Аудиты безопасности:
что нужно знать,
чтобы защитить свой бизнес. Часть 1

Аудиты безопасности нужны для того, чтобы убедиться, что ваша компания соблюдает все необходимые внутренние политики безопасности и внешние правила.

В этой статье мы подробнее расскажем, что такое аудиты безопасности, а также рассмотрим различные типы аудитов. Мы поделимся с вами несколькими удобными инструментами, которые помогут вам в процессе проведения аудита безопасности. 

Что такое аудиты безопасности?

Аудиты безопасности — это всесторонняя оценка состояния безопасности организации. Они проверяют средства защиты физического рабочего пространства, цифровых приложений, сети и сотрудников для того, чтобы определить, соблюдаются ли политики безопасности.

Почему важны аудиты безопасности?

Чем сложнее IT-среда, тем больше уязвимостей может возникнуть, поэтому безопасность — это очень важная проблема, которой необходимо уделять достаточное внимание.

Изучая состояние безопасности всей организации, аудиты выявляют пробелы в существующей защите, процессы, в которых можно улучшить обучение сотрудников, а также показывают возможности для создания новых политик безопасности.

Аудиты обеспечивают подотчетность организации, их проведение также могут запросить государственные органы или внешние учреждения для поддержания аккредитации вашей компании.

Обычные аудиты и аудиты в результате событий

Аудиты безопасности — это важная часть долгосрочной стратегии компании по защите данных и активов. Это означает, что аудиты должны проводиться не реже одного раза в год, а лучше чаще, чтобы  помочь вашей компании идти в ногу со временем.

В дополнение к обычным проверкам эксперты рекомендуют проводить проверки безопасности после атаки или крупного обновления:

• В случае утечки данных, аудит может показать, почему утечка произошла и что необходимо сделать, чтобы ее избежать в дальнейшем.
• После обновления, например, установки нового инструмента или переноса данных, ваша среда будет значительно изменена по сравнению с последним аудитом. В этом случае аудит поможет уберечь вас от новых уязвимостей, которые могли появиться в результате последних обновлений.

Типы аудита безопасности

1. Внутренний аудит безопасности

Внутренний аудит безопасности проводится членами команды внутри компании. У вас будет максимальный контроль над тем, что проверяет внутренний аудит, а также над членами команды, которые его проводят, и ресурсами, которые выделены для этого процесса.

2. Сторонний аудит безопасности

Сторонний аудит безопасности — это аудит, который проводится в отношении поставщика заказчиком или нанятой организацией от имени заказчика. 

Например, обеспечение безопасности подключаемого модуля на вашем веб-сайте, чтобы злоумышленник, который взламывает компанию, которая производит этот подключаемый модуль, не мог использовать его в качестве лазейки на вашем ресурсе.

3. Внешний аудит безопасности

Внешний аудит — это аудит, который проводится сторонней организацией, которая не имеет отношения к вашему бизнесу, для того чтобы обеспечить объективный результат.

Прочие оценки безопасности

Очень важно отличать аудиты безопасности от других оценок безопасности, которыми может воспользоваться ваша компания. Рассмотрим их ниже:

• Аудиты кибербезопасности

Аудиты кибербезопасности — это подмножество аудитов безопасности, которые ориентированы конкретно на информационные системы в компании. Учитывая цифровую среду, в которой работает большинство компаний, они могут показаться синонимом аудита безопасности, но это не совсем так. 

Например, ваша IT-среда может быть полностью защищена, но если кто-то может пройти через парадную дверь вашего офиса и получить доступ к компьютеру с правами администратора, то это критическая уязвимость, которую необходимо устранить. 

Аудиты безопасности, которые исследуют как физическое, так и цифровое рабочее место, будут охватывать весь спектр потенциальных рисков.

• Оценка уязвимостей

Оценка уязвимостей — это проверка ПО и IT-среды, которая необходима для того, чтобы определить, работают ли существующие правила безопасности должным образом. 

Например, пользователь без прав администратора не должен иметь возможность запускать ПО компании для управления персоналом и удалять других пользователей. 

Оценка уязвимостей будет специально пытаться выполнить это действие, чтобы увидеть, заблокирован ли пользователь от этих полномочий.

• Тестирование на проникновение

Тестирование на проникновение фокусируется на различных способах, с помощью которых злоумышленник может получить доступ к внутренним системам вашей компании. 

Такое тестирование показывает, обеспечивают ли существующие инструменты и процедуры адекватную защиту, а также выявляет пробелы, которые команда безопасности должна устранить.

Оценка уязвимостей и тестирование на проникновение могут проводиться как часть аудита безопасности, но вы также можете использовать их в качестве отдельных тестов.

Контрольный список аудита безопасности

Теперь, когда мы подробно рассмотрели, что такое аудиты безопасности и почему они важны, давайте рассмотрим контрольный список аудита безопасности.

1. Определите свои цели и критерии оценки

Определение целей поможет вашей команде определить четкие результаты, которых вы хотите достичь с помощью аудита. Цели также устанавливают ориентиры для измерения текущего уровня безопасности компании.

Установленные критерии оценки позволяют вашей команде оценивать каждую систему и процесс безопасности по заранее определенным показателям, чтобы обеспечить согласованность анализа для ваших отчетов.

2. Перечислите потенциальные угрозы

В зависимости от отрасли, в которой вы работаете, угрозы для вашей компании могут быть разными. Поэтому вам стоит  определить наиболее важные угрозы конкретно для вашей компании, чтобы вы могли точно настроить свою защиту.

3. Оцените обучение сотрудников

Сотрудники — это одна из важнейших частей вашей защиты, а многие кибератаки нацелены именно на них. Это означает, что грамотное обучение по безопасности очень важно для ваших сотрудников, чтобы они могли своевременно распознать угрозу и правильно отреагировать на нее. 

Вам также необходимо изучить, какие политики безопасности действуют для ваших сотрудников, а также оценить их знания. Если есть какие-либо пробелы в знаниях или соблюдении требований, вам следует организовать новый этап обучения.

4. Определите риски в вашей среде

На этом этапе ваша группа по аудиту должна глубоко погрузиться в вашу физическую и цифровую рабочую среду. Будет произведена полная инвентаризация существующих систем, инструментов и сред для того, чтобы сравнить результаты с текущими политиками безопасности.

Все ли системы обновлены с последними исправлениями? Есть ли в сети неопознанные устройства или неавторизованные приложения? Эти результаты будут занесены в каталог, чтобы внести необходимые изменения вашей стратегии на следующем этапе.

Еще одно преимущество рутинных системных аудитов заключается в том, что они часто выявляют ПО, которое не используется, или инструменты, которые выполняют одинаковые функции. Например, одна команда использует Slack, а другая — Microsoft Teams. Консолидация инструментов не только снизит затраты, но также сократит количество систем, которые подлежат аудиту.

^{Источник: hubspot.com}