Mechanizmy kontrolne, audyty i certyfikacja

Wybór frameworka to łatwa część. Trudniejszym zadaniem jest wdrożenie zabezpieczeń, a następnie udowodnienie ich skuteczności za pomocą audytów i, gdy jest to wymagane, uzyskanie certyfikacji.

W tej lekcji omówiono praktyczny przebieg tego procesu: jak faktycznie wyglądają zabezpieczenia, jakich rodzajów dowodów oczekują audytorzy, jak przebiega audyt oraz co certyfikat oznacza, a czego nie oznacza.

Zabezpieczenia dzielą się na trzy klasyczne kategorie ze względu na sposób ograniczania ryzyka:

• Prewencyjne — zapobiegają wystąpieniu incydentu (MFA, zapory sieciowe, zasada najmniejszych uprawnień).
• Detekcyjne — ujawniają trwający incydent lub wykrywają go po fakcie (rejestrowanie, alerty SIEM, monitorowanie integralności plików).
• Korygujące — przywracają działanie i ograniczają szkody po incydencie (kopie zapasowe, stosowanie poprawek, reagowanie na incydenty).

Skuteczny program łączy wszystkie trzy rodzaje; poleganie wyłącznie na zapobieganiu sprawia, że po jego niepowodzeniu nie ma się wglądu w sytuację.

Zabezpieczenia klasyfikuje się również ze względu na ich charakter:

• Administracyjne — zasady, procedury, szkolenia, przeglądy dostępu.
• Techniczne — wdrażane za pomocą technologii: szyfrowanie, kontrola dostępu, rejestrowanie.
• Fizyczne — zamki, czytniki kart, zabezpieczone obiekty.

Audytorzy sprawdzają, czy wszystkie trzy obszary są objęte zabezpieczeniami. Nawet doskonałe zabezpieczenie techniczne, osłabione przez zasadę, której nikt nie przestrzega, nie jest rzeczywistym zabezpieczeniem.

Audytorzy oceniają zabezpieczenia w dwóch wymiarach:

• Skuteczność projektu — czy zabezpieczenie, jeśli działa zgodnie z założeniami, jest w stanie zająć się danym ryzykiem?
• Skuteczność działania — czy rzeczywiście działa i działa w sposób spójny przez pewien czas?

Zabezpieczenie może być dobrze zaprojektowane na papierze, ale nieskuteczne w działaniu (np. przegląd logów, którego w rzeczywistości nikt nie wykonuje). Dowody muszą potwierdzać oba aspekty.

Audity opierają się na dowodach. W przypadku każdego zabezpieczenia należy wykazać, że działa. Typowe artefakty:

• Zapisy z przeglądów dostępu potwierdzające kwartalną ponowną certyfikację.
• Logi i zgłoszenia potwierdzające analizę alertów.
• Eksporty konfiguracji pokazujące wymuszenie szyfrowania lub MFA.
• Zapisy ukończenia szkoleń.

Audytorzy korzystają z próbkowania. Wybierają zabezpieczenie, proszą o dowody z określonego okresu i śledzą cały proces od początku do końca.

Występują dwa poziomy audytów:

• Audyt wewnętrzny — organizacja (lub zatrudniony audytor wewnętrzny) dokonuje przeglądu własnego ISMS, aby wykryć luki przed audytem zewnętrznym. Jest wymagany przez ISO 27001.
• Audyt zewnętrzny / certyfikacyjny — akredytowana, niezależna jednostka ocenia organizację pod kątem wydania certyfikatu.

Audyt wewnętrzny jest próbą generalną. Znacznie taniej jest najpierw samodzielnie wykryć niezgodności, niż pozwolić, aby zrobiła to jednostka certyfikująca.

Certyfikacja ISO 27001 przebiega w dwóch etapach:

• Etap 1 — przegląd dokumentacji. Audytor sprawdza, czy dokumenty ISMS, zakres, zasady, ocena ryzyka i SoA istnieją oraz są spójne.
• Etap 2 — audyt wdrożenia. Audytor weryfikuje, czy zabezpieczenia rzeczywiście działają, przeprowadzając wywiady, analizując próbki dowodów i dokonując obserwacji.

Po pomyślnym przejściu obu etapów organizacja otrzymuje certyfikat, zwykle ważny przez trzy lata, z bieżącym nadzorem.

Audity skutkują ustaleniami, którym przypisuje się wagę zależnie od ich dotkliwości:

• Poważna niezgodność — zabezpieczenie nie istnieje lub zasadniczo nie działa; uniemożliwia certyfikację do czasu usunięcia problemu.
• Drobna niezgodność — uchybienie, które nie podważa całego systemu; wymaga planu działań korygujących.
• Spostrzeżenie / możliwość doskonalenia — zalecenie, które nie oznacza niepowodzenia.

Należy odpowiedzieć planem działań korygujących, obejmującym przyczynę źródłową, rozwiązanie problemu i zapobieganie jego ponownemu wystąpieniu.

Certyfikacja nie jest bezterminowa. Certyfikaty ISO 27001 funkcjonują w cyklu obejmującym:

• Audyty nadzoru — zwykle przeprowadzane co roku, w formie lżejszych kontroli potwierdzających, że ISMS nadal działa.
• Audyt ponownej certyfikacji — pełna ponowna ocena, zazwyczaj przeprowadzana co trzy lata.

Wymusza to ciągłe działanie ISMS. Jeśli między audytami dopuści się do zaniedbania zabezpieczeń, podczas kolejnego audytu nadzoru można utracić certyfikat.

Dojrzałe zespoły unikają gorączkowych przygotowań do audytu, dążąc do ciągłej zgodności: automatycznie gromadzą dowody i stale utrzymują mechanizmy kontrolne w stanie gotowości do audytu.

• Automatyzujcie zgodnie z harmonogramem gromadzenie dowodów, takich jak przeglądy dostępu i migawki konfiguracji.
• Monitorujcie w czasie rzeczywistym odchylenia od mechanizmów kontrolnych, na przykład sytuację, w której zasobnik S3 stał się publiczny.
• Traktujcie zgodność jako stan ciągły, a nie projekt realizowany raz w roku.

W tym obszarze opłacają się również narzędzia SOAR i do automatyzacji zgodności, które przekształcają audyty wykonywane w określonym momencie w ciągłe zapewnianie zgodności.

Czasami wymaganego mechanizmu kontrolnego rzeczywiście nie można wdrożyć zgodnie z jego opisem — na przykład starszy system może nie obsługiwać MFA. Standardy dopuszczają mechanizmy kompensacyjne: alternatywne rozwiązanie, które realizuje ten sam cel związany z ryzykiem.

• Udokumentujcie, dlaczego pierwotnego mechanizmu kontrolnego nie można wdrożyć.
• Opiszcie rozwiązanie alternatywne, na przykład ścisłą izolację sieci połączoną ze wzmożonym monitorowaniem starszego systemu.
• Wykażcie, że ogranicza ono ryzyko do równoważnego poziomu.

Audytorzy akceptują mechanizmy kompensacyjne, gdy ich uzasadnienie i równoważne ograniczenie ryzyka są jasno udokumentowane, a nie tylko deklarowane.

Mechanizmy kontrolne, audyty i certyfikacja:

• Ze względu na funkcję mechanizmy kontrolne są zapobiegawcze, wykrywające lub korygujące, a ze względu na charakter — administracyjne, techniczne lub fizyczne; należy stosować wszystkie te warstwy.
• Audytorzy oceniają zarówno skuteczność projektu, jak i skuteczność działania, a ocena działania wymaga dowodów zebranych w określonym czasie.
• Audyty wewnętrzne pozwalają wykryć luki przed zewnętrznym audytem certyfikacyjnym, który przebiega w Etapie 1 (dokumentacja) i Etapie 2 (wdrożenie).
• Ustalenia obejmują zarówno poważne i drobne niezgodności, jak i obserwacje; należy na nie reagować planami działań korygujących.
• Certyfikaty wymagają audytów nadzoru i audytów ponownej certyfikacji; należy dążyć do ciągłej zgodności, aby stale pozostawać w gotowości do audytu.