Kibernetinio saugumo auditas: ką iš tikrųjų tikrina ir kaip pasiruošti?

Kibernetinio saugumo auditas – tai sisteminga jūsų įmonės IT aplinkos, procesų ir politikų peržiūra, skirta nustatyti saugumo silpnąsias vietas. Tai ne tik techninis patikrinimas – auditas apima ir žmogiškąjį faktorių, organizacinius procesus bei naudojamas technologijas.

Pagal ES direktyvą TIS2 (NIS2), vidutinio ir didelio dydžio organizacijos privalo reguliariai vertinti savo kibernetinį saugumą. Auditas – vienas efektyviausių būdų tai padaryti ir išvengti didelių baudų. Daugiau informacijos apie TIS2: https://cyberspektras.lt/tis2/ 

Ką iš tikrųjų tikrina kibernetinio saugumo auditas?

Profesionalus auditas apima keletą svarbiausių sričių, kurios kartu sudaro išsamų jūsų įmonės saugumo paveikslą:

1. Tinklų ir infrastruktūros saugumas
   Tikrinamas organizacijos tinklas, prieigos kontrolė, duomenų perdavimo šifravimas ir tinklo segmentavimas. Identifikuojamos atviros „durys”, pro kurias galėtų įeiti užpuolikai.
2. Prieigos valdymas ir autentifikacija
   Analizuojama, kas turi prieigą prie kokių sistemų, ar taikomas daugiafaktoris autentifikavimas (MFA), ar laikomasi prieigų ribojimo. Dažnai čia aptinkamos rimčiausios spragos – per daug darbuotojų turi per dideles prieigos teises.
3. Programinės įrangos ir sistemų atnaujinimų valdymas
   Pasenusi programinė įranga yra viena pažeidžiamiausių vietų vykdant kibernetines atakas. Audito metu patikrinama, ar visos sistemos yra atnaujintos, ar vykdomi reguliarūs atnaujinimo procesai.
4. Duomenų apsauga ir atsarginės kopijos
   Tikrinama, kaip saugomi jautrūs duomenys, ar jie šifruojami, kur ir kaip daromos atsarginės kopijos bei kiek laiko prireiktų jas atstatyti po incidento (RTO/RPO rodikliai).
5. Darbuotojų saugumo sąmoningumas
   Net pati geriausia techninė apsauga nepadės, jei darbuotojai spaudžia kenksmingus nuorodas el. laiškuose. Auditas vertina, ar komanda geba atpažinti sukčiavimą (phishing), socialinę inžineriją ir kitas grėsmes.
6. Reagavimo į incidentus planas
   Ar jūsų įmonė žino, ką daryti, kai kibernetinė ataka įvyksta? Audito metu patikrinama, ar egzistuoja incidentų valdymo procedūros ir ar jos veiksmingos.

Kaip pasiruošti kibernetinio saugumo auditui?

Gera žinia – pasiruošimas auditui pats savaime pagerina jūsų įmonės saugumo kultūrą. Štai praktiniai žingsniai:

1. Sudarykite IT inventorių
   Surašykite visus naudojamus įrenginius, programas, sistemas ir paslaugas. Negalite apsaugoti to, ko nežinote, kad turite.
2. Peržiūrėkite prieigos teises
   Patikrinkite, ar visi dabartiniai darbuotojai turi tik tą prieigą, kurios jiems reikia. Ištrinkite buvusių darbuotojų paskyras.
3. Surinkite dokumentaciją
   Paruoškite tinklo schemas, saugumo politikas, procedūrų aprašymus ir ankstesnių incidentų ataskaitas – jei tokių yra.
4. Informuokite darbuotojus
   Praneškite komandai apie planuojamą auditą. Tai sumažina stresą ir padeda auditoriams gauti tikslesnę informaciją.
5. Nustatykite audito tikslus
   Aptarkite su audito komanda, ko labiausiai tikitės: atitikties reikalavimų patikrinimo, pažeidžiamumų identifikavimo ar procesų tobulinimo.