Бывает, что бизнес успешно развивается, но не задумывается об информационной безопасности: хранит файлы в общедоступных облаках, регистрирует корпоративную почту на «народных» почтовых сервисах и т.д. При этом не обращает внимание на требования законодательства РФ и не задумывается, что нужно разграничить права доступа к информации и хотя бы настроить двухфакторную аутентификацию для критичных сервисов.
В случае кибератаки в сеть утекут конфиденциальные данные, что может привести к различным потерям и упущенным доходам. А если придет внезапная проверка регуляторов, бизнесу придется платить большие штрафы. Чтобы этого не произошло, лучше заранее позаботится об информационной безопасности.
В этой статье специалисты ITGLOBAL.COM Security рассказали, как аудит и пентест помогает бизнесу минимизировать риски в области ИБ, кому будет полезны эти услуги и в чем их различия.
Аудит информационной безопасности
Чтобы внедрить процессы по информационной безопасности, необходимо сначала изучить бизнес-процессы компании и компоненты ее ИТ-инфраструктуры, оценить риски ИБ и понять, что можно усовершенствовать.
Все эти задачи решает аудит информационной безопасности. Это независимая проверка защищенности информационных систем компании от внешних и внутренних угроз.
В ходе аудита специалисты проверяют ИТ-инфраструктуру и процессы информационной безопасности, выявляют уязвимости и несоответствия, находят решения по повышению зрелости процессов ИБ и разрабатывают отчет с рекомендациями.
После аудита компания может самостоятельно или с помощью специалистов ITGLOBAL.COM Security устранить несоответствия, чтобы процессы информационной безопасности совпадали с лучшими мировыми практикам.
Аудит решает большой пул задач и помогает бизнесу:
- узнать текущий уровень обеспечения ИБ и повысить защищенность ИТ-инфраструктуры;
- снизить риск утечки конфиденциальной информации;
- повысить контроль за ИТ и подразделением ИБ;
- построить или модернизировать процессы ИБ;
- выстроить или оценить ИБ и ИТ-процессы и обеспечить необходимый уровень защиты чувствительной информации компании;
- оптимизировать затраты на информационную безопасность компании.
Аудит — это универсальный инструмент и подходит среднему и крупному бизнесу из любой отрасли. Чаще всего в ITGLOBAL.COM Security для проведения комплексного аудита обращаются коммерческие организации.
Аудит подойдет компаниям, которым необходимо:
- избежать финансовых и репутационных потерь. Например, персональные данные клиентов компании утекли в сеть и информация об инциденте появилась во всех СМИ. Теперь компания теряет клиентов и доход, поэтому хочет в будущем обезопасить себя от подобных ситуаций.
- обеспечить самоконтроль. Например, компания ежегодно проверяет уровень защищенности корпоративной сети, надежность и безопасность финансовых операций клиентов и хочет получить дополнительные рекомендации по общему повышению зрелости процессов ИБ.
- предотвратить инциденты информационной безопасности. Например, у компании за полгода произошло два инцидента информационной безопасности: поймали майнера и сотрудник открыл ссылку из спам-письма. Теперь компания хочет проверить процессы ИБ и получить отчет с рекомендациями по повышению уровня их зрелости.
Пентест
К решению задачи по защите информации можно подойти и с другой стороны. Можно на практике проверить, насколько уязвим бизнес и его информационные системы для злоумышленников в текущий момент времени. Для этого проводится тестирование на проникновение или пентест.
Пентест помогает обнаружить слабые места в защите корпоративной сети. Его задача — найти уязвимость раньше, чем ее найдет злоумышленник.
В ходе пентеста ITGLOBAL.COM Security проводит внешний анализ защищенности (по модели Black Box) и внутренний (по моделям Grey Box или White Box). Во время внешнего анализа специалисты имитируют действия киберпреступников и удаленно организуют ряд атак через публичные ресурсы клиента. Для проведения внутреннего пентеста клиент предоставляет удаленный доступ к своей внутренней сети и атаки моделируются с правами рядового сотрудника.
Итоговые результаты теста специалисты оформляют в виде отчета, где описывают методологию тестирования, объекты тестирования, выявленные уязвимости, уровни их критичности и дают рекомендации по их устранению.
С помощью теста на проникновение бизнес может:
- разграничить права доступа к конфиденциальной информации;
- минимизировать проникновение извне в локальную сеть;
- устранить уязвимости информационной безопасности;
- получить рекомендации по нейтрализации обнаруженных уязвимостей;
- выполнить требования различных стандартов и нормативных документов (стандарт PCI DSS, Положение Банка России № 719-П и прочие).
Пентест подойдет компаниям, которым необходимо протестировать свою информационную безопасность, чтобы:
- предупредить инциденты информационной безопасности. Например, мобильное приложение крупного ритейла подверглось кибератаке, поэтому компания хочет провести пентест, чтобы найти слабые места и предотвратить новые инциденты ИБ в будущем. Но лучше предупредить заранее подобные инциденты ИБ и провести пентест.
- соблюсти требования стандартов PCI DSS, № 719-П. Например, компания работает с платежными данными клиентов, поэтому ее ИТ-инфраструктуру нужно проверить на соответствие с отраслевым стандартом PCI DSS и требованиями к уровню защиты финансовых переводов по Положению № 719-П.
- снизить риски утечки информации и несанкционированного доступа. Например, специалист отдела продаж выгрузил базу клиентов компании и ушел работать к конкурентам. Теперь бизнесу нужно найти слабые места ИБ и настроить доступы для конфиденциальной информации.
В чем разница между аудитом и пентестом
Несмотря на то, что аудит и пентест направлены на повышение зрелости процессов ИБ, у них есть принципиальное различие.
Аудит — это обследование, которое направлено на бизнес-процессы, связанные с информационной безопасностью. Он показывает общую картину ИБ компании, но не дает представление, как можно использовать конкретные уязвимости конкретных систем компании. Аудит можно сравнить с комиссией, которая оценивает ИБ и дает рекомендации, как улучшить текущие процессы и грамотно внедрить новые.
Пентест — это тестирование. Он точечно указывает на уязвимости, но не раскрывает соответствие требованиям с оценкой всех рисков. Пентест можно сравнить с попыткой захватить ИТ-инфраструктуру компании, чтобы на практике увидеть все слабые места систем безопасности.
Аудит и пентест можно выполнять в зависимости от задач бизнеса: на всю организацию, на ее отдельные подразделения или системы. Поэтому специалисты ITGLOBAL.COM SECURITY досконально разбираются с задачами клиента и предлагают лучшие решения для любого бизнеса. Если компания хочет провести и аудит и пентест, то это тоже возможно в рамках отдельной услуги — комплексного аудита информационной безопасности.
Предыдущая статья
