Varnostni pregled
Varnostni pregled informacijskega sistema
Varnostni pregled je neodvisen tehnični in organizacijski pregled stanja informacijske varnosti. Penetracijski test sprašuje, ali je v sistem mogoče vdreti, in ranljivosti izkorišča v globino; pregled ranljivosti poišče znane tehnične ranljivosti. Varnostni pregled pa odgovarja na vprašanje, ali je varnost ustrezno urejena – in to podpre z dokazi.
Tehnične konfiguracije, procese in varnostne ukrepe preverimo glede na standard, ki velja za vas, in vam predamo načrt odprave s prioritetami in oceno stroškov. Varnostni pregled ni revizija skladnosti po 25. členu Zakona o informacijski varnosti (ZInfV-1). Revizijo skladnosti lahko izvede le revizor informacijskih sistemov, vpisan v register Slovenskega inštituta za revizijo; Haxoris te revizije ne izvaja. Z našim pregledom dobite tehnične dokaze, ki jih lahko uporabite vi in vaš revizor.
Zaupajo nam
Varnostni pregled
Varnostni pregled ali penetracijski test?
Storitvi se dopolnjujeta in stranke pogosto potrebujejo obe. Razlika je pomembna pri določanju obsega, zato jo povejmo naravnost:
Če niste prepričani, katero storitev potrebujete, nam povejte, kaj je sprožilo vprašanje – varnostni vprašalnik stranke, zahteva revizorja ali presojevalca, naročilo uprave – in odkrito vam bomo povedali, katera nanj odgovori.
Kaj dobite s pregledom in kaj s testom
| Varnostni pregled | Penetracijski test | |
|---|---|---|
| Vprašanje, na katero odgovarja | Ali so vzpostavljeni pravi ukrepi in ali delujejo? | Ali lahko napadalec res vdre v sistem? |
| Metoda | Pregled konfiguracij in procesov, razgovori, vzorčno preverjanje dokazil | Aktivno izkoriščanje ranljivosti z vidika napadalca |
| Rezultat | Analiza vrzeli glede na standard in načrt odprave s prioritetami | Izkoriščene ranljivosti z dokazi in koraki za ponovitev |
| Kdaj je prava izbira | Priprava na certificiranje, dokazila za nadzorne organe, skrbni pregled | Dokazovanje dejanske izpostavljenosti, potrditev popravkov |
Večina strank iz reguliranih dejavnosti z varnostnim pregledom poišče vrzeli, s penetracijskim testom pa dokaže, katere od njih je res mogoče izkoristiti.
Kako poteka varnostni pregled
Običajno traja dva do štiri tedne, odvisno od obsega in od tega, kako hitro je na voljo dokumentacija.
Določitev obsega in izbira standarda
Dogovorimo se, kateri okvir velja – ISO 27001, NIS2 oziroma ZInfV-1, PCI DSS, SOC 2 ali vaša notranja politika – in kaj spada v obseg.
Zbiranje dokazil
Izvozi konfiguracij, dokumenti politik, arhitekturni diagrami in kratki razgovori z ljudmi, ki sisteme dejansko upravljajo.
Tehnični pregled
Utrjevanje sistemov (hardening), identitete in dostopi, segmentacija omrežja, beleženje in spremljanje dogodkov, varnostne kopije in obnova, konfiguracija okolij v oblaku.
Analiza vrzeli
Vsako vrzel ocenimo po tveganju in zahtevnosti odprave, jo povežemo s točko standarda ali kontrolo, ki ni izpolnjena, in dodamo konkreten ukrep za odpravo.
Poročilo in predstavitev
Pisno poročilo in pogovor z vašo ekipo, da ugotovitve pridejo do ljudi, ki morajo ukrepati.
Kaj pregledamo
Celoten pregled zajame spodnja področja; če vas skrbi nekaj konkretnega, obseg zožimo na izbrana.
Mnenja strank
Kaj o nas pravijo stranke
Varnostni pregled – pogosta vprašanja
01 Kakšna je razlika med varnostnim pregledom in penetracijskim testom?
Varnostni pregled glede na izbrani standard oceni, ali pravi ukrepi obstajajo in pravilno delujejo. Penetracijski test sistem napade in dokaže, kaj je res mogoče izkoristiti. Pregled prinese širino in dokazila, penetracijski test pa globino in dokaz. Organizacije iz reguliranih dejavnosti običajno potrebujejo oboje.
02 Glede na kateri standard izvajate pregled?
Najpogosteje glede na ISO/IEC 27001 ter zahteve NIS2 oziroma ZInfV-1, v plačilnih okoljih pa glede na PCI DSS. Pregled lahko opravimo tudi po merilih SOC 2 ali po vaših notranjih politikah. Če vam je stranka poslala varnostni vprašalnik, stanje preverimo neposredno po njem. V vseh primerih dobite tehnične dokaze in seznam vrzeli; o tem, ali so zahteve izpolnjene, pa odločajo certifikacijski organ, vaš revizor oziroma pristojni organ.
03 Ali po pregledu izdate certifikat?
Ne. Certifikat lahko izda le akreditiran certifikacijski organ in nobeno svetovalno podjetje, ki sodeluje tudi pri odpravi pomanjkljivosti, ga ne bi smelo izdajati. Pripravimo neodvisen pregled in sveženj dokazil, na katera se certificiranje opira. Enako velja za zakonsko revizijo skladnosti po 25. členu ZInfV-1: izvede jo lahko le revizor informacijskih sistemov, vpisan v register Slovenskega inštituta za revizijo; Haxoris te revizije ne izvaja. Kaj vas pri njej čaka, opisuje članek Revizija skladnosti po ZInfV-1: kako se pripraviti.
04 Koliko stane varnostni pregled?
Odvisno od obsega in od tega, koliko dokumentacije že imate. Usmerjen pregled enega okolja stane od približno 2.000 € naprej; pregled v celotnem obsegu sistema vodenja informacijske varnosti (ISMS) stane precej več. Fiksno ceno ponudimo po posvetu o obsegu.
05 Ali ugotovljene pomanjkljivosti tudi odpravite?
Pri odpravi svetujemo in vašo ekipo z veseljem vodimo skozi posamezne korake, izvedbe popravkov za lastne ugotovitve pa ne prodajamo. Prav ta ločitev ohranja pregled neodvisen – in zato uporaben tudi za vašega revizorja.
