Что это за сертификат?

Оценка кибербезопасности — это независимая проверка состояния безопасности организации или системы. Его не обязательно привязывать к конкретной схеме сертификации: тестирование на проникновение, оценка уязвимостей, анализ архитектуры, оценка зрелости (например, NIST CSF, CIS Controls) или учения красной команды — все это подпадает под этот заголовок. Результатом является отчет о выводах и рекомендациях, а не сертификат.

Кому он нужен?

Организации, желающие оценить уровень своей безопасности
Фирмы, желающие провести анализ пробелов перед сертификацией
Компании с договорными обязательствами по периодическому тестированию на проникновение
Команды, желающие проверить новую систему или продукт перед запуском в эксплуатацию
Организации переоценивают свою позицию после инцидента

Обязателен ли он?

Не является обязательным само по себе. Однако многие структуры и правила налагают обязательства по периодическому тестированию: PCI DSS требует тестирования на проникновение и сканирования, ISO/IEC 27001 предполагает проверку технического соответствия, а такие правила, как NIS2, требуют оценки эффективности мер по управлению рисками.

Область применения стандарта

Определение объема и правил взаимодействия
Составление инвентаризации активов и поверхности атаки
Сканирование и проверка уязвимостей
Тестирование на проникновение: внешняя сеть, внутренняя сеть, веб-приложение, мобильное приложение, беспроводная связь.
Обзор конфигурации и усиления защиты
Обзор управления идентификацией и доступом
Оценка архитектуры и сегментации
Социальная инженерия и тестирование осведомленности (если входит в рамки)
Оценка зрелости (на основе таких стандартов, как NIST CSF, CIS Controls)
Приоритизация результатов и отчетность по уровням риска
Проверочное тестирование после исправления

Процесс сертификации

1Определение объема и программыОпределяются площадки и процессы, подлежащие аудиту, а также продолжительность аудита, требуемая схемой.
2Предварительная оценкаФакультативно проводится анализ пробелов; пробелы становятся видимыми еще до проведения основного аудита.
3Аудит на площадкеПроверка записей, наблюдение за объектом и собеседования с работниками проводятся в соответствии с контрольным списком схемы.
4Отчётность о выявленных фактахРезультаты сообщаются в соответствии с классификацией схемы. Результатом этих схем является аудиторский отчет, а не сертификат.
5Корректирующие действия и контрольПо результатам проверки представляется план корректирующих действий; он закрывается с последующей проверкой согласно схеме.

Срок действия

Срок действия аудиторских отчетов установлен схемой и обычно составляет от одного до двух лет. Отчет используется за период, который принимает покупательный бренд.

Необходимые документы

Подробности об организации и сайте
Численность и график сменности
Юридические разрешения и лицензии
Соответствующие политики и процедуры
Заработная плата, учет рабочего времени и кадровый учет

Стоимость сертификации

Фиксированной прейскурантной цены нет; стоимость рассчитывается на основе следующих переменных и предоставляется в письменном виде в предложении.

Количество проверяемых объектов и численность персонала
Продолжительность проверки, предусмотренная схемой
Требуется ли предварительная оценка (анализ пробелов)
Требуется ли повторный аудит

Аккредитация

Большинство этих схем составляют аудиторские отчеты, а не документы, и подлежат собственной системе одобрения владельца схемы (например, Sedex, amfori, RBA); Аккредитация в классическом понимании присутствует не во всех схемах. Компетентность аудитора и достоверность отчета определяются правилами владельца схемы.

Область, в которой может быть предложена эта схема, зависит от вашей продукции и деятельности; подтверждается в письменном виде на этапе предложения.

Область применения и разрешения

Связанные сертификации

Частые вопросы

Являются ли тест на проникновение и сканирование уязвимостей одним и тем же?

Нет. Сканирование уязвимостей выявляет известные уязвимости с помощью автоматизированных инструментов. Тест на проникновение проверяет с помощью человеческого опыта, действительно ли эти результаты можно использовать, и выявляет цепочки путей атаки. Они различаются глубиной и стоимостью.

Получу ли я сертификат по результатам оценки?

Сертификат не выдается; составляется отчет с выводами и рекомендациями. Некоторые клиенты требуют аттестационное письмо, подтверждающее проведение испытаний, но это не сертификат соответствия.

Как часто мне следует это делать?

Частота зависит от структуры, которой вы подчиняетесь, и скорости ваших изменений. Обычной практикой является ежегодное тестирование; однако ожидается, что промежуточный тест будет проводиться всякий раз, когда происходят существенные изменения в архитектуре или приложении.

Оценка кибербезопасности (Cybersecurity Assessment)