IT bezpečnost a penetrační test

Data auditu zabezpečení IT zahrnují zprávy o penetračních testech, výsledky skenování zranitelnosti, zjištění auditu zabezpečení informací a záznamy o bezpečnostních incidentech, které demonstrují postoj organizace k kybernetické bezpečnosti. Penetrační testy simulují útoky v reálném světě a identifikují zneužitelná zranitelnost. Skenování zranitelnosti poskytuje automatickou identifikaci známých zranitelností v systémech a softwaru. Auditní zprávy ISO 27001 poskytují nezávislé hodnocení systémů řízení bezpečnosti informací. Reakce na incidenty zaznamenává události zabezpečení majetku a schopnost organizace reagovat. Tento důkaz vyžaduje zákon EU o kybernetické odolnosti, DORA, článek 32 GDPR a sektorová nařízení o kybernetické bezpečnosti.

Předpisy pro kybernetickou bezpečnost stále více vyžadují zaznamenané důkazy o bezpečnostních postupech – nejen zásady a postupy. Zákon EU o kybernetické odolnosti vyžaduje, aby výrobci prováděli testování zranitelnosti a uchovávali zaznamenané výsledky testů. DORA vyžaduje, aby finanční subjekty prováděly pravidelné hodnocení rizik ICT, penetrační testování a správu zranitelnosti – to vše se zaznamenanými důkazy. Článek 32 GDPR vyžaduje vhodná technická a organizační opatření – důkazy bezpečnostního auditu prokazují, jaká opatření jsou zavedena a že jsou účinná. Bez zaznamenaných důkazů z auditu zabezpečení IT nemohou organizace prokázat, že splnily své povinnosti v oblasti kybernetické bezpečnosti.

Zprávy o penetračních testech zaznamenávají interní a externí metodiku pentestu, zjištění, cesty využití, důkazy a stav nápravy – potřebné pro hlášení zranitelnosti CRA a penetrační testování vedené hrozbami DORA (TLPT). Výsledky kontroly zranitelnosti z nástrojů jako Nessus, Qualys, OpenVAS a Rapid7 odhalily zranitelnosti s hodnocením závažnosti, postiženými systémy a sledováním nápravy. Auditní zprávy ISO 27001 od akreditovaných certifikačních orgánů poskytují nezávislé hodnocení implementace a účinnosti ISMS. Reakce na incidenty zaznamenává časové osy bezpečnostních incidentů, metody detekce, posouzení dopadu, opatření k omezení a kontroly po incidentu – poskytují důkaz o schopnosti detekce incidentu a schopnosti reakce požadované GDPR, DORA a CRA.

Zprávy bezpečnostního auditu, nálezy penetračních testů, exporty skenování zranitelnosti a záznamy odezvy na incidenty se nahrávají do Sustalium. Výsledky mapují příslušné rámce shody s kybernetickou bezpečností: průběžná zjištění záznamů o shodě CRA a registrů rizik ICT DORA, skenování zranitelnosti podle požadavků na řízení zranitelnosti DORA a důkazy o preventivních opatřeních ISO 27001, záznamy o incidentech až po připravenost oznamovat porušení GDPR a povinnosti CRA monitorovat po trhu. Sustalium sleduje termíny nápravy a harmonogramy opakovaných testů, čímž zajišťuje, že identifikovaná zranitelnost budou vyřešena v požadovaných časových rámcích a že budou zaznamenány důkazy o nápravě.

Zákon EU Cyber ​​Resilience Act (CRA) vyžaduje, aby výrobci prováděli testování zranitelnosti a uchovávali zaznamenané důkazy o správě zranitelnosti po celou dobu podpory produktu. DORA (Digital Operational Resilience Act) vyžaduje pravidelné hodnocení rizik ICT, penetrační testování a řízení zranitelnosti pro finanční subjekty. Článek 32 GDPR vyžaduje zaznamenaná bezpečnostní opatření odpovídající rizikům zpracování osobních údajů. Zákon EU o umělé inteligenci vyžaduje důkazy o bezpečnostních testech pro vysoce rizikové systémy umělé inteligence. ISO 27001 vyžaduje interní audity, kontroly managementu a důkazy o nápravných opatřeních. Odvětvové předpisy (finanční služby, zdravotní péče, kritická infrastruktura) mají další požadavky na audit a testování kybernetické bezpečnosti. Podnikoví nákupčí stále častěji vyžadují důkazy bezpečnostního auditu jako podmínku nákupu.