Аудит ИБ и пентест: какие задачи бизнеса решают, кому полезны и в чем их различия

Бывает, что бизнес успешно развивается, но не задумывается об информационной безопасности: хранит файлы в общедоступных облаках, регистрирует корпоративную почту на «народных» почтовых сервисах и т.д. При этом не обращает внимание на требования законодательства РФ и не задумывается, что нужно разграничить права доступа к информации и хотя бы настроить двухфакторную аутентификацию для критичных сервисов.

В случае кибератаки в сеть утекут конфиденциальные данные, что может привести к различным потерям и упущенным доходам. А если придет внезапная проверка регуляторов, бизнесу придется платить большие штрафы. Чтобы этого не произошло, лучше заранее позаботится об информационной безопасности.

В этой статье специалисты ITGLOBAL.COM Security рассказали, как аудит и пентест помогает бизнесу минимизировать риски в области ИБ, кому будет полезны эти услуги и в чем их различия.

Аудит информационной безопасности

Чтобы внедрить процессы по информационной безопасности, необходимо сначала изучить бизнес-процессы компании и компоненты ее ИТ-инфраструктуры, оценить риски ИБ и понять, что можно усовершенствовать.

Все эти задачи решает аудит информационной безопасности. Это независимая проверка защищенности информационных систем компании от внешних и внутренних угроз.

В ходе аудита специалисты проверяют ИТ-инфраструктуру и процессы информационной безопасности, выявляют уязвимости и несоответствия, находят решения по повышению зрелости процессов ИБ и разрабатывают отчет с рекомендациями.

После аудита компания может самостоятельно или с помощью специалистов ITGLOBAL.COM Security устранить несоответствия, чтобы процессы информационной безопасности совпадали с лучшими мировыми практикам.

Аудит решает большой пул задач и помогает бизнесу:

• узнать текущий уровень обеспечения ИБ и повысить защищенность ИТ-инфраструктуры;
• снизить риск утечки конфиденциальной информации;
• повысить контроль за ИТ и подразделением ИБ;
• построить или модернизировать процессы ИБ;
• выстроить или оценить ИБ и ИТ-процессы и обеспечить необходимый уровень защиты чувствительной информации компании;
• оптимизировать затраты на информационную безопасность компании.

Аудит — это универсальный инструмент и подходит среднему и крупному бизнесу из любой отрасли. Чаще всего в ITGLOBAL.COM Security для проведения комплексного аудита обращаются коммерческие организации.

Аудит подойдет компаниям, которым необходимо:

• избежать финансовых и репутационных потерь. Например, персональные данные клиентов компании утекли в сеть и информация об инциденте появилась во всех СМИ. Теперь компания теряет клиентов и доход, поэтому хочет в будущем обезопасить себя от подобных ситуаций.
• обеспечить самоконтроль. Например, компания ежегодно проверяет уровень защищенности корпоративной сети, надежность и безопасность финансовых операций клиентов и хочет получить дополнительные рекомендации по общему повышению зрелости процессов ИБ.
• предотвратить инциденты информационной безопасности. Например, у компании за полгода произошло два инцидента информационной безопасности: поймали майнера и сотрудник открыл ссылку из спам-письма. Теперь компания хочет проверить процессы ИБ и получить отчет с рекомендациями по повышению уровня их зрелости.

Пентест

К решению задачи по защите информации можно подойти и с другой стороны. Можно на практике проверить, насколько уязвим бизнес и его информационные системы для злоумышленников в текущий момент времени. Для этого проводится тестирование на проникновение или пентест.

Пентест помогает обнаружить слабые места в защите корпоративной сети. Его задача — найти уязвимость раньше, чем ее найдет злоумышленник.

В ходе пентеста ITGLOBAL.COM Security проводит внешний анализ защищенности (по модели Black Box) и внутренний (по моделям Grey Box или White Box). Во время внешнего анализа специалисты имитируют действия киберпреступников и удаленно организуют ряд атак через публичные ресурсы клиента. Для проведения внутреннего пентеста клиент предоставляет удаленный доступ к своей внутренней сети и атаки моделируются с правами рядового сотрудника.

Итоговые результаты теста специалисты оформляют в виде отчета, где описывают методологию тестирования, объекты тестирования, выявленные уязвимости, уровни их критичности и дают рекомендации по их устранению.

С помощью теста на проникновение бизнес может:

• разграничить права доступа к конфиденциальной информации;
• минимизировать проникновение извне в локальную сеть;
• устранить уязвимости информационной безопасности;
• получить рекомендации по нейтрализации обнаруженных уязвимостей;
• выполнить требования различных стандартов и нормативных документов (стандарт PCI DSS, Положение Банка России № 719-П и прочие).

Пентест подойдет компаниям, которым необходимо протестировать свою информационную безопасность, чтобы:

• предупредить инциденты информационной безопасности. Например, мобильное приложение крупного ритейла подверглось кибератаке, поэтому компания хочет провести пентест, чтобы найти слабые места и предотвратить новые инциденты ИБ в будущем. Но лучше предупредить заранее подобные инциденты ИБ и провести пентест.
• соблюсти требования стандартов PCI DSS, № 719-П. Например, компания работает с платежными данными клиентов, поэтому ее ИТ-инфраструктуру нужно проверить на соответствие с отраслевым стандартом PCI DSS и требованиями к уровню защиты финансовых переводов по Положению № 719-П.
• снизить риски утечки информации и несанкционированного доступа. Например, специалист отдела продаж выгрузил базу клиентов компании и ушел работать к конкурентам. Теперь бизнесу нужно найти слабые места ИБ и настроить доступы для конфиденциальной информации.

В чем разница между аудитом и пентестом

Несмотря на то, что аудит и пентест направлены на повышение зрелости процессов ИБ, у них есть принципиальное различие.

Аудит — это обследование, которое направлено на бизнес-процессы, связанные с информационной безопасностью. Он показывает общую картину ИБ компании, но не дает представление, как можно использовать конкретные уязвимости конкретных систем компании. Аудит можно сравнить с комиссией, которая оценивает ИБ и дает рекомендации, как улучшить текущие процессы и грамотно внедрить новые.

Пентест — это тестирование. Он точечно указывает на уязвимости, но не раскрывает соответствие требованиям с оценкой всех рисков. Пентест можно сравнить с попыткой захватить ИТ-инфраструктуру компании, чтобы на практике увидеть все слабые места систем безопасности.

Аудит и пентест можно выполнять в зависимости от задач бизнеса: на всю организацию, на ее отдельные подразделения или системы. Поэтому специалисты ITGLOBAL.COM SECURITY досконально разбираются с задачами клиента и предлагают лучшие решения для любого бизнеса. Если компания хочет провести и аудит и пентест, то это тоже возможно в рамках отдельной услуги — комплексного аудита информационной безопасности.