IT-sikkerhed og penetrationstest

IT-sikkerhedsrevisionsdata omfatter penetrationstestrapporter, sårbarhedsscanningsresultater, informationssikkerhedsrevisionsresultater og sikkerhedshændelsesregistre, der viser en organisations cybersikkerhedsposition. Penetrationstests simulerer angreb fra den virkelige verden for at identificere sårbarheder, der kan udnyttes. Sårbarhedsscanninger giver automatisk identifikation af kendte sårbarheder i systemer og software. ISO 27001 revisionsrapporter giver uafhængig vurdering af informationssikkerhedsstyringssystemer. Hændelsesrespons registrerer aktivsikkerhedshændelser og organisationens reaktionsevne. Dette bevis er påkrævet af EU's Cyber ​​Resilience Act, DORA, GDPR Artikel 32 og sektorspecifikke cybersikkerhedsforskrifter.

Cybersikkerhedsbestemmelser kræver i stigende grad registrerede beviser for sikkerhedspraksis - ikke kun politikker og procedurer. EU's Cyber ​​Resilience Act kræver, at producenterne udfører sårbarhedstests og vedligeholder registrerede testresultater. DORA kræver, at finansielle enheder udfører regelmæssige IKT-risikovurderinger, penetrationstest og sårbarhedsstyring - alt sammen med registrerede beviser. GDPR artikel 32 kræver passende tekniske og organisatoriske foranstaltninger - sikkerhedsrevisionsbevis viser, hvilke foranstaltninger der er på plads, og at de er effektive. Uden registreret IT-sikkerhedsrevisionsbevis kan organisationer ikke bevise, at de har opfyldt deres cybersikkerhedsforpligtelser.

Penetrationstestrapporter registrerer intern og ekstern pentestmetodologi, fund, udnyttelsesstier, beviser og afhjælpningsstatus - påkrævet for CRA-sårbarhedsrapportering og DORA-trusselsdrevet penetrationstest (TLPT). Sårbarhedsscanning resultater fra værktøjer som Nessus, Qualys, OpenVAS og Rapid7-aktiver, der er registreret sårbarheder med alvorlighedsvurderinger, berørte systemer og afhjælpningssporing. ISO 27001 revisionsrapporter fra akkrediterede certificeringsorganer giver uafhængig vurdering af ISMS implementering og effektivitet. Hændelsesrespons registrerer aktivsikkerhedshændelsers tidslinjer, detektionsmetoder, konsekvensvurderinger, indeslutningshandlinger og post-hændelsesgennemgange – giver bevis for hændelsesdetektion og reaktionsevne, der kræves af GDPR, DORA og CRA.

Sikkerhedsrevisionsrapporter, fund af penetrationstest, eksport af sårbarhedsscanninger og hændelsesreaktionsposter uploades til Sustalium. Resultater kort til de relevante cybersikkerheds-overholdelsesrammer: mest relevante resultater til CRA-overholdelsesregistre og DORA ICT-risikoregistre, sårbarhedsscanninger til DORA sårbarhedsstyringskrav og ISO 27001 forebyggende handlingsbeviser, hændelsesregistreringer til GDPR-brudsnotifikationsberedskab og CRA-eftermarkedsovervågningsforpligtelser. Sustalium sporer afhjælpningsfrister og tidsplaner for gentestning, og sikrer, at identificerede sårbarheder løses inden for de nødvendige tidsrammer, og at beviser for afhjælpning registreres.

EU's Cyber ​​Resilience Act (CRA) kræver, at producenterne udfører sårbarhedstest og opbevarer registrerede beviser for sårbarhedshåndtering i hele produktsupportperioden. DORA (Digital Operational Resilience Act) kræver regelmæssige IKT-risikovurderinger, penetrationstest og sårbarhedsstyring for finansielle enheder. GDPR artikel 32 kræver registrerede sikkerhedsforanstaltninger, der er passende for risiciene ved behandling af personoplysninger. EU AI Act kræver sikkerhedstestbeviser for højrisiko AI-systemer. ISO 27001 kræver interne revisioner, ledelsesgennemgange og bevis for korrigerende handlinger. Sektorspecifikke bestemmelser (finansielle tjenester, sundhedspleje, kritisk infrastruktur) har yderligere krav til cybersikkerhedsrevision og -test. Virksomhedskøbere kræver i stigende grad sikkerhedsrevisionsbevis som en betingelse for indkøb.