IT varnost in penetracijski test

Podatki revizije varnosti IT zajemajo poročila o testih prodora, rezultate pregleda ranljivosti, ugotovitve revizije varnosti informacij in zapise o varnostnih incidentih, ki prikazujejo kibernetsko varnost organizacije. Preizkusi prodora simulirajo napade iz resničnega sveta, da prepoznajo ranljivosti, ki jih je mogoče izkoristiti. Pregledi ranljivosti zagotavljajo samodejno identifikacijo znanih ranljivosti v sistemih in programski opremi. Revizijska poročila ISO 27001 zagotavljajo neodvisno oceno sistemov upravljanja varnosti informacij. Odziv na incidente beleži varnostne dogodke sredstev in odzivno sposobnost organizacije. Ta dokazila zahtevajo zakon EU o kibernetski odpornosti, DORA, 32. člen GDPR in sektorski predpisi o kibernetski varnosti.

Predpisi o kibernetski varnosti vse pogosteje zahtevajo zabeležene dokaze o varnostnih praksah – ne le politik in postopkov. Zakon EU o kibernetski odpornosti od proizvajalcev zahteva, da izvajajo testiranje ranljivosti in hranijo zabeležene rezultate testov. DORA od finančnih subjektov zahteva, da izvajajo redne ocene tveganja IKT, testiranje penetracije in upravljanje ranljivosti – vse z zabeleženimi dokazi. 32. člen GDPR zahteva ustrezne tehnične in organizacijske ukrepe – varnostni revizijski dokazi dokazujejo, kateri ukrepi so vzpostavljeni in ali so učinkoviti. Brez evidentiranih dokazov o reviziji varnosti IT organizacije ne morejo dokazati, da so izpolnile svoje obveznosti glede kibernetske varnosti.

Poročila o preizkusu prodora beležijo notranjo in zunanjo metodologijo pentest, ugotovitve, poti izkoriščanja, dokaze in stanje sanacije – potrebno za poročanje o ranljivosti CRA in testiranje prodora na podlagi groženj DORA (TLPT). Rezultati skeniranja ranljivosti z orodji, kot so Nessus, Qualys, OpenVAS in Rapid7, so odkrili ranljivosti sredstev z ocenami resnosti, prizadetimi sistemi in sledenjem popravljanju. Revizijska poročila ISO 27001 akreditiranih certifikacijskih organov zagotavljajo neodvisno oceno izvajanja in učinkovitosti ISMS. Odziv na incidente beleži časovne razporede incidentov v zvezi z varnostjo sredstev, metode odkrivanja, ocene učinka, zadrževalne ukrepe in preglede po incidentu – zagotavljanje dokazov o zmogljivosti odkrivanja incidentov in odzivanja, ki jih zahtevajo GDPR, DORA in CRA.

Poročila o reviziji varnosti, ugotovitve testov prodora, izvozi skeniranja ranljivosti in zapisi odziva na incidente se naložijo v Sustalium. Rezultati so preslikani v ustrezne okvire skladnosti s kibernetsko varnostjo: ugotovitve pentesta v zapise o skladnosti s predpisi CRA in registre tveganj DORA ICT, pregledi ranljivosti v zahteve za upravljanje ranljivosti DORA in dokaze o preventivnih ukrepih ISO 27001, zapisi o incidentih v pripravljenost za obveščanje o kršitvah GDPR in obveznosti spremljanja CRA po trgu. Sustalium sledi rokom sanacije in urnikom ponovnega testiranja, s čimer zagotavlja, da so ugotovljene ranljivosti obravnavane v zahtevanih časovnih okvirih in da se zabeležijo dokazi sanacije.

EU Cyber ​​Resilience Act (CRA) od proizvajalcev zahteva, da izvajajo testiranje ranljivosti in hranijo zabeležene dokaze o upravljanju ranljivosti v celotnem obdobju podpore izdelka. DORA (Digital Operational Resilience Act) zahteva redne ocene tveganja IKT, testiranje penetracije in upravljanje ranljivosti za finančne subjekte. 32. člen GDPR zahteva zabeležene varnostne ukrepe, ki ustrezajo tveganjem obdelave osebnih podatkov. Zakon EU o umetni inteligenci zahteva dokaze o varnostnem testiranju sistemov umetne inteligence z visokim tveganjem. ISO 27001 zahteva notranje revizije, vodstvene preglede in dokaze o korektivnih ukrepih. Predpisi za posamezne sektorje (finančne storitve, zdravstvo, kritična infrastruktura) imajo dodatne zahteve glede revizije in testiranja kibernetske varnosti. Podjetniški kupci vse pogosteje zahtevajo dokaze o varnostni reviziji kot pogoj za naročilo.