Säkerhet

Säkerhet på webben är sällan ett projekt. Det är underhåll som antingen görs löpande eller inte alls.

De allra flesta intrång utnyttjar kända sårbarheter i komponenter som inte uppdaterats. Inte avancerade attacker – bara en modul som legat opatchad i ett halvår.

Vad vi gör

• Övervakning av att sajten svarar och fungerar som den ska
• Kritiska säkerhetsuppdateringar när de släpps – Drupal-kärnan, moduler, PHP-paket och de beroenden som följer med
• Supportavtal med SLA, så att det finns en överenskommen svarstid i stället för en förhoppning
• Backuper, och rutiner för att faktiskt kunna återställa från dem

Allt det här ingår i vår support och förvaltning. Säkerhet går inte att köpa som en engångsinsats – den som gör det har en säker webbplats en dag och en osäker resten av året.

Vad vi inte gör

Penetrationstester och formella säkerhetsgranskningar. Behöver ni det tar vi in någon som gör det på heltid – det är ett eget yrke, och vi är bättre på att åtgärda det de hittar än på att leta själva.

När något händer

Vi har kort inställelsetid och backuper att återgå till. Men en incident går inte att lösa efter mall: vad som ska göras beror på vad som faktiskt hänt, vad som kommits åt och vad som måste vara igång först.

Det vi kan lova är att någon svarar, snabbt, och att den som svarar känner er lösning sedan tidigare. Det är skillnaden mellan att ringa sin leverantör och att ringa en jourtjänst som aldrig sett er kod.

Det som brukar glömmas

• Beroenden i frontend, som uppdateras mer sällan än serverkoden
• Gamla administratörskonton som ingen stängt av
• Testmiljöer som ligger öppna med produktionsdata i sig
• Integrationer som fortsätter att hämta data långt efter att någon slutat använda dem