ІТ-безпека та тест на проникнення

Дані аудиту ІТ-безпеки включають звіти про тестування на проникнення, результати сканування вразливостей, висновки аудиту інформаційної безпеки та записи інцидентів безпеки, які демонструють стан кібербезпеки організації. Тести на проникнення імітують атаки в реальному світі для виявлення вразливостей, які можна використовувати. Сканування вразливостей забезпечує автоматичне визначення відомих уразливостей у системах і програмному забезпеченні. Звіти про аудит ISO 27001 забезпечують незалежну оцінку систем управління інформаційною безпекою. Реагування на інциденти реєструє події безпеки активів і можливості реагування організації. Ці докази вимагаються відповідно до Закону ЄС про кібер-стійкість, DORA, статті 32 GDPR та галузевих норм кібербезпеки.

Правила кібербезпеки дедалі частіше вимагають зареєстрованих доказів практик безпеки, а не лише політики та процедур. Закон ЄС про кібервідбійність вимагає від виробників проводити тестування вразливостей і зберігати зареєстровані результати тестування. DORA вимагає від фінансових установ проводити регулярну оцінку ризиків у сфері ІКТ, тестування на проникнення та керування вразливими місцями — усе із записаними доказами. Стаття 32 GDPR вимагає відповідних технічних та організаційних заходів — докази аудиту безпеки демонструють, які заходи впроваджено та що вони ефективні. Без зареєстрованих доказів аудиту ІТ-безпеки організації не можуть довести, що вони виконали свої зобов’язання щодо кібербезпеки.

У звітах про тестування на проникнення записується методологія внутрішнього та зовнішнього пентесту, висновки, шляхи використання, докази та статус виправлення — це необхідно для звітування про вразливості CRA та тестування DORA на проникнення на основі загроз (TLPT). Результати сканування вразливостей за допомогою таких інструментів, як Nessus, Qualys, OpenVAS і Rapid7, виявили вразливості активів із оцінками серйозності, ураженими системами та відстеженням усунення. Звіти про аудит ISO 27001 від акредитованих органів сертифікації забезпечують незалежну оцінку впровадження та ефективності СУІБ. Реагування на інциденти реєструє часові рамки інцидентів безпеки активів, методи виявлення, оцінку впливу, дії стримування та аналізи після інцидентів, надаючи докази виявлення інцидентів і можливості реагування, які вимагаються GDPR, DORA та CRA.

Звіти про аудит безпеки, результати тестів на проникнення, експорт сканування вразливостей і записи реагування на інциденти завантажуються в Sustalium. Результати відображаються у відповідних структурах відповідності кібербезпеці: результати пентестів у записах відповідності CRA та реєстрах ризиків DORA ICT, сканування вразливостей у відповідності з вимогами DORA щодо управління вразливістю та доказами профілактичних дій ISO 27001, записи про інциденти в готовності сповіщати про порушення GDPR та зобов’язаннях CRA післяпродажного моніторингу. Sustalium відстежує кінцеві терміни виправлення та графіки повторного тестування, забезпечуючи усунення виявлених вразливостей у необхідні терміни та реєстрацію доказів усунення.

Закон ЄС про кібервідбійність (CRA) вимагає від виробників проводити тестування вразливостей і зберігати записані докази керування вразливістю протягом усього періоду підтримки продукту. DORA (Digital Operational Resilience Act) вимагає регулярних оцінок ризиків ІКТ, тестування на проникнення та управління вразливістю для фінансових установ. Стаття 32 GDPR вимагає записаних заходів безпеки, які відповідають ризикам обробки персональних даних. Закон ЄС про штучний інтелект вимагає доказів перевірки безпеки для систем штучного інтелекту з високим ризиком. ISO 27001 вимагає внутрішніх аудитів, перевірок керівництва та доказів коригувальних дій. Законодавчі акти для окремих галузей (фінансові послуги, охорона здоров’я, критична інфраструктура) містять додаткові вимоги щодо аудиту та тестування кібербезпеки. Підприємства-покупці все частіше вимагають доказів аудиту безпеки як умови закупівлі.