Žodis „auditas“ daugeliui vadovų asocijuojasi su mokesčių inspekcija ir nemaloniu laukimu. IT saugumo auditas yra kitoks: jį užsakote patys, jis skirtas jums, o jo rezultatas – ne bauda, o sąrašas dalykų, kuriuos verta sutvarkyti, kol jų nesurado kas nors kitas.
Vis dėlto neaiškumas lieka. Kas ateis, ko klausinės, ar sustos darbas, ar atskleisime per daug, ką gausime pabaigoje ir ar su tuo galėsime ką nors padaryti? Šie klausimai dažniausiai ir atideda auditą metams.
Šiame straipsnyje nuosekliai aprašysime, kaip auditas atrodo nuo pirmo pokalbio iki ataskaitos pristatymo, kad galėtumėte nuspręsti ramiai, o ne iš baimės.
Kaip nustatoma audito apimtis
Auditas prasideda ne nuo skenavimo, o nuo pokalbio. Per pirmą susitikimą išsiaiškiname, kodėl auditas reikalingas: kliento reikalavimas, pasiruošimas TIS2 ar DORA, įtarimas dėl incidento, naujo vadovo noras žinoti, ką paveldėjo. Priežastis lemia, į ką žiūrėsime atidžiausiai.
Tada apibrėžiama apimtis: kurie biurai, serveriai, debesijos paslaugos, tinklai, taikomosios programos ir procesai patenka į auditą. Mažai įmonei dažniausiai tai visa IT aplinka. Didesnei – pasirinkta dalis, pavyzdžiui, tik Microsoft 365 aplinka ir nuotolinė prieiga. Apimtis fiksuojama raštu, kad abi pusės žinotų, kas tikrinama, o kas ne.
Kartu sutariama dėl prieigų, kontaktinių asmenų, laiko ir to, ko auditas nedarys: netrikdys gamybos, netestuos atakų prieš darbuotojus be atskiro susitarimo, nekeis konfigūracijų.
Interviu: kodėl auditorius kalbasi su žmonėmis
Dalis vadovų nustemba, kad auditas prasideda nuo pokalbių, o ne nuo įrankių. Taip yra todėl, kad didžioji dalis saugumo problemų slypi ne technologijose, o tame, kaip jos naudojamos.
Interviu dažniausiai vyksta su vadovu, IT atsakingu asmeniu (vidiniu arba išoriniu tiekėju), finansų ar buhalterijos vadovu ir keliais paprastais darbuotojais. Klausimai praktiški: kaip suteikiama prieiga naujam darbuotojui ir kas nutinka jam išėjus, kur saugomi slaptažodžiai, kaip tvirtinami mokėjimai, kas darytų sprendimus, jei rytoj neveiktų serveriai, kada paskutinį kartą atkurta kopija.
Interviu užtrunka po pusvalandį ar valandą ir neskirti kam nors apkaltinti. Jie atskleidžia, kur dokumentai skiriasi nuo tikrovės. Dažnas pavyzdys: politika teigia, kad slaptažodžiai keičiami kas tris mėnesius, o buhalterija turi bendrą paskyrą banko sistemai, kurios slaptažodis užrašytas lipnioje kortelėje. Nė vienas skenavimas to neparodys.
Techninis vertinimas: ką tikriname
Tai dalis, kurią dažniausiai įsivaizduoja užsakovas. Ją sudaro trys sritys.
Pažeidžiamumai
Skenuojami serveriai, darbo vietos, tinklo įranga ir viešai pasiekiamos sistemos: svetainės, VPN šliuzai, nuotolinio darbo portalai. Ieškoma neatnaujintos programinės įrangos, žinomų spragų, atvirų paslaugų, kurios neturėtų būti matomos iš interneto. Skenavimas derinamas iš anksto ir vyksta tada, kai netrukdo darbui.
Konfigūracijos
Peržiūrimos sistemų nuostatos lyginant su gerąja praktika: Microsoft 365 ir Entra ID saugumo nustatymai, daugiapakopė autentifikacija, el. pašto apsauga nuo klastojimo, ugniasienės taisyklės, tinklo segmentavimas, galinių įrenginių apsaugos politikos, kopijų konfigūracija ir atskyrimas nuo tinklo. Čia dažniausiai randama daugiausia greitai pataisomų dalykų.
Prieigos
Tikrinama, kas prie ko turi prieigą ir ar tai pagrįsta: administratorių paskyros ir jų skaičius, buvusių darbuotojų paskyros, bendros paskyros, išorinių tiekėjų prieigos, privilegijuotos teisės apskaitos ir kitose sistemose. Mūsų praktikoje beveik kiekviename audite randama bent viena aktyvi paskyra žmogaus, kuris įmonėje nebedirba.
Dokumentų peržiūra
Auditorius prašo pateikti esamus dokumentus: saugumo politikas, incidentų procedūrą, kopijų ir atstatymo planą, tiekėjų sutartis, mokymų įrašus. Jei dokumentų nėra, tai nėra nesėkmė – tai tiesiog ataskaitos punktas. Jei dokumentai yra, tikrinama, ar jie atitinka tikrovę, kurią parodė interviu ir techninis vertinimas.
Dokumentų dalis ypač svarbi įmonėms, kurios ruošiasi TIS2 atitikčiai ar klientų auditams, nes būtent dokumentų iš jų bus prašoma.
Kaip reitinguojamos rizikos
Visi radiniai surašomi į vieną sąrašą ir kiekvienam priskiriama rizika pagal du kriterijus: tikimybę, kad spraga bus išnaudota, ir poveikį verslui, jei tai nutiks. Vertinamas būtent poveikis jūsų veiklai, o ne abstraktus techninis pavojingumas. Atviras testinis serveris be duomenų ir atvira apskaitos sistemos prieiga iš interneto techniškai gali būti panašios spragos, bet rizika verslui visiškai skirtinga.
Radiniai skirstomi į keturis lygius:
| Lygis | Ką reiškia | Rekomenduojamas terminas |
|---|---|---|
| Kritinis | Spraga gali būti išnaudota bet kada ir sustabdyti veiklą ar nutekinti duomenis | Nedelsiant, per kelias dienas |
| Aukštas | Reikšmingas poveikis, išnaudojimas tikėtinas | Per mėnesį |
| Vidutinis | Ribotas poveikis arba reikia papildomų sąlygų | Per ketvirtį |
| Žemas | Gerosios praktikos neatitikimas be tiesioginės grėsmės | Planinių darbų metu |
Toks reitingavimas leidžia vadovui spręsti, nuo ko pradėti, nesigilinant į technines detales.
Ką gausite ataskaitoje
Ataskaita rašoma dviem skaitytojams. Pirma dalis – vadovybei: santrauka vienu ar dviem puslapiais, bendras saugumo būklės vertinimas, svarbiausi penki ar dešimt radinių ir jų poveikis verslui paprasta kalba. Antra dalis – IT komandai arba tiekėjui: kiekvienas radinys su aprašymu, įrodymu (ekrano nuotrauka, skenavimo išrašas), rizikos lygiu ir konkrečia rekomendacija, kaip pataisyti.
Ataskaitą užbaigia veiksmų planas: radiniai sugrupuoti pagal prioritetą, nurodyta apytikslė darbų apimtis (valandos ar dienos, ne savaitės), atsakinga pusė (įmonė, IT tiekėjas, trečioji šalis) ir siūloma seka. Planas rašomas taip, kad jį būtų galima tiesiogiai perduoti IT tiekėjui kaip užduočių sąrašą.
Ataskaitą pristatome susitikime, ne tik atsiunčiame el. paštu. Vadovai turi klausimų, o mums svarbu, kad ataskaita virstų darbais, o ne dar vienu dokumentu aplanke.
Kaip dažnai kartoti
Pilną auditą rekomenduojame kartoti kasmet arba po reikšmingų pokyčių: migracijos į debesiją, IT tiekėjo keitimo, susijungimo su kita įmone, rimto incidento. Tarp pilnų auditų prasminga daryti siauresnius patikrinimus: pažeidžiamumų skenavimą kas ketvirtį, prieigų peržiūrą kas pusmetį, kopijų atstatymo testą bent du kartus per metus.
Reguliuojamoms įmonėms dažnumą nustato reikalavimai: TIS2 ir DORA tikisi reguliaraus testavimo, o klientai dažnai prašo ne senesnės nei metų ataskaitos.
Kas atlieka auditą
Audito vertė priklauso nuo to, kas jį daro. Mūsų auditoriai turi galiojančius ISACA sertifikatus – CISA (informacinių sistemų auditorius), CISM (informacijos saugumo vadovas), CRISC (rizikos ir kontrolių specialistas) ir kitus. Tai reiškia, kad auditas atliekamas pagal pripažintą metodiką, o ataskaita bus priimtina klientams, sertifikavimo įstaigoms ir priežiūros institucijoms. Visus komandos sertifikatus galite peržiūrėti sertifikatų puslapyje.
Nuo ko pradėti
- Įvardykite, kodėl auditas reikalingas ir kam bus skirta ataskaita. Tai apsprendžia apimtį ir gylį.
- Surinkite, ką turite: sistemų sąrašą, esamus dokumentus, tiekėjų kontaktus. Nereikia nieko tvarkyti prieš auditą – jo tikslas pamatyti tikrą padėtį.
- Paskirkite kontaktinį asmenį, kuris galės suteikti prieigas ir organizuoti interviu.
- Iš anksto susitarkite su savo IT tiekėju, kad jis dalyvaus ir vykdys veiksmų planą.
- Užsakykite IT saugumo auditą – per pirmą pokalbį sutarsime apimtį, trukmę ir tai, kaip ataskaita bus panaudota.
