Čo vyžaduje audítor kybernetickej bezpečnosti od technických výstupov

Audit kybernetickej bezpečnosti podľa zákona č. 69/2018 Z. z. nie je pohovor o tom, ako to máte zariadené. Certifikovaný audítor postupuje podľa vyhlášky č. 493/2022 Z. z. a prechádza rozsiahly zoznam požiadaviek, ku ktorým chce vidieť dôkaz. Časť z nich sa dá doložiť dokumentom - politika, smernica, záznam zo školenia. Časť nie.

Riadenie zraniteľností a bezpečnostné testovanie patria do tej druhej skupiny. Sú to tvrdenia o tom, ako sa systém správa pod útokom, a také tvrdenie neoveríte inak než skúškou. Tento článok je o tom, ako taká skúška musí vyzerať, aby ju audítor uznal.

Prečo smernica nestačí

Predstavte si dve firmy. Obe majú smernicu o riadení zraniteľností, obe v nej majú napísané, že zraniteľnosti vyhľadávajú štvrťročne a kritické opravujú do 14 dní.

Prvá firma predloží k tomu štyri správy z testov za posledný rok, v každej zoznam nálezov s dátumom zistenia a dátumom opravy. Druhá predloží smernicu.

Prvá firma preukázala, že proces beží. Druhá preukázala, že proces existuje na papieri. Audítor rozdiel medzi tým vidí okamžite - a je to presne ten rozdiel, kvôli ktorému audit existuje.

Tri veci, ktoré audítor sleduje

1. Nezávislosť

Testy vykonané vlastným IT oddelením majú svoje miesto v priebežnej prevádzke, ale ako formálny dôkaz v audite spravidla nestačia. Dôvod nie je nedôvera v schopnosti - je to konflikt roly. Ten, kto systém postavil a spravuje, ho nemôže objektívne posúdiť, pretože slepé miesta má presne tam, kde robil rozhodnutia.

Audítor preto očakáva správu od externého dodávateľa, ktorý má na testovaní odbornú spôsobilosť a nemá záujem na výsledku. Pomáha, ak sú za tým doložiteľné certifikácie testerov - OSCP, OSWE, CISSP a podobne - pretože tie robia z „niekto to otestoval“ overiteľné tvrdenie.

2. Aktuálnosť

Správa z penetračného testu má obmedzenú trvanlivosť. Systémy sa menia, pribúdajú nové zraniteľnosti, mení sa konfigurácia. Test starší ako dvanásť mesiacov už nehovorí o tom, ako systém vyzerá dnes.

Praktické pravidlo: pre audit chcete test nie starší ako rok, ideálne s retestom po odstránení nálezov. Retest je to, čo premení „našli sme desať zraniteľností“ na „našli sme desať a osem z nich je preukázateľne opravených“. Bez neho máte zdokumentovaný problém, nie zdokumentované riešenie.

3. Doložená náprava

Toto je bod, na ktorom padá najviac firiem. Zoznam zraniteľností sám o sebe nie je dobrá správa pre audítora - je to zoznam vecí, ktoré nemáte v poriadku. Dobrou správou sa stáva až vtedy, keď k nemu doložíte, čo ste s tým urobili.

Audítor chce vidieť:

• ku každému nálezu priradenú závažnosť a odôvodnenie,
• rozhodnutie, čo s ním - opraviť, zmierniť, alebo akceptovať riziko,
• ak akceptovať, tak kto to rozhodol a na základe čoho,
• dátum, dokedy má byť náprava hotová, a či bola,
• overenie, že náprava zabrala.

Akceptované riziko nie je zlyhanie. Zlyhanie je akceptované riziko, o ktorom nikto nerozhodol a nikto o ňom nevie.

Čo v audite neobstojí

Surový výstup zo skenera. Export z automatizovaného nástroja plný technických záznamov bez kontextu je pre audítora signál, nie dôkaz. Skenery majú vysokú mieru falošných poplachov a nedokážu posúdiť, či je nález v danom prostredí reálne zneužiteľný. Správa, ktorá je len exportom, hovorí audítorovi, že nález nikto neoveril.

Test bez rozsahu. Ak zo správy nie je zrejmé, čo presne sa testovalo, z akej pozície a v akom období, nedá sa posúdiť, čo dokazuje. „Otestovali sme sieť“ nie je rozsah.

Test, ktorý nič nenašiel. Znie to paradoxne, ale správa bez jediného nálezu vzbudzuje podozrenie skôr než dôveru. Buď bol rozsah príliš úzky, alebo test príliš plytký. Aj dobre zabezpečené prostredie má informatívne nálezy.

Rok starý test na systéme, ktorý sa medzitým prepisoval. Aktuálnosť sa neposudzuje len podľa dátumu, ale aj podľa toho, čo sa od testu zmenilo.

Ako vyzerá správa, ktorá obstojí

Z našej praxe - a to je zároveň to, čo dostávate od nás - má použiteľná správa z penetračného testu tieto časti:

1. Zhrnutie pre vedenie. Bez žargónu, jedna strana, čo to znamená pre firmu. Toto číta konateľ, ktorý za opatrenia zodpovedá.
2. Rozsah a metodika. Čo sa testovalo, kedy, z akej pozície, podľa akej metodiky. My uvádzame OWASP a ďalšie štandardy, podľa ktorých sa postupovalo - audítor tak vie zaradiť hĺbku testu.
3. Zoznam nálezov. Každý s vlastným identifikátorom, závažnosťou, technickým popisom, dôkazom o zneužiteľnosti a konkrétnym odporúčaním.
4. Dôkazy. Snímky, požiadavky a odpovede, kroky reprodukcie. Toto je to, čo odlišuje overený nález od hypotézy.
5. Retest. Samostatná časť alebo samostatný dokument, ktorý ku každému nálezu hovorí, či bol odstránený.

Bod 4 je ten, ktorý najviac rozhoduje. Nález, ktorý viete zreprodukovať, je fakt. Nález, ktorý viete len citovať z výstupu nástroja, je tvrdenie.

Kde sa penetračný test a analýza zraniteľností líšia

Obe veci majú v súlade svoje miesto a nie sú zameniteľné:

Zdravý režim je kombinácia oboch: analýza zraniteľností ako priebežný proces a penetračný test ako hĺbkové overenie. Audítor sa pýta na proces aj na overenie.

Poznámka o rolách

Haxoris nie je certifikovaný audítor kybernetickej bezpečnosti a audit podľa zákona nevykonáva - tú rolu má audítor certifikovaný podľa vyhlášky. My dodávame technické podklady, o ktoré sa audítor pri kontrole riadenia zraniteľností a bezpečnostného testovania opiera.

Je to zámerné oddelenie. Dodávateľ, ktorý by testoval aj auditoval, by posudzoval vlastnú prácu - a to je presne konflikt roly, ktorý audit má odhaliť.

Ak sa chcete pozrieť, ako naša správa vyzerá, vyžiadajte si vzorový report. Ak riešite termíny, prehľad nájdete v článku o termínoch a sankciách podľa NIS2.

Audit kybernetickej bezpečnosti - časté otázky

Súvisiace služby Haxoris: Bezpečnostný audit · NIS2 testovanie · Penetračné Testy