Audyt bezpieczeństwa IT pozwala sprawdzić, czy firmowa infrastruktura, systemy i zasady dostępu do informacji są właściwie zabezpieczone. Jego celem jest rozpoznanie słabych punktów, ocena ryzyka oraz wskazanie zmian, które należy wdrożyć w pierwszej kolejności. Analiza nie powinna ograniczać się do serwerów i sieci. Znaczenie mają również konta użytkowników, kopie zapasowe, procedury oraz sposób postępowania pracowników z informacjami.
Jak ustalić zakres audytu bezpieczeństwa IT?
Zakres audytu powinien wynikać z budowy infrastruktury i rodzaju danych przetwarzanych przez firmę. W mniejszej organizacji analiza może objąć komputery, sieć lokalną, serwer plików, pocztę i backup. W bardziej rozbudowanym przedsiębiorstwie trzeba uwzględnić również bazy danych, system ERP, aplikacje biznesowe, urządzenia mobilne, połączenia VPN oraz usługi dostępne z zewnątrz.
Przed rozpoczęciem prac warto przygotować aktualną listę urządzeń, serwerów, systemów i kont użytkowników. Należy też ustalić, gdzie przechowywane są najważniejsze dane, kto ma do nich dostęp i które systemy są niezbędne dla bieżącego działania firmy. Bez takiej inwentaryzacji łatwo pominąć urządzenie, usługę lub konto, które nadal funkcjonuje, ale nie jest już objęte bieżącym zarządzaniem.
Sprawdzenie infrastruktury i konfiguracji systemów
Techniczna część audytu obejmuje ocenę zabezpieczeń sieci, serwerów, komputerów i urządzeń wykorzystywanych do przechowywania danych. Weryfikacja powinna dotyczyć nie tylko obecności zapory sieciowej, oprogramowania ochronnego czy backupu, ale także sposobu ich konfiguracji i użytkowania.
W zależności od przyjętego zakresu należy sprawdzić:
- aktualność systemów i wykorzystywanego oprogramowania;
- konfigurację sieci oraz dostęp do jej poszczególnych zasobów;
- zabezpieczenie serwerów, komputerów i urządzeń mobilnych;
- dostępność usług udostępnianych poza siecią firmową;
- konfigurację połączeń zdalnych i VPN;
- sposób zabezpieczenia baz danych i serwerów plików;
- działanie mechanizmów ochrony przed nieautoryzowanym dostępem.
BSS wskazuje audyt IT jako podstawę rozpoznania problemów i dobrania rozwiązań odpowiadających profilowi działalności firmy. Zakres usług obejmuje również zabezpieczanie sieci lokalnej, serwerów, danych oraz aktywności wchodzącej i wychodzącej.
Konta użytkowników i zarządzanie dostępem
Wiele problemów z bezpieczeństwem wynika z nieaktualnych kont i zbyt szerokich uprawnień. Pracownicy zmieniają stanowiska, zakres obowiązków lub odchodzą z firmy, a dostęp do aplikacji i danych nie zawsze jest na bieżąco aktualizowany. Audyt powinien więc sprawdzić, czy istnieje uporządkowany sposób tworzenia, modyfikowania i blokowania kont.
W praktyce należy zweryfikować, kto posiada uprawnienia administracyjne, czy w systemach pozostały konta nieaktywnych pracowników i czy dostęp do danych odpowiada rzeczywistym obowiązkom poszczególnych osób. Znaczenie mają również polityki haseł, sposób uwierzytelniania oraz zasady korzystania z systemów poza biurem. Kontrola dostępu i zarządzanie uprawnieniami należą do podstawowych obszarów bezpieczeństwa informacji opisywanych przez BSS.
Backup i możliwość odzyskania danych
Kolejnym obszarem jest sposób wykonywania i przechowywania kopii zapasowych. Trzeba ustalić, które dane są kopiowane, jak często odbywa się backup, gdzie znajdują się kopie oraz kto ma do nich dostęp. Należy również sprawdzić, czy możliwe jest odtworzenie danych, ponieważ samo poprawne zakończenie zadania tworzenia kopii nie daje jeszcze pewności, że backup będzie użyteczny w sytuacji awarii.
BSS oferuje opracowanie scenariuszy backupowych oraz konfigurację rozwiązań dla komputerów, serwerów i urządzeń mobilnych. W ramach audytu warto zatem ocenić, czy obecny model zabezpiecza najważniejsze zasoby firmy i czy kopie nie są przechowywane wyłącznie razem z systemem produkcyjnym.
Procedury i świadomość pracowników
Bezpieczeństwo nie zależy wyłącznie od konfiguracji urządzeń. Pracownicy korzystają z poczty, przesyłają pliki, logują się zdalnie i mają kontakt z informacjami, które mogą być poufne. Dlatego audyt powinien objąć również zasady postępowania z danymi oraz sposób zgłaszania podejrzanych wiadomości i innych incydentów.
Warto sprawdzić, czy pracownicy wiedzą:
- gdzie zgłaszać podejrzane wiadomości i nietypowe zachowanie systemu;
- jak postępować w przypadku utraty urządzenia;
- jakie zasady obowiązują podczas pracy zdalnej;
- czy mogą samodzielnie instalować oprogramowanie;
- jak przechowywać i przekazywać poufne informacje;
- w jaki sposób chronić hasła i urządzenia służbowe.
BSS uwzględnia szkolenia pracowników oraz budowanie świadomości zagrożeń jako element zarządzania bezpieczeństwem informacji.
Kiedy warto przeprowadzić audyt bezpieczeństwa IT?
Audyt jest szczególnie potrzebny wtedy, gdy firma nie ma aktualnej dokumentacji infrastruktury, korzystała z usług kilku dostawców albo przez dłuższy czas wprowadzała zmiany bez całościowej weryfikacji zabezpieczeń. Warto go także zaplanować po większych zmianach technicznych lub organizacyjnych.
Przeprowadzenie audytu jest uzasadnione między innymi:
- po wymianie serwerów lub rozbudowie sieci;
- po migracji systemów albo wdrożeniu nowego ERP lub CRM;
- przed rozszerzeniem dostępu zdalnego;
- po zmianach organizacyjnych i większej rotacji pracowników;
- gdy nie ma pewności, czy konta i uprawnienia są aktualne;
- gdy firma nie sprawdzała możliwości odtworzenia backupu;
- po podejrzeniu nieautoryzowanego dostępu lub innego incydentu;
- przed planowaną modernizacją zabezpieczeń.
Audyt może wspierać uporządkowanie kwestii związanych z ochroną danych, ale sam nie stanowi formalnego potwierdzenia zgodności z RODO ani określoną normą.
Co powinno powstać po audycie?
Wyniki powinny wskazywać, które elementy działają prawidłowo, gdzie występują braki i jakie działania mają najwyższy priorytet. Raport nie powinien być wyłącznie techniczną listą ustawień. Osoby zarządzające firmą muszą wiedzieć, jaki wpływ dana nieprawidłowość może mieć na dostęp do systemów, ochronę danych i bieżącą pracę organizacji.
Rekomendacje warto podzielić według pilności. W pierwszej kolejności powinny zostać uwzględnione problemy związane z nieautoryzowanym dostępem, brakiem kopii zapasowych, nieaktualnymi systemami i możliwością utraty danych. Pozostałe zadania można ująć w harmonogramie dalszej modernizacji infrastruktury i procedur.
Audyt powinien prowadzić do konkretnych zmian
Samo wykonanie audytu nie poprawia poziomu ochrony. Po otrzymaniu wyników trzeba przypisać odpowiedzialność za poszczególne zadania, ustalić terminy i sprawdzić poprawność wdrożonych zmian. BSS opisuje audyt IT jako punkt wyjścia do identyfikacji problemów i przygotowania rozwiązań dopasowanych do działalności firmy.
Dobrze przeprowadzona analiza daje przedsiębiorstwu uporządkowaną wiedzę o zabezpieczeniach infrastruktury, danych, kont użytkowników, backupu i procedur. Dzięki temu decyzje dotyczące dalszych wdrożeń wynikają z rozpoznanych potrzeb, a nie z przypadkowego wyboru kolejnych narzędzi.