• Articles
• admin

yritykset pitävät tietoturvan auditointia usein stressaavana ja tunkeilevana prosessina. Tilintarkastaja kävelee ympäriinsä häiritsemässä kaikkia ja sekaantumassa yhtiön normaaliin toimintaan. Auditointien hyödyllisyys herättää myös keskustelua: eikö säännöllinen riskinarviointi riitä turvallisuusstrategian muodostamiseen ja tietojesi suojaamiseen? Ja jos olet yksityisessä tietoturvassa noudatettavien määräysten alainen, joudut joka tapauksessa ennemmin tai myöhemmin viralliseen tarkastukseen. Eikö siihen olisi parempi valmistautua kuin tehdä oma TIETOTURVATARKASTUS?

todellisuudessa itsetarkastukset ovat kuitenkin erittäin hyödyllisiä, sillä ne täyttävät tietyt tavoitteet. Omavalvonnan avulla voit:

• Määritä tietoturvan perustaso – useiden itsetarkastusten tulokset vuosien varrella toimivat fantastisen luotettavana perustasona turvallisuutesi arvioimiseksi
• auttavat valvomaan turvallisuussäännöksiä ja-käytäntöjä – auditointien avulla voit varmistaa, että kaikki yrityksessäsi käyttöön otetut kyberturvallisuustoimenpiteet pannaan perinpohjaisesti täytäntöön ja niitä noudatetaan
• määrittää tietoturvasi todellisen tilan ja laatia strategian tulevaisuutta varten – auditointi näyttää, miten asiat todella ovat paljon yksityiskohtaisemmin kuin riskinarviointi koskaan voisi. Se ei vain korosta puuttuvia asioita, vaan ottaa huomioon myös olemassa olevat prosessit ja osoittaa, miksi ja miten niitä pitäisi parantaa.

kaiken kaikkiaan itsetarkastus on fantastisen hyödyllinen työkalu, kun sinun täytyy arvioida kyberturvallisuuttasi tai varmistaa, että olet valmis todelliseen vaatimustenmukaisuuden tarkastukseen. On hyvä käytäntö tehdä itsearviointeja melko usein-mieluiten useita kertoja vuodessa.

mutta miten kyberturvallisuustarkastus tehdään?

on olemassa erilaisia tapoja kerätä tarvittavat tiedot, kuten käyttöoikeuksien hallinta, käyttäjän toiminnan valvonta ja työntekijöiden seurantaohjelmisto, joiden avulla voit tuottaa keskitettyjä raportteja perusteellista tietoturvaarviointia varten. Ei kuitenkaan olisi reilua sanoa, että itsetarkastukset ovat ilman oikeudenmukaista osaa haitoista, ja käsittelemme niitä alempana, kun keskustelemme itsetarkastuksista tarkemmin.

mutta Tarkastellaanpa ensin molempien tapojen hyviä ja huonoja puolia.:

ulkoinen vs. Sisäinen tarkastus

päätettäessä Oman tilintarkastuksen tekemisestä voit joko tehdä sen sisäisesti omilla varoillasi tai tehdä sopimuksen ulkopuolisen tilintarkastajan kanssa. Ja valinta näiden kahden välillä ei ole niin leikattu ja kuiva kuin voisi luulla.

ulkopuoliset tilintarkastajat ovat hyviä työssään. He käyttävät kyberturvallisuuden auditointiohjelmistoja, kuten haavoittuvuuden skannereita, ja tuovat oman laajan kokemuksensa pöytään tutkiakseen tietoturvaasi ja löytääkseen siitä aukkoja. Suuri haittapuoli heille on kuitenkin se, että ne eivät ole halpoja, ja löytää henkilö, jolla on tarvittava pätevyys ja kokemus tarjousten merestä, voi olla hyvin vaikeaa.

lisäksi tällaisen tarkastuksen onnistuminen riippuu suuresti yrityksen ja tilintarkastajan välisen viestinnän laadusta. Jos tilintarkastaja ei voi saada oikeita tietoja tai saada niitä myöhässä, tilintarkastus voi pitkittyä, tuottaa epäluotettavia tuloksia tai paisua kustannuksissa.

kaikki tämä tekee ulkoisista auditoinneista pikemminkin ylellisyyttä kuin pysyvää ratkaisua. Ne on hyvä tehdä kerran vuodessa (jos sinulla on aikaa ja rahaa siihen) tai keinona valmistella yrityksesi todelliseen vaatimustenmukaisuuden tarkastukseen, mutta niiden tekeminen neljännesvuosittain voi olla kallista.

sisäiset auditoinnit sen sijaan ovat helppoja tehdä, ja ne voivat olla erittäin tehokkaita neljännesvuosittaisena arviointina, joka auttaa sinua keräämään tietoja turvallisuustilannetta varten ja tarkistamaan, ovatko nykyiset käytännöt tehokkaita vai eivät. Haittapuolena on kuitenkin se, että sisäisillä tarkastajilla ei usein ole kokemusta ja välineitä, joita tarvitaan ammatillisen ulkoisen tarkastuksen laatuun. Tämä sinänsä ei kuitenkaan ole asia, jota ei voida ratkaista yksinkertaisesti palkkaamalla oikeat ihmiset ja kouluttamalla heidät tehtävään.

samaan aikaan sisäiset tarkastukset ovat paitsi halpoja, myös prosessiltaan tehokkaita. Sisäisen työntekijän tai osaston on paljon helpompi kerätä kaikki tarvittavat tiedot ilman työlästä prosessia tehokkaan viestinnän luomiseksi ja häiritsemättä olemassa olevaa työnkulkua yrityksen sisällä.

ja vaikka sisäiset tarkastukset voivat teoriassa näyttää monimutkaisilta, todellisuudessa sinun tarvitsee vain suorittaa sarja yksinkertaisia vaiheita ja saada haluamasi tulokset. Seuraavaksi keskustelemme näistä vaiheista yksityiskohtaisemmin.

4 Simple steps to self-audit

1. Määrittele tarkastuksen laajuus

ensimmäinen asia, joka sinun on tehtävä, on määrittää tarkastuksen laajuus. Tarkistatpa organisaatiosi yleisen turvallisuustilan tai teet tietyn verkon tietoturva-auditoinnin, kolmannen osapuolen tietoturva-auditoinnin tai minkä tahansa muun, sinun on tiedettävä, mitä sinun pitäisi katsoa ja mitä sinun pitäisi ohittaa.

tätä varten sinun täytyy piirtää turva-alue-raja kaiken arvokkaan omaisuutesi ympärille. Tämän rajan tulisi olla mahdollisimman pieni ja sisältää kaikki arvokkaat omaisuuserät, jotka sinulla on ja jotka vaativat suojelua. Sinun täytyy tarkastaa kaikki tämän rajan sisällä ja ei kosketa mitään sen ulkopuolella.

paras tapa määritellä turva-alue on luoda lista kaikista arvokkaista omaisuuksista, joita yritykselläsi on. Tämä voi olla melko hankalaa, koska yritykset jättävät usein asioita, kuten puhtaasti sisäistä dokumentaatiota, yksityiskohtaisesti esimerkiksi erilaisia yritysten käytäntöjä ja menettelyjä, koska sillä ei näytä olevan arvoa mahdolliselle tekijälle. Tällaiset tiedot ovat kuitenkin arvokkaita yritykselle itselleen, koska jos kyseiset asiakirjat joskus katoavat tai tuhoutuvat (esimerkiksi laitteistovian tai työntekijän virheen vuoksi), niiden uudelleenluomiseen menee jonkin aikaa ja rahaa. Siksi ne tulisi myös sisällyttää pääluetteloosi kaikista suojaamista edellyttävistä varoista.

Määrittele uhkat, joita tietosi kohtaavat

kun olet määrittänyt tietoturva-alueen, sinun on luotava lista uhkista, joita tietosi kohtaavat. Vaikeinta on löytää oikea tasapaino sen välillä, kuinka kaukainen uhka on ja kuinka paljon sillä olisi vaikutusta tulokseen, jos se joskus tapahtuu. Esimerkiksi jos luonnonkatastrofi, kuten hirmumyrsky, on suhteellisen harvinainen, mutta voi olla taloudellisesti tuhoisa; se voidaan silti sisällyttää luetteloon.

kaikki ja kaikki, yleisimmät uhat, jotka sinun luultavasti tulisi ottaa huomioon, ovat seuraavat:

• luonnonkatastrofit ja fyysiset rikkomukset – kuten edellä mainittiin, vaikka tämä on jotain, joka tapahtuu harvoin, tällaisen uhan seuraukset voivat olla tuhoisia, joten sinun on luultavasti oltava valvontaa kaiken varalta.
• haittaohjelma – ja hakkerointihyökkäykset-ulkoiset hakkerointihyökkäykset ovat yksi suurimmista tietoturvan uhkista, ja ne tulisi aina ottaa huomioon.
• Ransomware – tämän tyyppinen haittaohjelma keräsi suosiota viime vuosina. Jos työskentelee terveydenhuollossa, koulutuksessa tai taloudessa, kannattaa sitä varoa.
• palvelunestohyökkäykset-IoT-laitteiden nousussa nähtiin dramaattinen bottiverkkojen nousu. Palvelunestohyökkäykset ovat nyt laajempia ja vaarallisempia kuin koskaan. Jos yrityksesi riippuu keskeytymätön verkkopalvelu, sinun pitäisi ehdottomasti tutkia myös niitä.
• haitalliset sisäpiiriläiset – tämä on uhka, jota jokainen yritys ei ota huomioon, mutta jokainen yritys kohtaa. Sekä omat työntekijäsi että kolmannen osapuolen toimittajat, joilla on pääsy tietoihisi, voivat helposti vuotaa sen tai käyttää sitä väärin, etkä pysty havaitsemaan sitä. Siksi on parasta olla valmis ja sisällyttää se omaan uhkalistaan. Mutta ennen, suosittelemme katsomaan läpi vertailun uhkaseurannan ratkaisuja.
• tahattomat sisäpiiriläiset – kaikkia sisäpiirihyökkäyksiä ei tehdä tahallisuudesta. Työntekijä tekee rehellisen virheen ja vuotaa tietosi vahingossa on jotain, joka tuli aivan liian yleinen meidän kytketty maailma. Ehdottomasti uhka harkittavaksi.
• tietojenkalastelu ja social engineering – useimmiten hakkeri yrittää päästä verkkoosi kohdistamalla työntekijäsi social engineering-tekniikoilla, käytännössä pakottaen heidät luopumaan tunnuksistaan vapaaehtoisesti. Tämä on ehdottomasti jotain, että sinun pitäisi olla valmis.

3. Laske riskit

kun olet laatinut listan mahdollisista uhkista, joita tietosi saattavat kohdata, sinun on arvioitava kunkin uhkan laukaisuriski. Tällainen riskinarviointi auttaa sinua asettamaan hintalapun jokaiselle uhkalle ja priorisoimaan oikein, kun on kyse uusien turvatarkastusten toteuttamisesta. Jotta voit tehdä tämän, sinun täytyy tarkastella seuraavia asioita:

• aiempi kokemuksesi – olitpa kohdannut tietyn uhan tai et voi vaikuttaa todennäköisyyteen, että kohtaat sen tulevaisuudessa. Jos yrityksesi oli hakkeroinnin tai palvelunestohyökkäyksen kohteena, on hyvin mahdollista, että se tapahtuu uudelleen.
• General cyber security landscape-look at the current trends in cyber security. Mitkä uhat ovat yhä suositumpia ja tiheämpiä? Mitä ovat uudet ja kehittyvät uhat? Mitkä tietoturvaratkaisut ovat yhä suositumpia?
• teollisuuden Tila-Katso suoran kilpailusi kokemuksia sekä alaasi kohdistuvia uhkia. Jos työskentelet esimerkiksi terveydenhuollossa tai koulutuksessa, kohtaat useammin sisäpiirihyökkäyksiä, tietojenkalasteluhyökkäyksiä ja kiristyshaittaohjelmia, kun taas vähittäiskauppa saattaa kohdata palvelunestohyökkäyksiä ja muita haittaohjelmia useammin.

laite tarvittavat kontrollit

kun olet määrittänyt kuhunkin uhkaan liittyvät riskit, olet valmis viimeiseen vaiheeseen – luo tietoturva-auditoinnin tarkistuslista kontrolleista, jotka sinun on toteutettava. Tutkia valvontaa, jotka ovat paikallaan ja suunnitella tapa parantaa niitä, tai toteuttaa prosesseja, jotka puuttuvat.

yleisimpiä mahdollisia turvatoimia ovat:

• fyysinen palvelimen turvallisuus – Jos omistat omia palvelimia, sinun pitäisi ehdottomasti turvata fyysinen pääsy niihin. Tämä ei tietenkään ole ongelma, jos vain vuokraat palvelintilaa datakeskuksesta. Samaan aikaan, kaikki IoT laitteet käytössä yrityksesi pitäisi olla kaikki niiden oletussalasanat vaihdetaan ja fyysinen pääsy niihin perusteellisesti suojattu, jotta estetään hakkerointi yritykset.
• säännöllinen tietojen varmuuskopiointi – tietojen varmuuskopiointi on erittäin tehokas luonnonkatastrofin tai haittaohjelmahyökkäyksen tapauksessa, joka turmelee tai lukitsee sinut ulos tiedoistasi (ransomware). Varmista, että kaikki varmuuskopiot tehdään mahdollisimman usein ja luoda oikea menettely palauttaa tiedot.
• Firewall and anti-virus-Tämä on cyber security 101, mutta sinun täytyy suojata verkkosi oikein määritetyillä palomuureilla ja tietokoneesi anti-viruksilla. Voit oppia lisää ja tutkia saatavilla virustorjuntaohjelmisto Antivirus.paras.
• Anti-spam filter-oikein määritetty anti-spam filter voi olla suuri siunaus taistelussa tietojenkalasteluhyökkäyksiä ja haittaohjelmia lähetetään postitse. Vaikka työntekijäsi saattavat tietää olla klikkaamatta mitään linkkejä sähköpostissa, on aina parempi olla turvassa, kuin pahoillaan.
• kulunvalvonta – kulunvalvontaan on useita tapoja ja ne kaikki kannattaisi ottaa käyttöön. Ensinnäkin, sinun täytyy varmistaa, että voit hallita tasoa etuoikeus käyttäjät ovat ja että käytät periaatetta vähiten etuoikeus luotaessa uusia tilejä. Sen lisäksi, että, kaksivaiheinen todennus on välttämätöntä, koska se lisää huomattavasti turvallisuutta kirjautumismenettelyn ja voit tietää, kuka tarkalleen käyttää tietojasi ja milloin.
• User action monitoring-ohjelmisto tekee videotallenteen kaikesta, mitä käyttäjä tekee istunnon aikana, jolloin voit tarkastella jokaista tapahtumaa sen oikeassa yhteydessä. Tämä ei ole vain erittäin tehokas sisäpiiriuhkien havaitsemisessa, vaan se on myös loistava työkalu rikkomusten ja vuotojen tutkimiseen sekä loistava vastaus kysymykseen siitä, miten tietoturvan vaatimustenmukaisuuden tarkastus tehdään, koska sen avulla voit tuottaa tarvittavat tiedot tällaista tarkastusta varten.
• työntekijöiden tietoturvatietoisuus-jotta voit suojella työntekijöitäsi tietojenkalastelulta ja sosiaalisen suunnittelun hyökkäyksiltä, vähentää tahattomien virheiden esiintymistiheyttä ja varmistaa, että kaikkia turvallisuusmenettelyjä noudatetaan, on parasta kouluttaa heitä parhaasta kyberturvallisuudesta. Opeta työntekijöillesi uhkista, joita sekä He että yrityksesi kohtaavat, sekä toimenpiteistä, jotka olet ottanut käyttöön näiden uhkien torjumiseksi. Työntekijöiden tietoisuuden lisääminen on loistava tapa muuttaa heidät vastuusta hyödylliseksi voimavaraksi, kun kyse on kyberturvallisuudesta.

päätelmä

edellä mainitut 4 yksinkertaista vaihetta – tarkastuksen laajuuden määrittely, uhkien määrittely, kuhunkin yksittäiseen uhkaan liittyvien riskien arviointi sekä olemassa olevien turvavalvontatoimenpiteiden arviointi ja toteutettavien uusien valvontatoimenpiteiden ja toimenpiteiden suunnittelu – on kaikki, mitä sinun tarvitsee tehdä turvatarkastuksen suorittamiseksi.

suoritteidesi tulisi muodostaa perusteellinen arvio turvallisuutesi nykytilasta sekä erityisiä suosituksia siitä, miten asioita voidaan parantaa. Tällaisen omavalvonnan tietoja käytetään osaltaan turvallisuuden perustason määrittämiseen sekä yrityksesi turvallisuusstrategian laatimiseen.

kyberturvallisuus on jatkuva prosessi, ja itsetarkastusten pitäisi olla suuria säännöllisiä virstanpylväitä tällä tiellä tietojesi suojaamiseksi.