Penilaian Keselamatan Siber Perniagaan: Garis Dasar Praktikal untuk PKS Tanpa Pasukan Keselamatan
TechFix menjalankan penilaian keselamatan siber untuk PKS di Malaysia yang merangkumi identiti dan Microsoft 365, sampel endpoint, rangkaian, dasar dan pemulihan. Hasilnya ialah pelan tindakan berkeutamaan secara bertulis. Skop dipersetujui secara bertulis sebelum kerja bermula. Ia bukan sijil, bukan ujian penembusan dan bukan nasihat undang-undang.
- Skop kerja dipersetujui secara bertulis.
- Kos disahkan sebelum kerja bermula.
- Terma sokongan mengikut sebut harga atau kontrak.
Adakah penilaian ini sesuai untuk PKS anda, dan bila ia tidak mencukupi?
Penilaian ini sesuai untuk PKS yang tiada pasukan keselamatan khusus dan ingin tahu di mana jurang kawalan yang paling penting, kemudian mendapat senarai tindakan yang boleh dilaksanakan. Pengurus operasi, pengurus IT dan lembaga pengarah yang memerlukan garis dasar berkeutamaan adalah pembaca sasaran.
Namun ia tidak mencukupi untuk semua keperluan jaminan. Jika pelanggan, pengawal selia atau juruaudit anda meminta ujian penembusan, pensijilan atau pendapat undang-undang, itu memerlukan kerja pakar yang berlainan. Kami akan memberitahu anda dengan jelas jika keperluan anda melebihi skop ini dan merujuk kepada pakar yang sesuai.
Apa yang disemak pada Microsoft 365 dan identiti?
Banyak insiden di PKS bermula dengan akaun e-mel yang dirampas. Oleh itu, semakan tenant Microsoft 365 anda, dengan kebenaran, tertumpu pada risiko identiti dan kolaborasi yang paling praktikal: adakah pengesahan berbilang faktor dikuatkuasakan, berapa ramai pentadbir mempunyai hak istimewa dan adakah akaun lama masih aktif.
Perkongsian luaran melalui OneDrive dan SharePoint turut disemak, kerana pautan perkongsian yang dibiarkan terbuka menjadi sumber kebocoran maklumat yang senyap. Perlindungan e-mel dan kawalan pemulihan dilihat bersama supaya gambaran keseluruhan jelas.
- MFA dan pentadbir berhak istimewa
- Perkongsian luaran serta OneDrive dan SharePoint
- Perlindungan e-mel dan kawalan pemulihan
Semakan endpoint: sampel laptop dan desktop yang dibenarkan
Sampel peranti yang mewakili dan dibenarkan digunakan untuk mengenal pasti jurang kawalan endpoint. Kami melihat sama ada peranti disulitkan, sama ada kemas kini sistem dipasang, sama ada antivirus atau EDR aktif dan sama ada pengguna biasa mempunyai hak pentadbir tempatan yang tidak perlu.
Skrin yang dikunci secara automatik kedengaran remeh, tetapi ia antara kawalan paling murah yang mengurangkan risiko peranti hilang atau ditinggalkan. Dapatan sampel menunjukkan corak dan bukan setiap peranti; perluasan ke seluruh armada ialah langkah berasingan.
Rangkaian, kerja jauh dan kitaran hayat pekerja
Kawalan sambungan dinilai bersama identiti dan peranti: firewall, Wi-Fi, VPN dan akses jauh, segmentasi dan akses pentadbiran. Pekerja yang bekerja dari rumah atau kafe menambah pendedahan risiko, jadi cara mereka menyambung ke sistem syarikat penting.
Kami turut menyemak proses pekerja masuk, bertukar peranan dan berhenti. Kelulusan akses, perubahan lesen dan peranan, serta pemansuhan akses dan pemulangan aset semasa pekerja berhenti perlu mempunyai pencetus dan bukti. Dalam banyak syarikat, akaun bekas pekerja sering kekal aktif berbulan-bulan kerana tiada sesiapa diberi tugas itu.
Dasar, bukti dan rekod pemulihan
Dapatan bergantung pada bukti yang dibekalkan dan bukan andaian. Bukti konfigurasi, dasar dan pemilik yang dinamakan, serta rekod sandaran, pemulihan dan kesediaan insiden dikumpulkan melalui senarai semak. Jika bukti tiada, ia dicatat sebagai jurang dan bukan dianggap wujud.
Kebolehan memulihkan selepas insiden sering diabaikan sehingga ia diperlukan. Sandaran yang tidak pernah diuji pemulihannya tidak memberi jaminan sebenar, jadi ujian pemulihan diminta sebagai sebahagian daripada bukti.
Apa yang anda terima selepas penilaian?
Pemerhatian ditukar menjadi langkah seterusnya yang boleh dipertanggungjawabkan. Laporan mengandungi ringkasan eksekutif untuk pengurusan, daftar dapatan teknikal untuk pasukan IT, dan pelan tindakan yang disusun mengikut risiko, pemilik dan kebergantungan, dengan tindakan cepat yang mudah dipisahkan daripada tindakan jangka panjang.
Contoh laporan yang telah disunting boleh ditunjukkan untuk menerangkan strukturnya, tanpa sebarang dapatan yang direka. Pelaksanaan pembetulan ialah kerja berasingan yang disebut harga tersendiri supaya penilaian kekal bebas daripada jualan.
- Ringkasan eksekutif untuk pengurusan dan lembaga pengarah
- Daftar dapatan teknikal untuk pasukan IT
- Pelan tindakan berkeutamaan mengikut risiko, pemilik dan kebergantungan
- Penjelasan dapatan bersama anda sebelum laporan akhir
Bagaimana cara memulakan penilaian dan apa yang perlu anda sediakan?
Jadual mengikut skop, akses dan kesediaan bukti. Kerja bermula dengan mesyuarat permulaan dan permintaan bukti, diikuti semakan dan temu bual, kemudian draf, penjelasan dan laporan akhir. Jangan sekali-kali menghantar kata laluan melalui borang awam; akses yang diluluskan diatur dengan selamat selepas skop disahkan.
Jika tindakan pembetulan diperlukan, anda boleh memilih pelaksana sendiri, TechFix atau pakar khusus. Servis IT terurus atau pemantauan terurus hanya dicadangkan apabila ia benar-benar sesuai, dan ujian penembusan dirujuk kepada pakar apabila perlu.
- Langkah 1, permintaan: hubungi kami melalui WhatsApp dengan bilangan pengguna dan peranti
- Langkah 2, penilaian skop: kami sahkan apa yang disemak dan bukti yang diperlukan
- Langkah 3, sebut harga bertulis dan kelulusan skop
- Langkah 4, pelaksanaan: mesyuarat permulaan, semakan dan temu bual
- Langkah 5, laporan: draf, penjelasan dan laporan akhir
Kesilapan keselamatan yang paling kerap ditemui di PKS
Corak yang berulang di banyak syarikat kecil agak mudah: pengesahan berbilang faktor hanya dihidupkan untuk sebahagian pengguna, akaun pentadbir digunakan untuk kerja harian, pautan perkongsian fail tidak pernah disemak dan sandaran tidak pernah diuji pemulihannya. Tiada satu pun daripada ini memerlukan peralatan mahal untuk dibetulkan; ia memerlukan keputusan dan tanggungjawab yang jelas.
Sebab itu pelan tindakan berkeutamaan lebih bernilai daripada senarai panjang dapatan. Tiga atau empat tindakan yang benar-benar dilaksanakan dalam sebulan memberi perlindungan lebih baik daripada laporan tebal yang disimpan dalam laci.
Soalan Lazim
Adakah kami akan menerima sijil selepas penilaian?
Tidak. Hasilnya ialah garis dasar berasaskan bukti dan pelan pembetulan, bukan pensijilan atau pengesahan pematuhan.
Adakah ini sama dengan ujian penembusan?
Tidak. Penilaian ini menyemak kawalan dan konfigurasi dengan kebenaran anda, bukan cuba menceroboh sistem. Jika anda memerlukan ujian penembusan, kami akan merujuk kepada pakar yang sesuai.
Perlukah kami menghantar kata laluan?
Jangan sekali-kali. Kata laluan tidak boleh diletakkan dalam borang awam. Akses yang diluluskan diatur dengan selamat selepas skop disahkan.
Berapa lama penilaian mengambil masa?
Tempohnya bergantung pada skop, bilangan pengguna dan peranti, serta kesediaan bukti. Kerja bermula dengan mesyuarat permulaan dan permintaan bukti, diikuti semakan dan temu bual, kemudian draf, penjelasan dan laporan akhir. Jadual dipersetujui selepas skop disahkan, dan kelewatan bukti biasanya faktor terbesar.
Adakah penilaian ini memenuhi keperluan PDPA atau audit pelanggan?
Ia memberi garis dasar yang berguna, tetapi bukan pengesahan pematuhan atau pendapat undang-undang. Jika juruaudit atau pelanggan meminta dokumen tertentu, kongsikan soal selidik mereka semasa pertanyaan supaya kami dapat nyatakan sama ada skop ini mencukupi.
Berapa kos penilaian keselamatan siber ini?
Tiada harga tetap diterbitkan di halaman ini kerana kos bergantung pada skop, bilangan pengguna dan peranti, serta bukti yang perlu disemak. Sebut harga bertulis diberikan selepas skop disahkan, dan pelaksanaan pembetulan disebut harga berasingan daripada penilaian.
Adakah TechFix akan membaiki jurang yang ditemui?
Jika anda mahu. Pelaksanaan pembetulan disebut harga berasingan daripada penilaian supaya dapatan kekal bebas, dan anda bebas memilih pelaksana lain.
Berapa banyak peranti yang disemak?
Sampel yang mewakili dan dibenarkan, bukan setiap peranti. Sampel mendedahkan corak jurang; perluasan ke seluruh armada ialah langkah berasingan jika diperlukan.
Adakah penilaian ini menjamin tiada insiden akan berlaku?
Tiada penilaian yang boleh menjamin itu. Tujuannya ialah mengurangkan risiko dengan menutup jurang yang paling penting dahulu.
Minta sebut harga bertulis
Kongsi keperluan dan lokasi anda untuk penilaian skop serta sebut harga bertulis.
Perlukan bantuan IT untuk syarikat anda?
Kongsi keperluan dan lokasi anda untuk penilaian skop serta sebut harga bertulis.
Bincang Keperluan IT