ISO 27001 har en kontrol om indsamling af beviser. Den kræver, at virksomheden har procedurer for at identificere, indsamle, sikre og opbevare information, der kan bruges som bevis i forbindelse med sikkerhedshændelser. I praksis betyder det tre ting: Der skal være en skriftlig procedure, de nødvendige logs skal findes, og den, der sikrer sporene, skal kunne vise, at intet er ændret undervejs.
I den nuværende udgave af standarden er det kontrol 5.28 i bilag A. I den tidligere udgave fra 2013 lå den under hændelseshåndtering som A.16.1.7.
Hvorfor kontrollen ofte er svag
I mange certificerede virksomheder er kontrollen dækket af en sætning i hændelsesproceduren: “Beviser sikres i relevant omfang.” Det kan gå igennem en audit, men det hjælper ikke, når hændelsen sker. Så er spørgsmålene konkrete: Hvem sikrer hvad? Hvordan? Hvor lægges det? Og hvordan viser vi bagefter, at det er det samme, som blev sikret?
Kontrollen er også den, der oftest bliver glemt i praksis, fordi hændelseshåndtering handler om at få driften tilbage. Bevissikringen kolliderer med genopretningen, og uden en procedure vinder genopretningen.
Hvad proceduren skal indeholde
En brugbar procedure er kort. Den bør svare på disse spørgsmål:
- Hvornår skal der sikres? Ved hvilke typer hændelser, og hvem beslutter det?
- Hvad skal sikres først? Typisk de spor, der forsvinder hurtigst: logs med kort opbevaring, data i hukommelsen, aktive sessioner, mailregler.
- Hvordan? Med hvilke værktøjer og metoder, og hvornår skal en ekstern IT-sagkyndig ind over?
- Hvordan dokumenteres det? Hvem sikrede, hvornår, fra hvilket system, og med hvilken kontrolværdi.
- Hvor opbevares det? Et sted med begrænset adgang og en log over, hvem der har haft adgang.
- Hvornår slettes det igen? Når sagen er afsluttet, efter jeres slettepolitik.
Dokumentationen er det, der kaldes kæden af ansvar. Den skal kunne vise hele vejen fra systemet til det, der ligger i sagen. → Kæde af ansvar
Kontroller, der hænger sammen med den
Kontrollen om indsamling af beviser kan ikke stå alene. Den afhænger af en række andre kontroller i standarden:
- Logning: uden logs er der intet at indsamle. → Minimumslogning
- Overvågning: så hændelser bliver opdaget, mens sporene endnu findes.
- Synkronisering af ure: så tidsstempler fra forskellige systemer kan sammenlignes.
- Hændelseshåndtering: planlægning, vurdering, reaktion og læring af hændelser.
- Backup: så der findes en tidligere version at sammenligne med.
Det er her, mange procedurer falder. Loggen er slået til, men gemmes kun kort tid. Urene går forskelligt på serveren og i firewallen. Backuppen overskrives automatisk hver nat, og ingen ved, hvordan rotationen stoppes. Tjek ved den næste interne audit, om de hænger sammen i praksis, ikke kun på papiret. Gemmes loggene længe nok til, at de kan indsamles? Går urene rigtigt? Kan backupsæt tages ud af rotation?
Standarderne bag metoden
ISO 27001 siger, at der skal være en procedure, men ikke hvordan beviser teknisk sikres. Det beskrives i andre standarder, især ISO/IEC 27037 om identifikation, indsamling og sikring af digitale beviser. Jeres procedure kan henvise til den, og en ekstern IT-sagkyndig vil typisk arbejde efter den eller lignende metoder. → ISO/IEC 27037 og NIST SP 800-86 forklaret
Hvad gør I nu, trin for trin
- Find jeres nuværende tekst om indsamling af beviser i ISMS’et.
- Spørg, om den kan bruges i morgen. Ved den, der står for hændelser, hvad der konkret skal gøres?
- Skriv proceduren konkret, med de seks spørgsmål ovenfor.
- Lav en skabelon til bevisloggen. → Skabelon til intern log over beviser
- Tjek de tilknyttede kontroller: logning, ure, backup.
- Aftal, hvem I ringer til, når sporene skal sikres uvildigt.
- Test proceduren i en øvelse, og notér resultatet som dokumentation til auditoren.
Kontrolværdier, kort forklaret
En kontrolværdi, også kaldet en hashværdi, er en slags digitalt fingeraftryk af en fil eller en kopi. Ændres der blot ét tegn i filen, ændres kontrolværdien. Når sporene sikres, beregnes kontrolværdien med det samme og skrives i bevisloggen. Senere kan enhver beregne den igen og se, om kopien er uændret.
Det er en enkel teknik, men den er afgørende for troværdigheden. En eksport af en log uden kontrolværdi kan være rigtig nok, men det er svært at bevise, at ingen har rettet i den. Skriv derfor ind i proceduren, at der altid beregnes og noteres en kontrolværdi for det, der sikres.
Når hændelsen handler om en medarbejder
Sikkerhedshændelser skyldes ikke altid angreb udefra. Nogle gange er det en medarbejder, der har haft adgang til mere, end vedkommende skulle, eller som har sendt data ud. Så gælder der flere hensyn: reglerne om kontrol med medarbejdere, persondata og evt. overenskomst eller kontrolaftale. Proceduren bør derfor sige, at HR og ledelsen inddrages, når en hændelse peger på en bestemt person, og at gennemgangen af data afgrænses.
Hvem gør hvad
- Sikkerhedsansvarlig · Ejer proceduren og opdaterer den
- IT eller IT-leverandør · Logning, ure, backup, første sikring
- Ledelse · Godkender proceduren og beslutter ekstern hjælp
- IT-sagkyndig · Sikrer spor uvildigt, når sagen kan få følger
Det skal I lade være med
- Lad være med at nøjes med en sætning i hændelsesproceduren. Den hjælper ikke, når det sker.
- Lad være med at lade den, der kan være involveret, sikre sporene. Uvildighed er en del af troværdigheden.
- Lad være med at gemme det sikrede på et fællesdrev. Adgangen skal være begrænset og logget.
- Lad være med at undersøge direkte på originalen. Arbejd på kopier, og bevar originalen uændret.
Ikke kun sikkerhedshændelser
Kontrollen er skrevet til sikkerhedshændelser, men den samme procedure kan bruges ved interne undersøgelser, fratrædelser med mistanke og tvister med kunder eller leverandører. Overvej at skrive den bredt, så den dækker alle situationer, hvor digitale spor kan få betydning. Det giver én fremgangsmåde i stedet for flere, og det gør det lettere for de få personer, der skal kunne den udenad.
Er I også omfattet af NIS2, kan proceduren bruges til at levere den dokumentation, rapporteringen kræver. → NIS2 og bevisberedskab
Det auditoren typisk spørger om
Ved en ekstern audit kan I forvente spørgsmål som: Hvor er proceduren? Hvem kender den? Er den brugt eller afprøvet? Hvor er dokumentationen fra sidste gang? Har I et eksempel på en bevislog? Kan I svare med konkrete dokumenter og en dato for den seneste øvelse, står kontrollen stærkt.
Hvornår skal I have hjælp?
Få hjælp udefra, hvis jeres procedure aldrig er afprøvet, hvis I er i tvivl om, hvilke metoder der holder, når sporene senere skal bruges i en tvist, eller hvis den interne IT er for tæt på sagen. En uvildig IT-sagkyndig kan gennemgå proceduren og stå for sikringen, når det bliver alvor.
Læs også: NIS2 og bevisberedskab: hvad betyder kravene i praksis? · Backup: hvor langt tilbage kan vi gå? · Ordbog for ledere
→ Bevissikring ved fratræden af nøglemedarbejdere · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
