การตรวจสอบความปลอดภัยและการทบทวนการปฏิบัติตามข้อกำหนด

การตรวจประเมินความปลอดภัยมีตั้งแต่การประเมินตนเองภายใน (โดยใช้กรอบงานเป็นรายการตรวจสอบ) ไปจนถึงการตรวจประเมินภายนอกที่ดำเนินการโดยบุคคลที่สามซึ่งเป็นอิสระ การตรวจประเมินการปฏิบัติตามข้อกำหนดจะตรวจสอบการปฏิบัติตามมาตรฐานเฉพาะ (PCI-DSS, ISO 27001, HIPAA) การทดสอบเจาะระบบจะให้หลักประกันด้านเทคนิค การตรวจประเมินแต่ละประเภทมีจุดประสงค์แตกต่างกัน

กำหนดขอบเขตการตรวจประเมินให้ชัดเจนว่าระบบ กระบวนการ และการควบคุมใดอยู่ในขอบเขต ช่วงเวลาที่ประเมิน กรอบงานการควบคุมที่ใช้บังคับ และกลุ่มเป้าหมาย (ฝ่ายบริหารภายในหรือหน่วยงานรับรองภายนอก) การเปลี่ยนแปลงขอบเขตส่งผลต่อต้นทุน ระยะเวลา และความเกี่ยวข้องของข้อค้นพบ

ผู้ตรวจประเมินรวบรวมหลักฐานสามประเภท ได้แก่ เอกสารประกอบ (นโยบาย ขั้นตอนปฏิบัติ คู่มือการกำหนดค่า) การสังเกตการณ์ (การกำหนดค่าระบบ การสาธิตขั้นตอนการทำงาน) และการทดสอบ (ทดลองใช้การควบคุม ตรวจทานบันทึกเหตุการณ์) หลักฐานต้องมีปริมาณเพียงพอ มีความน่าเชื่อถือ และเกี่ยวข้องกับการควบคุมแต่ละรายการที่กำลังประเมิน

นโยบายความปลอดภัยกำหนดเจตนารมณ์ ส่วนขั้นตอนปฏิบัติกำหนดวิธีนำไปใช้ ผู้ตรวจประเมินจะตรวจสอบว่านโยบายมีอยู่และได้รับอนุมัติ ขั้นตอนปฏิบัติเป็นปัจจุบันและมีการปฏิบัติตาม บันทึกการฝึกอบรมแสดงให้เห็นว่าบุคลากรตระหนักรู้ และกระบวนการขอยกเว้นมีการบันทึกการเบี่ยงเบนที่ได้รับอนุมัติ

การควบคุมด้านเทคนิคได้รับการตรวจสอบด้วยการตรวจโดยตรง ได้แก่ ทบทวนชุดกฎของระบบกำแพงไฟ ทดสอบความพยายามหลีกเลี่ยง MFA ทบทวนระดับการอัปเดต ตรวจประเมินสมาชิกกลุ่มในไดเรกทอรีที่ใช้งานอยู่ ตรวจสอบการกำหนดค่าการเข้ารหัส และยืนยันว่าการกู้คืนข้อมูลสำรองทำงานได้ การมีเอกสารอธิบายการควบคุมเพียงอย่างเดียวไม่เพียงพอ — ต้องทดสอบการควบคุมด้วย

SOC 2 คือการตรวจประเมินเกณฑ์บริการที่น่าเชื่อถือ ซึ่งดำเนินการโดยบริษัท CPA ประเภท I ประเมินการออกแบบการควบคุม ณ ช่วงเวลาหนึ่ง ส่วนประเภท II ประเมินทั้งการออกแบบและประสิทธิผลในการปฏิบัติงานตลอดระยะเวลา 6-12 เดือน บริษัทซอฟต์แวร์ในรูปแบบบริการจัดทำรายงาน SOC 2 ประเภท II เพื่อใช้ประกอบการตรวจสอบสถานะโดยลูกค้า

PCI-DSS กำหนดให้ผู้ค้าและผู้ให้บริการประเมินประจำปี ผู้ประเมินความปลอดภัยที่มีคุณสมบัติเหมาะสม (QSA) จะดำเนินการประเมิน ณ สถานที่จริงสำหรับข้อกำหนดทั้ง 12 ข้อ การลดขอบเขตด้วยการแบ่งส่วนเครือข่ายช่วยลดขนาดสภาพแวดล้อมข้อมูลผู้ถือบัตรและความซับซ้อนของการประเมิน

ข้อค้นพบคือความล้มเหลวของการควบคุมที่ต้องได้รับการแก้ไข ส่วนข้อสังเกตคือโอกาสในการปรับปรุงที่ยังไม่มีความล้มเหลวของการควบคุมในปัจจุบัน ข้อค้นพบแต่ละรายการประกอบด้วย สภาพที่พบ (สิ่งที่เป็นอยู่) เกณฑ์ (สิ่งที่ควรเป็น) สาเหตุ (เหตุใดจึงเกิดขึ้น) ผลกระทบ (ผลที่เกิดขึ้น) และข้อเสนอแนะ (วิธีแก้ไข)

จัดทำแผนปฏิบัติการและหมุดหมายสำหรับข้อค้นพบแต่ละรายการ โดยระบุผู้รับผิดชอบ วันที่เป้าหมาย การควบคุมชดเชยชั่วคราว และสถานะ ติดตามความคืบหน้าการแก้ไขเป็นรายเดือน ผู้ตรวจประเมินจะทบทวนสถานะของแผนในการประเมินติดตามผลหรือการทบทวนประจำปีครั้งถัดไป

การตรวจประเมินประจำปีไม่เพียงพอสำหรับสภาพแวดล้อมที่เปลี่ยนแปลงตลอดเวลา การติดตามการปฏิบัติตามข้อกำหนดอย่างต่อเนื่องด้วย AWS Config, นโยบายของอาซัวร์ หรือเครื่องมือ CSPM เชิงพาณิชย์จะให้สถานะการปฏิบัติตามข้อกำหนดแบบเรียลไทม์ ส่งข้อค้นพบไปยัง SIEM เพื่อแจ้งเตือนเมื่อสถานะการปฏิบัติตามข้อกำหนดเปลี่ยนแปลงไประหว่างรอบการตรวจประเมิน

การเตรียมตัวก่อนการตรวจประเมิน ได้แก่ ดำเนินการประเมินความพร้อมภายใน จัดระเบียบหลักฐานในระบบจัดการการตรวจประเมิน ชี้แจงเจ้าของการควบคุมเกี่ยวกับกระบวนการประเมิน แก้ไขช่องว่างที่ทราบก่อนผู้ตรวจประเมินมาถึง และมอบหมายผู้ประสานงานหลักเพียงรายเดียวเพื่อประสานคำขอหลักฐานอย่างมีประสิทธิภาพ

การตรวจประเมินความปลอดภัยให้หลักประกันที่เป็นอิสระว่าการควบคุมได้รับการออกแบบและดำเนินงานอย่างมีประสิทธิผล การรวบรวมหลักฐาน การทดสอบการควบคุมด้านเทคนิค การติดตามการแก้ไข และการติดตามการปฏิบัติตามข้อกำหนดอย่างต่อเนื่องระหว่างการตรวจประเมินประจำปี เมื่อนำมารวมกันจะสร้างโปรแกรมการปฏิบัติตามข้อกำหนดที่เข้มแข็ง ซึ่งตอบสนองความต้องการของลูกค้า หน่วยงานกำกับดูแล และการจัดการความเสี่ยงภายใน