Audit kybernetické bezpečnosti už dávno není vnímán jako formalita pro získání razítka. Po roce 2020, kdy začaly eskalovat ransomwarové útoky na kritickou infrastrukturu i soukromý sektor, si firmy začaly uvědomovat, že audit je způsob, jak se podívat na vlastní bezpečnost bez růžových brýlí. Není to příjemné, stejně jako kontrola u zubaře, ale má to smysl.
Když jedna slabina zastaví celou firmu
Dobře je to vidět na případu Norsk Hydro. Jeden z největších výrobců hliníku na světě byl v roce 2019 odstaven ransomwarem LockerGoga. Výrobní linky byly řízené starším OT prostředím, které nebylo dostatečně oddělené od kancelářské IT části. Škody přesáhly jednu miliardu norských korun a trvalo týdny, než se podařilo obnovit výrobu. Po incidentu proběhly rozsáhlé audity, které odhalily, že systém bezpečnostního řízení byl zdokumentován řádně, ale existovaly mezery v segregaci sítí a v reakčních procesech. Podobných případů je ale více.
Nejdřív pochopit, co se ve firmě skutečně nachází
Audit v organizaci začíná přípravnou fází. Auditor si vyžádá dokumentaci, přehled aktiv, schémata sítí, procesní směrnice, záznamy o incidentech a přístupy k logům. Cílem je pochopit prostředí dříve, než se provede vnitřní analýza. V českém prostředí se často ukazuje, že dokumentace existuje v několika verzích a nikdo přesně neví, která je závazná. Pokud se podaří dokumentaci hned na začátku sjednotit a určit její aktuální verzi, výrazně to usnadní další průběh auditu. Auditor může jasně vymezit jeho rozsah a předejít zbytečným nedorozuměním.
Papír snese vše, realita může být jiná
Další částí je rozhovor s lidmi napříč organizací. IT administrátoři popisují technické prostředí, bezpečnostní tým řeší procesní a incidentní oblast, vedení IT vysvětluje strategii. V této fázi se často ukáže největší mezera v praxi. Vedení má pocit, že je firma připravená, zatímco technický tým ví, že realita je komplikovanější. Firmy často tvrdí, že mají jasně nastavený proces reakce na bezpečnostní incidenty. Při rozhovoru s administrátory se ale mnohdy ukáže, že skutečnost vypadá jinak. Samotná WhatsApp skupina, ve které se řeší, kdo je právě schopen reagovat, totiž funkční proces reakce na incident nenahradí.
Technická kontrola často odhalí překvapení
Následuje technická kontrola. Zkoumá se konfigurace firewallů, aktualizace, přístupové politiky, segmentace sítí, nastavení identit a monitoring. Překvapivě častým nálezem jsou systémy, o kterých už nikdo neví. Může jít o staré servery, které zůstaly po realizovaných projektech, testovací stroje nebo interní aplikace, které fungují jen díky tomu, že na ně nikdo léta nesáhl. Někdy auditor najde například server, který měl být již dávno odstaven, přesto ale stále zpracovává objednávky zákazníků. Bez auditu by se o něm nikdo ale nedozvěděl.
Kde jsou skutečné bezpečnostní mezery?
Auditor srovná reálný stav s požadovanými normami nebo právním rámcem. V českém prostředí to nejčastěji znamená zákon o kybernetické bezpečnosti a jeho prováděcí předpisy, případně normu ISO/IEC 27001 nebo další bezpečnostní standardy a rámce. Srovnání ukáže, kde jsou skutečné mezery. Ty se obvykle netýkají jediné chyby, ale kombinace procesních a technologických nedostatků.
Dobrý audit nekončí seznamem problémů
Výstupem auditu je zpráva a prezentace. Kvalitní audit ale nezůstává jen u konstatování, že organizace nesplňuje určité požadavky. Mnohem důležitější je ukázat, jak konkrétní problém vyřešit, jaké jsou priority a jak náročná budou jednotlivá opatření časově i finančně.
Právě tak ke všemu přistupujeme i v ARIONu. Nechceme zákazníkovi předat jen seznam nedostatků. Výsledkem je srozumitelný plán konkrétních kroků, podle kterého může firma postupovat při zvyšování své kybernetické bezpečnosti.
Pokud chcete zjistit, kde má vaše prostředí skutečné slabiny a které z nich má smysl řešit přednostně, ozvěte se nám ZDE. Rádi s vámi vše probereme v rámci úvodní konzultace.
