Έλεγχος κυβερνοασφάλειας

Ο έλεγχος κυβερνοασφάλειας αξιολογεί την ύπαρξη και την αποτελεσματικότητα των δικλίδων που έχει θέσει ο οργανισμός για την προστασία των πληροφοριακών του στοιχείων. Δεν περιορίζεται σε τεχνικές δικλίδες: πολιτικές, εξουσιοδοτήσεις, διαχείριση προμηθευτών και απόκριση σε περιστατικά εντάσσονται επίσης.

Στόχος είναι ο εντοπισμός της επιφάνειας επίθεσης και των κενών στις δικλίδες πριν συμβεί περιστατικό.

• Τεχνολογικές εταιρείες των οποίων οι πελάτες ζητούν διασφάλιση ασφάλειας
• Οργανισμοί που θεσπίζουν ή διατηρούν το ISO/IEC 27001
• Επιχειρήσεις σε κρίσιμες υποδομές και ρυθμιζόμενους τομείς
• Οργανισμοί που επεξεργάζονται δεδομένα καρτών (εντός του πεδίου PCI DSS)
• Εταιρείες εντός του πεδίου αξιολόγησης ασφάλειας προμηθευτή

Το κριτήριο είναι το πλαίσιο που εφαρμόζεται: οι έλεγχοι του Παραρτήματος Α του ISO/IEC 27001, το IEC 62443 (βιομηχανικό), το PCI DSS, το NIST CSF ή τα CIS Controls. Η απευθείας εφαρμογή ενός πλαισίου IT σε βιομηχανικό περιβάλλον δίνει λανθασμένο αποτέλεσμα· πρέπει να επιλέγεται κριτήριο κατάλληλο για OT.

• Πολιτικές ασφάλειας πληροφοριών και δομή διακυβέρνησης
• Απογραφή και ταξινόμηση περιουσιακών στοιχείων
• Η διαδικασία εκτίμησης κινδύνου και η Δήλωση Εφαρμοσιμότητας
• Διαχείριση ταυτότητας και πρόσβασης, προνομιούχοι λογαριασμοί
• Τμηματοποίηση δικτύου και ασφάλεια περιμέτρου
• Προστασία τελικών σημείων και διαχείριση ενημερώσεων ασφαλείας
• Κρυπτογραφία και διαχείριση κλειδιών
• Καταγραφή, παρακολούθηση και ικανότητες ανίχνευσης
• Δοκιμές αντιγράφων ασφαλείας και αποκατάστασης
• Πρακτικές ασφαλούς ανάπτυξης λογισμικού
• Ασφάλεια προμηθευτών και παρόχων υπηρεσιών cloud
• Το σχέδιο αντιμετώπισης περιστατικών και οι ασκήσεις του
• Επιχειρησιακή συνέχεια και αποκατάσταση καταστροφών
• Εκπαίδευση ευαισθητοποίησης και ανθρώπινος παράγοντας

• ISO/IEC 27001
• ISO/IEC 27002
• IEC 62443
• PCI DSS
• NIST CSF
• ISO 19011

1. 1Επιλογή των κριτηρίων εφαρμογήςΚαθορίζεται το πρότυπο, το σχήμα ή η νομοθεσία βάσει των οποίων διενεργείται ο έλεγχος· στους θεματικούς ελέγχους η επιλογή κριτηρίου καθορίζει άμεσα τη σημασία του αποτελέσματος.
2. 2Εκτίμηση κινδύνου και εύροςΟι περιοχές κινδύνου προσδιορίζονται βάσει δραστηριότητας και τοποθεσίας του οργανισμού· ανάλογα προγραμματίζονται οι ημέρες ελέγχου.
3. 3Εξέταση εγγράφων και αρχείωνΕξετάζονται πολιτικές, διαδικασίες, άδειες, αρχεία μετρήσεων και αποτελέσματα προηγούμενων ελέγχων.
4. 4Επιτόπιος έλεγχοςΔιασχίζονται οι σχετικοί χώροι· γίνονται μετρήσεις, παρατηρήσεις και έλεγχοι αρχείων ειδικοί για το θέμα.
5. 5Συνεντεύξεις εργαζομένωνΕφόσον το απαιτεί το θέμα, διεξάγονται εμπιστευτικές συνεντεύξεις με εργαζομένους ανεξάρτητα από τη διοίκηση· οι δηλώσεις αντιπαραβάλλονται με τα αρχεία.
6. 6Αξιολόγηση νομικής συμμόρφωσηςΗ συμμόρφωση με την ισχύουσα νομοθεσία ελέγχεται χωριστά· η νομική μη συμμόρφωση αποτελεί σε κάθε σχήμα τη βαρύτερη κατηγορία ευρήματος.
7. 7Αναφορά των ευρημάτωνΤα ευρήματα ταξινομούνται κατά βαρύτητα και συγκεντρώνονται σε έκθεση.
8. 8Διορθωτικές ενέργειες και παρακολούθησηΛαμβάνεται σχέδιο διορθωτικών ενεργειών· παρακολουθείται το κλείσιμό του εντός της προθεσμίας του σχήματος.

Τα ευρήματα ιεραρχούνται βάσει επιπέδου κινδύνου. Μια άμεσα εκμεταλλεύσιμη ευπάθεια και ένα ελλείπον έγγραφο πολιτικής δεν έχουν το ίδιο βάρος· αυτή η διάκριση γίνεται ρητά στην έκθεση, και η σειρά αποκατάστασης προτείνεται βάσει κινδύνου.

• Στοιχεία φορέα, ελεγκτή και ελεγχόμενου
• Εφαρμοζόμενο πρότυπο, σχήμα ή νομοθεσία
• Ημερομηνία, διάρκεια και εύρος ελέγχου
• Ευρήματα από την εξέταση εγγράφων και αρχείων
• Επιτόπιες παρατηρήσεις και αποτελέσματα μετρήσεων
• Ευρήματα από συνεντεύξεις εργαζομένων, εφόσον έγιναν
• Αξιολόγηση νομικής συμμόρφωσης
• Ευρήματα, βαρύτητα και τεκμήρια
• Σχέδιο διορθωτικών ενεργειών και προθεσμίες

Ένας έλεγχος κυβερνοασφάλειας αξιολογεί την ύπαρξη και τον σχεδιασμό των ελέγχων· δεν εγγυάται ότι κάθε έλεγχος λειτουργεί αποτελεσματικά ανά πάσα στιγμή. Ο έλεγχος δείχνει την κατάσταση σε συγκεκριμένη ημερομηνία, και το τοπίο απειλών αλλάζει συνεχώς. Ο έλεγχος επίσης δεν είναι δοκιμή διείσδυσης: το αν οι ευπάθειες είναι πράγματι εκμεταλλεύσιμες αποτελεί ξεχωριστό τεχνικό ζήτημα δοκιμής.

Η διαπίστευση διαφέρει ανάλογα με τον τύπο του ελέγχου. Οι έλεγχοι τρίτου μέρους που στηρίζουν την πιστοποίηση συστημάτων διαχείρισης διενεργούνται κατά ISO/IEC 17021-1 και όσοι στηρίζουν την πιστοποίηση προϊόντος κατά ISO/IEC 17065· τα πεδία αυτά υπόκεινται σε διαπίστευση. Οι έλεγχοι πρώτου και δεύτερου μέρους, καθώς και όσοι διέπονται από τους κανόνες του ιδιοκτήτη ενός σχήματος (SMETA, amfori BSCI), δεν εμπίπτουν στη διαπιστευμένη πιστοποίηση· ακολουθούν το ISO 19011 και παράγουν έκθεση. Η EUROLAB διαθέτει διεθνώς αναγνωρισμένη διαπίστευση κατά ISO/IEC 17021-1 και ISO/IEC 17065 από φορείς της συμφωνίας IAF· ποιοι έλεγχοι προσφέρονται εντός διαπιστευμένου πεδίου επιβεβαιώνεται εγγράφως στο στάδιο της προσφοράς.

• Έλεγχος κοινωνικής συμμόρφωσης
• Περιβαλλοντικός έλεγχος
• Έλεγχος υγείας και ασφάλειας
• Ενεργειακός έλεγχος
• Έλεγχος προστασίας δεδομένων
• Έλεγχος ESG