Rynek usług zarządzanego bezpieczeństwa zmienia się błyskawicznie. Klienci oczekują więcej większej widoczności, szybszej reakcji, jaśniejszych dowodów dla swoich ubezpieczycieli a MSP mają to wszystko zapewnić bez zatrudniania armii analityków. Oto jak ARRAC zmienia to równanie.
Na rynku zarządzanego bezpieczeństwa istnieje luka, o której nikt nie mówi wprost, ale którą czuje każdy MSP. Klienci chcą efektów bezpieczeństwa na poziomie enterprise. Chcą błyskawicznej reakcji na incydenty, dowodów zgodności, ciągłego monitorowania i kogoś, kto wyjaśni ich stan zabezpieczeń ubezpieczycielowi cyber. To, ile są gotowi zapłacić, rzadko pokrywa koszt ludzi potrzebnych do dostarczenia takiej usługi.
Zatrudnienie dedykowanego analityka SOC kosztuje od 237 910 zł do 343 645 zł rocznie przed kosztami pracodawcy a jeden analityk nie obsłuży 24 godzin na dobę, siedem dni w tygodniu. Prawidłowo obsadzone centrum operacji bezpieczeństwa, nawet minimalne, wymaga kilku osób pracujących w systemie zmianowym. Dla większości MSP zarządzających portfelem klientów z sektora MŚP tego kosztu nie da się przenieść na ceny za klienta, jakie akceptuje rynek.
Efektem jest pragmatyczny kompromis, na który po cichu godzi się większość MSP. Monitorujesz tyle, ile możesz, reagujesz, kiedy możesz, i liczysz, że przeoczone alerty nie były tymi ważnymi. Działa to do czasu.
„Jeden analityk nie zmonitoruje 12 tenantów klientów jednocześnie o 3 nad ranem we wtorek. Autonomiczna platforma tak.”
ARRAC łączy się z tenantem Microsoft 365 klienta przez standardowy przepływ zgody administratora ten sam typ nadania OAuth, z którego Twoi klienci korzystają, dodając dowolną aplikację biznesową do swojego środowiska. Po połączeniu ARRAC w sposób ciągły odczytuje sygnały z Entra ID, Exchange Online, Microsoft Defender, Purview i Azure ARM. Robi to dla każdego podłączonego tenanta jednocześnie, o każdej porze, bez wahań uwagi i jakości.
Platforma nie jest agregatorem alertów, który podsyła Ci kolejne rzeczy do przejrzenia. To silnik dochodzeniowy. Gdy dzieje się coś nietypowego podejrzane logowanie, nietypowa zgoda na aplikację OAuth, wzorzec zachowań pasujący do znanych technik ataku ARRAC to bada. Pobiera skorelowane sygnały, mapuje je na techniki MITRE ATT&CK, ocenia pewność i albo rekomenduje działanie, albo je wykonuje w zależności od tego, jaki poziom autonomii skonfigurował klient.
Zanim alert dotrze do analityka, nie jest już surową telemetrią. To ustrukturyzowane ustalenie: co się wydarzyło, co to oznacza, co zostało zrobione i co nadal wymaga decyzji człowieka. To zupełnie inne obciążenie pracą niż obserwowanie strumienia zdarzeń i decydowanie, które z nich mają znaczenie.
MSP korzystają z ARRAC przez dedykowaną konsolę partnerską ujednolicony widok wszystkich zarządzanych tenantów klientów. Z jednego interfejsu widzisz stan zabezpieczeń każdego klienta, aktywne incydenty w całym portfelu, działania powstrzymujące, które zostały wykonane lub czekają na weryfikację, oraz status zgodności z CIS, Cyber Essentials Plus i ISO 27001.
Każdy klient w konsoli ma niezależny zakres. Widzisz dane swoich klientów; nie widzisz klientów innego MSP. Dane bezpieczeństwa klientów są całkowicie odizolowane na poziomie infrastruktury to nie tylko filtr w interfejsie, ale granica danych po stronie serwera. Ma to znaczenie zarówno dla zgodności z przepisami o ochronie danych, jak i dla rozmów z klientami, którzy pytają, jak przetwarzane są ich informacje.
ARRAC działa w oparciu o model stopniowanej autonomii. Każdy tenant klienta jest skonfigurowany na jednym z czterech poziomów:
Jako MSP konfigurujesz poziom autonomii dla każdego klienta i robisz to za jego wyraźną zgodą oraz przy jego zrozumieniu, co oznacza każdy poziom. Konfiguracja powinna odzwierciedlać apetyt na ryzyko danego klienta, a nie tylko to, co jest operacyjnie wygodne dla Twojego zespołu.
Praktyczny efekt dla portfela MSP jest taki, że możesz prowadzić klientów na różnych poziomach w zależności od ich dojrzałości, gotowości na autonomiczne działania i wrażliwości ich środowiska. Firma usług profesjonalnych przetwarzająca wrażliwe dane klientów może pozostać na poziomie 2. Firma logistyczna, która doświadczyła już incydentów i rozumie platformę, może działać na poziomie 3. Ty zarządzasz polityką; ARRAC ją wykonuje.
Jedną z praktycznych zmian na rynku MŚP w ostatnich dwóch latach jest rola, jaką w rozmowach o bezpieczeństwie odgrywa ubezpieczenie cyber. Ubezpieczyciele zadają przy odnowieniu coraz trudniejsze pytania. Klienci otrzymują ankiety dotyczące pokrycia MFA, zarządzania kontami uprzywilejowanymi, zdolności reagowania na incydenty i zarządzania podatnościami. Niektórzy przekonują się, że ich składki rosną albo zakres ochrony się zawęża, bo nie potrafią wykazać odpowiednich zabezpieczeń.
Moduł vCISO w ARRAC odpowiada na to wprost. Generuje raporty gotowości ubezpieczeniowej oceny zabezpieczeń, którym ubezpieczyciele zwykle się przyglądają, przedstawione w formacie, który można przekazać ubezpieczycielowi lub brokerowi. Utrzymuje repozytorium dowodów: niezmienialny zapis ocen bezpieczeństwa, ustaleń i podjętych działań. Gdy klient musi wykazać, że wykrył konkretny incydent i na niego zareagował, dziennik audytu istnieje i nie da się go zmienić.
Dla MSP tworzy to wymierny wyróżnik. Możesz porozmawiać z potencjalnym klientem o tym, czego oczekuje jego obecny ubezpieczyciel, i pokazać dokładnie, jak ARRAC spełnia te wymagania. To zupełnie inna rozmowa handlowa niż wyliczanie funkcji.
Warto jasno powiedzieć, gdzie są granice. ARRAC nie zastępuje zespołu bezpieczeństwa jest jego mnożnikiem siły. Przejmuje ciągłą, wysokowolumenową pracę w tempie maszynowym, której ludzie nie są w stanie utrzymać: monitorowanie każdego zdarzenia logowania, jednoczesne korelowanie telemetrii z tożsamości, poczty i chmury, wykonywanie powstrzymania w ciągu sekund od wykrycia o 3 nad ranem w niedzielę.
Czego nie robi: nie podejmuje decyzji wymagających znajomości kontekstu biznesowego, nie prowadzi relacji z klientami, nie przeprowadza analiz śledczych złożonych incydentów, nie udziela porad prawnych ani regulacyjnych i nie zastępuje wiedzy, którą doświadczony inżynier bezpieczeństwa wnosi w decyzje architektoniczne. To pozostaje pracą człowieka.
Najwięcej z ARRAC wyciągają ci MSP, którzy jasno to rozumieją którzy wykorzystują platformę do nadzoru i wstępnej reakcji, uwalniając swoich doświadczonych ludzi do dochodzeń, rozmów z klientami i projektów strategicznych, które naprawdę wymagają ludzkiej ekspertyzy.
ARRAC rozlicza MSP hurtowo, w modelu za tenanta. Relacja handlowa łączy ARRAC i MSP ceny dla Twoich klientów to wyłącznie Twoja decyzja. Wszystkie dziesięć modułów platformy w tym ochrona punktów końcowych Windows jest zawartych dla każdego podłączonego tenanta. Nie ma licencjonowania per moduł ani blokowania funkcji każdy klient dostaje pełną platformę.
Jeśli oceniasz ARRAC dla swojej praktyki MSP, najlepszym punktem startu jest podłączenie jednego testowego tenanta i wykonanie prawdziwego skanowania. Platforma staje się bardzo szybko namacalna, gdy widzisz, co znajduje w realnym środowisku Microsoft 365, a nie w środowisku demonstracyjnym ze starannie dobranymi danymi.
Podłącz testowy tenant i uruchom prawdziwe skanowanie. Żadnych ustawianych dem.