Paljudele juhtidele toob sõna „audit“ meelde Maksu- ja Tolliameti ning ebameeldiva ootamise. IT-turvaaudit on teistsugune: te tellite selle ise, see on mõeldud teile ja selle tulemus ei ole trahv, vaid nimekiri asjadest, mida tasub parandada enne, kui keegi teine need leiab.
Ebakindlus siiski jääb. Kes tuleb, mida nad küsivad, kas töö seisab, kas paljastame liiga palju, mida lõpuks saame ja kas me saame sellega midagi peale hakata? Just need küsimused lükkavad auditi tavaliselt aasta võrra edasi.
Selles artiklis kirjeldame samm-sammult, milline audit välja näeb, alates esimesest vestlusest kuni aruande esitlemiseni, et saaksite otsustada rahulikult, mitte hirmust.
Kuidas ulatus paika pannakse
Audit algab mitte skannimisest, vaid vestlusest. Esimesel kohtumisel selgitame, miks audit on vaja: kliendi nõue, NIS2 või DORA ettevalmistus, kahtlus intsidendi kohta või uus juht, kes tahab teada, mille ta päris. Põhjus määrab, mida me kõige põhjalikumalt vaatame.
Seejärel määratakse ulatus: milliseid kontoreid, servereid, pilveteenuseid, võrke, rakendusi ja protsesse audit hõlmab. Väikese ettevõtte puhul on see tavaliselt kogu IT-keskkond. Suurema puhul valitud osa, näiteks ainult Microsoft 365 keskkond ja kaugjuurdepääs. Ulatus fikseeritakse kirjalikult, et mõlemad pooled teaksid, mida kontrollitakse ja mida mitte.
Lepime kokku ka ligipääsus, kontaktisikutes, ajastuses ja selles, mida audit ei tee: see ei sega tootmist, ei testi rünnakuid töötajate vastu ilma eraldi kokkuleppeta ega muuda seadistusi.
Intervjuud: miks audiitor inimestega räägib
Mõnda juhti üllatab, et audit algab vestlustega, mitte tööriistadega. Põhjus on see, et enamik turvaprobleeme ei peitu tehnoloogias, vaid selle kasutamises.
Intervjuud tehakse tavaliselt tegevjuhi, IT eest vastutava isiku (ettevõttesisese või välise teenusepakkuja), finants- või raamatupidamisjuhi ja mõne tavatöötajaga. Küsimused on praktilised: kuidas antakse ligipääs uuele töötajale ja mis juhtub, kui ta lahkub, kus paroole hoitakse, kuidas makseid kinnitatakse, kes teeks otsused, kui serverid homme seisma jääksid, ja millal varukoopiat viimati taastati.
Intervjuud kestavad pool tundi kuni tund ja nende eesmärk ei ole kedagi süüdistada. Need näitavad, kus dokumendid erinevad tegelikkusest. Tavaline näide: poliitika ütleb, et paroole vahetatakse iga kolme kuu tagant, aga raamatupidamisel on pangasüsteemi jagatud konto, mille parool on kirjutatud kleepsule. Ükski skannimine seda ei näita.
Tehniline hindamine: mida me kontrollime
See on osa, mida kliendid tavaliselt ette kujutavad. Sellel on kolm valdkonda.
Haavatavused
Skannitakse servereid, töökohti, võrguseadmeid ja avalikult ligipääsetavaid süsteeme: veebilehti, VPN-lüüse, kaugtöö portaale. Otsime paigaldamata tarkvara, teadaolevaid haavatavusi ja avatud teenuseid, mis ei tohiks internetist nähtavad olla. Skannimine lepitakse eelnevalt kokku ja toimub ajal, mis tööd ei sega.
Seadistused
Süsteemi seadeid vaadatakse läbi heade tavade alusel: Microsoft 365 ja Entra ID turvaseaded, mitmikautentimine, e-posti kaitse võltsimise vastu, tulemüüri reeglid, võrgu segmenteerimine, lõppseadmete kaitse poliitikad ning varukoopia seadistus ja eraldatus võrgust. Siit leitakse tavaliselt kõige rohkem kiireid parandusi.
Ligipääs
Kontrollime, kellel on millele ligipääs ja kas see on põhjendatud: administraatorikontod ja nende arv, endiste töötajate kontod, jagatud kontod, välistarnijate ligipääs ning privilegeeritud õigused raamatupidamises ja teistes süsteemides. Meie praktikas leiab peaaegu iga audit vähemalt ühe aktiivse konto, mis kuulub inimesele, kes ettevõttes enam ei tööta.
Dokumentide läbivaatus
Audiitor küsib olemasolevaid dokumente: turvapoliitikad, intsidendi protseduur, varundus- ja taastamiskava, tarnijalepingud ja koolituste andmed. Kui dokumente ei ole, ei ole see läbikukkumine, vaid lihtsalt punkt aruandes. Kui need on olemas, kontrollime, kas need vastavad tegelikkusele, mida näitasid intervjuud ja tehniline hindamine.
Dokumentide osa on eriti oluline ettevõtetele, kes valmistuvad NIS2 nõuetele vastavuseks või klientide auditiks, sest just neid dokumente neilt küsitakse.
Kuidas riske hinnatakse
Kõik leiud kogutakse kokku ja igale määratakse risk kahe kriteeriumi põhjal: tõenäosus, et nõrkust ära kasutatakse, ja mõju ettevõttele, kui see juhtub. Hinnatakse mõju teie tegevusele, mitte abstraktset tehnilist raskust. Andmeteta avalik testserver ja internetist ligipääsetav raamatupidamissüsteem võivad tehniliselt olla sarnased haavatavused, aga äririsk on täiesti erinev.
Leiud jaotatakse nelja tasemesse:
| Tase | Mida see tähendab | Soovitatav tähtaeg |
|---|---|---|
| Kriitiline | Nõrkust saab igal ajal ära kasutada ja see võib töö seisata või andmed lekitada | Kohe, mõne päeva jooksul |
| Kõrge | Oluline mõju, ärakasutamine tõenäoline | Kuu jooksul |
| Keskmine | Piiratud mõju või on vaja lisatingimusi | Kvartali jooksul |
| Madal | Kõrvalekalle heast tavast ilma otsese ohuta | Planeeritud töö käigus |
See hinnang võimaldab juhil otsustada, kust alustada, minemata tehnilistesse üksikasjadesse.
Mis aruandes on
Aruanne on kirjutatud kahele lugejale. Esimene osa on juhtkonnale: ühe- või kaheleheküljeline kokkuvõte, turvaseisundi üldhinnang, viis või kümme olulisemat leidu ja nende mõju ärile lihtsas keeles. Teine osa on IT-meeskonnale või teenusepakkujale: iga leid kirjelduse, tõendi (ekraanipilt, skannimisväljavõte), riskitaseme ja konkreetse parandussoovitusega.
Aruanne lõpeb tegevuskavaga: leiud on rühmitatud prioriteedi järgi, esitatud on ligikaudne töömaht (tunnid või päevad, mitte nädalad), vastutaja (ettevõte, IT-teenusepakkuja, kolmas osapool) ja soovitatav järjekord. Kava on kirjutatud nii, et selle saab otse IT-teenusepakkujale ülesannete nimekirjana üle anda.
Aruande esitleme kohtumisel, mitte ei saada seda ainult e-kirjaga. Juhtidel on küsimusi ja meile on oluline, et aruandest saaks töö, mitte järjekordne dokument kaustas.
Kui tihti korrata
Soovitame täisauditi korrata iga aasta või pärast olulisi muudatusi: pilve kolimine, IT-teenusepakkuja vahetus, ühinemine teise ettevõttega, tõsine intsident. Täisauditite vahel on mõttekas teha kitsamaid kontrolle: haavatavuste skannimine iga kvartal, ligipääsude ülevaatus iga kuue kuu tagant ja varukoopia taastamise test vähemalt kaks korda aastas.
Reguleeritud ettevõtetele määrab sageduse nõuded: NIS2 ja DORA eeldavad regulaarset testimist ning kliendid küsivad sageli aruannet, mis ei ole vanem kui aasta.
Kes auditit teeb
Auditi väärtus sõltub sellest, kes seda teeb. Meie audiitoritel on kehtivad ISACA sertifikaadid: CISA (Certified Information Systems Auditor), CISM (Certified Information Security Manager), CRISC (Certified in Risk and Information Systems Control) ja teised. See tähendab, et audit järgib tunnustatud metoodikat ja aruande võtavad vastu kliendid, sertifitseerimisasutused ja järelevalveasutused. Kõiki meeskonna sertifikaate näete sertifikaatide lehel.
Kust alustada
- Öelge, miks te auditit vajate ja kellele aruanne on mõeldud. See määrab ulatuse ja süvitsimineku.
- Koguge kokku see, mis teil on: süsteemide nimekiri, olemasolevad dokumendid, tarnijate kontaktid. Enne auditit ei pea te midagi parandama, sest selle eesmärk on näha tegelikku olukorda.
- Määrake kontaktisik, kes saab anda ligipääsu ja korraldada intervjuud.
- Leppige oma IT-teenusepakkujaga eelnevalt kokku, et ta osaleb ja viib tegevuskava ellu.
- Tellige IT-turvaaudit. Esimeses vestluses lepime kokku ulatuse, kestuse ja selle, kuidas aruannet kasutatakse.
