Daudziem uzņēmumu vadītājiem vārds „audits” asociējas ar nodokļu iestādi un nepatīkamu gaidīšanu. IT drošības audits ir citādāks: jūs to pasūtāt paši, tas ir paredzēts jums, un tā rezultāts nav sods, bet saraksts ar lietām, kuras vērts sakārtot, pirms tās atrod kāds cits.
Tomēr neziņa paliek. Kas ieradīsies, ko jautās, vai darbs apstāsies, vai mēs neatklāsim pārāk daudz, ko saņemsim beigās un vai ar to var kaut ko iesākt? Tieši šie jautājumi parasti atliek auditu uz gadu.
Šajā rakstā soli pa solim aprakstām, kā audits izskatās no pirmās sarunas līdz pārskata prezentācijai, lai jūs varētu izlemt mierīgi, nevis bailēs.
Kā tiek noteikts apjoms
Audits sākas nevis ar skenēšanu, bet ar sarunu. Pirmajā sanāksmē noskaidrojam, kāpēc audits ir vajadzīgs: klienta prasība, gatavošanās NIS2 vai DORA, aizdomas par incidentu vai jauns vadītājs, kurš vēlas zināt, ko ir mantojis. Iemesls nosaka, ko aplūkojam visuzmanīgāk.
Pēc tam nosakām apjomu: kuri biroji, serveri, mākoņpakalpojumi, tīkli, lietotnes un procesi tiek iekļauti. Nelielam uzņēmumam tā parasti ir visa IT vide. Lielākam tā ir izvēlēta daļa, piemēram, tikai Microsoft 365 vide un attālinātā piekļuve. Apjoms tiek fiksēts rakstiski, lai abas puses zinātu, kas tiek pārbaudīts un kas nē.
Vienojamies arī par piekļuvi, kontaktpersonām, termiņiem un to, ko audits nedarīs: tas netraucēs ražošanu, netestēs uzbrukumus darbiniekiem bez atsevišķas vienošanās un nemainīs konfigurācijas.
Intervijas: kāpēc auditors runā ar cilvēkiem
Dažus vadītājus pārsteidz, ka audits sākas ar sarunām, nevis rīkiem. Tas ir tāpēc, ka lielākā daļa drošības problēmu slēpjas nevis tehnoloģijā, bet tās lietošanā.
Intervijas parasti notiek ar uzņēmuma vadītāju, par IT atbildīgo personu (iekšējo vai ārējo pakalpojuma sniedzēju), finanšu vai grāmatvedības vadītāju un dažiem parastiem darbiniekiem. Jautājumi ir praktiski: kā jaunam darbiniekam piešķir piekļuvi un kas notiek, kad viņš aiziet, kur tiek glabātas paroles, kā tiek apstiprināti maksājumi, kas pieņemtu lēmumus, ja rīt serveri pārstātu darboties, un kad pēdējo reizi tika atjaunota rezerves kopija.
Intervijas ilgst no pusstundas līdz stundai, un to mērķis nav vainot kādu. Tās parāda, kur dokumenti atšķiras no realitātes. Bieža situācija: politika nosaka, ka paroles tiek mainītas reizi trīs mēnešos, bet grāmatvedībai ir kopīgs konts bankas sistēmai, kura parole ir uzrakstīta uz lipīgas lapiņas. Neviena skenēšana to neuzrādīs.
Tehniskā izvērtēšana: ko mēs pārbaudām
Šo daļu klienti parasti iedomājas. Tai ir trīs jomas.
Ievainojamības
Tiek skenēti serveri, darbstacijas, tīkla iekārtas un publiski pieejamas sistēmas: tīmekļa vietnes, VPN vārtejas, attālā darba portāli. Meklējam neielāpotu programmatūru, zināmas ievainojamības un atvērtus pakalpojumus, kuriem nevajadzētu būt redzamiem no interneta. Skenēšana tiek saskaņota iepriekš un notiek brīdī, kad tā netraucē darbam.
Konfigurācijas
Sistēmu iestatījumi tiek salīdzināti ar labo praksi: Microsoft 365 un Entra ID drošības iestatījumi, daudzfaktoru autentifikācija, e-pasta aizsardzība pret viltošanu, ugunsmūra noteikumi, tīkla segmentācija, galapunktu aizsardzības politikas, kā arī rezerves kopēšanas konfigurācija un tās nošķirtība no tīkla. Tieši šeit parasti atrodami visvairāk ātri labojamu trūkumu.
Piekļuve
Pārbaudām, kam kāda piekļuve ir un vai tā ir pamatota: administratoru konti un to skaits, bijušo darbinieku konti, kopīgie konti, ārējo piegādātāju piekļuve un privileģētas tiesības grāmatvedības un citās sistēmās. Mūsu praksē gandrīz katrā auditā tiek atrasts vismaz viens aktīvs konts cilvēkam, kurš uzņēmumā vairs nestrādā.
Dokumentu pārbaude
Auditors pieprasa esošos dokumentus: drošības politikas, incidentu rīcības kārtību, rezerves kopēšanas un atjaunošanas plānu, piegādātāju līgumus un apmācību uzskaiti. Ja dokumentu nav, tā nav neveiksme, tas ir vienkārši punkts pārskatā. Ja tie ir, pārbaudām, vai tie atbilst realitātei, ko uzrādījušas intervijas un tehniskā izvērtēšana.
Dokumentu daļa ir īpaši svarīga uzņēmumiem, kas gatavojas NIS2 atbilstībai vai klientu auditiem, jo tieši šos dokumentus no tiem pieprasīs.
Kā tiek vērtēti riski
Visi konstatējumi tiek apkopoti, un katram tiek piešķirts risks pēc diviem kritērijiem: iespējamība, ka trūkums tiks izmantots, un ietekme uz uzņēmējdarbību, ja tas notiks. Vērtējam ietekmi uz jūsu darbību, nevis abstraktu tehnisko nopietnību. Atklāts testa serveris bez datiem un atklāta grāmatvedības sistēma, kas pieejama no interneta, tehniski var būt līdzīgas ievainojamības, taču uzņēmējdarbības risks ir pilnīgi atšķirīgs.
Konstatējumi tiek sadalīti četros līmeņos:
| Līmenis | Ko tas nozīmē | Ieteicamais termiņš |
|---|---|---|
| Kritisks | Trūkumu var izmantot jebkurā brīdī, apturot darbību vai izraisot datu noplūdi | Nekavējoties, dažu dienu laikā |
| Augsts | Būtiska ietekme, izmantošana ticama | Mēneša laikā |
| Vidējs | Ierobežota ietekme vai nepieciešami papildu nosacījumi | Ceturkšņa laikā |
| Zems | Atkāpe no labās prakses bez tiešiem draudiem | Plānoto darbu laikā |
Šāds vērtējums ļauj vadītājam izlemt, ar ko sākt, neiedziļinoties tehniskajās detaļās.
Ko jūs saņemat pārskatā
Pārskats ir rakstīts diviem lasītājiem. Pirmā daļa ir vadībai: viena vai divu lappušu kopsavilkums, vispārējs drošības stāvokļa novērtējums, piecas vai desmit svarīgākās problēmas un to ietekme uz uzņēmējdarbību vienkāršā valodā. Otrā daļa ir IT komandai vai pakalpojuma sniedzējam: katrs konstatējums ar aprakstu, pierādījumiem (ekrānuzņēmums, skenēšanas izvilkums), riska līmeni un konkrētu ieteikumu, kā to novērst.
Pārskats noslēdzas ar rīcības plānu: konstatējumi, grupēti pēc prioritātes, aptuvens darba apjoms (stundas vai dienas, nevis nedēļas), atbildīgā puse (uzņēmums, IT pakalpojuma sniedzējs, trešā puse) un ieteicamā secība. Plāns ir uzrakstīts tā, lai to varētu nodot tieši IT pakalpojuma sniedzējam kā uzdevumu sarakstu.
Pārskatu prezentējam sanāksmē, nevis tikai nosūtām pa e-pastu. Vadītājiem rodas jautājumi, un mums svarīgi, lai pārskats pārtop darbos, nevis kļūst par vēl vienu dokumentu mapē.
Cik bieži atkārtot
Iesakām pilnu auditu atkārtot katru gadu vai pēc būtiskām izmaiņām: pārejas uz mākoni, IT pakalpojuma sniedzēja maiņas, apvienošanās ar citu uzņēmumu, nopietna incidenta. Starp pilnajiem auditiem ir lietderīgi veikt šaurākas pārbaudes: ievainojamību skenēšanu reizi ceturksnī, piekļuves pārskatīšanu reizi pusgadā un rezerves kopijas atjaunošanas testu vismaz divreiz gadā.
Regulētiem uzņēmumiem biežumu nosaka prasības: NIS2 un DORA paredz regulāru testēšanu, un klienti bieži pieprasa pārskatu, kas nav vecāks par gadu.
Kas veic auditu
Audita vērtība ir atkarīga no tā, kas to veic. Mūsu auditoriem ir spēkā esoši ISACA sertifikāti: CISA (Certified Information Systems Auditor), CISM (Certified Information Security Manager), CRISC (Certified in Risk and Information Systems Control) un citi. Tas nozīmē, ka audits seko atzītai metodoloģijai un pārskatu pieņems klienti, sertifikācijas institūcijas un uzraudzības iestādes. Visus komandas sertifikātus varat apskatīt sertifikātu lapā.
No kā sākt
- Pasakiet, kāpēc jums vajadzīgs audits un kam paredzēts pārskats. Tas nosaka apjomu un dziļumu.
- Savāciet, kas jums ir: sistēmu sarakstu, esošos dokumentus, piegādātāju kontaktus. Pirms audita nekas nav jālabo, jo tā mērķis ir redzēt reālo situāciju.
- Iecelieet kontaktpersonu, kura var piešķirt piekļuvi un organizēt intervijas.
- Iepriekš vienojieties ar savu IT pakalpojuma sniedzēju, ka viņš piedalīsies un īstenos rīcības plānu.
- Pasūtiet IT drošības auditu. Pirmajā sarunā vienosimies par apjomu, ilgumu un to, kā pārskats tiks izmantots.
