Audyt bezpieczeństwa systemu informatycznego

Audyt bezpieczeństwa informatycznego, testy penetracyjne, testy kontrolne, analiza zabezpieczeń, wykrywanie śladów włamań, zabezpieczenie systemu operacyjnego, symulacja włamań, weryfikacja konfiguracji systemu.

Na początku postraszmy trochę właścicieli firm:

8 proc. – tyle przedsiębiorstw jest „dojrzałych pod względem bezpieczeństwa informacji”,

82 proc. – tyle firm zanotowało w ubiegłym roku przynajmniej jedno naruszenie bezpieczeństwa (co czwarte aż dziesięć),

44 proc. – tyle firm poniosło w 2017 r. straty finansowe przez cyberataki (to 9 proc. więcej niż w 2016 r.),

46 proc. – aż tyle spółek nie posiada przygotowanych procedur reakcji na incydenty naruszenia bezpieczeństwa,

62 proc. – tyle spółek odnotowało zakłócenia i przestoje funkcjonowania,

3 proc. – taką część budżetu IT stanowią średnio w firmach wydatki na bezpieczeństwo i jak szacują eksperci jest to przynajmniej trzy raz za mało.

audyt bezpieczeństwa systemu informatycznego w firmie

cel audytu bezpieczeństwa informatycznego

W celu utrzymania profesjonalnego i wysokiego poziomu bezpieczeństwa infrastruktury informatycznej i zasobów IT w przedsiębiorstwie czy instytucji osoby odpowiedzialne za ten obszar powinny na stałe monitorować zasoby. Ważnym elementem są również okresowe testy i badania stanu zabezpieczeń systemu.

Praktyka wskazuje, że najbardziej wyrafinowane systemy ochrony informatycznej czy bezpieczeństwa IT, nie będąc poddawanymi okresowym ocenom i analizom tracą swoją wartość i same w sobie mogą stanowić spore zagrożenie informatyczne dla organizacji.

W dzisiejszych realiach w grę wchodzą bardzo często duże straty finansowe, utrata danych, która niejednokrotnie może doprowadzić do tych samych strat oraz utrata dobrego wizerunku na rynku.

Przy dzisiejszych zagrożeniach informatycznych oraz nagminnych atakach cybernetycznych wskazane jest wdrożenie w organizacji systemów szybkiego identyfikowania i sygnalizowania wszelkiego rodzaju nieprawidłowości działania zabezpieczeń informatycznych. Równie ważna jest realizacja okresowych audytów bezpieczeństwa.

Mając na uwadze prawidłowo przeprowadzony i kompleksowy audyt bezpieczeństwa IT musimy pamiętać o jego podstawowych wymiarach:

Kompleksowa analiza systemowa zabezpieczeń (czyli teoretyczna ocena bezpieczeństwa systemu informatycznego)
Testy kontrolne (sprawdzanie poprawności instalacji i konfiguracji systemu),
Testy penetracyjne (identyfikacja słabych elementów systemu zabezpieczeń informatycznych, symulacja włamań),
Zabezpieczenia aplikacji (kontrola dostępu do operacji, szyfrowanie danych aplikacji),
Zabezpieczenia bazy danych (np. kontrola dostępu do bazy danych),
Zabezpieczenia systemu operacyjnego ( kontrola dostępu do plików, logi systemowe),
Zabezpieczenia sieciowe,
Zabezpieczenia wspomagające (np. serwery kontroli zawartości, serwery uwierzytelniania, PKI).
Kontrola wersji systemu operacyjnego i oprogramowania użytkowego,
Weryfikacja poprawności konfiguracji systemu,
Wykrywanie śladów włamań i nadużyć użytkowników,
Weryfikacja poziomu bezpieczeństwa systemu kontroli dostępu.

Praktyczne testy zabezpieczeń, realizowane są przy pomocy dedykowanego oprogramowania, umożliwiającego dokonanie wiarygodnej oceny poziomu bezpieczeństwa zasobów systemu informatycznego. W dużych organizacjach, posiadających rozległą infrastrukturę z przyczyn technicznych, organizacyjnych lub finansowych praktyczne testy zabezpieczeń mogą być wykonywane tylko dla wybranych części infrastruktury informatycznej.

Zakres audytu bezpieczeństwa

Ogólnie, można wyróżnić 10 podstawowych kategorii zagrożeń systemów komputerowych:

Zagrożenia sieciowe (np. włamania i penetracje, ataki dDoS),
Zagrożenia aplikacyjne (np. wirusy, robaki, konie trojańskie),
Zagrożenia pod kątem transmisji danych (np. podsłuch sieciowy, przechwytywanie sesji),
Zagrożenia komunikacyjne (np. przeciążenia sieci),
Awarie techniczne (np. awaria sprzętu, błąd oprogramowania),
Błędy ludzkie (np. błędy użytkowników, administratorów, ataki socjotechniczne),
Zagrożenie fizyczne (kradzież, zalanie, pożar),
Zagrożenia kryptograficzne (np. nieaktualne lub utracone klucze szyfrujące),
Wyciek informacji (np. w przypadku stanowisk z informacjami niejawnymi).
Ulot elektromagnetyczny

Kategorie zagrożeń informatycznych obszarów od 1 do 7 są powszechnymi w większości systemów informatycznych każdej organizacji. Z zagrożeniami kryptograficznymi mamy na ogół do czynienia głównie w bankach czy instytucjach finansowych. Wyciek informacji ze stanowisk niejawnych oraz ulot magnetyczny to powszechne zagrożenia w systemach rządowych i wojskowych.

Analiza i testy zabezpieczeń

Celem oceny bezpieczeństwa systemu pod kątem szczelności i odporności na nieautoryzowane ingerencje są analizy i badania praktyczne pod kątem:

W zakresie testów penetracyjnych:

Identyfikacja systemu za pomocą dostępnych serwisów sieciowych. Identyfikacji są poddawane wszystkie adresy IP podane przez Zleceniodawcę.
Analiza dostępnych urządzeń komputerowych i urządzeń sieciowych, rodzaju i wersji ich systemów operacyjnych oraz występującego na nich oprogramowania użytkowego pod kątem wykrywania luk bezpieczeństwa.
Podstawowa penetracja systemu za pomocą skanerów portów TCP i UDP oraz skanerów zabezpieczeń.
Testy zabezpieczeń systemu za pomocą profesjonalnych skanerów zabezpieczeń
Analiza otrzymanych w ten sposób wyników badań pod kątem przygotowania symulacji włamań.
Symulacja włamań do systemu (zawsze realizowana w czasie i zakresie zaakceptowanym przez Zleceniodawcę), której celem jest ustalenie zagrożeń pod kątem uzyskania nieupoważnionego dostępu do usług i danych sieci prywatnej.
Ocena odporności zabezpieczeń systemu na ataki cybernetyczne przy pomocy narzędzi powszechnie wykorzystywanych przez hakerów.
Analiza uzyskanych wyników testu penetracyjnego pod kątem oceny zagrożenia możliwości dostępu do danych firmy przez osoby nieupoważnione.
Raport końcowy dla zleceniodawcy, zawierający proponowane rozwiązania i propozycje podjęcia działań zabezpieczających.

Polityka bezpieczeństwa

Integralną i kluczową częścią bezpieczeństwa informatycznego systemu w organizacji jest “Polityka bezpieczeństwa systemu informatycznego”. Ma ona realny wpływ na zapewnienie wysokiego poziomu bezpieczeństwa. Stanowi również jasne wytyczne dla osób kluczowych w organizacji pod kątem przedsięwzięć i działań. “Dokument polityki bezpieczeństwa systemu informatycznego powinien być aktualizowany na bieżąco wraz z rozwojem systemu