IT bezpečnosť a penetračný test

Údaje auditu bezpečnosti IT zahŕňajú správy o penetračných testoch, výsledky skenovania zraniteľností, zistenia auditu bezpečnosti informácií a záznamy o bezpečnostných incidentoch, ktoré demonštrujú postoj organizácie v oblasti kybernetickej bezpečnosti. Penetračné testy simulujú reálne útoky s cieľom identifikovať zneužiteľné zraniteľnosti. Skenovanie zraniteľností poskytuje automatickú identifikáciu známych zraniteľností v systémoch a softvéri. Správy o audite ISO 27001 poskytujú nezávislé hodnotenie systémov riadenia bezpečnosti informácií. Reakcia na incidenty zaznamenáva udalosti zabezpečenia majetku a schopnosť organizácie reagovať. Tento dôkaz vyžaduje zákon EÚ o kybernetickej odolnosti, DORA, článok 32 GDPR a nariadenia o kybernetickej bezpečnosti špecifické pre daný sektor.

Predpisy v oblasti kybernetickej bezpečnosti čoraz viac vyžadujú zaznamenané dôkazy o bezpečnostných postupoch – nielen politiky a postupy. Zákon EÚ o kybernetickej odolnosti vyžaduje, aby výrobcovia vykonávali testovanie zraniteľnosti a uchovávali zaznamenané výsledky testov. DORA vyžaduje, aby finančné subjekty vykonávali pravidelné hodnotenia rizík ICT, penetračné testovanie a správu zraniteľnosti – to všetko so zaznamenanými dôkazmi. Článok 32 GDPR vyžaduje primerané technické a organizačné opatrenia – dôkazy bezpečnostného auditu preukazujú, aké opatrenia sú zavedené a že sú účinné. Bez zaznamenaných dôkazov z auditu bezpečnosti IT nemôžu organizácie preukázať, že splnili svoje povinnosti v oblasti kybernetickej bezpečnosti.

Správy o penetračných testoch zaznamenávajú internú a externú metodiku pentestu, zistenia, cesty využívania, dôkazy a stav nápravy – potrebné pre hlásenie o zraniteľnosti CRA a penetračné testovanie pod hrozbou DORA (TLPT). Výsledky kontroly zraniteľnosti z nástrojov ako Nessus, Qualys, OpenVAS a Rapid7 odhalili zraniteľnosti s hodnotením závažnosti, ovplyvnenými systémami a sledovaním nápravy. Správy o audite ISO 27001 od akreditovaných certifikačných orgánov poskytujú nezávislé hodnotenie implementácie a účinnosti ISMS. Reakcia na incidenty zaznamenáva časové harmonogramy bezpečnostných incidentov, metódy detekcie, hodnotenia vplyvu, opatrenia na zamedzenie a kontroly po incidente – poskytujú dôkazy o detekcii incidentov a schopnosti reagovať, ktoré vyžadujú GDPR, DORA a CRA.

Správy bezpečnostného auditu, zistenia penetračných testov, exporty skenovania zraniteľností a záznamy reakcií na incidenty sa nahrávajú do Sustalium. Výsledky mapujú príslušné rámce dodržiavania kybernetickej bezpečnosti: priebežné zistenia záznamov o dodržiavaní predpisov CRA a registrov rizík ICT DORA, skenovanie zraniteľnosti podľa požiadaviek na riadenie zraniteľnosti DORA a dôkazy o preventívnych opatreniach podľa normy ISO 27001, záznamy o incidentoch až po pripravenosť na oznamovanie porušenia GDPR a povinnosti monitorovania CRA po trhu. Sustalium sleduje termíny nápravy a harmonogramy opakovaných testov, čím zabezpečuje, že identifikované zraniteľné miesta sa riešia v požadovaných časových rámcoch a že sa zaznamenávajú dôkazy o náprave.

Zákon EÚ o kybernetickej odolnosti (CRA) vyžaduje, aby výrobcovia vykonávali testovanie zraniteľnosti a uchovávali zaznamenané dôkazy o riadení zraniteľnosti počas obdobia podpory produktu. DORA (Digital Operational Resilience Act) vyžaduje pravidelné hodnotenia rizík ICT, penetračné testovanie a riadenie zraniteľnosti pre finančné subjekty. Článok 32 GDPR vyžaduje zaznamenané bezpečnostné opatrenia primerané rizikám spracovania osobných údajov. Zákon EÚ o umelej inteligencii vyžaduje dôkazy o testovaní bezpečnosti pre vysokorizikové systémy umelej inteligencie. ISO 27001 vyžaduje interné audity, kontroly manažmentu a dôkazy o nápravných opatreniach. Predpisy špecifické pre jednotlivé odvetvia (finančné služby, zdravotná starostlivosť, kritická infraštruktúra) majú dodatočné požiadavky na audit a testovanie kybernetickej bezpečnosti. Podnikoví nákupcovia čoraz častejšie vyžadujú dôkazy z bezpečnostného auditu ako podmienku obstarávania.