Endepunktsikring er mer enn å installere et antivirusprogram. Bedriften må vite hvilke enheter som er beskyttet, om sikkerhetsfunksjonene faktisk er aktive, hvem som følger opp varsler, og hva som skjer når en PC eller mobil viser tegn til kompromittering.
Den praktiske testen er derfor ikke om dere har kjøpt en sikkerhetslisens. Spørsmålet er om dere kan oppdage en ubeskyttet enhet og håndtere et reelt varsel før hendelsen får spre seg.
Hva er et endepunkt?
Et endepunkt er en enhet som kobles til virksomhetens systemer og data. Det kan være en bærbar PC, stasjonær PC, mobiltelefon, nettbrett eller server. Hjemmekontor og reiser gjør at mange av disse enhetene ofte befinner seg utenfor kontornettverket.
Det betyr at brannmuren på kontoret ikke kan være hele sikkerhetsstrategien. Beskyttelsen må følge enheten, også når medarbeideren bruker hjemmenett, mobildata eller et trådløst nett på reise.
Start med å kontrollere dekningen
Første oppgave er å sammenligne enhetslisten med oversikten i sikkerhetsløsningen. En maskin som ikke er registrert, eller som ikke har rapportert status på lenge, kan falle utenfor oppdateringer, varsling og sentral oppfølging.
Lag en enkel kontroll som svarer på disse spørsmålene:
- Hvilke PC-er, mobiler og servere har tilgang til bedriftens data?
- Er alle aktive enheter registrert i den sentrale sikkerhetsløsningen?
- Finnes det gamle enheter som fortsatt har tilgang, men ikke lenger er i bruk?
- Hvem har ansvar for å følge opp en enhet som slutter å rapportere?
Kontrollen bør inngå når en ny enhet tas i bruk, når en ansatt slutter, og ved jevnlige gjennomganger. En lisens som er kjøpt, men aldri aktivert på enheten, gir ingen reell beskyttelse.
Oppdateringer må kunne følges opp
Operativsystem, nettleser og vanlige programmer må holdes oppdatert. Automatisk oppdatering er et godt utgangspunkt, men bedriften trenger også en måte å oppdage maskiner der oppdateringen har feilet, er utsatt eller krever omstart.
NSMs grunnprinsipper for IKT-sikkerhet anbefaler blant annet oversikt over enheter og programvare, sikker konfigurasjon og håndtering av sårbarheter. Poenget er praktisk: Det som ikke finnes i oversikten, er vanskelig å beskytte og vedlikeholde.
Vanlig bruker bør være normalen
Daglig arbeid bør som hovedregel skje med en vanlig brukerkonto. Lokale administratorrettigheter gjør det enklere å installere programvare og endre sikkerhetsinnstillinger, men de gir også skadevare og misbrukte kontoer større handlingsrom.
Administratorrettigheter bør derfor gis etter behov, være dokumentert og gjennomgås jevnlig. Vi har forklart dette nærmere i artikkelen hvorfor adminbrukere krever strengere kontroll.
Forebygging alene er ikke nok
Moderne endepunktsikring kombinerer flere funksjoner. Den skal forsøke å stoppe skadelig aktivitet, men også registrere hendelser som må undersøkes. Microsoft beskriver for eksempel Defender for Business som en løsning med forebyggende beskyttelse, reduksjon av angrepsflate, endepunktdeteksjon og respons, samt automatisert undersøkelse og utbedring.
Det betyr ikke at alle bedrifter trenger samme produkt eller oppsett. Det viktige er å avklare hvilke funksjoner løsningen faktisk har, hvilke enheter den dekker, og hvem som reagerer når den melder fra.
Et varsel trenger en eier
Et sikkerhetsvarsel som bare blir liggende i en portal eller sendt til en postkasse ingen følger med på, har begrenset verdi. Bedriften bør vite hvem som mottar varselet, hvor raskt det skal vurderes, og hvem som kan isolere enheten eller sperre en konto.
Avklar minst:
- hvem som overvåker kritiske varsler
- hva som regnes som kritisk
- hvordan berørt bruker og ledelse kontaktes
- når en enhet skal kobles fra eller isoleres
- hvordan hendelsen dokumenteres og følges opp
Har dere en ekstern IT-leverandør, må avtalen skille mellom selve lisensen og den løpende oppfølgingen. Artikkelen serviceavtale eller bare lisens viser hvorfor dette skillet er viktig.
Test kontrollkjeden, ikke skadevare
En kontroll av endepunktsikringen trenger ikke innebære at noen laster ned reell skadevare. Bruk leverandørens dokumenterte testfunksjon eller en ufarlig testfil når dette støttes, og avtal testen med den som overvåker løsningen.
Testen bør bekrefte hele kjeden:
- Enheten er registrert og rapporterer oppdatert status.
- En ufarlig testhendelse blir oppdaget.
- Varslet kommer fram til riktig mottaker.
- Ansvarlig person kan identifisere enheten og brukeren.
- Det finnes en kjent prosedyre for isolering, opprydding og gjenoppretting.
Dette ligner prinsippet for sikkerhetskopiering: En grønn status er nyttig, men en kontrollert test viser om prosessen faktisk virker. Se også vår praktiske veiledning om sikkerhetskopiering for småbedrifter.
En enkel kvartalskontroll
For en liten virksomhet kan en kort, dokumentert gjennomgang hvert kvartal være et fornuftig utgangspunkt. Hyppigheten må tilpasses risiko, endringstakt og kravene virksomheten er underlagt.
- Sammenlign aktive ansatte og enheter med administrasjonsportalen.
- Finn enheter som ikke har rapportert på forventet tid.
- Kontroller status for operativsystem og kritiske programmer.
- Gjennomgå lokale administratorer og unødvendige unntak.
- Bekreft at varsler går til en bemannet kanal.
- Utfør en avtalt og ufarlig varslingstest.
- Dokumenter avvik, ansvarlig person og frist.
Hva bør bedriften sitte igjen med?
God endepunktsikring skal gi en oppdatert oversikt, ensartet konfigurasjon, tydelig varsling og en gjennomførbar respons. Den skal ikke være avhengig av at én medarbeider husker å åpne riktig portal.
Trenger dere hjelp til å få oversikt over enheter, beskyttelse og oppfølging, kan dere lese mer om endepunktsikring hos Trønder Data. Start med å avklare hva som allerede er aktivt, hvilke enheter som mangler, og hvem som har ansvar når et varsel oppstår.
Kilder
