Do czego wykorzystać wyniki audytu bezpieczeństwa

Wyniki audytu bezpieczeństwa służą do podjęcia decyzji: co poprawić najpierw, kto za to odpowiada i jak potwierdzić efekt. Raport nie usuwa podatności ani nie wdraża procedur. Pozwala za to przełożyć ustalenia o systemach, dostępie, kopiach zapasowych lub organizacji pracy na plan, który da się wykonać i sprawdzić.

Zacznij od zakresu i dowodów

Przed planowaniem zmian sprawdź, jakie systemy i procesy objął audyt, według jakich kryteriów je oceniono oraz na jakich dowodach oparto ustalenia. Rozróżnij potwierdzoną niezgodność, ryzyko wymagające analizy i zalecenie doskonalące. Jeżeli badanie nie obejmowało testów penetracyjnych, raport z audytu nie jest potwierdzeniem, że aplikacje nie mają podatności.

Warto omówić ustalenia z właścicielami procesów i administratorami. Dzięki temu można wyjaśnić ograniczenia badania, zweryfikować stan faktyczny i zaplanować poprawkę, która pasuje do działającego środowiska.

Ustal kolejność działań

Nie każda pozycja w raporcie wymaga tego samego terminu. Przy ustalaniu priorytetu uwzględnij prawdopodobieństwo i skutki zdarzenia, znaczenie systemu dla usług organizacji, dostępne zabezpieczenia oraz zależności między zadaniami. Pilna może być na przykład luka umożliwiająca dostęp do ważnego systemu, mimo że jej naprawa jest mniej kosztowna niż większy projekt dokumentacyjny. Ostateczną kolejność wyznacza ocena ryzyka konkretnej organizacji.

Podejście oparte na obecnym stanie, stanie docelowym i planie zamykania luk opisuje NIST Cybersecurity Framework 2.0. To pomoc w organizacji pracy, a nie zamiennik wymagań prawnych lub kryteriów, według których przeprowadzono audyt.

Zamień zalecenia na zadania

Przy każdym istotnym ustaleniu zapisz:

• problem i jego skutek — czego dotyczy i jaki wpływ może mieć na organizację;
• działanie — co trzeba zmienić, w jakim systemie lub procesie;
• właściciela i termin — kto prowadzi pracę i kiedy ma ją zakończyć;
• dowód i sposób sprawdzenia — po czym będzie wiadomo, że poprawka działa;
• status oraz decyzję o ryzyku pozostałym — co nadal wymaga działania lub świadomej decyzji kierownictwa.

Przykład: jeśli audyt wykazał brak dowodu odtworzenia kopii zapasowej, samo dopisanie testu do procedury nie zamyka ustalenia. Zadaniem jest wykonanie próby odtworzenia uzgodnionego systemu, zapisanie czasu i wyniku, usunięcie ujawnionych problemów oraz ponowna weryfikacja. NIST SP 800-53, kontrola CA-5 opisuje utrzymywanie planu działań wobec słabości stwierdzonych w ocenach i audytach.

Sprawdź wykonanie i wykorzystaj wnioski

Po zakończeniu zadania zbierz dowód wykonania i oceń, czy usunęło przyczynę ustalenia. Sam status „zamknięte” w arkuszu nie potwierdza skuteczności. Jeśli ryzyko pozostaje, zapisz je wraz z uzasadnieniem decyzji i terminem ponownego przeglądu. Wnioski z audytu mogą też zasilić analizę ryzyka, plan szkoleń, wymagania dla dostawców i budżet na kolejne zmiany.

Jeśli potrzebujesz pomocy w ustaleniu zakresu badania i otrzymaniu raportu nadającego się do planowania poprawek, sprawdź audyt cyberbezpieczeństwa. Dla działającego systemu zarządzania bezpieczeństwem informacji osobno opisujemy audyt SZBI, a w przypadku jednostek samorządowych również audyt KRI.