Τι είναι το πιστοποιητικό;

Η αξιολόγηση της κυβερνοασφάλειας είναι η ανεξάρτητη εξέταση της θέσης ασφαλείας ενός οργανισμού ή ενός συστήματος. Δεν χρειάζεται να συνδέεται με ένα συγκεκριμένο σύστημα πιστοποίησης: δοκιμές διείσδυσης, αξιολόγηση ευπάθειας, αναθεώρηση αρχιτεκτονικής, αξιολόγηση ωριμότητας (π.χ. NIST CSF, CIS Controls) ή άσκηση κόκκινης ομάδας εμπίπτουν σε αυτόν τον τίτλο. Το αποτέλεσμα είναι μια αναφορά ευρημάτων και συστάσεων, όχι ένα πιστοποιητικό.

Ποιοι το χρειάζονται;

Οργανισμοί που θέλουν να μετρήσουν τη στάση ασφαλείας τους
Εταιρείες που θέλουν ανάλυση κενού πριν από την πιστοποίηση
Εταιρείες με συμβατική υποχρέωση για περιοδικές δοκιμές διείσδυσης
Ομάδες που θέλουν να επαληθεύσουν ένα νέο σύστημα ή ένα νέο προϊόν πριν βγουν ζωντανά
Οργανισμοί που επαναξιολογούν τη στάση τους μετά από ένα περιστατικό

Είναι υποχρεωτικό;

Δεν είναι υποχρεωτικό από μόνο του. Ωστόσο, πολλά πλαίσια και κανονισμοί επιβάλλουν μια υποχρέωση περιοδικής δοκιμής: Το PCI DSS απαιτεί δοκιμή διείσδυσης και σάρωση, το ISO/IEC 27001 αναμένει αναθεώρηση τεχνικής συμμόρφωσης και κανονισμοί όπως το NIS2 απαιτούν την αξιολόγηση της αποτελεσματικότητας των μέτρων διαχείρισης κινδύνου.

Πεδίο εφαρμογής του προτύπου

Καθορισμός του πεδίου και των κανόνων εμπλοκής
Σύνταξη της απογραφής περιουσιακών στοιχείων και της επιφάνειας επίθεσης
Σάρωση και επικύρωση ευπάθειας
Δοκιμή διείσδυσης: εξωτερικό δίκτυο, εσωτερικό δίκτυο, εφαρμογή web, εφαρμογή για κινητά, ασύρματη
Ανασκόπηση διαμόρφωσης και σκλήρυνσης
Ανασκόπηση διαχείρισης ταυτότητας και πρόσβασης
Αξιολόγηση αρχιτεκτονικής και τμηματοποίησης
Έλεγχος κοινωνικής μηχανικής και ευαισθητοποίησης (εάν εμπίπτει στο πεδίο εφαρμογής)
Αξιολόγηση ωριμότητας (έναντι πλαισίων όπως NIST CSF, CIS Controls)
Προτεραιότητα και αναφορά ευρημάτων ανά επίπεδο κινδύνου
Δοκιμή επαλήθευσης μετά την αποκατάσταση

Διαδικασία πιστοποίησης

1Καθορισμός Πεδίου και ΠρογράμματοςΚαθορίζονται οι τοποθεσίες και οι διαδικασίες που θα ελεγχθούν και η διάρκεια ελέγχου που απαιτεί το σύστημα.
2προαξιολόγησηΠροαιρετικά πραγματοποιείται ανάλυση χάσματος. τα κενά γίνονται ορατά πριν από τον κύριο έλεγχο.
3Επιτόπιος έλεγχοςΗ ανασκόπηση των αρχείων, η παρατήρηση του χώρου και οι συνεντεύξεις εργαζομένων πραγματοποιούνται βάσει της λίστας ελέγχου του συστήματος.
4Αναφορά των ευρημάτωνΤα ευρήματα αναφέρονται σύμφωνα με την ταξινόμηση του συστήματος. Το αποτέλεσμα αυτών των συστημάτων είναι μια έκθεση ελέγχου, όχι ένα πιστοποιητικό.
5Διορθωτικές ενέργειες και παρακολούθησηΥποβάλλεται σχέδιο διορθωτικής δράσης για τα πορίσματα. κλείνει με έλεγχο παρακολούθησης στο πλαίσιο του καθεστώτος.

Διάρκεια ισχύος

Η περίοδος ισχύος των εκθέσεων ελέγχου καθορίζεται από το σύστημα και είναι κυρίως μεταξύ ενός και δύο ετών. Η αναφορά χρησιμοποιείται για την περίοδο αποδοχής της επωνυμίας αγοράς.

Απαιτούμενα έγγραφα

Στοιχεία οργάνωσης και τοποθεσίας
Αριθμός προσωπικού και μοτίβο βάρδιας
Νόμιμες άδειες και άδειες
Σχετικές πολιτικές και διαδικασίες
Μητρώα μισθοδοσίας, χρόνου και προσωπικού

Κόστος πιστοποίησης

Δεν υπάρχει σταθερή τιμή καταλόγου· το κόστος υπολογίζεται βάσει των παρακάτω μεταβλητών και παρέχεται γραπτώς στην προσφορά.

Ο αριθμός των τοποθεσιών που θα ελεγχθούν και ο αριθμός των ατόμων
Η διάρκεια του ελέγχου που ορίζει το σχέδιο
Εάν ζητείται προαξιολόγηση (ανάλυση κενών).
Εάν απαιτείται έλεγχος παρακολούθησης

Διαπίστευση

Τα περισσότερα από αυτά τα συστήματα παράγουν εκθέσεις ελέγχου, όχι έγγραφα, και υπόκεινται στο σύστημα έγκρισης του κατόχου του συστήματος (π.χ. Sedex, amfori, RBA). Η διαπίστευση με την κλασική έννοια δεν συναντάται σε κάθε σύστημα. Η ικανότητα του ελεγκτή και η εγκυρότητα της έκθεσης καθορίζονται από τους κανόνες του κατόχου του συστήματος.

Το πεδίο εφαρμογής στο οποίο μπορεί να προσφερθεί αυτό το σχήμα ποικίλλει ανάλογα με το προϊόν και τη δραστηριότητά σας· επιβεβαιώνεται γραπτώς στο στάδιο της προσφοράς.

Πεδίο εφαρμογής και εξουσιοδοτήσεις

Σχετικές πιστοποιήσεις

Συχνές ερωτήσεις

Είναι ένα τεστ διείσδυσης και μια σάρωση ευπάθειας το ίδιο πράγμα;

Όχι. Μια σάρωση ευπάθειας παραθέτει γνωστές αδυναμίες χρησιμοποιώντας αυτοματοποιημένα εργαλεία. Μια δοκιμή διείσδυσης επαληθεύει με ανθρώπινη τεχνογνωσία εάν αυτά τα ευρήματα είναι πράγματι εκμεταλλεύσιμα και αποκαλύπτει αλυσοδεμένα μονοπάτια επίθεσης. Τα δύο διαφέρουν σε βάθος και κόστος.

Παίρνω πιστοποιητικό ως αποτέλεσμα της αξιολόγησης;

Δεν εκδίδεται πιστοποιητικό. παράγεται μια έκθεση ευρημάτων και συστάσεων. Ορισμένοι πελάτες ζητούν επιστολή βεβαίωσης που να επιβεβαιώνει ότι η δοκιμή πραγματοποιήθηκε, αλλά αυτό δεν είναι πιστοποιητικό συμμόρφωσης.

Πόσο συχνά πρέπει να το κάνω αυτό;

Η συχνότητα εξαρτάται από το πλαίσιο στο οποίο υπόκεινται και το ρυθμό μεταβολής σας. Η κοινή πρακτική είναι μια ετήσια δοκιμή. Ωστόσο, αναμένεται μια ενδιάμεση δοκιμή κάθε φορά που υπάρχει σημαντική αλλαγή στην αρχιτεκτονική ή την εφαρμογή.

Αξιολόγηση κυβερνοασφάλειας (Cybersecurity Assessment)