ИТ сигурност и тест за проникване

Данните от одита на ИТ сигурността включват доклади от тестове за проникване, резултати от сканиране за уязвимости, констатации от одит на информационната сигурност и записи на инциденти по сигурността, които демонстрират състоянието на киберсигурността на организацията. Тестовете за проникване симулират атаки в реалния свят, за да идентифицират уязвимостите, които могат да се използват. Сканирането за уязвимости осигурява автоматизирана идентификация на известни уязвимости в системите и софтуера. Одитните доклади по ISO 27001 предоставят независима оценка на системите за управление на информационната сигурност. Реагирането на инциденти записва събития, свързани със сигурността на активите, и способността за реакция на организацията. Това доказателство се изисква от Закона за киберустойчивост на ЕС, DORA, член 32 от GDPR и специфичните за сектора разпоредби за киберсигурност.

Регламентите за киберсигурност все повече изискват записани доказателства за практики за сигурност — не само политики и процедури. Законът за устойчивост на киберпространството на ЕС изисква производителите да провеждат тестове за уязвимости и да поддържат записани резултати от тестове. DORA изисква от финансовите субекти да извършват редовни оценки на риска от ИКТ, тестове за проникване и управление на уязвимостите - всичко със записани доказателства. Член 32 от GDPR изисква подходящи технически и организационни мерки — доказателствата за одит на сигурността показват какви мерки са въведени и че те са ефективни. Без записани доказателства за одит на ИТ сигурността организациите не могат да докажат, че са изпълнили своите задължения за киберсигурност.

Докладите за тестове за проникване записват вътрешна и външна методология на пентест, констатации, пътища за използване, доказателства и статус на коригиране — необходими за докладване на уязвимости на CRA и тестване за проникване, водено от заплахи на DORA (TLPT). Резултати от сканиране за уязвимости от инструменти като Nessus, Qualys, OpenVAS и Rapid7 открити активи уязвимости с оценки на сериозност, засегнати системи и проследяване на коригиране. Докладите за одит на ISO 27001 от акредитирани сертифициращи органи предоставят независима оценка на прилагането и ефективността на ISMS. Реагирането на инциденти записва срокове за инциденти със сигурността на активите, методи за откриване, оценки на въздействието, действия за ограничаване и прегледи след инциденти — предоставяне на доказателства за откриване на инциденти и способност за реагиране, изисквани от GDPR, DORA и CRA.

Докладите за одит на сигурността, констатациите от тестовете за проникване, експортираните сканирания за уязвимости и записите за отговор на инциденти се качват в Sustalium. Резултатите се съпоставят със съответните рамки за съответствие на киберсигурността: констатациите на pentest към записите за съответствие на CRA и регистрите на рисковете на DORA ICT, сканиранията на уязвимости към изискванията за управление на уязвимостите на DORA и доказателствата за превантивни действия по ISO 27001, записите на инциденти към готовността за уведомяване за нарушаване на GDPR и задълженията на CRA за следпродажбен мониторинг. Sustalium проследява крайните срокове за коригиране и графици за повторно тестване, като гарантира, че идентифицираните уязвимости са адресирани в рамките на необходимите срокове и че доказателствата за отстраняването са записани.

Законът за кибернетична устойчивост на ЕС (CRA) изисква от производителите да провеждат тестове за уязвимости и да поддържат записани доказателства за управление на уязвимостите през целия период на поддръжка на продукта. DORA (Закон за цифрова оперативна устойчивост) изисква редовни оценки на риска от ИКТ, тестове за проникване и управление на уязвимостите за финансовите субекти. Член 32 от ОРЗД ​​изисква записани мерки за сигурност, подходящи за рисковете от обработката на лични данни. Законът за изкуствен интелект на ЕС изисква доказателства за тестване на сигурността за системи с изкуствен интелект с висок риск. ISO 27001 изисква вътрешни одити, прегледи от ръководството и доказателства за коригиращи действия. Специфичните за сектора разпоредби (финансови услуги, здравеопазване, критична инфраструктура) имат допълнителни изисквания за одит и тестване на киберсигурността. Корпоративните купувачи все повече изискват доказателства за одит на сигурността като условие за поръчка.