IT-säkerhet och penetrationstest

IT-säkerhetsrevisionsdata omfattar penetrationstestrapporter, resultat av sårbarhetsskanning, informationssäkerhetsrevisionsresultat och säkerhetsincidentposter som visar en organisations cybersäkerhetsställning. Penetrationstester simulerar verkliga attacker för att identifiera exploateringsbara sårbarheter. Sårbarhetssökningar ger automatisk identifiering av kända sårbarheter i system och programvara. ISO 27001 revisionsrapporter ger en oberoende bedömning av ledningssystem för informationssäkerhet. Incident response registrerar tillgångssäkerhetshändelser och organisationens responsförmåga. Dessa bevis krävs av EU:s Cyber ​​Resilience Act, DORA, GDPR Artikel 32 och sektorspecifika cybersäkerhetsbestämmelser.

Cybersäkerhetsbestämmelser kräver i allt högre grad registrerade bevis på säkerhetspraxis – inte bara policyer och procedurer. EU:s Cyber ​​Resilience Act kräver att tillverkare utför sårbarhetstestning och underhåller registrerade testresultat. DORA kräver att finansiella enheter utför regelbundna IKT-riskbedömningar, penetrationstester och sårbarhetshantering – allt med dokumenterade bevis. GDPR Artikel 32 kräver lämpliga tekniska och organisatoriska åtgärder – säkerhetsrevisionsbevis visar vilka åtgärder som finns på plats och att de är effektiva. Utan registrerade IT-säkerhetsrevisionsbevis kan organisationer inte bevisa att de har uppfyllt sina skyldigheter för cybersäkerhet.

Penetrationstestrapporter registrerar intern och extern penetreringsmetodik, fynd, exploateringsvägar, bevis och åtgärdsstatus – krävs för CRA-sårbarhetsrapportering och DORA-hotledd penetrationstestning (TLPT). Sårbarhetsgenomsökning resultat från verktyg som Nessus, Qualys, OpenVAS och Rapid7-tillgångsupptäckta sårbarheter med allvarlighetsklassningar, påverkade system och åtgärdsspårning. ISO 27001 revisionsrapporter från ackrediterade certifieringsorgan ger en oberoende bedömning av ISMS implementering och effektivitet. Incidentrespons registrerar tillgångssäkerhetsincidentens tidslinjer, upptäcktsmetoder, konsekvensbedömningar, inneslutningsåtgärder och granskningar efter incidenten – ger bevis på incidentdetektion och responskapacitet som krävs av GDPR, DORA och CRA.

Säkerhetsrevisionsrapporter, fynd från penetrationstester, export av sårbarhetsskanningar och incidentresponsposter laddas upp till Sustalium. Resultaten kartläggs till de relevanta ramverken för cybersäkerhetsefterlevnad: de bästa resultaten till CRA-efterlevnadsregister och DORA ICT-riskregister, sårbarhetsskanningar till DORAs sårbarhetshanteringskrav och ISO 27001-bevis för förebyggande åtgärder, incidentposter till beredskap för GDPR-brottsmeddelanden och skyldigheter för CRA-eftermarknadsövervakning. Sustalium spårar tidsfrister för sanering och scheman för omtestning, vilket säkerställer att identifierade sårbarheter åtgärdas inom erforderliga tidsramar och att bevis för åtgärdande registreras.

EU:s Cyber ​​Resilience Act (CRA) kräver att tillverkare utför sårbarhetstestning och upprätthåller registrerade bevis på sårbarhetshantering under hela produktsupportperioden. DORA (Digital Operational Resilience Act) kräver regelbundna IKT-riskbedömningar, penetrationstester och sårbarhetshantering för finansiella enheter. GDPR artikel 32 kräver registrerade säkerhetsåtgärder som är lämpliga för riskerna med att behandla personuppgifter. EU AI Act kräver bevis för säkerhetstestning av högrisk AI-system. ISO 27001 kräver interna revisioner, ledningsgranskningar och bevis på korrigerande åtgärder. Sektorspecifika regleringar (finansiella tjänster, hälso- och sjukvård, kritisk infrastruktur) har ytterligare krav på cybersäkerhetsrevision och testning. Företagsköpare kräver i allt högre grad säkerhetsrevisionsbevis som ett villkor för upphandling.