IT saugumo auditas padeda įvertinti organizacijos saugumo būklę pagal iš anksto suderintus kriterijus. Tikriname sutartas technines ir organizacines priemones, dokumentuojame radinius bei jų svarbą. Rezultatas – suprantama ataskaita ir prioritetinis gerinimo planas, o ne vien automatinio skenavimo išvestis.Aptarti IT saugumo vertinimąPeržiūrėti paslaugos informaciją
IŠSAMI PASLAUGOS PATIKRA
Nuosekliai įvertinkite vertinimo apimtį, įrodymus ir radinių valdymą. Pateikę el. paštą matysite atsakymais pagrįstą sričių apžvalgą, prioritetus ir veiksmus; PDF bus išsiųstas tuo adresu. Tai nėra nepriklausomo audito išvada.
Organizacijoms, kurioms reikia pagal apibrėžtus kriterijus įvertinti saugumo būklę ir pasirinkti tobulinimo prioritetus.
Nurodykite audito paskirtį, vertinamas sistemas, taikomus kriterijus ir asmenis, galinčius pateikti reikalingus įrodymus.
Gaunate pagrįstus radinius, vadovybei skirtą santrauką, vertinimo ribas ir prioritetinį rekomendacijų planą.
IT saugumo auditas – sistemingas įrodymų vertinimas pagal sutartus saugumo kriterijus. Techninis vertinimas, ISO/IEC 27001 vidaus auditas ir teisės aktų reikalaujamas nepriklausomas auditas nėra tapatūs. Prieš užsakymą būtina apibrėžti vertinimo paskirtį, kriterijus, kompetenciją ir nešališkumo sąlygas.
Audito tikslas lemia, ką tikrinsime ir kokio rezultato reikia. Vadovybei gali būti svarbus pradinis rizikų vaizdas bei investicijų prioritetai, o IT komandai – konkrečių prieigų, konfigūracijų ar procesų įvertinimas. Prieš siūlydami apimtį prašome nurodyti, kokį sprendimą turės padėti priimti ataskaita ir kas ja naudosis.
Vidinis auditas, techninė patikra ir išorės institucijai teikiamas privalomas vertinimas nėra tapatūs darbai. Jei ataskaitos reikia konkrečiam teisiniam, sutartiniam ar sertifikavimo tikslui, pirmiausia patikriname reikalavimus vertintojui, metodui ir nepriklausomumui. Taip paaiškėja, ar siūloma paslauga tinka paskirčiai, dar prieš renkant duomenis.
Kiekvienai vertinamai sričiai parenkame kriterijų ir įrodymą, pagal kurį spręsime apie būklę. Kriterijumi gali būti kliento patvirtinta tvarka, konkretus sutartas saugumo reikalavimas ar pasirinktų standarto nuostatų apimtis. Vien nuoroda į ISO/IEC 27001 nereiškia, kad patikrinome visą organizacijos atitiktį standartui.
Apimtį ir imtį įvardijame ataskaitoje: kurie padaliniai, sistemos, laikotarpis ir dokumentai įvertinti, o kurie liko už ribų. Kai duomenys neprieinami, pažymime vertinimo ribojimą, užuot prielaidą pateikę kaip patvirtintą išvadą. Žemiau pateiktos sritys yra galimi apimties elementai, o ne automatiškai visiems vienodas audito paketas.
| Objektas | Kriterijus | Metodas | Imtis | Ribojimas |
|---|---|---|---|---|
| Prieigų valdymas | Patvirtintos pareigos ir teisių suteikimo tvarka | Paskyrų bei patvirtinimų sutikrinimas | Pasirinktos sistemos ir paskyros | Neapima neperduotų sistemų |
| Atnaujinimai | Organizacijos nustatyti palaikymo reikalavimai | Versijų, nustatymų ir darbų įrašų peržiūra | Inventoriuje atrinkti komponentai | Vertinama patikros metu matoma būklė |
| Kopijos ir atkūrimas | Patvirtinti duomenų apsaugos bei atkūrimo poreikiai | Konfigūracijų ir bandymų įrodymų peržiūra | Pasirinkti kopijavimo darbai | Atkūrimo bandymas turi būti atskirai įtrauktas |
| Procesai | Kliento patvirtintos saugumo taisyklės | Dokumentų peržiūra ir pokalbiai | Nurodytas laikotarpis bei atsakingi asmenys | Vien dokumentas nepatvirtina praktinio taikymo |
ISO/IEC 27001 aprašo informacijos saugumo vadybos sistemos reikalavimus; jo taikymas konkrečiam vertinimui turi būti numatytas sutartoje apimtyje.
Duomenis renkame iš dokumentų, atsakingų darbuotojų paaiškinimų, sistemų konfigūracijų ir leistinų techninių patikrų. Skirtingus šaltinius sutikriname: pavyzdžiui, nustatyta paskyrų uždarymo tvarka turi atsispindėti pasirinktuose realiuose įrašuose. Automatinio įrankio signalą vertiname kartu su aplinkos kontekstu; jo neperkeliame į išvadą vien dėl įspėjimo spalvos.
Techninius veiksmus apibrėžiame iš anksto, ypač jei jie gali paveikti veikiančias sistemas. Nurodome atsakingą kontaktą, saugias prieigas, duomenų perdavimo ir įrodymų saugojimo tvarką. Ataskaitoje naudojame tik išvadai pagrįsti reikalingą informaciją, o jautrius techninius įrodymus perduodame ribotos prieigos kanalu.
Audito pobūdį deriname su reikalinga kompetencija ir galimu interesų konfliktu. Jei vertinama aplinka, kurią patys diegėme ar administruojame, tai aiškiai atskleidžiame. Tokia peržiūra gali padėti klientui taisyti trūkumus, tačiau jos negalima pristatyti kaip automatiškai nepriklausomo išorės patvirtinimo.
Vidaus auditoriaus kvalifikacija savaime nesuteikia sertifikavimo įstaigos statuso ar teisės atlikti kiekvieną specialiai reglamentuojamą vertinimą. Jei užsakymo sąlygos reikalauja konkretaus pažymėjimo, registracijos ar nepriklausomumo įrodymo, tinkamumą patikriname prieš priimdami tokios apimties darbą.
Ataskaitos pradžioje pateikiame vadovybei suprantamą santrauką: kokios sritys vertintos, kurie trūkumai svarbiausi ir kokie sprendimai reikalingi. Techninėje dalyje radinį susiejame su kriterijumi, objektu, įrodymu ir galimu poveikiu. Rekomendacija turi paaiškinti taisymo kryptį, kad atsakingas darbuotojas galėtų pradėti planuoti veiksmus.
Prioritetus nustatome atsižvelgdami į poveikį ir konkrečias aplinkos sąlygas, o ne vien į bendrą grėsmės pavadinimą. Atskirai pažymime nepatikrintas prielaidas ir vertinimo ribojimus. Su kliento atstovais aptariame faktinį tikslumą.
Kiekviename etape apibrėžiame darbus, jūsų indėlį ir patikrinamą rezultatą.
01
Išsiaiškiname, kam bus naudojama ataskaita ir kokių reikalavimų ji turi atitikti. Patikriname kompetencijos bei nešališkumo sąlygas ir įvardijame galimus interesų konfliktus.
02
Su klientu nustatome vertinamus objektus, kriterijus, imtį ir leidžiamus metodus. Rezultatas – aiški apimtis su atsakingais kontaktais ir duomenų prieigos sąlygomis.
03
Peržiūrime dokumentus, apklausiame atsakingus asmenis ir atliekame numatytas patikras. Įrodymus susiejame su kriterijais, o neprieinamus duomenis užfiksuojame kaip ribojimus.
04
Su kliento atstovais sutikriname radinių faktus ir jų veiklos kontekstą. Patiksliname klaidingas prielaidas, atskirdami įrodytą trūkumą nuo dar nepatvirtinto signalo.
05
Perduodame išvadas, prioritetus ir rekomenduojamą taisymo kryptį. Aptarime klientas gali paskirti atsakingus asmenis ir nuspręsti, kuriems radiniams reikės pakartotinės patikros.
Auditas pateikia išvadą apie apibrėžtą apimtį ir vertinimo metu surinktus įrodymus. Jis nepatvirtina, kad organizacijoje nėra kitų pažeidžiamumų ar kad ateityje neįvyks incidentų. Neįtrauktos sistemos, ribota imtis ir neprieinami duomenys lieka aiškiai matomos išvados ribos.
Ši paslauga nėra ISO sertifikato išdavimas. Audito rekomendacijų įgyvendinimas, platesnis įsiskverbimo testavimas ar pakartotinis vertinimas taip pat nėra savaime įtraukti darbai: jų objektus, metodus ir tikrinamą rezultatą reikia nurodyti atskirai. Tai leidžia klientui atskirti būklės įvertinimą nuo vėlesnio taisymo projekto.
Perduodame ataskaitą, radinių sąrašą ir prioritetinį rekomendacijų planą. Aptarimo metu išsiaiškiname, kuriems veiksmams reikia techninio specialisto, proceso savininko ar vadovybės sprendimo. Klientas paskiria vykdytojus ir terminus pagal savo veiklos galimybes.
Kiekvienam taisomam radiniui galime apibrėžti uždarymo įrodymą: pakeistą konfigūraciją, veikiantį kontrolės procesą ar pakartotinės patikros rezultatą. Vėlesnė patikra turi aiškią apimtį ir nereiškia, kad vieno radinio uždarymas automatiškai patvirtina visos organizacijos atitiktį.
Pasirinktoje paskyrų imtyje randama prieiga, kurios nebereikia pasikeitus darbuotojo pareigoms. Radinyje būtų nurodyta tikrinta sistema, patvirtintos pareigos, faktinės teisės ir kriterijus, su kuriuo jos nesutampa. Rekomendacija apimtų konkrečios prieigos peržiūrą ir spragos darbuotojų pokyčių procese pašalinimą.
Tai demonstracinis radinio pavyzdys, o ne mūsų kliento audito rezultatas. Jo prioritetas realioje aplinkoje priklausytų nuo pasiekiamų duomenų ir galimų veiksmų, todėl iš anksto jam nepriskiriame universalaus rizikos balo.
| Veiksnys | Kodėl svarbu | Kokios informacijos reikės |
|---|---|---|
| Apimtis ir kriterijai | Vertinimo tikslas lemia metodus bei ataskaitos apimtį. | Tikslas, kriterijai ir išoriniai reikalavimai. |
| Sistemos ir lokacijos | Objektų skaičius bei imtis keičia patikros apimtį. | Vertinamų sistemų ir lokacijų sąrašas. |
| Įrodymų prieinamumas | Dokumentai ir reikalingi metodai veikia darbo trukmę. | Turima dokumentacija ir techninių patikrų ribos. |
Pasirinkite paslaugą pagal konkretaus darbo apimtį.
Patikrinti konkrečią svetainę ir pašalinti sutartus patvirtintus pažeidžiamumus.
Nuolat stebėti saugumo įvykius ir eskaluoti reikšmingus įspėjimus pagal sutartą tvarką.
Suprojektuoti ir įdiegti naują arba atnaujintą įmonės infrastruktūrą.
APTARKIME
Nurodykite vertinimo tikslą, sistemas ir tai, kam bus naudojama ataskaita. Patikrinsime tinkamą apimtį, kriterijus bei kompetencijos ir nepriklausomumo poreikį.
