IT 보안 감사

IT 보안 감사 데이터에는 침투 테스트 보고서, 취약성 검사 결과, 정보 보안 감사 결과, 조직의 사이버 보안 상태를 보여주는 보안 사고 기록이 포함됩니다. 침투 테스트는 실제 공격을 시뮬레이션하여 악용 가능한 취약점을 식별합니다. 취약점 스캔은 시스템 및 소프트웨어의 알려진 취약점을 자동으로 식별합니다. ISO 27001 감사 보고서는 정보 보안 관리 시스템에 대한 독립적인 평가를 제공합니다. 사고 대응은 자산 보안 이벤트와 조직의 대응 능력을 기록합니다. 이 증거는 EU 사이버 복원력법, DORA, GDPR 제32조 및 부문별 사이버 보안 규정에 의해 요구됩니다.

사이버 보안 규정에서는 정책과 절차뿐만 아니라 보안 관행에 대한 기록된 증거를 점점 더 많이 요구하고 있습니다. EU 사이버 탄력성법(EU Cyber ​​Resilience Act)은 제조업체가 취약성 테스트를 수행하고 기록된 테스트 결과를 유지하도록 요구합니다. DORA는 금융 기관이 기록된 증거와 함께 정기적인 ICT 위험 평가, 침투 테스트 및 취약성 관리를 수행하도록 요구합니다. GDPR 제32조는 적절한 기술 및 조직적 조치를 요구합니다. 보안 감사 증거는 어떤 조치가 마련되어 있고 효과적이라는 것을 보여줍니다. 기록된 IT 보안 감사 증거가 없으면 조직은 사이버 보안 의무를 이행했음을 증명할 수 없습니다.

침투 테스트 보고서에는 CRA 취약성 보고 및 DORA 위협 주도 침투 테스트(TLPT)에 필요한 내부 및 외부 침투 테스트 방법론, 조사 결과, 악용 경로, 증거 및 해결 상태가 기록됩니다. Nessus, Qualys, OpenVAS 및 Rapid7 자산과 같은 도구의 취약점 스캔 결과는 심각도 등급, 영향을 받은 시스템 및 교정 추적을 통해 취약점을 감지했습니다. 공인 인증 기관의 ISO 27001 감사 보고서는 ISMS 구현 및 효율성에 대한 독립적인 평가를 제공합니다. 사고 대응은 자산 보안 사고 타임라인, 감지 방법, 영향 평가, 억제 조치 및 사고 후 검토를 기록하여 GDPR, DORA 및 CRA에서 요구하는 사고 감지 및 대응 기능의 증거를 제공합니다.

보안 감사 보고서, 침투 테스트 결과, 취약점 스캔 내보내기 및 사고 대응 기록이 Sustalium에 업로드됩니다. 결과는 관련 사이버 보안 규정 준수 프레임워크에 매핑됩니다. CRA 규정 준수 기록 및 DORA ICT 위험 등록부에 대한 침투 결과, DORA 취약성 관리 요구 사항 및 ISO 27001 예방 조치 증거에 대한 취약성 검사, GDPR 위반 알림 준비에 대한 사고 기록 및 CRA 시장 후 모니터링 의무에 매핑됩니다. Sustalium은 교정 마감일과 재테스트 일정을 추적하여 식별된 취약점이 필요한 기간 내에 해결되고 교정 증거가 기록되도록 보장합니다.

EU 사이버 복원력법(CRA)은 제조업체가 취약성 테스트를 수행하고 제품 지원 기간 동안 취약성 관리에 대한 기록된 증거를 유지하도록 요구합니다. DORA(Digital Operational Resilience Act)는 금융 기관에 대한 정기적인 ICT 위험 평가, 침투 테스트 및 취약성 관리를 요구합니다. GDPR 제32조는 개인 데이터 처리 위험에 적합한 기록된 보안 조치를 요구합니다. EU AI법은 고위험 AI 시스템에 대한 보안 테스트 증거를 요구합니다. ISO 27001은 내부 감사, 경영 검토, 시정 조치 증거를 요구합니다. 부문별 규정(금융 서비스, 의료, 중요 인프라)에는 추가적인 사이버 보안 감사 및 테스트 요구 사항이 있습니다. 기업 구매자는 조달 조건으로 보안 감사 증거를 점점 더 요구하고 있습니다.