Kodėl svarbu iš anksto pasiruošti kibernetinio saugumo auditui?
Tinkamas pasiruošimas leidžia auditą paversti ne įpareigojančiu formalumu, o vertingu organizacijos kibernetinio atsparumo vertinimu. Kuo geriau organizacija supranta savo procesus, rizikas ir atsakomybes, tuo daugiau naudos ji gauna iš audito rezultatų ir rekomendacijų.
Pasiruošimas taip pat tiesiogiai veikia paties vertinimo trukmę ir kainą – kuo daugiau laiko auditoriai praleidžia trūkstamai informacijai surinkti, tuo mažiau lieka laiko gilesnei rizikų analizei ir praktiškoms rekomendacijoms.
Ką auditoriai vertina pirmiausia?
Pirmajame audito etape auditoriai paprastai siekia suprasti organizacijos veiklą, jos kritinius procesus ir principus, kuriais organizacija grindžia kibernetinio saugumo valdymą. Auditoriams svarbu ne tik technologijos, bet ir tai, kaip organizacija valdo rizikas bei priima saugumo sprendimus.
Pagal Kibernetinio saugumo įstatymo ir TIS2 (NIS2) direktyvos reikalavimų logiką, organizacijos turi gebėti identifikuoti svarbiausias rizikas, taikyti proporcingas apsaugos priemones ir įrodyti, kad šie procesai veikia praktikoje.
Pirmiausia yra peržiūrimos šios dalys:
- organizacijos veiklos modelis,
- kritinės paslaugos ir procesai,
- naudojamos informacinės sistemos,
- pagrindiniai atsakingi asmenys,
- kibernetinio saugumo dokumentacija,
- rizikų valdymo praktika.
Jeigu ši informacija yra lengvai pasiekiama ir aiškiai dokumentuota, audito procesas tampa daug efektyvesnis.
Kokius dokumentus verta pasiruošti prieš kibernetinio saugumo auditą?
Tikslus informacinio turto inventorius yra vienas svarbiausių sėkmingo audito pagrindų. Jeigu organizacija nežino, ką turi, tampa sudėtinga įvertinti, ką reikia apsaugoti ir kokios rizikos kyla.
Praktikoje dažnai pasitaiko situacijų, kai organizacijos į oficialius sąrašus neįtraukia dalies sistemų, vis dar naudoja senas platformas, o debesijos paslaugas administruoja skirtingos komandos.
Prieš auditą rekomenduojama surinkti:
Kokį informacinį turtą turi organizacija?
Tikslus informacinių išteklių inventorius yra vienas svarbiausių sėkmingo audito pagrindų. Jeigu organizacija nežino, ką turi, tampa sudėtinga įvertinti, ką reikia apsaugoti ir kokios rizikos kyla.
Praktikoje dažnai pasitaiko situacijų, kai dalis sistemų nėra įtrauktos į oficialius sąrašus, senos platformos vis dar naudojamos, o debesijos paslaugos administruojamos skirtingų komandų.
Prieš kibernetinio saugumo auditą verta peržiūrėti organizacijos:
- serverius ir infrastruktūrą,
- debesijos platformas,
- verslo sistemas,
- duomenų saugyklas,
- išorinius tiekėjus,
- svarbiausius duomenų srautus.
NKSC metodikoje turto identifikavimas yra vienas pirmųjų rizikų vertinimo etapų, nes būtent nuo jo prasideda tolesnis grėsmių ir pažeidžiamumų nustatymas.
Ar rizikų vertinimas atliekamas reguliariai?
Kibernetinio saugumo audito metu viena svarbiausių sričių yra rizikų valdymas. Auditoriai dažniausiai vertina ne tai, ar rizikų dokumentas egzistuoja, bet ar organizacija juo realiai naudojasi priimdama sprendimus.
Daugelis organizacijų yra atlikusios pirminį rizikų vertinimą. Tačiau dažnai paaiškėja, kad organizacijos jo nebuvo peržiūrėjusios pasikeitus infrastruktūrai, pradėjus naudoti naujas sistemas ar pasikeitus reguliaciniams reikalavimams.
Prieš auditą verta pasitikrinti:
- ar atlikote rizikų vertinimą,
- ar jį atnaujinote per pastaruosius metus,
- ar paskyrėte rizikų savininkus,
- ar rizikoms numatėte valdymo priemones,
- ar stebite jų įgyvendinimą.
Kaip įsivertinti incidentų valdymo pasirengimą?
Auditoriai dažnai domisi ne tik tuo, kaip organizacija apsisaugo nuo incidentų, bet ir kaip į juos reaguotų jiems įvykus. Efektyvus incidentų valdymas šiandien yra ne mažiau svarbus nei prevencinės priemonės.
Vertindami incidentų valdymą, auditoriai dažniausiai analizuoja:
- ar egzistuoja incidentų valdymo procedūra,
- ar paskyrėte atsakingus asmenis,
- ar darbuotojai žino eskalavimo tvarką,
- ar registruojate incidentus,
- ar atliekate poincidentines peržiūras.
Jeigu organizacija negali parodyti, kaip veiktų incidento metu, auditoriams tampa sudėtinga objektyviai įvertinti jos pasirengimą.
Kokie dažniausi trūkumai yra nustatomi kibernetinio saugumo audito metu?
„Baltic Amadeus“ kibernetinio saugumo ekspertų praktika rodo, kad dauguma trūkumų, kuriuos nustatome audito metu, yra susiję ne su technologijomis, o su procesais ir atsakomybių pasiskirstymu. Žinoti šiuos tipinius atvejus iš anksto padeda organizacijai atpažinti panašias situacijas dar prieš oficialų vertinimą ir jas ištaisyti savarankiškai.
Dažniausiai pasitaikantys trūkumai:
- Neformalizuotas rizikų valdymas – rizikos vertinamos intuityviai, be aiškaus, dokumentuoto proceso ar reguliaraus periodiškumo.
- Neaktualus informacinių išteklių sąrašas – dalis sistemų, ypač debesijos paslaugų ar senesnių platformų, neįtraukiama į oficialų inventorių.
- Nepakankamai valdomos tiekimo grandinės rizikos – tiekėjai vertinami tik sutarties pasirašymo metu, o ne nuolat, viso bendradarbiavimo laikotarpiu.
- Neaiškus atsakomybių pasiskirstymas – nėra aiškiai apibrėžta, kas konkrečiai atsakingas už rizikų vertinimą, incidentų valdymą ar dokumentacijos atnaujinimą.
- Nepakankamai dokumentuoti procesai – priemonės realiai taikomos, tačiau nėra užfiksuotos taip, kad tai būtų galima įrodyti audito metu.
Svarbu pabrėžti, kad šie trūkumai dažniausiai nėra aplaidumo požymis – tai natūrali sparčiai augančios ir nuolat besikeičiančios organizacijos pasekmė. Todėl juos žinoti iš anksto yra tiek pat naudinga, kiek ir turėti tvarkingą dokumentaciją.
Kokių veiklos įrodymų ieško auditoriai?
Vienas svarbiausių kibernetinio saugumo reikalavimų yra gebėjimas pagrįsti, kad organizacijos saugumo priemonės ir procesai veikia ne tik dokumentuose, bet ir realioje veikloje. Įrodymu paprastai laikomas bet koks dokumentuotas pėdsakas, patvirtinantis, kad procesas iš tikrųjų vyko – ne vien jo aprašymas politikoje ar procedūroje.
Priklausomai nuo srities, tai gali būti:
- veiklos žurnalai ir sistemų įvykių įrašai (pvz., prieigos, pakeitimų ar incidentų registrai),
- dokumentų pasirašymo ar patvirtinimo įrašai (vadovybės patvirtintos politikos, rizikų vertinimo ataskaitos, su tiekėjais pasirašytos sutartys),
- susirinkimų protokolai su priimtais sprendimais, atsakingais asmenimis ir terminais,
- mokymų dalyvavimo įrašai ir žinių patikrinimo ar simuliacijų rezultatai,
- ekrano nuotraukos ar sistemų ataskaitos, patvirtinančios, kad konkreti priemonė iš tikrųjų veikia (pvz., stebėsenos įrankio suvestinė),
- el. laiškų ar užduočių valdymo sistemos įrašai, rodantys, kaip organizacija realiai reagavo į konkrečią situaciją.
Svarbu, kad įrodymai būtų ne vienkartiniai, o rodytų nuoseklią praktiką per tam tikrą laikotarpį – vieno incidento žurnalo ar vieno mokymo įrašo dažniausiai nepakanka, jei auditorius nori įsitikinti, kad procesas veikia sistemingai. Todėl verta iš anksto peržiūrėti ne tik, ar dokumentas egzistuoja, bet ir ar organizacija turi būdą pademonstruoti, kaip juo naudojamasi kasdienėje veikloje.
Kas turėtų dalyvauti audito procese?
Viena dažniausių klaidų yra manyti, kad už auditą atsakingas tik technologijų ar kibernetinio saugumo padalinys. Iš tikrųjų vertinimas apima daug platesnį organizacijos procesų spektrą.
Priklausomai nuo organizacijos dydžio, procese dažniausiai dalyvauja:
- IT ir infrastruktūros specialistai,
- kibernetinio saugumo vadovas,
- rizikų valdymo komanda,
- procesų ar kokybės vadovai,
- verslo padalinių atstovai,
- vadovybė.
Kuo anksčiau organizacija šias šalis įtraukia į pasiruošimą, tuo sklandžiau vyksta visas vertinimo procesas.
Kontrolinis sąrašas: kaip pasiruošti kibernetinio saugumo auditui?
Norint sumažinti pasiruošimo laiką ir iš audito gauti maksimalią vertę, verta iš anksto peržiūrėti pagrindines sritis. Šį kontrolinį sąrašą galite naudoti kaip pirminį pasirengimo įrankį.
Jeigu į daugumą klausimų galite atsakyti teigiamai, tikėtina, kad organizacija jau yra gerame pasirengimo lygyje.
Kaip „Baltic Amadeus“ padeda pasiruošti kibernetinio saugumo auditui?
Geriausius vertinimo rezultatus organizacijos pasiekia tada, kai auditas tampa ne vienkartiniu patikrinimu, o nuoseklios kibernetinio saugumo strategijos dalimi. Būtent todėl „Baltic Amadeus“ daug dėmesio skiria ne tik vertinimui, bet ir pasirengimo etapui.
Mūsų ekspertai padeda organizacijoms ne tik geriau suprasti joms taikomus KSĮ ir TIS2 (NIS2) direktyvos reikalavimus, bet ir objektyviai įvertinti esamą kibernetinio saugumo brandos lygį. Bendradarbiaudami su klientais numatome galimas spragas, atliekame kibernetinių rizikų vertinimą ir padedame nustatyti svarbiausias tobulintinas sritis. Remdamiesi vertinimo rezultatais, parengiame prioritetinį veiksmų planą, kuris leidžia kryptingai planuoti pokyčius, efektyviai paskirstyti išteklius ir nuosekliai stiprinti organizacijos kibernetinį atsparumą.
Sužinokite daugiau apie mūsų požiūrį į kibernetinio saugumo auditą ir rizikų valdymą.
Nuo ko pradėti jau šiandien?
Norint sėkmingai pasiruošti kibernetinio saugumo auditui, nebūtina laukti oficialaus vertinimo pradžios. Pirmasis žingsnis yra objektyviai įvertinti savo procesus, rizikas ir dokumentaciją, o tada nuosekliai šalinti didžiausias spragas.
Ne kartą įsitikinome, kad organizacijos, kurios auditą vertina kaip galimybę stiprinti savo atsparumą, dažniausiai gauna didžiausią naudą. Tokiu atveju vertinimas tampa ne formalumu, o pagrindu priimti geriau pagrįstus sprendimus dėl technologijų, procesų ir investicijų į kibernetinį saugumą.
