Audyt bezpieczeństwa i przeglądy zgodności

Audyty bezpieczeństwa obejmują zarówno wewnętrzne samooceny (wykorzystujące ramy jako listy kontrolne), jak i audyty zewnętrzne przeprowadzane przez niezależne podmioty trzecie. Audyty zgodności weryfikują przestrzeganie określonych standardów (PCI-DSS, ISO 27001, HIPAA). Testy penetracyjne zapewniają ocenę zabezpieczeń od strony technicznej. Każdy z tych rodzajów audytu służy innemu celowi.

Należy precyzyjnie określić zakres audytu: które systemy, procesy i mechanizmy zabezpieczeń nim objęto, jaki jest okres oceny, jakie ramy mechanizmów kontrolnych mają zastosowanie oraz kto jest odbiorcą wyników (kierownictwo wewnętrzne czy zewnętrzna jednostka certyfikująca). Zmiany zakresu wpływają na koszt, harmonogram i możliwość zastosowania ustaleń.

Audytorzy gromadzą trzy rodzaje dowodów: dokumentację (polityki, procedury, instrukcje konfiguracji), obserwacje (konfiguracje systemów, przeglądy przebiegu procesów) oraz wyniki testów (próby działania mechanizmów zabezpieczeń, przegląd logów). Dowody muszą być wystarczające, wiarygodne i istotne dla każdego ocenianego mechanizmu.

Polityki bezpieczeństwa określają założenia, a procedury opisują sposób ich wdrażania. Audytorzy weryfikują, czy polityki istnieją i zostały zatwierdzone, procedury są aktualne i przestrzegane, rejestry szkoleń potwierdzają świadomość personelu, a procesy obsługi wyjątków dokumentują zatwierdzone odstępstwa.

Techniczne mechanizmy zabezpieczeń weryfikuje się poprzez bezpośrednie badanie: przegląd zestawów reguł zapory sieciowej, testowanie prób obejścia MFA, przegląd poziomów poprawek, audyt członkostwa w grupach usługi Active Directory, sprawdzanie konfiguracji szyfrowania oraz weryfikację poprawności odtwarzania kopii zapasowych. Sama dokumentacja mechanizmów zabezpieczeń nie wystarcza — należy je przetestować.

SOC 2 to audyt według kryteriów Trust Services Criteria, przeprowadzany przez firmy księgowych z uprawnieniami CPA. Typ I ocenia sposób zaprojektowania mechanizmów zabezpieczeń w określonym momencie. Typ II ocenia sposób zaprojektowania oraz skuteczność operacyjną w okresie 6–12 miesięcy. Firmy SaaS przygotowują raporty SOC 2 Type II na potrzeby analizy dostawców przez klientów.

PCI-DSS wymaga corocznej oceny od akceptantów i dostawców usług. Qualified Security Assessors (QSA) przeprowadzają oceny na miejscu, obejmujące wszystkie 12 wymagań. Ograniczenie zakresu dzięki segmentacji sieci zmniejsza środowisko danych posiadaczy kart oraz złożoność oceny.

Ustalenia oznaczają nieskuteczność mechanizmów zabezpieczeń wymagającą działań naprawczych. Obserwacje wskazują możliwości usprawnień, mimo że obecnie nie stwierdzono nieskuteczności mechanizmu. Każde ustalenie obejmuje: stan faktyczny (co ma miejsce), kryterium (co powinno mieć miejsce), przyczynę (dlaczego), skutek (wpływ) oraz rekomendację (jak naprawić problem).

Dla każdego ustalenia należy utworzyć Plan of Action and Milestones (POA&M), określając osobę odpowiedzialną, termin docelowy, tymczasowe mechanizmy kompensacyjne oraz status. Postępy działań naprawczych należy śledzić co miesiąc. Audytorzy analizują status POA&M podczas ocen kontrolnych lub kolejnego corocznego przeglądu.

Coroczne audyty są niewystarczające w dynamicznych środowiskach. Ciągłe monitorowanie zgodności za pomocą AWS Config, Azure Policy lub komercyjnych narzędzi CSPM zapewnia dostępny w czasie rzeczywistym obraz stanu zgodności. Wyniki należy przekazywać do SIEM, aby generować alerty dotyczące odchyleń od zgodności między cyklami audytów.

Przygotowanie przed audytem obejmuje przeprowadzenie wewnętrznej oceny gotowości, uporządkowanie dowodów w platformie do zarządzania audytami, zapoznanie właścicieli mechanizmów zabezpieczeń z procesem oceny, usunięcie znanych luk przed przybyciem audytorów oraz wyznaczenie jednej osoby do sprawnej koordynacji żądań dotyczących dowodów.

Jaka jest różnica między raportem SOC 2 Type I a raportem Type II?

Audyty bezpieczeństwa zapewniają niezależne potwierdzenie, że mechanizmy zabezpieczeń zostały właściwie zaprojektowane i działają skutecznie. Gromadzenie dowodów, testowanie technicznych mechanizmów zabezpieczeń, śledzenie działań naprawczych oraz ciągłe monitorowanie zgodności między corocznymi audytami tworzą razem solidny program zgodności, który spełnia oczekiwania klientów i organów regulacyjnych oraz wspiera wewnętrzne zarządzanie ryzykiem.