การทดสอบความปลอดภัยและการรุกล้ำด้านไอที

ข้อมูลการตรวจสอบความปลอดภัยด้านไอทีประกอบด้วยรายงานการทดสอบการเจาะระบบ ผลการสแกนช่องโหว่ ผลการตรวจสอบความปลอดภัยของข้อมูล และบันทึกเหตุการณ์ด้านความปลอดภัยที่แสดงให้เห็นถึงมาตรการรักษาความปลอดภัยทางไซเบอร์ขององค์กร การทดสอบการเจาะระบบจะจำลองการโจมตีในโลกแห่งความเป็นจริงเพื่อระบุช่องโหว่ที่สามารถใช้ประโยชน์ได้ การสแกนช่องโหว่ให้การระบุช่องโหว่ที่ทราบในระบบและซอฟต์แวร์โดยอัตโนมัติ รายงานการตรวจสอบ ISO 27001 ให้การประเมินระบบการจัดการความปลอดภัยของข้อมูลโดยอิสระ การตอบสนองเหตุการณ์จะบันทึกเหตุการณ์ความปลอดภัยของทรัพย์สินและความสามารถในการตอบสนองขององค์กร หลักฐานนี้กำหนดโดยกฎหมาย EU Cyber ​​Resilience Act, DORA, GDPR Article 32 และกฎระเบียบด้านความปลอดภัยทางไซเบอร์เฉพาะภาคส่วน

กฎระเบียบด้านความปลอดภัยทางไซเบอร์จำเป็นต้องมีหลักฐานที่บันทึกไว้เกี่ยวกับแนวทางปฏิบัติด้านความปลอดภัยมากขึ้น ไม่ใช่แค่นโยบายและขั้นตอนเท่านั้น กฎหมาย Cyber ​​Resilience Act ของสหภาพยุโรปกำหนดให้ผู้ผลิตต้องทำการทดสอบช่องโหว่และรักษาผลการทดสอบที่บันทึกไว้ DORA กำหนดให้หน่วยงานทางการเงินดำเนินการประเมินความเสี่ยงด้าน ICT การทดสอบการเจาะระบบ และการจัดการช่องโหว่อย่างสม่ำเสมอ โดยทั้งหมดนี้ต้องมีหลักฐานบันทึกไว้ GDPR Article 32 กำหนดให้ใช้มาตรการทางเทคนิคและองค์กรที่เหมาะสม หลักฐานการตรวจสอบความปลอดภัยแสดงให้เห็นว่ามาตรการใดที่ใช้อยู่และมีประสิทธิภาพ หากไม่มีหลักฐานการตรวจสอบความปลอดภัยด้านไอทีที่บันทึกไว้ องค์กรต่างๆ ไม่สามารถพิสูจน์ได้ว่าตนได้ปฏิบัติตามพันธกรณีด้านความปลอดภัยทางไซเบอร์แล้ว

รายงานการทดสอบการเจาะระบบจะบันทึกวิธีการทดสอบการเจาะระบบทั้งภายในและภายนอก การค้นพบ เส้นทางการหาประโยชน์ หลักฐาน และสถานะการแก้ไข ซึ่งจำเป็นสำหรับการรายงานช่องโหว่ของ CRA และการทดสอบการเจาะระบบที่นำโดยภัยคุกคามของ DORA (TLPT) ผลลัพธ์การสแกนช่องโหว่จากเครื่องมือเช่น Nessus, Qualys, OpenVAS และ Rapid7 ที่ตรวจพบช่องโหว่พร้อมระดับความรุนแรง ระบบที่ได้รับผลกระทบ และการติดตามการแก้ไข รายงานการตรวจสอบ ISO 27001 จากหน่วยรับรองที่ได้รับการรับรองจะให้การประเมินที่เป็นอิสระเกี่ยวกับการนำ ISMS ไปใช้และประสิทธิผล การตอบสนองเหตุการณ์จะบันทึกลำดับเวลาของเหตุการณ์ด้านความปลอดภัยของทรัพย์สิน วิธีการตรวจจับ การประเมินผลกระทบ การดำเนินการควบคุม และการตรวจสอบหลังเหตุการณ์ โดยให้หลักฐานการตรวจจับเหตุการณ์และความสามารถในการตอบสนองที่กำหนดโดย GDPR, DORA และ CRA

รายงานการตรวจสอบความปลอดภัย ผลการทดสอบการเจาะระบบ การส่งออกการสแกนช่องโหว่ และบันทึกการตอบสนองต่อเหตุการณ์จะถูกอัปโหลดไปยัง Sustalium ผลลัพธ์แมปกับกรอบการทำงานการปฏิบัติตามข้อกำหนดด้านความปลอดภัยทางไซเบอร์ที่เกี่ยวข้อง: การค้นพบล่าสุดในบันทึกการปฏิบัติตามข้อกำหนดของ CRA และการลงทะเบียนความเสี่ยงของ DORA ICT, การสแกนช่องโหว่ตามข้อกำหนดการจัดการช่องโหว่ของ DORA และหลักฐานการดำเนินการป้องกัน ISO 27001, บันทึกเหตุการณ์ที่เกี่ยวข้องกับความพร้อมในการแจ้งเตือนการละเมิด GDPR และภาระหน้าที่ในการตรวจสอบหลังตลาดของ CRA Sustalium ติดตามกำหนดเวลาการแก้ไขและกำหนดการทดสอบซ้ำ เพื่อให้มั่นใจว่าช่องโหว่ที่ระบุได้รับการแก้ไขภายในกรอบเวลาที่กำหนด และหลักฐานการแก้ไขได้รับการบันทึกไว้

พระราชบัญญัติความยืดหยุ่นทางไซเบอร์ของสหภาพยุโรป (CRA) กำหนดให้ผู้ผลิตดำเนินการทดสอบช่องโหว่และรักษาหลักฐานที่บันทึกไว้ของการจัดการช่องโหว่ตลอดระยะเวลาการสนับสนุนผลิตภัณฑ์ DORA (Digital Operational Resilience Act) กำหนดให้มีการประเมินความเสี่ยงด้าน ICT การทดสอบการเจาะระบบ และการจัดการช่องโหว่สำหรับหน่วยงานทางการเงินเป็นประจำ GDPR มาตรา 32 กำหนดให้มีมาตรการรักษาความปลอดภัยที่บันทึกไว้ซึ่งเหมาะสมกับความเสี่ยงในการประมวลผลข้อมูลส่วนบุคคล พระราชบัญญัติ AI ของสหภาพยุโรปกำหนดให้ต้องมีหลักฐานการทดสอบความปลอดภัยสำหรับระบบ AI ที่มีความเสี่ยงสูง ISO 27001 กำหนดให้ต้องมีการตรวจสอบภายใน การทบทวนของฝ่ายบริหาร และหลักฐานการดำเนินการแก้ไข กฎระเบียบเฉพาะภาค (บริการทางการเงิน การดูแลสุขภาพ โครงสร้างพื้นฐานที่สำคัญ) มีข้อกำหนดการตรวจสอบและทดสอบความปลอดภัยทางไซเบอร์เพิ่มเติม ผู้ซื้อระดับองค์กรจำเป็นต้องมีหลักฐานการตรวจสอบความปลอดภัยมากขึ้นตามเงื่อนไขในการจัดซื้อ