Blog / Audyt
Audyt bezpieczeństwa informacji krok po kroku
Audyt bezpieczeństwa informacji sprawdza, czy firma chroni swoje dane w sposób odpowiadający ryzyku i wymaganiom prawa. Dobrze przeprowadzony składa się z kilku powtarzalnych etapów, które opisujemy poniżej.
Krok pierwszy, określenie zakresu
Zanim ktokolwiek uruchomi narzędzie, trzeba ustalić, co dokładnie podlega audytowi: które spółki, lokalizacje, systemy, procesy i zbiory danych. Zbyt szeroki zakres rozmywa wnioski, zbyt wąski pomija ryzyka.
Dobrą praktyką jest spisanie celu audytu, na przykład przygotowanie do wymagań NIS2, weryfikacja wymagań klienta lub przegląd po incydencie. Cel decyduje o głębokości badania.
Krok drugi, inwentaryzacja zasobów
Nie da się chronić tego, o czym się nie wie. Inwentaryzacja obejmuje domeny i subdomeny, serwery, aplikacje, konta uprzywilejowane, usługi zewnętrzne oraz dostawców, którzy mają dostęp do danych.
W praktyce największym zaskoczeniem bywają zapomniane środowiska testowe i subdomeny dostępne z internetu. Warto zacząć od tego, co widać z zewnątrz, bo to atakujący zobaczy w pierwszej kolejności.
Krok trzeci, ocena ryzyka
Dla każdego zasobu ocenia się, co może się wydarzyć, jak prawdopodobne jest zdarzenie i jakie byłyby skutki. Wynikiem jest lista ryzyk uporządkowana według wagi, a nie długa lista wszystkiego, co teoretycznie może pójść źle.
Dyrektywa NIS2 (2022/2555) w art. 21 wymaga środków zarządzania ryzykiem opartych na analizie ryzyka. Szczegóły dla polskich podmiotów opisuje nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, a jej aktualny tekst zawsze należy sprawdzić w Dzienniku Ustaw. Wymagania omawiamy na stronie wymagania NIS2.
Krok czwarty, testy techniczne
Kontrole dokumentów i wywiady uzupełnia się testami technicznymi. Zewnętrzny test sprawdza konfigurację TLS, nagłówki bezpieczeństwa, ochronę poczty (SPF, DMARC, DKIM), plik security.txt oraz, po weryfikacji własności domeny, wybrane testy aktywne.
Takie testy dają twarde dowody, a nie tylko deklaracje. Więcej o podejściu piszemy na stronie testy penetracyjne oraz skaner podatności.
Krok piąty, raport i plan napraw
Dobry raport nie kończy się na liście usterek. Dla każdego ustalenia zawiera opis, wagę, wpływ na biznes i konkretne zalecenie naprawy. Zarząd powinien dostać wersję skróconą, a zespół techniczny szczegóły.
- Priorytety: co naprawić natychmiast, co w tym kwartale, co zaplanować.
- Właściciel każdego zadania i termin.
- Kryterium zamknięcia, czyli sposób sprawdzenia, że naprawa zadziałała.
Krok szósty, weryfikacja i powtarzanie
Audyt jest cyklem, a nie jednorazowym wydarzeniem. Po naprawach trzeba sprawdzić, czy luki rzeczywiście zniknęły, a następnie powtarzać przegląd w ustalonych odstępach. Środowisko zmienia się szybciej niż roczny harmonogram.
Dlatego stały test zewnętrzny jest sensownym uzupełnieniem okresowego audytu. Zobacz audyt NIS2 oraz jak to działa.
Co automatyczny test daje, a czego nie
Hakowanie to automatyczny pentest zewnętrzny z raportem pod NIS2 i KSC od 590 zł netto miesięcznie, szczegóły w cenniku. Daje powtarzalny, udokumentowany obraz ekspozycji z internetu.
Nie zastąpi audytu organizacyjnego, rozmów z pracownikami ani ręcznego testu logiki biznesowej aplikacji. Traktuj go jako element większego programu.
Pytania i odpowiedzi
Sprawdź swoją domenę teraz
Wpisz domenę i zobacz w kilkanaście sekund, co widzi atakujący.