IT drošības un iespiešanās pārbaude

IT drošības audita dati ietver iespiešanās pārbaudes ziņojumus, ievainojamības skenēšanas rezultātus, informācijas drošības audita konstatējumus un drošības incidentu ierakstus, kas parāda organizācijas kiberdrošības stāvokli. Iespiešanās testi simulē reālās pasaules uzbrukumus, lai identificētu izmantojamās ievainojamības. Ievainojamību skenēšana nodrošina automātisku sistēmu un programmatūras zināmo ievainojamību identificēšanu. ISO 27001 audita ziņojumi sniedz neatkarīgu informācijas drošības pārvaldības sistēmu novērtējumu. Reaģēšana uz incidentiem reģistrē aktīvu drošības notikumus un organizācijas reaģēšanas spējas. Šos pierādījumus pieprasa ES kibernoturības likums, DORA, GDPR 32. pants un nozarei specifiskie kiberdrošības noteikumi.

Kiberdrošības noteikumi arvien vairāk pieprasa reģistrētus pierādījumus par drošības praksi — ne tikai politiku un procedūras. ES Kibernoturības likumā noteikts, ka ražotājiem ir jāveic ievainojamības pārbaude un jāuztur reģistrēti testu rezultāti. DORA pieprasa finanšu iestādēm veikt regulārus IKT riska novērtējumus, iespiešanās testēšanu un ievainojamības pārvaldību — tas viss notiek ar reģistrētiem pierādījumiem. VDAR 32. pantā ir nepieciešami atbilstoši tehniski un organizatoriski pasākumi — drošības audita pierādījumi parāda, kādi pasākumi ir ieviesti un ka tie ir efektīvi. Bez reģistrētiem IT drošības audita pierādījumiem organizācijas nevar pierādīt, ka ir izpildījušas savus kiberdrošības pienākumus.

Iespiešanās testu pārskatos ir reģistrēta iekšējā un ārējā pentesta metodoloģija, konstatējumi, izmantošanas ceļi, pierādījumi un atlīdzināšanas statuss — tas ir nepieciešams CRA ievainojamības ziņošanai un DORA apdraudējuma vadītajai iespiešanās pārbaudei (TLPT). Ievainojamību skenēšanas rezultāti no tādiem rīkiem kā Nessus, Qualys, OpenVAS un Rapid7 īpašums atklāja ievainojamības ar smaguma novērtējumu, ietekmētajām sistēmām un labošanas izsekošanu. ISO 27001 audita ziņojumi no akreditētām sertifikācijas iestādēm nodrošina neatkarīgu ISMS ieviešanas un efektivitātes novērtējumu. Reaģējot uz incidentiem, tiek reģistrēti aktīvu drošības incidentu laika grafiki, atklāšanas metodes, ietekmes novērtējumi, ierobežošanas darbības un pēcincidentu pārskati — tiek nodrošināti pierādījumi par incidentu atklāšanas un reaģēšanas iespējām, kas nepieciešamas GDPR, DORA un CRA.

Drošības audita ziņojumi, iespiešanās pārbaudes rezultāti, ievainojamības skenēšanas eksports un incidentu reaģēšanas ieraksti tiek augšupielādēti pakalpojumā Sustalium. Rezultāti atbilst attiecīgajām kiberdrošības atbilstības ietvarstruktūrām: CRA atbilstības ierakstu un DORA IKT riska reģistru pārbaudes rezultāti, ievainojamības skenēšana atbilstoši DORA ievainojamības pārvaldības prasībām un ISO 27001 preventīvo darbību pierādījumi, incidentu ieraksti, lai ziņotu par GDPR pārkāpumu, un CRA pēcpārdošanas uzraudzības pienākumi. Sustalium ievēro atlīdzināšanas termiņus un atkārtotu testu grafikus, nodrošinot, ka identificētās ievainojamības tiek novērstas noteiktajā termiņā un tiek reģistrēti pierādījumi par atlīdzināšanu.

Saskaņā ar ES Kibernoturības likumu (CRA) ražotājiem ir jāveic ievainojamības pārbaude un jāuztur reģistrēti pierādījumi par ievainojamības pārvaldību visā produktu atbalsta periodā. DORA (Digital Operational Resilience Act) pieprasa regulārus IKT riska novērtējumus, iespiešanās testēšanu un ievainojamības pārvaldību finanšu struktūrām. VDAR 32. pantā ir nepieciešami reģistrēti drošības pasākumi, kas atbilst personas datu apstrādes riskiem. ES AI likums nosaka drošības pārbaudes pierādījumus augsta riska AI sistēmām. ISO 27001 pieprasa iekšēju auditu, vadības pārskatus un pierādījumus par korektīvajām darbībām. Nozaru specifiskajiem noteikumiem (finanšu pakalpojumi, veselības aprūpe, kritiskā infrastruktūra) ir noteiktas papildu kiberdrošības audita un testēšanas prasības. Uzņēmumu pircēji arvien vairāk pieprasa drošības audita pierādījumus kā iepirkuma nosacījumu.