Bruksela zakłada, że testujecie raz na trzy lata

Zakład o 250 milionów dolarów, że testowanie nie jest wydarzeniem

Snehal Antani, który założył Horizon3 w 2019 roku wraz z Anthonym Pillitiere po tym, jak obaj pracowali w Joint Special Operations Command, opisał ten kamień milowy raczej w kategoriach zasłużonego przyzwolenia niż technologii. Firma wymyśliła pojęcie hakerów opartych na sztucznej inteligencji, powiedział, i przez sześć lat zapracowywała na prawo do samodzielnego testowania najbardziej krytycznych sieci. Trzeciego sierpnia spółka ogłosiła rundę serii E na 250 milionów dolarów przy wycenie powyżej 2 miliardów dolarów, poprowadzoną wspólnie przez dotychczasowych inwestorów NightDragon i NEA, z wejściem Acrew, Blue Cloud Ventures, EDBI, Demeter Group, PSG, SAIC i Sapphire, obok istniejących udziałowców takich jak Craft Ventures, Prosperity7 Ventures, Qualcomm Ventures, Ridge Ventures i SignalFire.

Liczby stojące za rundą opisują kategorię wycenianą na nowo, a nie jedynie dobrze radzącą sobie spółkę. Horizon3 podaje powtarzalne przychody roczne bliskie 100 milionów dolarów przy wzroście o 120 procent rok do roku, ponad 7000 chronionych organizacji, czterech klientów z listy Fortune 10 oraz 310 000 testów wykonanych wewnątrz działających środowisk produkcyjnych. Dave DeWalt, założyciel NightDragon i wcześniej szef FireEye oraz McAfee, wchodzi do rady wraz z dyrektorem zarządzającym NightDragon Morganem Kyaukiem. Spółka otworzyła w czerwcu biuro w Amsterdamie i rozszerza działalność na Australię i Singapur.

Czego prawo europejskie naprawdę wymaga i jak często

Rozporządzenie o operacyjnej odporności cyfrowej wyznacza rytm właśnie tym podmiotom, które najpewniej kupią ten produkt. Artykuły 26 i 27 wymagają od wyznaczonych podmiotów finansowych przeprowadzania zaawansowanych testów odporności w formie testów penetracyjnych opartych na zagrożeniach co najmniej raz na trzy lata. Objęte są wyłącznie podmioty uznane za istotne i dysponujące dostatecznie dojrzałymi systemami, a standardy opracowano zgodnie z ramami TIBER-EU, zaktualizowanymi 11 lutego 2025 roku, by odpowiadały regulacyjnym standardom technicznym przyjętym na podstawie DORA.

Dwie rzeczy warto ustalić przed jakąkolwiek rozmową o budżecie. Po pierwsze, podmioty finansowe podlegają DORA, a nie NIS2, ponieważ artykuł 4 NIS2 ustępuje przed reżimem bardziej szczegółowym, a firmy regularnie planują według niewłaściwego tekstu. Po drugie, rytm ten jest dolną granicą, a nie celem. DORA stosuje się od stycznia 2025 roku, więc cykl trzyletni umieszcza pierwszy pełny test oparty na zagrożeniach około stycznia 2028 roku dla podmiotów objętych od początku, czyli za mniej więcej osiemnaście miesięcy. Wielka Brytania prowadzi dla dużych instytucji własny program oparty na zagrożeniach o porównywalnej filozofii.

Dokument i zabezpieczenie rozjeżdżają się

Oto napięcie, które ta runda obnaża. Test penetracyjny oparty na zagrożeniach jest sterowany wywiadem, prowadzony przez doświadczonych ludzi wobec wyznaczonego celu i wytwarza dokument zadowalający organ nadzoru. Ciągłe testowanie zautomatyzowane wytwarza coś innego: kroczący pomiar możliwej do wykorzystania ekspozycji. Matt Hartley, dyrektor handlowy Horizon3, twierdzi, że konwencjonalne zlecenie bada raz w roku jedynie dwa lub trzy procent sieci, podczas gdy platforma autonomiczna potrafi objąć cały majątek w sposób ciągły bez zatrzymywania produkcji. To ujęcie dostawcy dotyczące własnej przewagi i tak należy je czytać, ale leżąca u podstaw obserwacja o próbkowaniu nie budzi sporu wśród tych, którzy takie testy zamawiają.

Uczciwą przeciwwagą jest to, że automatyzacja nie zastępuje tego, co czyni test oparty na zagrożeniach wartościowym. Takie testy opierają się na wiedzy o tym, kto wiarygodnie zaatakowałby właśnie tę instytucję i w jaki sposób, a dobry zespół atakujący wymyśla ścieżki, których żaden skaner nie wylicza. Nie są to substytuty, a kto rozwiązuje swój ludzki zespół, bo kupił platformę autonomiczną, źle zrozumiał obie rzeczy. Naprawdę zmienia się znaczenie trzyletniego zaświadczenia. Zdanie testu w 2028 roku mówi, że majątek wytrzymał ograniczony, sterowany wywiadem atak w określonych dniach. Nie mówi nic o tysiącu dni po obu stronach, a rynek właśnie postawił 250 milionów dolarów za poglądem, że właśnie tam mieszka ekspozycja.

Co zmienić w następnym cyklu testów

Zacznijcie od zapisania, który reżim was wiąże i w jakiej dacie przypada następny test oparty na zagrożeniach. Brzmi to elementarnie i jest krokiem najczęściej pomijanym, bo odpowiedzialność za odpowiedź zwykle zawisa pomiędzy funkcją zgodności, która zna termin, a funkcją bezpieczeństwa, która zna majątek. Jeśli wasza instytucja jest objęta, a DORA stosuje się do was od stycznia 2025 roku, liczcie wstecz od początku 2028 roku i pamiętajcie, że wyznaczanie zakresu oraz prace wywiadowcze zaczynają się wiele miesięcy przed samym testem.

Następnie traktujcie obie czynności jako odrębne pozycje o odrębnych celach. Test regulowany to dostawa z datą, zakresem uzgodnionym z nadzorem i fazą wywiadowczą, i należy go budżetować jak projekt. Testowanie ciągłe jest zabezpieczeniem operacyjnym, a pytanie do dostawcy nie brzmi, ile ustaleń wytwarza, lecz jak szybko nowo wystawiony zasób pojawia się w jego wynikach i jak zachowuje się wobec działającej produkcji. Poproście także o historię awarii, a nie tylko o liczbę testów bez zakłóceń. Platforma, która wykonała setki tysięcy testów produkcyjnych, ma historię bezpieczeństwa zasługującą na szczegółowe zbadanie, zanim dotknie waszego rdzenia bankowego.

Czytaj dalej: 45 601 luk, a naprawdę używanych jest 171  |  Jedna wiadomość sięgnęła kluczy SSH