IT-Sicherheits- und Penetrationstest

Zu den Daten von IT-Sicherheitsaudits gehören Penetrationstestberichte, Ergebnisse von Schwachstellenscans, Ergebnisse von Informationssicherheitsaudits und Aufzeichnungen zu Sicherheitsvorfällen, die den Cybersicherheitsstatus einer Organisation veranschaulichen. Penetrationstests simulieren reale Angriffe, um ausnutzbare Schwachstellen zu identifizieren. Schwachstellenscans ermöglichen die automatisierte Identifizierung bekannter Schwachstellen in Systemen und Software. ISO 27001-Auditberichte bieten eine unabhängige Bewertung von Informationssicherheitsmanagementsystemen. Bei der Incident Response werden Asset-Sicherheitsereignisse und die Reaktionsfähigkeit der Organisation erfasst. Dieser Nachweis ist durch den EU Cyber ​​Resilience Act, DORA, DSGVO Artikel 32 und branchenspezifische Cybersicherheitsvorschriften erforderlich.

Cybersicherheitsvorschriften erfordern zunehmend dokumentierte Nachweise von Sicherheitspraktiken – nicht nur Richtlinien und Verfahren. Das EU-Cyber-Resilience-Gesetz verlangt von Herstellern, Schwachstellentests durchzuführen und Testergebnisse aufzuzeichnen. DORA verlangt von Finanzunternehmen die Durchführung regelmäßiger IKT-Risikobewertungen, Penetrationstests und Schwachstellenmanagement – ​​alles mit aufgezeichneten Beweisen. Artikel 32 der DSGVO erfordert geeignete technische und organisatorische Maßnahmen – Sicherheitsauditnachweise zeigen, welche Maßnahmen vorhanden sind und dass sie wirksam sind. Ohne aufgezeichnete IT-Sicherheitsauditnachweise können Unternehmen nicht nachweisen, dass sie ihren Cybersicherheitsverpflichtungen nachgekommen sind.

In Penetrationstestberichten werden interne und externe Pentestmethoden, Ergebnisse, Ausnutzungspfade, Beweise und der Behebungsstatus erfasst – erforderlich für die CRA-Schwachstellenberichterstattung und DORA Threat-Led Penetration Testing (TLPT). Ergebnisse des Schwachstellenscans von Tools wie Nessus, Qualys, OpenVAS und Rapid7 Asset-erkannte Schwachstellen mit Schweregradbewertung, betroffenen Systemen und Nachverfolgung der Behebung. ISO 27001-Auditberichte von akkreditierten Zertifizierungsstellen bieten eine unabhängige Bewertung der ISMS-Implementierung und -Wirksamkeit. Bei der Reaktion auf Vorfälle werden Zeitpläne, Erkennungsmethoden, Folgenabschätzungen, Eindämmungsmaßnahmen und Überprüfungen nach Vorfällen bei Vorfällen im Bereich der Anlagensicherheit aufgezeichnet – ein Beweis für die von DSGVO, DORA und CRA geforderte Fähigkeit zur Erkennung und Reaktion von Vorfällen.

Sicherheitsauditberichte, Ergebnisse von Penetrationstests, Exporte von Schwachstellenscans und Datensätze zur Reaktion auf Vorfälle werden auf Sustalium hochgeladen. Die Ergebnisse werden den relevanten Cybersicherheits-Compliance-Frameworks zugeordnet: Pentest-Ergebnisse für CRA-Compliance-Aufzeichnungen und DORA-IKT-Risikoregister, Schwachstellenscans für DORA-Schwachstellenmanagementanforderungen und ISO 27001-Nachweise für vorbeugende Maßnahmen, Vorfallaufzeichnungen für die DSGVO-Benachrichtigungsbereitschaft und CRA-Nachmarktüberwachungspflichten. Sustalium verfolgt Behebungsfristen und Wiederholungstestpläne und stellt so sicher, dass identifizierte Schwachstellen innerhalb der erforderlichen Zeitrahmen behoben werden und dass Beweise für die Behebung aufgezeichnet werden.

Der EU Cyber ​​Resilience Act (CRA) verlangt von Herstellern, während des gesamten Produktsupportzeitraums Schwachstellentests durchzuführen und dokumentierte Nachweise über das Schwachstellenmanagement aufzubewahren. DORA (Digital Operational Resilience Act) verlangt regelmäßige IKT-Risikobewertungen, Penetrationstests und Schwachstellenmanagement für Finanzunternehmen. Artikel 32 der DSGVO verlangt aufgezeichnete Sicherheitsmaßnahmen, die den Risiken der Verarbeitung personenbezogener Daten angemessen sind. Das EU-KI-Gesetz verlangt Sicherheitstestnachweise für KI-Systeme mit hohem Risiko. ISO 27001 erfordert interne Audits, Managementbewertungen und den Nachweis von Korrekturmaßnahmen. Für sektorspezifische Vorschriften (Finanzdienstleistungen, Gesundheitswesen, kritische Infrastruktur) gelten zusätzliche Audit- und Testanforderungen für die Cybersicherheit. Unternehmenseinkäufer verlangen zunehmend Sicherheitsauditnachweise als Bedingung für die Beschaffung.