Аудит кибербезопасности

Что такое аудит?

Аудит кибербезопасности оценивает наличие и результативность мер, внедрённых организацией для защиты информационных активов. Он не ограничивается техническими мерами: в объём входят и элементы управления — политики, предоставление доступа, работа с поставщиками, реагирование на инциденты.

Зачем это нужно?

Цель — определить поверхность атаки и пробелы в мерах защиты до того, как произойдёт инцидент.

Кто его заказывает?

Технологические компании, клиенты которых требуют гарантий безопасности
Организации, внедряющие или поддерживающие ISO/IEC 27001
Предприятия критической инфраструктуры и регулируемых отраслей
Организации, обрабатывающие данные карт (в рамках PCI DSS)
Компании, подпадающие под оценку безопасности поставщиков

Критерии аудита

Критерием служит применяемая методология: меры Приложения A ISO/IEC 27001, IEC 62443 (промышленная), PCI DSS, NIST CSF или CIS Controls. Прямое применение ИТ-методологии в промышленной среде даёт неверный результат; необходимо выбирать критерии, подходящие для OT.

Объём аудита

Политики информационной безопасности и структура управления
Инвентаризация и классификация активов
Процесс оценки рисков и Положение о применимости
Управление идентификацией и доступом, привилегированные учётные записи
Сегментация сети и защита периметра
Защита конечных точек и управление обновлениями
Криптография и управление ключами
Ведение журналов, мониторинг и возможности обнаружения
Тестирование резервного копирования и восстановления
Практики безопасной разработки программного обеспечения
Безопасность поставщиков и облачных сервис-провайдеров
План реагирования на инциденты и учения по нему
Непрерывность бизнеса и аварийное восстановление
Обучение по повышению осведомлённости и человеческий фактор

Связанные стандарты

ISO/IEC 27001
ISO/IEC 27002
IEC 62443
PCI DSS
NIST CSF
ISO 19011

Порядок аудита

1Выбор применяемых критериевОпределяется стандарт, схема или нормативный акт, по которым проводится аудит; в тематических аудитах выбор критериев напрямую задаёт смысл результата.
2Оценка рисков и объёмЗоны риска определяются исходя из деятельности и географии организации; исходя из этого планируется число дней аудита.
3Анализ документов и записейИзучаются политика, процедуры, разрешения, записи измерений и результаты прежних аудитов.
4Аудит на площадкеОбходятся соответствующие участки; выполняются тематические измерения, наблюдения и проверка записей.
5Опросы работниковЕсли того требует предмет проверки, с работниками проводятся конфиденциальные беседы независимо от руководства; заявления сверяются с записями.
6Оценка соблюдения законодательстваСоблюдение действующего законодательства проверяется отдельно; правовое несоответствие в любой схеме относится к наиболее тяжкой категории.
7Отчётность о выявленных фактахВыводы классифицируются по значимости и сводятся в отчёт.
8Корректирующие действия и контрольЗапрашивается план корректирующих действий; отслеживается его закрытие в срок, установленный схемой.

Выявленные факты

Результаты приоритизируются по уровню риска. Напрямую эксплуатируемая уязвимость и отсутствующий документ политики не имеют одинакового веса; это различие явно отражается в отчёте, а порядок устранения рекомендуется исходя из риска.

Отчёт об аудите

Сведения об органе, аудиторе и проверяемой стороне
Применённый стандарт, схема или нормативный акт
Дата, продолжительность и объём аудита
Результаты анализа документов и записей
Наблюдения на площадке и результаты измерений
Результаты опросов работников, если они проводились
Оценка соблюдения законодательства
Выводы, их значимость и подтверждающие свидетельства
План корректирующих действий и сроки

Границы результата

Аудит кибербезопасности оценивает наличие и структуру мер контроля; он не гарантирует, что каждая мера эффективно работает постоянно. Аудит отражает ситуацию на определённую дату, а ландшафт угроз непрерывно меняется. Аудит также не является тестом на проникновение: фактическая эксплуатируемость уязвимостей — предмет отдельного технического тестирования.

Аккредитация

Аккредитация зависит от вида аудита. Аудиты третьей стороны, лежащие в основе сертификации систем менеджмента, проводятся по ISO/IEC 17021-1, а лежащие в основе сертификации продукции — по ISO/IEC 17065; эти области подлежат аккредитации. Аудиты первой и второй стороны, а также аудиты по собственным правилам владельца схемы (SMETA, amfori BSCI) не относятся к аккредитованной сертификации; они выполняются по руководству ISO 19011 и дают отчёт. EUROLAB имеет международно признанную аккредитацию по ISO/IEC 17021-1 и ISO/IEC 17065 от органов — подписантов соглашения IAF; какие аудиты доступны в аккредитованной области, письменно подтверждается на этапе предложения.

Область и полномочия

Связанные аудиты

Частые вопросы

В чём разница между аудитом и тестом на проникновение?

Аудит оценивает наличие мер контроля и управления; его охват широкий. Тест на проникновение проверяет с точки зрения злоумышленника, действительно ли уязвимости эксплуатируемы; его охват узкий, но глубокий. Они дополняют друг друга.

Применим ли тот же аудит и к нашим промышленным системам?

Нет. В операционных технологиях порядок приоритетов иной: доступность и безопасность процессов важнее конфиденциальности; кроме того, системы могут быть непатчибельны, а простои недопустимы. В этой среде в качестве критерия следует использовать IEC 62443.

Получу ли я сертификат по результатам этого аудита?

Это зависит от того, в рамках какой структуры проводится аудит. Если он проводится в рамках аккредитованной схемы сертификации, он может привести к выдаче сертификата; результатом аудита, проведённого по запросу заказчика или для внутренней оценки, является отчёт.

Проверяется ли также юридическое соответствие?

Да, и в каждом тематическом аудите юридическое несоответствие является наиболее серьёзной категорией результатов. Как бы хорошо ни была выстроена система менеджмента, обнаруженное нарушение действующего законодательства сообщается в первоочередном порядке.