• Articles
• admin

Bedrifter ser ofte datasikkerhetsrevisjon som en stressende og påtrengende prosess. Revisor går rundt distraherende alle og innblanding i vanlig virksomhet. Nytten av å gjennomføre revisjoner er også noe opp for en debatt: er ikke regelmessig risikovurdering nok til å danne sikkerhetsstrategi og holde dataene dine beskyttet? Og hvis du er gjenstand for samsvarsforskrifter angående privat datasikkerhet, vil du stå overfor en offisiell revisjon før eller senere uansett. Ville du ikke være bedre å forberede deg på det enn Å gjøre EN IT – sikkerhetsrevisjon av din egen?

men i virkeligheten er selvrevisjoner svært nyttige, da de oppfyller et sett med spesifikke mål. Selvrevisjoner lar deg:

• Opprett en sikkerhetsplan – resultatene av flere selvrevisjoner gjennom årene tjener som en utrolig pålitelig grunnlinje for å vurdere sikkerhetsytelsen
• hjelp med å håndheve sikkerhetsforskrifter og-praksis – revisjoner lar deg sørge for at alle cybersikkerhetstiltak som er på plass i bedriften din, blir grundig håndhevet og fulgt
• Bestem den virkelige tilstanden til sikkerheten din og formuler strategien for fremtiden – revisjonen vil vise deg hvordan ting virkelig er i en mye mer detaljert versjon.enn risikovurdering noensinne kunne. Det fremhever ikke bare manglende ting, men tar også hensyn til eksisterende prosesser og viser hvorfor og hvordan de skal forbedres.

alt i alt er selvrevisjon et fantastisk nyttig verktøy når du trenger å vurdere cybersikkerheten din eller sørge for at du er klar for en ekte samsvarsrevisjon nedover linjen. Det er en god praksis å gjøre selvrevisjoner ganske ofte-ideelt sett flere ganger i året.

Men hvordan gjennomføre en cyber security audit?

det finnes en rekke måter å samle de nødvendige dataene på, for eksempel tilgangsstyring, brukerhandlingsovervåking og programvare for sporing av ansatte, slik at du kan produsere sentraliserte rapporter for en grundig sikkerhetsvurdering. Det ville imidlertid ikke være rimelig å si at selvrevisjoner er uten deres rettferdige andel av ulemper, og vi vil berøre dem lenger ned når vi diskuterer selvrevisjon i mer detalj.

men først, la oss se på fordeler og ulemper ved hver av de to måtene du kan utføre selvrevisjon:

Ekstern vs intern revisjon

når du bestemmer deg for å gjøre en selvrevisjon, kan du enten gjøre det internt med dine egne ressurser eller inngå en ekstern revisor. Og valget mellom de to er ikke så kuttet og tørt som man skulle tro.

Eksterne revisorer er gode på hva de gjør. De bruker et sett med cybersikkerhetsrevisjonsprogramvare, for eksempel sårbarhetsskannere og bringer sin egen store erfaring til bordet for å undersøke sikkerheten din og finne hull i den. Den store ulempen for dem er imidlertid at de ikke er billige, og å finne personen med nødvendig kvalifikasjon og erfaring blant havets tilbud kan være svært vanskelig.

videre vil suksessen til en slik revisjon sterkt avhenge av kvaliteten på kommunikasjonen etablert mellom din bedrift og en revisor. Hvis en revisor ikke kan få de riktige dataene eller få det sent, så revisjon kan dra på, produsere upålitelige resultater eller oppblåst i pris.

alt dette gjør eksterne revisjoner til en luksus, snarere enn en permanent løsning. De er gode å gjøre en gang i året (hvis du har tid og penger til det), eller som en måte å forberede din bedrift på en ekte samsvarsrevisjon, men å gjøre dem hvert kvartal kan være kostnadsforbudende.

Interne revisjoner, derimot, er enkle å gjøre, og De kan være svært effektive som en kvartalsvis vurdering, og hjelper deg med å samle inn data for din sikkerhetsplan og sjekke om gjeldende retningslinjer er effektive eller ikke. Ulempen med dette er imidlertid at internrevisorer ofte vil mangle den erfaringen og de verktøyene som er nødvendige for å matche kvaliteten på en profesjonell ekstern revisjon. Dette i seg selv er imidlertid ikke noe som ikke kan løses ved å bare ansette de riktige personene og trene dem for jobben.

samtidig er interne revisjoner ikke bare billige, men også effektive når det gjelder prosess. Det er mye lettere for en intern ansatt eller avdeling å samle alle nødvendige data uten den vanskelige prosessen med å etablere effektiv kommunikasjon og uten å forstyrre eksisterende arbeidsflyt i selskapet.

og mens interne revisjoner kan se komplisert i teorien, i virkeligheten, alt du trenger å gjøre er å fullføre en rekke enkle trinn og få leveranser som du ønsker. Deretter vil vi diskutere disse trinnene mer detaljert.

4 Enkle trinn til selvrevisjon

1. Definer omfanget av en revisjon

det første du må gjøre er å fastslå omfanget av revisjonen. Enten du sjekker den generelle sikkerhetstilstanden i organisasjonen eller gjør en bestemt nettverkssikkerhetsrevisjon, tredjeparts sikkerhetsrevisjon eller noe annet, må du vite hva du bør se på og hva du bør hoppe over.

for å gjøre dette må du tegne en sikkerhetsperimeter – en grense rundt alle dine verdifulle eiendeler. Denne grensen bør være så liten som mulig og inkludere alle verdifulle aktiva du har, og som krever beskyttelse. Du må revidere alt innenfor denne grensen og ville ikke røre noe utenfor den.

den beste måten å definere sikkerhetsperimeter på er å lage en liste over alle verdifulle eiendeler som firmaet ditt har. Dette kan være ganske vanskelig, fordi selskaper ofte utelater ting som rent intern dokumentasjon, detaljering, for eksempel ulike bedriftens retningslinjer og prosedyrer, fordi det ser ut til å ha noen verdi for den potensielle gjerningsmannen. Imidlertid er slik informasjon verdifull for selskapet selv, fordi i tilfelle disse dokumentene blir tapt eller ødelagt (for eksempel på grunn av maskinvarefeil eller ansattes feil), vil det ta litt tid og penger å gjenskape dem. Derfor bør de også inkluderes i hovedlisten over alle eiendeler som krever beskyttelse.

Definer truslene dataene dine står overfor

når du har definert sikkerhetsområdet, må du opprette en liste over trusler dataene dine står overfor. Den vanskeligste delen er å finne en riktig balanse mellom hvor fjern en trussel er og hvor mye innvirkning det ville ha på bunnlinjen hvis det noen gang skjer. For eksempel, hvis en naturkatastrofe, som en orkan, er relativt sjelden, men kan være ødeleggende når det gjelder økonomi; det kan fortsatt være inkludert i listen.

Alle og alle, de vanligste truslene, som du sannsynligvis bør vurdere inkludert, er følgende:

• Naturkatastrofer og fysiske brudd – som nevnt ovenfor, selv om dette er noe som skjer sjelden, kan konsekvensene av en slik trussel være ødeleggende, derfor må du sannsynligvis ha kontroller på plass bare i tilfelle.
• Malware og hacking angrep-eksterne hacking angrep er en av de største truslene mot datasikkerhet der ute og bør alltid vurderes.
• Ransomware-Denne typen malware fått popularitet i de siste årene. Hvis du jobber i helsevesen, utdanning eller økonomi, bør du sannsynligvis passe på det.
• Denial of service angrep-økningen av iot-enheter så en dramatisk økning i botnets. Denial of service angrep er nå mer utbredt og farligere enn noensinne. Hvis virksomheten din er avhengig av uavbrutt nettverkstjeneste, bør du definitivt se på inkludert de.
• Ondsinnede innsidere – Dette er en trussel som ikke alle selskaper tar hensyn til, men hvert selskap står overfor. Både dine egne ansatte og tredjepartsleverandører med tilgang til dataene dine kan enkelt lekke det eller misbruke det, og du vil ikke kunne oppdage det. Derfor er det best å være klar og inkluderer den i din egen trussel liste. Men før, vi foreslår at du ser gjennom sammenligning av trussel overvåking løsninger.
• Utilsiktede innsidere – ikke alle innsideangrep er gjort ut av ondsinnet hensikt. Den ansatte gjør en ærlig feil og lekker data ved et uhell er noe som ble altfor vanlig i vår tilkoblede verden. Definitivt en trussel å vurdere.
• Phishing og social engineering – oftere enn ikke en hacker vil prøve å få tilgang til nettverket ved å målrette dine ansatte med social engineering teknikker, praktisk talt gjør dem gi opp sine legitimasjon frivillig. Dette er definitivt noe du bør være klar for.

3. Beregn risikoen

Når du har opprettet listen over potensielle trusler som dataene dine kan møte, må du vurdere risikoen for at hver av disse truslene utløses. En slik risikovurdering vil hjelpe deg med å sette en prislapp på hver trussel og prioritere riktig når det gjelder å implementere nye sikkerhetskontroller. For å gjøre dette må du se på følgende ting:

• din tidligere erfaring-om du har møtt en bestemt trussel eller ikke, kan påvirke sannsynligheten for at du møter den i fremtiden. Hvis din bedrift var et mål for hacking eller tjenestenektangrep, er det en god sjanse for at det vil skje igjen.
• Generelt cybersikkerhetslandskap-se på dagens trender innen cybersikkerhet. Hvilke trusler blir stadig mer populære og hyppige? Hva er nye og nye trusler? Hvilke sikkerhetsløsninger blir stadig mer populære?
• Bransjens Tilstand-se på opplevelsen av din direkte konkurranse, så vel som trusler din bransje står overfor. Hvis du for eksempel jobber i helsevesen eller utdanning, vil du oftere møte innsideangrep, phishing-angrep og ransomware, mens detaljhandel kan møte tjenestenektangrep og annen skadelig programvare oftere.

Enhet de nødvendige kontrollene

Når du har etablert risikoen forbundet med hver trussel, er du opp til det siste trinnet-å lage IT security audit sjekkliste over kontroller som du må implementere. Undersøke kontroller som er på plass og utarbeide en måte å forbedre dem, eller implementere prosesser som mangler.

de vanligste sikkerhetstiltakene du kan vurdere, inkluderer:

• Fysisk server sikkerhet – hvis du eier dine egne servere, bør du definitivt sikre en fysisk tilgang til dem. Selvfølgelig er dette ikke et problem hvis du bare leier serverplass fra et datasenter. Samtidig bør Alle IoT-enheter som er i bruk i bedriften din, ha alle standardpassordene endret og fysisk tilgang til dem grundig sikret for å forhindre hackingforsøk.
• Vanlig sikkerhetskopiering av data-sikkerhetskopiering av data er svært effektiv i tilfelle naturkatastrofer eller angrep fra skadelig programvare som ødelegger eller låser deg ut av dataene dine (ransomware). Kontroller at alle sikkerhetskopiene er gjort så ofte som mulig og etablere en riktig prosedyre for å gjenopprette data.
• Brannmur og anti-virus – dette er cyber security 101, men du må beskytte nettverket ditt med riktig konfigurerte brannmurer og datamaskinene dine med anti-virus. Du kan lære mer og forskning tilgjengelig antivirusprogramvare På Antivirus.best.
• anti – spam filter-korrekt konfigurert anti-spam filter kan være en stor velsignelse i kampen mot phishing-angrep og malware sendt via e-post. Selv om dine ansatte kanskje vet å ikke klikke på noen koblinger i en e-post, er det alltid bedre å være trygg, i stedet for beklager.
• Tilgangskontroll – Det er flere måter å kontrollere tilgang på, og du vil være bedre å sette dem alle på plass. Først og fremst må du sørge for at du kontrollerer nivået av privilegier brukere har, og at du bruker prinsippet om minst privilegium når du oppretter nye kontoer. Bortsett fra det er tofaktorautentisering et must, da det øker sikkerheten for innloggingsprosedyren, og lar deg vite hvem som akkurat fikk tilgang til dataene dine og når.
• Brukerhandlingsovervåking-programvare gjør et videoopptak av alt brukeren gjør under økten, slik at du kan gjennomgå hver hendelse i riktig sammenheng. Ikke bare er dette svært effektivt når det gjelder å oppdage insider-trusler, det er også et flott verktøy for å undersøke eventuelle brudd og lekkasjer, samt et godt svar på et spørsmål om HVORDAN DU gjør IT-sikkerhetsoverensstemmelsesrevisjon, da det gir deg mulighet til å produsere de nødvendige dataene for en slik revisjon.
• Ansattes sikkerhetsbevissthet – for å beskytte dine ansatte mot phishing og sosialtekniske angrep, samt redusere hyppigheten av utilsiktede feil og sørge for at alle sikkerhetsprosedyrer følges gjennom, er det best å utdanne dem om beste cybersikkerhet. Lær dine ansatte om trusler som både de og din bedrift står overfor, samt tiltak du setter på plass for å bekjempe disse truslene. Å øke ansattes bevissthet er en fin måte å forvandle dem fra en forpliktelse til en nyttig ressurs når det gjelder cybersikkerhet.

Konklusjon

de 4 enkle trinnene som er nevnt ovenfor, – definere omfanget av en revisjon – definere truslene, vurdere risikoen forbundet med hver enkelt trussel, samt vurdere eksisterende sikkerhetskontroller og utarbeide de nye kontrollene og tiltakene som skal implementeres, – er alt du trenger å gjøre for å gjennomføre en sikkerhetsrevisjon.

dine leveranser bør utgjøre en grundig vurdering av nåværende sikkerhetstilstand, samt spesifikke anbefalinger om hvordan du kan forbedre ting. Dataene fra en slik selvrevisjon brukes til å bidra til å etablere en sikkerhetsplan, samt å formulere sikkerhetsstrategi for din bedrift.

cybersikkerhet er en kontinuerlig prosess, og selvrevisjoner bør være dine store vanlige milepæler på denne veien for å beskytte dataene dine.