IT-biztonsági és behatolási teszt

Az IT-biztonsági ellenőrzési adatok magukban foglalják a behatolási tesztjelentéseket, a sebezhetőségi vizsgálat eredményeit, az információbiztonsági audit megállapításait és a biztonsági eseményekre vonatkozó rekordokat, amelyek bemutatják a szervezet kiberbiztonsági helyzetét. A behatolási tesztek valós támadásokat szimulálnak a kihasználható sebezhetőségek azonosítása érdekében. A sebezhetőségi vizsgálatok lehetővé teszik a rendszerek és szoftverek ismert sebezhetőségeinek automatikus azonosítását. Az ISO 27001 audit jelentések független értékelést nyújtanak az információbiztonsági irányítási rendszerekről. Az incidensre adott válasz rögzíti az eszközbiztonsági eseményeket és a szervezet reagálási képességét. Ezt a bizonyítékot az EU Cyber ​​Resilience Act, a DORA, a GDPR 32. cikke és az ágazatspecifikus kiberbiztonsági előírások írják elő.

A kiberbiztonsági szabályozások egyre inkább megkövetelik a biztonsági gyakorlatok rögzített bizonyítékait – nem csak irányelveket és eljárásokat. Az EU kiberrezisztenciáról szóló törvénye előírja a gyártóknak, hogy végezzenek sebezhetőségi teszteket, és tartsák nyilván a teszteredményeket. A DORA megköveteli a pénzügyi szervezetektől, hogy rendszeresen végezzenek IKT-kockázatértékelést, penetrációs tesztelést és sebezhetőség-kezelést – mindezt rögzített bizonyítékokkal. A GDPR 32. cikke megfelelő technikai és szervezési intézkedéseket ír elő – a biztonsági audit bizonyítékai azt mutatják, hogy milyen intézkedések vannak bevezetve, és azok hatékonyak. Rögzített IT biztonsági audit bizonyítékok nélkül a szervezetek nem tudják bizonyítani, hogy teljesítették kiberbiztonsági kötelezettségeiket.

A behatolási tesztjelentések rögzítik a belső és külső behatolási módszertant, a megállapításokat, a kiaknázási útvonalakat, a bizonyítékokat és a helyreállítási állapotot – ez szükséges a CRA sebezhetőségi jelentéséhez és a DORA fenyegetés által vezetett penetrációs teszteléséhez (TLPT). A sérülékenységek vizsgálata az olyan eszközökből, mint a Nessus, a Qualys, az OpenVAS és a Rapid7 eszközökből származó sebezhetőségi vizsgálat eredményei súlyossági besorolással, érintett rendszerekkel és javítási nyomon követéssel észleltek sebezhetőséget. Az akkreditált tanúsító testületek ISO 27001 audit jelentései független értékelést nyújtanak az ISMS végrehajtásáról és hatékonyságáról. Az incidensekre adott válasz rögzíti a biztonsági incidensek időrendjét, az észlelési módszereket, a hatásvizsgálatokat, az elszigetelési intézkedéseket és az incidensek utáni felülvizsgálatokat – bizonyítékot szolgáltatva a GDPR, a DORA és a CRA által megkövetelt incidensészlelési és reagálási képességekre.

A biztonsági ellenőrzési jelentések, a behatolási tesztek eredményei, a sebezhetőségi vizsgálat exportálása és az incidensre adott válaszrekordok feltöltésre kerülnek a Sustaliumba. Az eredmények megfelelnek a vonatkozó kiberbiztonsági megfelelőségi keretrendszereknek: a CRA megfelelőségi rekordjainak és a DORA ICT kockázati nyilvántartásainak ellenőrzése, a DORA sebezhetőség-kezelési követelményeinek és az ISO 27001 szerinti megelőző intézkedéseknek megfelelő sebezhetőségi vizsgálatok, a GDPR megsértéséről szóló értesítések készenlétének incidensrekordjai és a CRA utópiaci ellenőrzési kötelezettségei. A Sustalium követi a kárelhárítási határidőket és az újratesztelési ütemterveket, biztosítva, hogy az azonosított sebezhetőségeket a szükséges időkereteken belül orvosolják, és rögzítsék a kárelhárítás bizonyítékait.

Az EU Cyber ​​Resilience Act (CRA) előírja, hogy a gyártók sebezhetőségi tesztelést végezzenek, és a terméktámogatási időszak során rögzítsék a sebezhetőség kezelésének rögzített bizonyítékait. A DORA (Digital Operational Resilience Act) rendszeres IKT-kockázatértékelést, penetrációs tesztelést és sebezhetőség-kezelést ír elő a pénzügyi szervezetek számára. A GDPR 32. cikke előírja a személyes adatok feldolgozásával járó kockázatoknak megfelelő rögzített biztonsági intézkedéseket. Az EU AI-törvénye biztonsági tesztelési bizonyítékokat ír elő a magas kockázatú mesterségesintelligencia-rendszerekhez. Az ISO 27001 belső auditokat, vezetői áttekintéseket és a korrekciós intézkedések bizonyítékát követeli meg. Az ágazatspecifikus szabályozások (pénzügyi szolgáltatások, egészségügy, kritikus infrastruktúra) további kiberbiztonsági audit és tesztelési követelményeket írnak elő. A vállalati vásárlók egyre inkább megkövetelik a biztonsági audit bizonyítékait a beszerzés feltételeként.