Аудит ИТ-безопасности

Данные аудита ИТ-безопасности включают отчеты о тестах на проникновение, результаты сканирования уязвимостей, результаты аудита информационной безопасности и записи инцидентов безопасности, которые демонстрируют состояние кибербезопасности организации. Тесты на проникновение имитируют реальные атаки для выявления уязвимостей, которые можно использовать. Сканирование уязвимостей обеспечивает автоматическое выявление известных уязвимостей в системах и программном обеспечении. Отчеты об аудите ISO 27001 обеспечивают независимую оценку систем управления информационной безопасностью. Реагирование на инциденты фиксирует события, связанные с безопасностью активов, и возможности реагирования организации. Эти доказательства требуются в соответствии с Законом ЕС о киберустойчивости, DORA, статьей 32 GDPR и отраслевыми правилами кибербезопасности.

Нормативы по кибербезопасности все чаще требуют документированных доказательств практики обеспечения безопасности, а не только политик и процедур. Закон ЕС о киберустойчивости требует от производителей проводить тестирование на уязвимости и вести запись результатов тестирования. DORA требует от финансовых организаций регулярно проводить оценку рисков ИКТ, тестирование на проникновение и управление уязвимостями — и все это с документально подтвержденными доказательствами. Статья 32 GDPR требует соответствующих технических и организационных мер — данные аудита безопасности показывают, какие меры приняты и что они эффективны. Без зарегистрированных доказательств аудита ИТ-безопасности организации не могут доказать, что они выполнили свои обязательства по кибербезопасности.

В отчетах о тестах на проникновение фиксируются внутренние и внешние методологии пентеста, результаты, пути эксплуатации, доказательства и статус исправления, необходимые для отчетов об уязвимостях CRA и тестирования на проникновение под руководством угроз DORA (TLPT). Результаты сканирования уязвимостей с помощью таких инструментов, как Nessus, Qualys, OpenVAS и Rapid7, обнаруживают уязвимости с рейтингами серьезности, затронутыми системами и отслеживанием исправлений. Отчеты об аудите ISO 27001 от аккредитованных органов по сертификации обеспечивают независимую оценку внедрения и эффективности СМИБ. Реагирование на инциденты фиксирует сроки инцидентов безопасности активов, методы обнаружения, оценки воздействия, действия по сдерживанию и анализы после инцидентов, предоставляя доказательства обнаружения инцидентов и возможности реагирования, требуемые GDPR, DORA и CRA.

Отчеты аудита безопасности, результаты тестов на проникновение, экспорт результатов сканирования уязвимостей и записи реагирования на инциденты загружаются в Sustalium. Результаты соответствуют соответствующим системам обеспечения кибербезопасности: результаты пентестов соответствуют записям соответствия CRA и реестрам рисков ICT DORA, сканирование уязвимостей соответствует требованиям DORA по управлению уязвимостями и доказательствам превентивных действий ISO 27001, записи инцидентов соответствуют готовности к уведомлению о нарушении GDPR и обязательствам CRA по послепродажному мониторингу. Sustalium отслеживает сроки исправления и графики повторного тестирования, гарантируя устранение выявленных уязвимостей в требуемые сроки и запись доказательств исправления.

Закон ЕС о киберустойчивости (CRA) требует, чтобы производители проводили тестирование уязвимостей и сохраняли зарегистрированные доказательства управления уязвимостями на протяжении всего периода поддержки продукта. DORA (Закон об операционной устойчивости цифровых технологий) требует от финансовых организаций регулярной оценки рисков ИКТ, тестирования на проникновение и управления уязвимостями. Статья 32 GDPR требует зафиксированных мер безопасности, соответствующих рискам обработки персональных данных. Закон ЕС об искусственном интеллекте требует доказательств проверки безопасности для систем искусственного интеллекта высокого риска. ISO 27001 требует внутреннего аудита, анализа со стороны руководства и подтверждения корректирующих действий. Отраслевые правила (финансовые услуги, здравоохранение, критическая инфраструктура) содержат дополнительные требования к аудиту и тестированию кибербезопасности. Корпоративным покупателям все чаще требуются доказательства аудита безопасности в качестве условия закупок.