NIS2 előtt: hogyan festenek a legnagyobb vállalatok alapvető biztonsági jelzései?
A NIS2 megköveteli, hogy a szervezetek komolyan vegyék a kiberbiztonságot, a vezetők pedig személyes felelősséggel tartoznak. Hat alapvető, NYILVÁNOS biztonsági ellenőrzést végeztünk a piac legnagyobb vállalatainak nyitóoldalain és e-mail beállításain, olyan ellenőrzéseket, amelyeket bárki elvégezhet kívülről, a belső rendszerek érintése nélkül. Ezek egy minimumszintet jelentenek, nem teljes körű biztonsági auditot: az átmenés azt jelzi, hogy a nyilvánvaló alapok megvannak, a megbukás pedig azt, hogy minden támadó számára látható hiányosságok állnak fenn.
19 sikeresen ellenőrzött vállalat, összesen 34 a piac legnagyobb vállalatából; a többiek blokkolták az automatizált hozzáférést, és ki lettek zárva az összes számításból.
Főbb megállapítások
Eredmények ellenőrzésenként
| Nyilvános biztonsági ellenőrzés | Érintett vállalatok aránya |
|---|---|
| Nincs érvényesített DMARC (az e-mail domain hamisítható olyan adathalász támadásokban, amelyek látszólag a vállalattól érkeznek) | 26% |
| Hiányoznak az alapvető webes biztonsági fejlécek (clickjacking és tartalomtípus elleni védelem) | 26% |
| Nincs HSTS (a böngészők nincsenek kényszerítve a webhely titkosított verziójának használatára) | 11% |
| Nincs SPF-rekord (hiányzik egy alapvető e-mail hamisítás elleni vezérlő) | 0% |
| A kezdőlap nem kényszeríti ki a HTTPS használatát | 0% |
| A szerverprogramszoftver verziószáma megjelenik a fejlécekben (segíthet a támadóknak ismert sebezhetőségek megcélzásában) | 0% |
A legjobb teljesítők
Elismerés illeti őket: ezek a vállalatok az alapvető ellenőrzések mindegyikén vagy szinte mindegyikén átmentek.
- ✓ erstebank.hu
- ✓ raiffeisen.hu
- ✓ cib.hu
Módszertan
Minden egyes vállalatnál egyetlen szokásos kérést küldtünk a nyilvános kezdőlapra, és elolvastuk a biztonsági szempontból releváns válaszfejléceket, valamint nyilvános DNS-lekérdezéseket végeztünk az SPF és DMARC e-mail-hitelesítési rekordokra vonatkozóan. Ez ugyanaz az információ, amelyet minden webböngésző vagy levelezőszerver már amúgy is megkap. Nem végeztünk portszkennerést, nem teszteltük a belső rendszereket, nem kíséreltünk meg semmilyen hozzáférést, és egynél több szokásos kérést sem küldtünk. Ez egy alapvető külső higiéniai pillanatkép, nem behatolásvizsgálat vagy teljes körű biztonsági értékelés, és nem von le következtetéseket egyetlen vállalat belső biztonságáról sem. Azok a vállalatok, amelyek blokkolták az automatizált hozzáférést, ki lettek zárva az összes százalékos számításból.
Felkészül a NIS2-re?
Tekintse meg, mely megfelelőségi eszközök segítenek teljesíteni a NIS2 által előírt biztonsági intézkedéseket, és ellenőrizze, hogy szervezete a hatálya alá esik-e.
NIS2 eszközök összehasonlítása →Újságíróknak
A módszertan és az ellenőrzésenkénti összesített adatok ellenőrzés céljából kérésre rendelkezésre állnak. Nem tesszük közzé, hogy mely egyedi vállalatok buktak meg. Kapcsolat: [email protected]
Ez a jelentés egy független, külső adattanulmány, nem biztonsági értékelés vagy vád egyetlen nevesített vállalattal szemben sem.