Kibernetinio saugumo auditas – tai nepriklausomas organizacijoje taikomų kibernetinio saugumo priemonių vertinimas, kurio metu tikrinama, ar jos iš tiesų atitinka teisės aktuose, pavyzdžiui, Kibernetinio saugumo įstatyme (KSĮ) ir Kibernetinio saugumo reikalavimų apraše (KSRA), arba pasirinktuose standartuose, tokiuose kaip ISO/IEC 27001, nustatytus reikalavimus.
Daugeliui organizacijų šis procesas iš pradžių gali atrodyti neaiškus. Nors žinoma, kad auditą reikia atlikti, ne visada aišku, kas vyksta nuo pirmojo pokalbio su auditoriumi iki galutinės audito ataskaitos. Kokie dokumentai ir duomenys yra analizuojami? Ar audito metu tikrinamos realiai naudojamos sistemos ir jų konfigūracijos? Kiek laiko trunka visas procesas? Ir, svarbiausia, kokias išvadas bei informaciją organizacija gauna auditui pasibaigus?
Suprantant, kaip vyksta kibernetinio saugumo auditas, lengviau tinkamai pasiruošti procesui, suplanuoti atsakingų darbuotojų laiką ir iš anksto susitarti dėl audito apimties. Kibernetinio saugumo audito paslaugas teikiančios bendrovės, tarp jų ir „Baltic Amadeus“, auditą paprastai organizuoja nuosekliais etapais – nuo audito apimties nustatymo ir reikalingos informacijos surinkimo iki taikomų saugumo priemonių vertinimo, nustatytų neatitikimų fiksavimo ir galutinės audito ataskaitos parengimo.
1 žingsnis: apimties ir konteksto nustatymas
Pirmasis etapas – susitarti, ką konkrečiai vertinsime. Kibernetinio saugumo auditas nėra vienodas visoms organizacijoms: jo apimtis priklauso nuo įmonės veiklos, naudojamų technologijų, reguliacinės aplinkos, kritinių sistemų ir turimų duomenų.
Todėl pradžioje nustatoma, kurios sistemos, procesai, padaliniai ar infrastruktūros dalys pateks į audito lauką. Taip pat įvertinamas verslo ir reguliacinis kontekstas: kokios sistemos yra kritinės, kokios informacijos praradimas galėtų turėti didžiausią poveikį ir kokie reikalavimai organizacijai yra aktualūs.
Tai vienas svarbiausių proceso etapų. Per siaura apimtis gali reikšti, kad reikšmingos rizikos liks nepastebėtos. Per plati – kad procesas taps ilgesnis ir brangesnis, nors ne visa surinkta informacija bus vienodai vertinga.
2 žingsnis: informacinio turto identifikavimas
Nustačius audito ribas, analizuojamas organizacijos informacinis turtas. Identifikuojamos pagrindinės informacinės sistemos, duomenų bazės, tarnybinės stotys, debesijos aplinkos, tinklo infrastruktūra ir kiti ištekliai, nuo kurių priklauso organizacijos veikla.
Informacija renkama analizuojant turimą dokumentaciją, peržiūrint sistemas ir kalbantis su atsakingais darbuotojais. Šis etapas dažnai atskleidžia skirtumą tarp to, kaip organizacija įsivaizduoja savo IT aplinką, ir to, kaip ji atrodo realybėje.
Svarbu suprasti ne tik tai, kokį turtą organizacija turi, bet ir kaip skirtingos sistemos tarpusavyje susijusios, kas prie jų gali prisijungti ir kokie duomenys jose apdorojami. Šis kontekstas vėliau leidžia tiksliau įvertinti galimą rizikos poveikį.
3 žingsnis: kontrolės priemonių veiksmingumo vertinimas
Nustačius organizacijos informacinį turtą, vertinama, kaip jis apsaugotas ir ar taikomos kibernetinio saugumo kontrolės priemonės realiai veikia. Šiame etape analizuojamos ne tik formalios taisyklės, bet ir praktinis jų įgyvendinimas.
Vertinamos tokios sritys kaip prieigos valdymas, darbuotojų prieigos teisių peržiūra, kelių veiksnių autentifikavimo naudojimas, incidentų valdymas, pažeidžiamumų valdymas, atsarginių kopijų darymas ir atkūrimo testavimas, darbuotojų informuotumas bei kitos organizacijoje taikomos saugumo kontrolės.
Čia svarbu atskirti kibernetinio saugumo audito ir techninio testavimo sąvokas. Audito metu vertinama, ar organizacijos kontrolės priemonės yra tinkamai parinktos, įgyvendintos ir veiksmingos. Pavyzdžiui, gali būti nustatyta, kad kritinei sistemai netaikomas kelių veiksnių autentifikavimas, prieigos teisės nėra periodiškai peržiūrimos arba atsarginių kopijų atkūrimas niekada nebuvo išbandytas.
Tuo metu techninis testavimas gali būti pasitelkiamas kaip papildoma audito priemonė, kai siekiama praktiškai patikrinti tam tikrų sistemų techninį atsparumą. Tokiu atveju gali būti atliekamas, pavyzdžiui, įsilaužimų testavimas. Tačiau tai nėra pats auditas – techninis testavimas yra tik viena iš galimų priemonių, padedančių papildomai įvertinti konkrečius techninius aspektus.
„Dažniausia klaida, kurią matome, yra tai, kad organizacijos nori praleisti apimties nustatymo etapą ir iš karto pereiti prie techninio testavimo. Tačiau be aiškios apimties, turto žemėlapio ir kontrolės priemonių audito net techniškai gerai atliktas testas neatsako į svarbiausią klausimą: kur organizacijai kyla didžiausia rizika“, – sako „Baltic Amadeus“ informacijos saugumo ekspertas.
4 žingsnis: rizikų vertinimas ir prioritetų nustatymas
Įvertinus organizacijos kontrolės priemones, svarbu suprasti, kokią riziką nustatyti trūkumai gali kelti organizacijai.
Šiame etape vertinamas galimas poveikis informacijos konfidencialumui, vientisumui ir prieinamumui. Atsižvelgiama ir į verslo procesų svarbą – tas pats kontrolės trūkumas skirtingose sistemose gali turėti visiškai skirtingą poveikį.
Rezultatai susisteminami rizikų registre ir prioritetizuojami. Tokiu būdu techninės bei organizacinės išvados paverčiamos verslui suprantama informacija: ne tik nurodoma, kas yra negerai, bet ir paaiškinama, kodėl tai svarbu bei ką reikėtų tvarkyti pirmiausia.
Toks požiūris leidžia išvengti situacijos, kai organizacija gauna ilgą problemų sąrašą, tačiau nežino, nuo kurios iš jų pradėti. Prioritetai turėtų būti nustatomi atsižvelgiant į galimą poveikį veiklai, duomenims ir verslo tęstinumui.
5 žingsnis: atitikties ir dokumentacijos peržiūra
Kitas etapas – įvertinti, ar organizacijoje taikomos kontrolės priemonės atitinka jai aktualius teisės aktų, standartų ar kitų reikalavimų nuostatas ir ar šios priemonės yra tinkamai dokumentuotos.
Atsižvelgiant į organizacijos veiklą, vertinimas gali būti siejamas su tokiais reikalavimais kaip ISO/IEC 27001 ar Lietuvos kibernetinio saugumo teisės aktai. Peržiūrimos organizacijos politikos, procedūros, atsakomybės, kontrolės priemonių aprašymai ir kiti dokumentai, reikalingi atitikčiai pagrįsti.
Svarbu, kad dokumentacija atspindėtų realią organizacijos praktiką. Vien turėti patvirtintą politiką nepakanka – dokumentuose numatytos priemonės turi būti įgyvendintos ir taikomos praktiškai. Todėl šiame etape taip pat vertinama, ar dokumentuose nustatytos atsakomybės, procesai ir kontrolės priemonės atitinka realią situaciją.
Atitikties peržiūra gali atskleisti ir naujų rizikų, kurių ankstesniuose etapuose nebuvo nustatyta. Pavyzdžiui, paaiškėjus, kad organizacijoje nėra dokumentuoto kritinių sistemų atkūrimo proceso, tai tampa ne tik formalia neatitiktimi, bet ir rizika veiklos tęstinumui. Todėl nustatytos neatitiktys įtraukiamos į rizikų registrą, o prieš rengiant galutinį veiksmų planą rizikų prioritetai atitinkamai persvarstomi.
6 žingsnis: rizikų mažinimo planas ir kibernetinio saugumo audito ataskaita
Paskutiniame etape visa surinkta informacija paverčiama konkrečiais veiksmais. Rengiamas prioritetais pagrįstas rizikų mažinimo planas, kuriame nurodoma, kokias problemas verta spręsti pirmiausia, kokių veiksmų tam reikėtų ir, esant poreikiui, kokie ištekliai būtų reikalingi.
Galutinė ataskaita neturėtų būti vien techninių terminų ar rastų trūkumų sąrašas. Vadovybei svarbu suprasti bendrą organizacijos kibernetinio saugumo būklę, pagrindines rizikas ir jų galimą poveikį verslui.
Būtent čia atsiskleidžia praktinė kibernetinio saugumo audito paslaugų vertė. Ilgametę patirtį kibernetinio saugumo srityje turinčios „Baltic Amadeus“ atliekamuose vertinimuose rizikos susisteminamos ir prioritetizuojamos, o galutiniuose rezultatuose pateikiamos konkrečios rekomendacijos bei tolesnių veiksmų planas. Tai leidžia audito rezultatus panaudoti ne tik atitikčiai pagrįsti, bet ir planuojant realias saugumo investicijas.
Ar visiems reikia vienodo kibernetinio saugumo audito?
Ne. Audito metodai ir apimtis priklauso nuo vertinamo objekto. Jei klientas turi klasikinę IT aplinką, daugiau dėmesio gali būti skiriama sistemų architektūrai, prieigos kontrolei, konfigūracijoms ir techniniams patikrinimams. Debesijos aplinkų vertinime svarbūs tapatybės ir prieigos valdymas, žurnalų rinkimas, duomenų apsauga bei debesijos paslaugų konfigūracija.
Tuo metu pramoninėse valdymo sistemose (OT/ICS) situacija yra kitokia. Pavyzdžiui, gamybos linijų ar energetikos objektų valdymo sistemose aktyvus techninis testavimas gali kelti riziką veiklos tęstinumui. Todėl tokiose aplinkose daugiau dėmesio gali būti skiriama architektūros, konfigūracijų ir dokumentacijos analizei, taikant pasyvesnius kibernetinio saugumo audito metodus.
Dėl to prieš pradedant auditą verta išsiaiškinti ne tik jo kainą ar trukmę, bet ir tai, kokia metodika bus taikoma bei kodėl ji tinkama konkrečiai organizacijai. Skirtingoms technologinėms aplinkoms reikia skirtingo audito gylio, todėl gerai apibrėžta metodika yra viena iš kokybiško audito sąlygų.
Kiek trunka kibernetinio saugumo auditas?
Vieno atsakymo nėra. Nedidelės organizacijos vertinimas gali užtrukti kelias savaites, o didelės įmonės, apimančios daug sistemų, padalinių ar skirtingų technologinių aplinkų, auditas gali trukti kelis mėnesius.
Trukmę lemia ne tik organizacijos dydis. Svarbi ir pasirinkta apimtis, informacijos prieinamumas, sistemų sudėtingumas, darbuotojų įsitraukimas bei tai, kiek papildomų techninių patikrinimų atliekama.
Vis dėlto svarbiausias rezultatas nėra pats audito užbaigimo faktas. Vertingas procesas baigiasi aiškiu veiksmų planu, leidžiančiu organizacijai nuosekliai mažinti nustatytas rizikas.
Kibernetinio saugumo auditas tokiu būdu tampa ne vien patikrinimu ar formaliu reikalavimu. Tai struktūruotas būdas suprasti, kur organizacija yra šiandien, kokios rizikos jai aktualiausios ir kokių veiksmų reikėtų imtis toliau.
Organizacijoms, kurios iš anksto supranta šio proceso logiką, lengviau pasirinkti tinkamą kibernetinio saugumo audito apimtį, pasiruošti darbuotojų įsitraukimui ir užtikrinti, kad galutinė ataskaita netaptų dar vienu dokumentu stalčiuje. Gerai suplanuotas auditas turėtų tapti atspirties tašku tolesniam kibernetinio saugumo stiprinimui – su aiškiais prioritetais, atsakomybėmis ir konkrečiais veiksmais.
