Kiberdrošības audits

Kiberdrošības jeb IT drošības audits palīdz saprast, kādas aizsardzības kontroles Jums faktiski ir ieviestas, kur tās nedarbojas pietiekami un kuri trūkumi rada būtiskāko risku. Pirms darba definējam audita apjomu un vērtēšanas kritērijus, pēc tam pārbaudām pierādījumus un sagatavojam vadībai un tehniskajai komandai izmantojamu rīcības plānu.

Ko drošības audits pārbauda

Audita saturs nav universāls kontrolsaraksts. Vispirms vienojamies, kuras sistēmas, aktīvi un procesi ir būtiski un pret kādiem kritērijiem tos vērtēsim. Atkarībā no apjoma izmantojam konfigurācijas, dokumentus, sistēmu datus, intervijas un citus pārbaudāmus pierādījumus. Tas ļauj nošķirt formāli aprakstītu kontroli no tā, kas vidē patiešām darbojas.

Sistēmas un konfigurācijas

Varam pārbaudīt serveru, tīkla, mākoņvides un lietojumprogrammu drošības konfigurāciju, atjauninājumu un ievainojamību pārvaldību, publiski pieejamos pakalpojumus, šifrēšanu, žurnalēšanu, rezerves kopijas un citus saskaņotos tehniskos kontroles punktus.

Piekļuves tiesības un konti

Vērtējam identitāšu un privilēģiju pārvaldību, tostarp administratoru un lietotāju kontus, daudzfaktoru autentifikāciju, piekļuves piešķiršanu un atņemšanu, ārējo piegādātāju piekļuves un citus riskus, kas saistīti ar tiesībām sasniegt svarīgas sistēmas un datus.

Procesi un gatavība incidentiem

Pārbaudām saskaņotos drošības procesus, piemēram, atjauninājumu un ievainojamību pārvaldību, rezerves kopiju kontroli, žurnālu izmantošanu, incidentu eskalāciju un atbildību sadalījumu. Dokumentēta politika pati par sevi vēl nepierāda, ka kontrole darbojas praksē.

Prasības un drošības ietvari

Ja tas ietilpst darba apjomā, audita kritērijus varam sasaistīt ar noteiktu drošības ietvaru vai klientam piemērojamām tehniskām un organizatoriskām prasībām. NIS2, Latvijas regulējuma, GDPR vai ISO 27001 atbilstības juridisku vai sertifikācijas atzinumu neizsecinām no vispārīga tehniskā audita. Šādam mērķim nepieciešams atsevišķi definēts atbilstības novērtējuma apjoms un atbilstošā kompetence.

Audits un ielaušanās tests atbild uz dažādiem jautājumiem

Audits galvenokārt vērtē kontroles, konfigurāciju, procesus un pierādījumus noteiktā apjomā. Ielaušanās tests aktīvi meklē un, kur tas ir atļauts, validē izmantojamas ievainojamības konkrētā tehniskā mērķī. Auditā var būt tehniskas pārbaudes, taču tas automātiski nav penetrācijas tests. Metodi izvēlamies pēc jautājuma, uz kuru Jums vajadzīga atbilde.

Kā norit audits

Saskaņots apjoms

Vienojamies par audita mērķi, sistēmām, aktīviem, procesiem, vērtēšanas kritērijiem, nepieciešamajām piekļuvēm un kontaktpersonām. Pirms darba saņemat skaidru apjomu, piegādes rezultātus, termiņu un cenu.

Pārbaude un pierādījumi

Pārbaudām saskaņotos kontroles punktus un dokumentējam pierādījumus. Atradumu formulējam tā, lai būtu saprotams, kas tika novērots, kāpēc tas rada risku un uz ko secinājums balstās.

Risks un prioritātes

Atradumus prioritizējam pēc iespējamās ietekmes, izmantojamības vai ticamības, skarto aktīvu nozīmes un Jūsu vides konteksta. Norādām ieteicamo rīcību, lai tehniskā komanda un vadība var plānot darbus un resursus, balstoties uz faktiem.

Rezultātu prezentācija

Prezentējam būtiskākos secinājumus, izskaidrojam risku prioritātes un izrunājam novēršanas secību ar tehnisko komandu un vadību. Ja nepieciešams, vienojamies arī par atradumu atkārtotu pārbaudi pēc labojumiem.

Noskaidrojiet, ko Jūsu drošības kontroles patiešām nosedz

Atsūtiet īsu informāciju par vidi un audita mērķi. Atbildēsim vienas darba dienas laikā un precizēsim, kas nepieciešams apjoma un piedāvājuma sagatavošanai.

Pieteikt auditu

Pēc audita Jums jāspēj pieņemt lēmumus

Ziņojuma vērtība nav atradumu skaitā. Tam jāpalīdz saprast, kuri riski prasa tūlītēju rīcību, kuri jāiekļauj tuvākajā tehnisko darbu plānā un kur nepieciešams papildu pētījums vai cita veida drošības pārbaude. Ieteikumus rakstām tā, lai tos var izmantot Jūsu komanda vai cits izvēlētais izpildītājs.

Ja tas ir vajadzīgs, varam palīdzēt precizēt novēršanas risinājumu un pēc labojumiem atkārtoti pārbaudīt atradumus. Retests apliecina pārbaudītā atraduma stāvokli tajā brīdī, nevis visas vides drošību nākotnē.

Biežāk uzdotie jautājumi

Cik maksā drošības audits?

Cena ir atkarīga no audita mērķa, sistēmu un procesu apjoma, vides sarežģītības, izvēlētajiem vērtēšanas kritērijiem un nepieciešamo pierādījumu apjoma. Pēc sākotnējās informācijas precizējam darba robežas un sagatavojam piedāvājumu pirms audita sākuma.

Cik ilgi audits aizņem?

Termiņš ir atkarīgs no apjoma, sistēmu skaita, piekļuves pieejamības, intervijām un pierādījumu apkopošanas. To nosakām pēc audita robežu precizēšanas. Ja vide ir liela, darbu var sadalīt posmos, lai būtiskākās jomas novērtētu prioritārā secībā.

Vai audits traucēs ikdienas darbam un vai dati paliek konfidenciāli?

Audits parasti ir mazāk invazīvs nekā aktīvs ielaušanās tests, taču atsevišķas tehniskās pārbaudes var radīt slodzi vai citus riskus. Pirms darba saskaņojam metodes, piekļuves un ierobežojumus. Sensitīvo informāciju un audita pierādījumus apstrādājam tikai saskaņotā darba vajadzībām un aizsargājam atbilstoši to jutīgumam.

Ar ko audits atšķiras no ielaušanās testa?

Drošības audits vērtē saskaņotas kontroles, konfigurāciju, procesus un pierādījumus. Ielaušanās tests aktīvi meklē un, kur atļauts, praktiski validē izmantojamas ievainojamības noteiktā tehniskā apjomā. Viens nav automātiski otra priekšnoteikums - izvēle ir atkarīga no riska un jautājuma, uz kuru nepieciešama atbilde.

Vai audits palīdz izpildīt ISO 27001 vai NIS2 prasības?

Ja tas ietilpst darba apjomā, audita kritērijus varam sasaistīt ar ISO/IEC 27001 kontrolēm vai Nacionālās kiberdrošības likuma prasībām un parādīt, kur ir nepilnības. Audits palīdz sagatavoties, bet ISO/IEC 27001 sertifikātu izsniedz akreditēta sertifikācijas institūcija.

Saistītie pakalpojumi

Pieteikt auditu