Test bezpieczeństwa i penetracji IT

Dane z audytu bezpieczeństwa IT obejmują raporty z testów penetracyjnych, wyniki skanowania podatności na ataki, ustalenia z audytu bezpieczeństwa informacji oraz zapisy incydentów związanych z bezpieczeństwem, które pokazują poziom cyberbezpieczeństwa organizacji. Testy penetracyjne symulują ataki w świecie rzeczywistym w celu zidentyfikowania luk, które można wykorzystać. Skanowanie podatności zapewnia automatyczną identyfikację znanych luk w systemach i oprogramowaniu. Raporty z audytu ISO 27001 zapewniają niezależną ocenę systemów zarządzania bezpieczeństwem informacji. Reakcja na incydenty rejestruje zdarzenia związane z bezpieczeństwem aktywów i zdolność organizacji do reagowania. Dowody te są wymagane na mocy unijnej ustawy o odporności cybernetycznej, DORA, art. 32 RODO oraz sektorowych przepisów dotyczących cyberbezpieczeństwa.

Przepisy dotyczące cyberbezpieczeństwa coraz częściej wymagają zarejestrowanych dowodów praktyk bezpieczeństwa – nie tylko polityk i procedur. Unijna ustawa o odporności cybernetycznej nakłada na producentów obowiązek przeprowadzania testów podatności na zagrożenia i przechowywania zarejestrowanych wyników testów. DORA wymaga, aby podmioty finansowe przeprowadzały regularne oceny ryzyka ICT, testy penetracyjne i zarządzanie podatnościami na zagrożenia – a wszystko to na podstawie zarejestrowanych dowodów. Artykuł 32 RODO wymaga odpowiednich środków technicznych i organizacyjnych – dowody kontroli bezpieczeństwa pokazują, jakie środki zostały wdrożone i czy są skuteczne. Bez zarejestrowanych dowodów audytu bezpieczeństwa IT organizacje nie mogą udowodnić, że wypełniły swoje obowiązki w zakresie cyberbezpieczeństwa.

Raporty z testów penetracyjnych rejestrują wewnętrzną i zewnętrzną metodologię pentestu, ustalenia, ścieżki wykorzystania, dowody i status środków zaradczych — wymagane do raportowania podatności na ataki agencji ratingowych i testów penetracyjnych opartych na zagrożeniach DORA (TLPT). Wyniki skanowania podatności na zagrożenia za pomocą narzędzi takich jak Nessus, Qualys, OpenVAS i Rapid7 wykryły luki w zabezpieczeniach z ocenami ważności, dotkniętymi systemami i śledzeniem działań naprawczych. Raporty z audytu ISO 27001 sporządzone przez akredytowane jednostki certyfikujące zapewniają niezależną ocenę wdrożenia i skuteczności SZBI. Reakcja na incydenty rejestruje harmonogram incydentów związanych z bezpieczeństwem aktywów, metody ich wykrywania, oceny skutków, działania ograniczające i przeglądy poincydentowe — dostarczając dowodów na wykrywanie incydentów i zdolność reagowania wymaganą przez RODO, DORA i CRA.

Raporty z audytu bezpieczeństwa, wyniki testów penetracyjnych, eksporty skanów luk w zabezpieczeniach i zapisy reakcji na incydenty są przesyłane do Sustalium. Wyniki pokrywają się z odpowiednimi ramami zgodności z cyberbezpieczeństwem: ustalenia pentestu dotyczące zapisów zgodności CRA i rejestrów ryzyka ICT DORA, skanowanie podatności na wymogi DORA w zakresie zarządzania podatnościami i dowody działań zapobiegawczych ISO 27001, rejestry incydentów, gotowość do powiadamiania o naruszeniach RODO oraz obowiązki CRA w zakresie monitorowania po wprowadzeniu na rynek. Sustalium śledzi terminy napraw i harmonogramy ponownych testów, zapewniając, że zidentyfikowane luki zostaną usunięte w wymaganych ramach czasowych i że zarejestrowane zostaną dowody środków zaradczych.

Unijna ustawa o odporności cybernetycznej (CRA) wymaga od producentów przeprowadzania testów podatności i przechowywania zarejestrowanych dowodów zarządzania podatnościami przez cały okres wsparcia produktu. DORA (Digital Operational Resilience Act) wymaga regularnej oceny ryzyka ICT, testów penetracyjnych i zarządzania podatnościami na zagrożenia dla podmiotów finansowych. Artykuł 32 RODO wymaga zarejestrowanych środków bezpieczeństwa odpowiednich do ryzyka związanego z przetwarzaniem danych osobowych. Ustawa UE o sztucznej inteligencji wymaga dowodów z testów bezpieczeństwa w przypadku systemów sztucznej inteligencji wysokiego ryzyka. ISO 27001 wymaga audytów wewnętrznych, przeglądów zarządzania i dowodów działań naprawczych. Przepisy sektorowe (usługi finansowe, opieka zdrowotna, infrastruktura krytyczna) nakładają dodatkowe wymogi w zakresie audytu i testowania cyberbezpieczeństwa. Nabywcy w przedsiębiorstwach coraz częściej wymagają dowodów audytu bezpieczeństwa jako warunku zamówienia.