Získejte jistotu před auditem nebo certifikací

Audit bezpečnosti je systematické posouzení úrovně zabezpečení informačních systémů, aplikací nebo celé IT infrastruktury vůči předem dohodnutým kritériím – normě, legislativě, interní politice nebo osvědčeným postupům. Jeho cílem je odhalit slabá místa, zhodnotit jejich rizikovost a navrhnout opatření ke zvýšení kybernetické bezpečnosti. Rozsah auditu se může lišit podle potřeb organizace, od scanů zranitelností, přes hodnocení zabezpečení systémů a cloudové infrastruktury, až po audity fyzického zabezpečení. V rámci auditu je možné se zaměřit na konkrétní oblast nebo provést komplexnější posouzení bezpečnostních procesů a infrastruktury.

Analýza zranitelností je proces identifikace známých bezpečnostních slabin v informačních systémech, aplikacích nebo síťové infrastruktuře. Využívá kombinaci automatizovaných nástrojů a odborného vyhodnocení k nalezení zranitelností, chybných konfigurací nebo zastaralého softwaru, které by mohly být zneužity při kybernetickém útoku. Výsledkem je přehled nalezených rizik doplněný doporučeními pro jejich odstranění.

Přestože se tyto služby často zaměňují, jejich účel je odlišný. Analýza zranitelností identifikuje známé bezpečnostní slabiny a poskytuje jejich přehled. Penetrační test jde o krok dál. Ověřuje, zda lze nalezené zranitelnosti skutečně zneužít, jaký dopad by měl úspěšný útok a jak daleko by se útočník mohl dostat. Analýza zranitelností je proto vhodná pro pravidelnou kontrolu prostředí, zatímco penetrační test poskytuje hlubší pohled na reálná bezpečnostní rizika.

Frekvence závisí na charakteru organizace, regulatorních požadavcích i míře změn v IT prostředí. Obecně se doporučuje provádět bezpečnostní audit alespoň jednou ročně. Další audit je vhodné naplánovat také po významných změnách infrastruktury, nasazení nových systémů nebo po bezpečnostním incidentu. Analýzu zranitelností lze naopak provádět výrazně častěji, například každý měsíc nebo čtvrtletně.

Cena bezpečnostního auditu závisí na velikosti organizace, počtu posuzovaných systémů, rozsahu testování i zvoleném typu služby. Jednodušší analýzy zranitelností bývají cenově dostupnější než komplexní bezpečnostní audity nebo penetrační testy. Přesnou cenu lze obvykle stanovit až po úvodní konzultaci, během které se upřesní rozsah a cíle projektu.

Ve většině případů probíhá bezpečnostní audit tak, aby měl na běžný provoz minimální dopad. Automatizované skenování zranitelností i většina kontrol jsou navrženy tak, aby neomezovaly dostupnost systémů.

Hlavním výstupem je závěrečná zpráva obsahující přehled nalezených neshod, jejich závažnost (pokud je možné ohodnotit), odhad dopadu na organizaci a doporučení pro jejich odstranění. Součástí je také technická dokumentace s podrobným popisem jednotlivých zjištění a manažerské shrnutí určené pro vedení společnosti.

Po dokončení auditu zákazník obdrží doporučení k odstranění jednotlivých zranitelností. Nejprve se obvykle řeší kritická rizika, která mohou představovat bezprostřední hrozbu pro provoz nebo citlivá data. Po implementaci nápravných opatření lze provést opakované ověření, které potvrdí, že byly zranitelnosti skutečně odstraněny. Toto opakované ověření (re-test) není součástí ceny auditu a naceňujeme jej samostatně.

Jednorázový audit poskytne přehled o aktuálním stavu zabezpečení. Nicméně, bezpečnostní prostředí se neustále mění. Objevují se nové zranitelnosti, mění se infrastruktura i používané aplikace. Proto se doporučuje kombinovat pravidelné analýzy zranitelností s periodickými bezpečnostními audity nebo penetračními testy. Tento přístup pomáhá dlouhodobě snižovat bezpečnostní rizika a udržovat systémy v bezpečném stavu.

Ano. Bezpečnostní audit může organizaci pomoci ověřit, zda její technická a organizační opatření odpovídají požadavkům jednotlivých standardů nebo regulací. Samotný audit však nenahrazuje certifikaci ani posouzení shody. Jeho výsledky mohou sloužit jako podklad pro odstranění nedostatků před certifikačním auditem nebo regulatorní kontrolou.

Rozsah auditu vždy přizpůsobujeme potřebám organizace. Hodnocení může zahrnovat interní i externí síťovou infrastrukturu, servery, pracovní stanice, webové aplikace, cloudové služby, mobilní aplikace, bezdrátové sítě nebo další systémy, které zpracovávají důležitá data. Prověřujeme též fyzické zabezpečení vašich prostor, přístupové mechanismy a ochranu aktiv. Cílem je získat co nejkomplexnější přehled o bezpečnostních rizicích.

Před zahájením auditu je vhodné definovat jeho cíle a rozsah, určit kontaktní osoby a připravit základní informace o posuzovaném prostředí. To může zahrnovat seznam systémů, dokumentaci k síťové infrastruktuře nebo přehled používaných technologií. Dobrá příprava usnadňuje průběh auditu.

Náplní OSINT analýzy (Open Source Intelligence) je vyhledávání a vyhodnocování veřejně dostupných informací o organizaci. Cílem je zjistit, jaké údaje o společnosti, jejích zaměstnancích nebo IT infrastruktuře jsou volně dostupné na internetu a mohly by být zneužity při kybernetickém útoku.

V rámci OSINT analýzy se prověřují například veřejně přístupné domény a subdomény, IP adresy, metadata dokumentů, uniklé přihlašovací údaje, zmínky na sociálních sítích, technické informace o používaných systémech nebo data zveřejněná v důsledku bezpečnostních incidentů. Výsledkem je přehled potenciálních rizik spolu s doporučeními, jak omezit veřejnou expozici organizace a snížit pravděpodobnost úspěšného útoku.

OSINT analýza je běžnou součástí bezpečnostních auditů, penetračních testů i pravidelného monitorování externího útočného povrchu organizace.