IT saugumo ir skverbties testas

IT saugos audito duomenys apima skverbties bandymų ataskaitas, pažeidžiamumo nuskaitymo rezultatus, informacijos saugos audito išvadas ir saugos incidentų įrašus, parodančius organizacijos kibernetinio saugumo laikyseną. Įsiskverbimo testai imituoja realaus pasaulio atakas, kad nustatytų išnaudojamus pažeidžiamumus. Pažeidžiamumo nuskaitymas leidžia automatiškai nustatyti žinomus sistemų ir programinės įrangos pažeidžiamumus. ISO 27001 audito ataskaitose pateikiamas nepriklausomas informacijos saugumo valdymo sistemų vertinimas. Reagavimas į incidentą registruoja turto saugumo įvykius ir organizacijos reagavimo galimybes. Šių įrodymų reikalaujama pagal ES kibernetinio atsparumo įstatymą, DORA, BDAR 32 straipsnį ir konkretaus sektoriaus kibernetinio saugumo taisykles.

Kibernetinio saugumo taisyklės vis dažniau reikalauja įrašytų saugumo praktikos įrodymų – ne tik politikos ir procedūrų. ES kibernetinio atsparumo įstatymas reikalauja, kad gamintojai atliktų pažeidžiamumo testus ir saugotų įrašytus bandymų rezultatus. DORA reikalauja, kad finansiniai subjektai reguliariai atliktų IRT rizikos vertinimus, įsiskverbimo testus ir pažeidžiamumo valdymą – visa tai turėdami užfiksuotus įrodymus. BDAR 32 straipsnis reikalauja tinkamų techninių ir organizacinių priemonių – saugos audito įrodymai parodo, kokios priemonės taikomos ir kad jos yra veiksmingos. Be įrašytų IT saugumo audito įrodymų, organizacijos negali įrodyti, kad įvykdė savo kibernetinio saugumo įsipareigojimus.

Įsiskverbimo bandymo ataskaitose įrašoma vidinė ir išorinė pentest metodika, išvados, panaudojimo būdai, įrodymai ir ištaisymo būsena – reikalinga CRA pažeidžiamumo ataskaitoms teikti ir DORA grėsmės sukeliamam skverbties testavimui (TLPT). Pažeidžiamumo nuskaitymo rezultatai naudojant tokius įrankius kaip „Nessus“, „Qualys“, „OpenVAS“ ir „Rapid7“ išteklius, aptiko pažeidžiamumą su sunkumo įvertinimais, paveiktomis sistemomis ir ištaisymo stebėjimu. Akredituotų sertifikavimo įstaigų ISO 27001 audito ataskaitose pateikiamas nepriklausomas ISMS įgyvendinimo ir efektyvumo vertinimas. Reaguojant į incidentus įrašomi saugumo incidentų terminai, aptikimo metodai, poveikio vertinimai, izoliavimo veiksmai ir peržiūros po incidento – pateikiami incidentų aptikimo ir reagavimo pajėgumai, kurių reikalauja GDPR, DORA ir CRA.

Saugumo audito ataskaitos, įsiskverbimo testų išvados, pažeidžiamumo nuskaitymo eksportas ir reagavimo į incidentus įrašai įkeliami į Sustalium. Rezultatai susieti su atitinkamomis kibernetinio saugumo atitikties sistemomis: CRA atitikties įrašų ir DORA IRT rizikos registrų patikrinimai, pažeidžiamumo nuskaitymai pagal DORA pažeidžiamumo valdymo reikalavimus ir ISO 27001 prevencinių veiksmų įrodymai, incidentų įrašai, susiję su pasirengimu pranešti apie BDAR pažeidimus ir CRA stebėjimo po rinkos prievolės. Sustalium seka ištaisymo terminus ir pakartotinių bandymų tvarkaraščius, užtikrindama, kad nustatyti pažeidžiamumai būtų pašalinti per reikiamą laikotarpį ir kad būtų užregistruoti ištaisymo įrodymai.

ES kibernetinio atsparumo įstatyme (CRA) reikalaujama, kad gamintojai atliktų pažeidžiamumo testus ir saugotų įrašytus pažeidžiamumo valdymo įrodymus per visą produkto palaikymo laikotarpį. DORA (Digital Operational Resilience Act) reikalauja reguliarių IRT rizikos vertinimų, skverbties testų ir finansinių subjektų pažeidžiamumo valdymo. BDAR 32 straipsnyje reikalaujama, kad būtų įrašytos saugumo priemonės, atitinkančios asmens duomenų tvarkymo riziką. Pagal ES AI įstatymą reikalaujama atlikti didelės rizikos AI sistemų saugumo testavimo įrodymų. ISO 27001 reikalauja vidaus audito, vadovybės peržiūrų ir korekcinių veiksmų įrodymų. Konkrečiam sektoriui (finansinėms paslaugoms, sveikatos priežiūrai, kritinei infrastruktūrai) taikomi papildomi kibernetinio saugumo audito ir testavimo reikalavimai. Įmonių pirkėjai vis dažniau reikalauja saugumo audito įrodymų kaip pirkimo sąlygos.