsza niż prezentacja. NetSenX ma plan Free bez limitu czasu, publikuje ceny i mówi wprost, czego sensor sieciowy nie widzi.

Te o przepływie pieniędzy i pieniądzach zagrożonych. Kto może zmienić numer rachunku dostawcy i jak zmiana jest weryfikowana? Z których komputerów można robić przelewy i czy ktoś je obserwuje? Ile kosztowałby jeden dzień bez systemów i co pokrywa nasze ubezpieczenie, z jakimi warunkami i wyłączeniami? Czy nasze odpowiedzi w kwestionariuszu ubezpieczyciela są wciąż prawdziwe? Ile w sumie rocznie kosztują narzędzia bezpieczeństwa, z czasem pracy ludzi, i jakie ryzyko zmniejsza każde z nich? Które umowy przewidują kary za przestój lub utratę danych? Te pytania zamieniają bezpieczeństwo w liczby, które zarząd może ocenić. Na jedno NetSenX odpowiada bezpośrednio: w każdym planie oznacza komputer do płatności, który zaczyna w regularnych odstępach łączyć się z nieznanym serwerem, częsty objaw złośliwego oprogramowania bankowego.

Co najmniej raz na kwartał jako stały punkt obrad i natychmiast po każdym poważnym incydencie. Kwartalny przegląd utrzymuje przed zarządem te same kilka wskaźników, zapisuje decyzje i pokazuje trendy: otwarte incydenty, zasięg monitoringu, testy kopii zapasowych, zaległe poprawki i dotrzymane terminy zgłoszeń. Raz w roku warto pójść dalej: przejrzeć rejestr ryzyk i apetyt na ryzyko, plan reagowania i ochronę ubezpieczeniową oraz przeprowadzić krótkie ćwiczenie. W NIS2 organ zarządzający podmiotu objętego dyrektywą zatwierdza środki bezpieczeństwa i nadzoruje ich wdrażanie, co trudno wykazać bez regularnych protokołów. Protokoły i materiały trzeba przechowywać: są dowodem, że nadzór się odbył. Raporty PDF NetSenX, dostępne od planu Starter, mogą być załącznikiem sieciowym do każdego kwartalnego pakietu.

Zadać kilka konkretnych pytań, wpisać odpowiedzi do umowy i ograniczyć to, do czego dostawca ma dostęp. Zanim dostawca dostanie zdalny dostęp lub dane, warto zapytać, jak chroni własne systemy (uwierzytelnianie wieloskładnikowe, poprawki, monitoring), czy miał incydenty, kto po jego stronie może dostać się do systemów firmy i jak poinformuje o włamaniu u siebie. Obowiązek powiadomienia trzeba wpisać do umowy. Potem przyznać najmniejszy potrzebny dostęp, na potrzebny czas, i odebrać go po zakończeniu prac. Ryzyko po stronie dostawców jest realne: raport Verizon Data Breach Investigations Report 2025 wskazał udział stron trzecich w 30 % naruszeń, wobec 15 % wcześniej. NetSenX pokazuje połączenia, które zdalna sesja dostawcy nawiązuje wewnątrz sieci, i zgłasza alert, gdy zaczyna ona przechodzić z urządzenia na urządzenie.