Il nostro approccio alla gestione degli imprevisti di sicurezza
Il nostro approccio alla gestione degli imprevisti di sicurezza
Atlassian dispone di una serie completa di misure di sicurezza per garantire la protezione delle informazioni dei clienti e offrire i servizi più affidabili e sicuri possibili. Tuttavia, siamo anche consapevoli del fatto che gli imprevisti di sicurezza possono accadere e, di fatto, accadono ancora. Quindi, è altrettanto importante disporre di metodi efficaci per gestirli nel caso in cui dovessero presentarsi.
Di conseguenza, abbiamo un approccio definito in modo chiaro per rispondere agli imprevisti di sicurezza che interessano i nostri servizi o la nostra infrastruttura. Il nostro approccio di risposta agli imprevisti include la registrazione e il monitoraggio completi dei nostri prodotti e della nostra infrastruttura per avere la certezza di rilevare rapidamente i potenziali imprevisti, con il sostegno di processi attentamente definiti che assicurano informazioni chiare sulle azioni da intraprendere in tutte le fasi di un imprevisto. Tale approccio è supportato da un team di responsabili degli imprevisti su chiamata altamente qualificati che dispongono di una notevole esperienza nel coordinamento di una risposta efficace. Abbiamo anche accesso a una serie di esperti esterni che ci assistono nell'indagine e nella risposta nel modo più efficace possibile. Abbiamo strutturato il nostro approccio alla gestione degli imprevisti sulla base delle indicazioni fornite dalla Computer Security Incident Handling Guide NIST 800-61 e cataloghiamo i nostri imprevisti in base al framework Verizon VERIS.
La nostra filosofia e il nostro approccio
Consideriamo come imprevisto di sicurezza qualsiasi istanza in cui vi sia un impatto negativo esistente o imminente sulla riservatezza, l'integrità o la disponibilità dei dati dei nostri clienti, dei dati di Atlassian o dei servizi di Atlassian.
In passato abbiamo qualificato l'impatto con la parola "intenzionale"; questo termine è stato, tuttavia, rimosso allo scopo di includere perdite accidentali di dati e altre situazioni.
Al centro della nostra risposta agli imprevisti di sicurezza vi è il rispetto dei nostri valori, assicurandoci, in particolare, di non #@!% il cliente. Poniamo in essere i migliori processi per gestire gli imprevisti di sicurezza in modo da essere sempre in linea con i migliori interessi dei clienti e garantire che continuino ad avere un'esperienza d'uso eccellente dei nostri prodotti. A tale scopo, abbiamo sviluppato un solido processo di risposta agli imprevisti che integra diverse funzioni descritte di seguito.
Diverse opzioni per rilevare rapidamente i potenziali imprevisti
Disponiamo di diversi meccanismi di monitoraggio per rilevare errori o anomalie nei nostri prodotti e nella nostra infrastruttura che possono essere indicativi di un potenziale imprevisto di sicurezza. Questi sistemi ci avvisano immediatamente qualora venga rilevata un'attività che richiede ulteriori indagini. Disponiamo di una piattaforma di acquisizione e analisi che aggrega i log e li raccoglie in un'unica posizione, affinché i nostri analisti possano effettuare indagini rapide e approfondite, e che i nostri ingegneri responsabili dell'affidabilità del sito monitorano per assicurarsi che sia sempre disponibile. Inoltre, nella nostra applicazione di eventi e informazioni sulla sicurezza creiamo avvisi che informano proattivamente i nostri team.
Gestiamo anche canali di segnalazione esterni attraverso i quali possiamo venire a conoscenza di vulnerabilità o imprevisti, tra cui il programma Bug Bounty, il portale di assistenza clienti nonché caselle e-mail e numeri di telefono sicuri.
Un framework consolidato per la gestione degli imprevisti di sicurezza
Per garantire che il nostro processo di risposta agli imprevisti sia coerente, ripetibile ed efficiente, disponiamo di un framework interno definito in modo chiaro che illustra i passaggi da intraprendere in ogni fase del processo di risposta agli imprevisti. Abbiamo documentato dei playbook che vengono continuamente aggiornati e che definiscono in dettaglio le misure da intraprendere per rispondere efficacemente ai diversi tipi di imprevisti. A un livello generale, il nostro framework di risposta copre le seguenti situazioni:
Rilevamento e analisi degli imprevisti: le azioni che intraprendiamo dopo le notifiche iniziali che riceviamo su un potenziale imprevisto, incluso il modo in cui confermiamo se si è verificato un imprevisto di sicurezza (allo scopo di ridurre al minimo i falsi positivi), fino alla comprensione dei vettori di attacco, dell'ambito di compromissione e dell'impatto su Atlassian e sui suoi clienti.
Classificazione della gravità degli imprevisti: dopo aver compreso ciò che è successo attraverso un'adeguata analisi, utilizziamo queste informazioni per determinare la gravità dell'imprevisto. Abbiamo designato uno dei quattro livelli di gravità per un imprevisto:
| Descrizione della gravità dell'imprevisto | |
| Gravità | Descrizione |
| 0 | Imprevisto di crisi con massimo impatto |
| 1 | Imprevisto critico con un impatto molto elevato |
| 2 | Imprevisto grave con un impatto elevato |
| 3 | Imprevisto minore a basso impatto |
Per stabilire la gravità di un imprevisto, utilizziamo una serie di indicatori che variano a seconda del prodotto interessato. Una delle considerazioni, tuttavia, riguarda la presenza o meno di un'interruzione totale del servizio (e la quantificazione del numero di clienti interessati), di interruzioni delle funzionalità di base e di perdita di dati.
Contenimento, eliminazione e ripristino: considerando la gravità dell'imprevisto, determiniamo e implementiamo i passaggi necessari per contenerlo, eliminare le cause sottostanti e avviare i nostri processi di ripristino per tornare alla normale operatività nel più breve tempo possibile. Naturalmente, le azioni che dovremo intraprendere in questa fase varieranno in modo significativo a seconda della natura dell'imprevisto. Durante questa fase del processo di risposta agli imprevisti, Atlassian comunicherà con i propri clienti in merito all'imprevisto e ai suoi potenziali impatti per loro ogni qualvolta tali informazioni vadano a beneficio dei clienti o se richiesto dai nostri obblighi legali o contrattuali.
Notifica: ci adoperiamo per informare tempestivamente qualsiasi cliente qualora i suoi dati siano coinvolti in un imprevisto confermato. Le informazioni potrebbero essere di carattere generale all'inizio, ma forniremo tutti i dettagli necessari non appena questi saranno disponibili.
Solido processo di revisione post-imprevisto: dopo aver risolto ogni imprevisto, esaminiamo le lezioni che possiamo trarre da ciò che è accaduto e che possono informare lo sviluppo di soluzioni tecniche, i miglioramenti dei processi e l'introduzione di ulteriori best practice in modo da continuare a fornire un'esperienza ottimale ai clienti e ostacolare ancora di più gli attori malevoli nel loro operato.
Ruoli e responsabilità definiti in modo chiaro
Ogni imprevisto che si verifica è gestito da uno dei nostri Major Incident Manager (o MIM) altamente qualificati ed esperti. I MIM in genere prendono decisioni relative alla sicurezza, supervisionano il processo di risposta e assegnano task internamente per facilitare il processo di risposta. I MIM sono inoltre supportati da analisti degli imprevisti che dirigono le indagini e l'analisi degli imprevisti, nonché da una serie di altri ruoli che forniscono assistenza nel processo di risposta. In molti casi, qualora l'imprevisto coinvolga più località, è prevista l'assegnazione di due MIM per garantire che sia sempre presente qualcuno che abbia la responsabilità di portare avanti il nostro processo di risposta e far sì che le attività di contenimento o ripristino non siano bloccate o altrimenti interessate dalle differenze di orario.
Nel caso di imprevisti su larga scala, può capitare che un MIM di un team diverso (normalmente il Site Reliability Engineering) sia chiamato a intervenire nella gestione del processo di risposta. Sono disponibili informazioni più dettagliate sui ruoli e le responsabilità che assegniamo per la gestione degli imprevisti di sicurezza.
Accesso a esperti esterni laddove necessario
A volte, potremmo avere necessità di un esperto esterno che ci aiuti a effettuare le indagini su un imprevisto. Ci avvaliamo dei servizi di consulenti specializzati in sicurezza informatica ed esperti forensi per i casi in cui sono richieste analisi forensi approfondite o custodia giudiziale per l'e-discovery a supporto di contenziosi.
Come utilizziamo i nostri strumenti per gestire gli imprevisti di sicurezza
Utilizziamo versioni appositamente configurate di molti dei nostri prodotti per assicurarci di essere il più possibile metodici, coerenti e dinamici nella gestione degli imprevisti. Tali protezioni includono:
Confluence: utilizziamo Confluence per creare, documentare e aggiornare in modo collaborativo i nostri processi di risposta agli imprevisti da una posizione centrale, garantire che tali processi siano distribuiti a tutto il personale e possano essere aggiornati rapidamente in risposta alle informazioni acquisite dagli imprevisti passati. Utilizziamo Confluence anche per documentare le nostre strategie e ricerche.
Jira: utilizziamo Jira allo scopo di creare ticket per gestire l'indagine iniziale di imprevisti sospetti nonché per facilitare e monitorare il processo di risposta se le nostre indagini iniziali confermano che si è verificato un imprevisto. Questi ticket ci aiutano ad aggregare le informazioni relative a un imprevisto, a sviluppare risoluzioni e a eseguire altri lavori logistici (ad esempio delegare task come parte del processo di risposta e contattare altri team all'interno dell'azienda, se necessario). Utilizziamo Jira anche per monitorare le ricerche eseguite e l'esito positivo o negativo di ogni ricerca.
Bitbucket: utilizziamo Bitbucket come strumento di controllo del codice sorgente quando sviluppiamo soluzioni basate su codice per problemi specifici di casi limite che si presentano con determinati tipi di imprevisti. Le soluzioni che sviluppiamo possono quindi essere oggetto di attività interne di collaborazione e test, pur rimanendo private e facilitando iterazioni rapide, se necessario. Utilizziamo Bitbucket anche in combinazione con un piano di continuous integration/continuous delivery, distribuiamo codice per mitigare la causa di un imprevisto o contribuire al rilevamento o alla prevenzione di imprevisti futuri.
In ultima analisi, l'uso di questi strumenti ci aiuta a stabilire un framework di risposta che garantisce che gli imprevisti, quali essi siano, inizino ad avere un determinato livello di struttura e di familiarità in modo che possiamo agire il più rapidamente possibile per trovare una soluzione.
In sintesi
Atlassian adotta un approccio solido e completo alla gestione degli imprevisti di sicurezza, incentrato sull'uso degli stessi strumenti che mettiamo a disposizione dei nostri clienti. Questo ci consente di rispondere agli imprevisti con un elevato grado di coerenza, prevedibilità ed efficacia, e di ridurre al minimo i potenziali danni per i nostri clienti e partner nonché per la stessa Atlassian.
Desideri approfondire l'argomento?
Abbiamo pubblicato numerose altre risorse a cui puoi accedere per conoscere il nostro approccio alla gestione degli imprevisti di sicurezza e alla sicurezza in generale.