IT-beveiligings- en penetratietest

IT-beveiligingsauditgegevens omvatten penetratietestrapporten, resultaten van kwetsbaarheidsscans, bevindingen van informatiebeveiligingsaudits en records van beveiligingsincidenten die de cyberbeveiligingspositie van een organisatie aantonen. Penetratietests simuleren aanvallen uit de echte wereld om exploiteerbare kwetsbaarheden te identificeren. Kwetsbaarheidsscans zorgen voor geautomatiseerde identificatie van bekende kwetsbaarheden in systemen en software. ISO 27001-auditrapporten bieden een onafhankelijke beoordeling van managementsystemen voor informatiebeveiliging. Incidentrespons registreert activabeveiligingsgebeurtenissen en het reactievermogen van de organisatie. Dit bewijs is vereist door de EU Cyber ​​Resilience Act, DORA, AVG artikel 32 en sectorspecifieke cyberbeveiligingsregelgeving.

Regelgeving op het gebied van cyberbeveiliging vereist steeds vaker vastgelegd bewijs van beveiligingspraktijken – niet alleen beleid en procedures. De EU Cyber ​​Resilience Act vereist dat fabrikanten kwetsbaarheidstests uitvoeren en geregistreerde testresultaten bijhouden. DORA vereist dat financiële entiteiten regelmatig ICT-risicobeoordelingen, penetratietesten en kwetsbaarheidsbeheer uitvoeren – allemaal met vastgelegd bewijsmateriaal. AVG Artikel 32 vereist passende technische en organisatorische maatregelen; uit beveiligingsaudits blijkt welke maatregelen er zijn genomen en of deze effectief zijn. Zonder vastgelegd bewijsmateriaal voor IT-beveiligingsaudits kunnen organisaties niet bewijzen dat ze aan hun verplichtingen op het gebied van cyberbeveiliging hebben voldaan.

Penetratietestrapporten registreren de interne en externe pentestmethodologie, bevindingen, exploitatiepaden, bewijsmateriaal en herstelstatus – vereist voor CRA-kwetsbaarheidsrapportage en DORA-bedreigingsgeleide penetratietests (TLPT). De resultaten van een kwetsbaarheidsscan van tools als Nessus, Qualys, OpenVAS en Rapid7 hebben kwetsbaarheden gedetecteerd met ernstclassificaties, getroffen systemen en het volgen van herstelmaatregelen. ISO 27001-auditrapporten van geaccrediteerde certificeringsinstanties bieden een onafhankelijke beoordeling van de implementatie en effectiviteit van ISMS. Incidentrespons registreert tijdlijnen voor beveiligingsincidenten, detectiemethoden, impactbeoordelingen, inperkingsacties en beoordelingen na incidenten, wat het bewijs levert van de detectie- en reactiemogelijkheden van incidenten die vereist zijn door GDPR, DORA en CRA.

Beveiligingsauditrapporten, bevindingen van penetratietests, exports van kwetsbaarheidsscans en incidentresponsrecords worden geüpload naar Sustalium. De resultaten komen overeen met de relevante kaders voor naleving van cyberbeveiliging: pentestbevindingen voor CRA-nalevingsregistraties en DORA ICT-risicoregisters, kwetsbaarheidsscans voor DORA-vereisten voor kwetsbaarheidsbeheer en ISO 27001-bewijsmateriaal voor preventieve actie, incidentregistraties voor de gereedheid voor meldingen van inbreuken op de AVG en CRA-verplichtingen voor after-market monitoring. Sustalium houdt hersteldeadlines en hertestschema's bij, en zorgt ervoor dat geïdentificeerde kwetsbaarheden binnen de vereiste tijdsbestekken worden aangepakt en dat bewijs van herstel wordt vastgelegd.

De EU Cyber ​​Resilience Act (CRA) verplicht fabrikanten om gedurende de gehele productondersteuningsperiode kwetsbaarheidstests uit te voeren en gedocumenteerd bewijs van kwetsbaarheidsbeheer bij te houden. DORA (Digital Operational Resilience Act) vereist regelmatige ICT-risicobeoordelingen, penetratietesten en kwetsbaarheidsbeheer voor financiële entiteiten. AVG Artikel 32 vereist vastgelegde beveiligingsmaatregelen die passend zijn voor de risico's van de verwerking van persoonsgegevens. De EU AI Act vereist bewijs van beveiligingstests voor AI-systemen met een hoog risico. ISO 27001 vereist interne audits, managementbeoordelingen en bewijs van corrigerende maatregelen. Sectorspecifieke regelgeving (financiële diensten, gezondheidszorg, kritieke infrastructuur) kent aanvullende audit- en testvereisten voor cyberbeveiliging. Zakelijke kopers eisen steeds vaker bewijs van beveiligingsaudits als voorwaarde voor aanbestedingen.