基礎設施安全

我們由存取權限開始。列出每個可存取伺服器、資料庫、網絡和雲端供應商控制台的帳戶：誰擁有、用途為何。已離職人員的帳戶和多人共用的帳戶會被關閉，此後員工離職會觸發一份需關閉帳戶的清單。

對可存取伺服器和數據的帳戶，我們啟用雙重認證：除了密碼，還要確認登入，例如輸入手機上的驗證碼，因此單憑密碼無法進入系統。

我們以還原驗證備份：在另一台伺服器上以備份啟動系統，量度所需時間和缺漏。其中一份備份存放在管理員帳戶無法觸及的地方，以免一次失誤或外人入侵把它與數據一併刪除。

更新是系統、資料庫和網絡設備製造商發出的修補程式；我們記錄哪些項目需要更新、由誰在何時安裝。製造商已停止支援的系統或設備，我們會在網絡中把它隔離，直至更換為止。我們把數據加密，即以沒有密鑰便無法讀取的形式儲存和傳送，令遺失的硬碟或被竊聽的連接不會洩露內容。

我們把網絡劃分為不同部分：辦公室電腦、存放數據的伺服器、訪客網絡，以及無法更新的設備，各部分之間只容許有記錄而必要的流量。遠端存取經單一入口進行，並設有雙重認證。

事件監察是記錄伺服器和網絡上發生的事：誰登入、從哪裏登入、改了甚麼、甚麼停止運作。需要回應的事件，例如管理員在深夜從陌生地點登入，會按合約向公司指定人員或我們發出警報；我們不設全天候監察中心。

我們與您的資訊科技部門進行災後還原演練：模擬失去一台伺服器，按記錄的次序以備份啟動系統，並計算時間。事故是指外人入侵系統或數據流出公司的事件；為此我們會寫明由誰決定、要通知誰、要切斷甚麼，以及甚麼不可刪除。

如貴公司受網絡安全法規規管，即波蘭《國家網絡安全系統法》（KSC）及歐盟NIS2指令，這些技術措施亦會因此納入項目；這兩項法規的其餘要求屬另一項服務。雲端設計、在您伺服器機房內安裝，以及系統跨環境遷移，均屬另外的服務範圍；我們不進行滲透測試，即受控的入侵嘗試。

成果是保安措施說明、存取權限登記冊，以及災後還原程序和事故處理程序。

1. 我們檢查現況。從內部檢視伺服器、網絡和帳戶，並與資訊科技部門傾談。成果：現況檢視及按風險排列的改善清單，由您決定。
2. 我們整頓存取權限和備份。關閉不必要的帳戶，啟用雙重認證，並試行以備份還原系統。成果：存取權限登記冊及首次還原報告。
3. 我們保護網絡和系統。劃分網絡、啟用加密、安裝積壓的更新，並啟動事件監察。成果：環境達到檢視中訂立的目標狀態，警報已經過測試。
4. 我們演練並移交。進行災後還原演練，並與資訊科技部門逐步走過事故處理程序。成果：按演練結果修訂的程序，以及後續演練時間表。

1. 現時誰擁有我們伺服器和網絡的管理員權限，這份清單上次何時檢查？
2. 上次有人以備份還原我們的系統是何時，需時多久？
3. 如果擁有伺服器完整存取權的人刪除了數據，備份能否保存下來？
4. 我們有哪些系統和設備已不再獲製造商提供修補程式，我們會如何處理？
5. 誰會收到深夜異常登入的警報，屆時應該怎樣做？
6. 工作完成後，我們的資訊科技部門會維持哪些保安措施，需要學習甚麼？

貴公司哪些範疇需要處理，會由伺服器、網絡和存取權限的檢視顯示；我們由這項分析開始，並以附工作範圍的建議作結。