Rýchly audit IT bezpečnosti
Čo je GAP analýza a čo od nej čakať
Väčšina firiem, ktoré nemajú zákonnú povinnosť podľa zákona o kybernetickej bezpečnosti, žije v jednom z dvoch presvedčení — buď že ich IT je „v poriadku, lebo doteraz nič nebolo", alebo že poriadny audit je drahá a zdĺhavá záležitosť len pre veľké regulované firmy. Rýchly audit IT bezpečnosti je odpoveďou na oboje: rýchla, cenovo dostupná GAP analýza (analýza rozdielov oproti dobrej praxi), ktorá dá vedeniu nezávislý pohľad zvonka bez nárokov certifikovaného zákonného auditu. Tento článok vysvetľuje, čo presne obsahuje, ako prebieha a čo je jeho výstupom.
- Čo je Rýchly audit a v čom sa líši od certifikovaného auditu
- 10 oblastí, ktoré audit preveruje
- Ako prebieha — tri fázy realizácie
- Prečo je dôkazový štandard kľúčový, nie len tvrdenia
- Technický sken zraniteľností verejne dostupných služieb
- Výstup: semafor rizika a prioritizovaný akčný plán
- Časté chyby a odporúčania
Čo je Rýchly audit a v čom sa líši od certifikovaného auditu
Rýchly audit IT bezpečnosti je vysokoúrovňová konzultačná služba a analýza rozdielov (GAP analýza) voči medzinárodným best-practices — najmä ISO/IEC 27001 a CIS Controls. Je to zásadne odlišná vec od oficiálneho auditu kybernetickej bezpečnosti podľa zákona č. 69/2018 Z. z., ktorý smie vykonávať výhradne certifikovaný audítor registrovaný Národným bezpečnostným úradom (NBÚ) a ktorý sa vzťahuje na firmy so zákonnou povinnosťou (kľúčové a dôležité subjekty). Rýchly audit tejto regulácii nepodlieha, nenahrádza ju a nevydáva žiadny certifikát zhody — výstupy slúžia výhradne pre interné manažérske a strategické potreby vedenia firmy.
Práve táto nezáväznosť je jeho hlavnou výhodou: firma, ktorá potrebuje rýchlo a lacno zistiť, kde má slabé miesta, nemusí čakať na zložitý formálny proces. Rozsah sa navyše prispôsobuje veľkosti firmy — od krátkeho rozhovoru s majiteľom malej firmy až po viacero blokových rozhovorov s IT riaditeľom, správcom siete, HR a zodpovednou osobou za GDPR vo veľkej organizácii, s primerane väčším technickým skenom aj dobou spracovania výstupu.
10 oblastí, ktoré audit preveruje
Namiesto komplikovaných technických nástrojov sa väčšina informácií zbiera cez riadené rozhovory, kontrolu smerníc a vizuálnu obhliadku priestorov, doplnené cieleným technickým skenom v poslednej z desiatich oblastí:
| Oblasť | Čo sa overuje |
|---|---|
| 1. Fyzické zabezpečenie | Zámky, kamery, alarmy a prístup do serverovne či k sieťovým prvkom |
| 2. Architektúra a infraštruktúra IS | Topológia siete, segmentácia, firewall, oddelenie hosťovskej Wi-Fi, VPN |
| 3. Prevádzka informačných systémov | Monitoring, patch manažment, riešenie incidentov |
| 4. Riadenie prístupu | Administrátorské práva, rušenie účtov pri odchode, MFA |
| 5. Ochrana pred škodlivým kódom | Funkčný a aktualizovaný antivírus/EDR na zariadeniach |
| 6. Ochrana osobných údajov (GDPR) | Základný súlad, šifrovanie citlivých dát, mlčanlivosť |
| 7. Nevyžiadaná pošta | Antispamové filtre, ochrana domény (SPF, DKIM, DMARC) |
| 8. Havarijné plánovanie | Zálohovanie, otestovaný plán obnovy po havárii (DRP) |
| 9. Bezpečnostné povedomie | Školenia proti phishingu, znalosť hlásenia incidentov |
| 10. Zraniteľnosť verejne dostupných služieb | Externý sken IP adries — otvorené porty, zastarané služby |
Viacero z týchto oblastí sme na blogu už rozobrali podrobnejšie — riadenie prístupových práv, prevádzkovú bezpečnosť (oblasti 3 a 8), zamestnanecké riziko (oblasť 9) aj riziko tretích strán. Rýchly audit ich neskúma do hĺbky jednotlivo, ale dá vedeniu súhrnný obraz naprieč všetkými naraz.
Ako prebieha — tri fázy realizácie
- Predprojektová príprava a schválenie — vedenie firmy schváli rozsah projektu a podpíše dohodu o mlčanlivosti (NDA). Bez tohto kroku nie je možné legálne pristupovať k citlivým informáciám o infraštruktúre firmy.
- Realizácia — konzultant vedie štruktúrovaný rozhovor podľa pripraveného dotazníka, pričom ku každej odpovedi vyžaduje zodpovedajúci dôkaz (viac v nasledujúcej kapitole). Súčasťou je fyzická obhliadka priestorov a technický sken verejne dostupných služieb.
- Výstup — záverečná konzultačná správa s manažérskym zhrnutím, semaforom rizika, detailnými výsledkami po jednotlivých oblastiach a prioritizovaným akčným plánom.
Náročnosť sa mení podľa veľkosti firmy — malá firma zvyčajne zvládne rozhovor za približne hodinu s výstupom do 1 – 2 dní, stredná firma potrebuje 1,5 až 2 hodiny rozhovoru s výstupom do 2 – 3 dní, a veľká firma s viacerými blokmi rozhovorov (IT riaditeľ, administrátor, HR, DPO) počíta s 3 až 5 hodinami a výstupom do 5 – 7 pracovných dní.
Prečo je dôkazový štandard kľúčový, nie len tvrdenia
Záverečná správa bez dôkazov je len tvrdením, ktoré si interné IT oddelenie môže jednoducho vysvetliť inak, alebo priamo spochybniť. Preto sa ku každému zisteniu priraďuje konkrétny overiteľný artefakt — nie len poznámka „stav overený rozhovorom".
| Oblasť | Typický dôkaz |
|---|---|
| Fyzické zabezpečenie | Fotografia zámku serverovne, export knihy návštev alebo logu z kartového systému |
| Riadenie prístupu | Screenshot politiky Conditional Access „Vyžadovať MFA", zoznam členov skupiny administrátorov |
| Ochrana osobných údajov | Podpísané záznamy o spracovateľských činnostiach, stav šifrovania diskov z konzoly MDM |
| Havarijné plánovanie | Screenshot zálohovacieho softvéru s úspešne dokončenými úlohami, protokol o poslednej reálnej obnove dát |
| Bezpečnostné povedomie | Prezenčná listina zo školenia alebo report z phishingovej simulačnej platformy |
Dôkazy sa evidujú formou kódovaného odkazu (napr. „DOK_04.2_01") a ukladajú do samostatnej šifrovanej zložky, keďže obsahujú citlivé informácie o infraštruktúre firmy. Po odovzdaní a akceptovaní záverečnej správy sa technické artefakty z vlastného zariadenia konzultanta bezpečne vymažú — klientovi zostáva jeho vlastná kópia, v súlade s podpísanou dohodou o mlčanlivosti.
Technický sken zraniteľností verejne dostupných služieb
Desiata oblasť je jediná, ktorá sa neoveruje rozhovorom, ale priamym technickým skenom — vždy výhradne na IP adresy, ktoré klient vopred písomne schválil. Postup má tri kroky rastúcej intenzity:
- Pasívny prieskum — vyhľadanie domény alebo IP adresy firmy vo vyhľadávači zariadení pripojených na internet (napr. Shodan), ktorý ukáže, čo o firme už teraz verejne vidí ktokoľvek na internete, bez toho, aby konzultant poslal čo i len jediný paket priamo na jej systémy.
- Aktívne skenovanie portov — identifikácia otvorených portov a verzií bežiacich služieb pomocou bežného sieťového skenera. Kriticky sledovaným nálezom je napríklad vzdialená plocha (port 3389) otvorená priamo do internetu, alebo zastaraná verzia webového servera.
- Automatizovaný sken zraniteľností — nájdené služby sa porovnajú s databázou známych zraniteľností (CVE) a výsledok sa rozdelí do kategórií podľa závažnosti (High/Medium/Low), s odkazmi priamo na CVE záznamy.
Výstup: semafor rizika a prioritizovaný akčný plán
Cieľom nie je odovzdať stostranový technický report, ktorému bez IT vzdelania nikto nerozumie, ale zrozumiteľný dokument pre manažment. Jeho jadrom je jednoduchý farebný semafor rizika (zelená / oranžová / červená) v manažérskom zhrnutí, doplnený tabuľkou zisteného stavu vo všetkých desiatich oblastiach s úrovňou rizika a konkrétnym odporúčaním pri každej z nich.
Typické zistenie môže vyzerať napríklad takto: „Viacero zamestnancov zdieľa jeden spoločný prihlasovací účet do e-mailu, MFA nie je zapnuté" (vysoké riziko, oblasť riadenia prístupu), alebo „zálohy sú uložené na tom istom serveri v produkčnej sieti — hrozí ich súčasné zašifrovanie pri ransomvérovom útoku" (vysoké riziko, havarijné plánovanie). Každé takéto zistenie sa následne premietne do prioritizovaného akčného plánu — zoradeného zoznamu nápravných opatrení od najkritickejšieho po najmenej urgentné, s odhadom náročnosti riešenia, ktorý slúži firme priamo ako „to-do list" na najbližšie obdobie.
Časté chyby a odporúčania
- Zamieňanie s certifikovaným zákonným auditom — Rýchly audit nenahrádza povinný audit podľa zákona č. 69/2018 Z. z. tam, kde sa naň firma vzťahuje, a nevydáva žiaden certifikát zhody.
- Preskočenie fázy schválenia a NDA — bez podpísanej dohody o mlčanlivosti nie je možné legálne pristupovať k citlivým informáciám o infraštruktúre firmy.
- Prijímanie zistení bez dôkazov — tvrdenie bez priloženého artefaktu si interné IT oddelenie môže jednoducho spochybniť; dôveryhodnosť správy stojí na dôkazovom štandarde.
- Odloženie akčného plánu „na neskôr" — správa, ktorá skončí v priečinku bez toho, aby sa podľa nej niečo urobilo, má rovnakú hodnotu ako žiadna správa.
- Podceňovanie technického skenu — oblasť zraniteľnosti verejne dostupných služieb často odhalí najkritickejšie a zároveň najlacnejšie opraviteľné nálezy (napr. jeden otvorený port).
Presne tento postup – tri fázy, dôkazový štandard aj výstup so semaforom rizika a prioritizovaným akčným plánom – používa pri Rýchlom audite aj Verison.