• Articles
• admin

företag ser ofta datasäkerhetsrevision som en stressande och påträngande process. Revisorn går runt och distraherar alla och blandar sig i vanlig företagsverksamhet. Användbarheten av att genomföra revisioner är också något för en debatt: är inte regelbunden riskbedömning tillräcklig för att bilda säkerhetsstrategi och hålla dina data skyddade? Och om du är föremål för efterlevnadsregler om privat datasäkerhet, kommer du att möta en officiell revision förr eller senare ändå. Skulle du inte vara bättre att förbereda dig för det än att göra en egen IT-säkerhetsrevision?

men i verkligheten är självrevisioner mycket användbara, eftersom de uppfyller en uppsättning specifika mål. Självrevisioner gör att du kan:

• upprätta en säkerhetsbaslinje – resultat av flera självrevisioner under åren fungerar som en fantastiskt pålitlig baslinje för att bedöma din säkerhetsprestanda
• hjälp genomdriva säkerhetsbestämmelser och praxis-revisioner gör att du kan se till att alla cybersäkerhetsåtgärder som införts i ditt företag tillämpas noggrant och följs
• bestäm det verkliga tillståndet för din säkerhet och formulera strategin för framtiden-revisionen visar dig hur saker verkligen är på ett mycket mer detaljerat sätt riskbedömning någonsin kunde. Det belyser inte bara saknade saker, men tar också hänsyn till befintliga processer och visar varför och hur de ska förbättras.

allt som allt är självrevision ett fantastiskt användbart verktyg när du behöver bedöma din cybersäkerhet eller se till att du är redo för en riktig efterlevnadsgranskning längs linjen. Det är en bra praxis att göra självrevisioner ganska ofta-helst flera gånger om året.

men hur man genomför en cybersäkerhetsrevision?

det finns en mängd olika sätt att samla in nödvändiga data, till exempel åtkomsthantering, övervakning av användaråtgärder och spårningsprogram för anställda, så att du kan producera centraliserade rapporter för en grundlig säkerhetsbedömning. Det skulle emellertid inte vara rättvist att säga att självrevisioner är utan deras rättvisa andel av nackdelar, och vi kommer att beröra dem längre ner när vi diskuterar självrevisionering mer detaljerat.

men först, låt oss titta på för – och nackdelar med var och en av de två sätten du kan göra självrevision:

extern vs internrevision

när du bestämmer dig för att göra en självrevision kan du antingen göra det internt med egna resurser eller anlita en extern revisor. Och valet mellan de två är inte så klippt och torrt som man skulle tro.

externa revisorer är bra på vad de gör. De använder en uppsättning programvara för cybersäkerhetsgranskning, till exempel sårbarhetsskannrar och tar med sig sin egen stora erfarenhet till bordet för att undersöka din säkerhet och hitta hål i den. Men den stora nackdelen med dem är att de inte är billiga, och att hitta personen med nödvändig kvalifikation och erfarenhet bland havet av erbjudanden kan vara mycket svårt.

dessutom kommer framgången för en sådan revision starkt att bero på kvaliteten på kommunikationen mellan ditt företag och en revisor. Om en revisor inte kan få rätt data eller få det sent, kan granskningen dra på, producera opålitliga resultat eller svälla i kostnad.

allt detta gör externa revisioner till en lyx snarare än en permanent lösning. De är bra att göra en gång om året (om du har tid och pengar för det), eller som ett sätt att förbereda ditt företag för en verklig efterlevnad revision, men gör dem varje kvartal kan vara kostnads oöverkomliga.

interna revisioner är å andra sidan lätta att göra, och de kan vara mycket effektiva som kvartalsbedömning, vilket hjälper dig att samla in data för din säkerhetsbaslinje och kontrollera om den nuvarande politiken är effektiv eller inte. Nackdelen med detta är dock att interna revisorer ofta saknar den erfarenhet och de verktyg som krävs för att matcha kvaliteten på en professionell extern revision. Men detta i sig är inte något som inte kan lösas genom att helt enkelt anställa rätt personer och utbilda dem för jobbet.

samtidigt är interna revisioner inte bara billiga utan också effektiva när det gäller process. Det är mycket lättare för en intern anställd eller avdelning att samla alla nödvändiga uppgifter utan den svåra processen att upprätta effektiv kommunikation och utan att störa befintligt arbetsflöde inom företaget.

och medan interna revisioner kan se komplicerade ut i teorin, i verkligheten, är allt du behöver göra för att slutföra en serie enkla steg och få de resultat du vill ha. Därefter kommer vi att diskutera dessa steg mer detaljerat.

4 enkla steg till självrevision

1. Definiera omfattningen av en revision

det första du behöver göra är att fastställa omfattningen av din revision. Oavsett om du kontrollerar det allmänna säkerhetstillståndet i din organisation eller gör en specifik nätverkssäkerhetsgranskning, säkerhetsgranskning från tredje part eller någon annan, måste du veta vad du ska titta på och vad du ska hoppa över.

för att göra detta måste du rita en säkerhetsomkrets – en gräns runt alla dina värdefulla tillgångar. Denna gräns bör vara så liten som möjligt och inkludera alla värdefulla tillgångar som du har och som kräver skydd. Du kommer att behöva granska allt inom denna gräns och skulle inte röra något utanför den.

det bästa sättet att definiera säkerhetsomkrets är att skapa en lista över alla värdefulla tillgångar som ditt företag har. Detta kan vara ganska knepigt, eftersom företag ofta utelämnar saker som rent intern dokumentation, som till exempel beskriver olika företagspolicyer och förfaranden, eftersom det inte verkar ha något värde för den potentiella förövaren. Sådan information är dock värdefull för företaget själv, för om dessa dokument någonsin förloras eller förstörs (till exempel på grund av maskinvarufel eller anställdas misstag), tar det lite tid och pengar att återskapa dem. Därför bör de också ingå i din huvudlista över alla tillgångar som kräver skydd.

definiera de hot som dina data står inför

när du har definierat din säkerhetsomkrets måste du skapa en lista över hot som dina data står inför. Den svåraste delen är att hitta en rätt balans mellan hur avlägset ett hot är och hur mycket inverkan det skulle ha på din bottenlinje om det någonsin händer. Till exempel, om en naturkatastrof, som en orkan, är relativt sällsynt, men kan vara förödande när det gäller ekonomi; det kan fortfarande ingå i listan.

alla och alla, de vanligaste hoten, som du förmodligen bör överväga att inkludera, är följande:

• naturkatastrofer och fysiska överträdelser – som nämnts ovan, även om detta är något som händer sällan, kan konsekvenserna av ett sådant hot vara förödande, därför måste du förmodligen ha kontroller på plats för alla fall.
• Malware och hacking attacker – externa hacking attacker är en av de största hoten mot datasäkerhet ute och bör alltid övervägas.
• Ransomware – denna typ av skadlig kod fick popularitet de senaste åren. Om du arbetar inom hälso-och sjukvård, utbildning eller ekonomi, bör du förmodligen se upp för det.
• Denial of service – attacker-ökningen av IoT-enheter såg en dramatisk ökning av botnät. Denial of service-attacker är nu mer utbredda och farligare än någonsin. Om ditt företag är beroende av oavbruten nättjänst, bör du definitivt undersöka inklusive dem.
• skadliga insiders – Detta är ett hot som inte alla företag tar hänsyn till, men varje företag står inför. Både dina egna anställda och tredjepartsleverantörer med tillgång till dina data kan enkelt läcka det eller missbruka det, och du skulle inte kunna upptäcka det. Därför är det bäst att vara redo och inkluderar det i din egen hotlista. Men tidigare föreslår vi att du tittar igenom jämförelsen av hotövervakningslösningar.
• oavsiktliga insiders – inte alla insiderattacker görs av skadlig avsikt. Den anställde som gör ett ärligt misstag och läcker dina data av misstag är något som blev alltför vanligt i vår anslutna Värld. Definitivt ett hot att överväga.
• Phishing och social engineering – oftare än inte en hacker kommer att försöka få tillgång till ditt nätverk genom att rikta dina anställda med socialteknik tekniker, praktiskt taget gör dem ge upp sina referenser frivilligt. Detta är definitivt något som du bör vara redo för.

3. Beräkna riskerna

när du har upprättat listan över potentiella hot som dina data kan möta måste du bedöma risken för att var och en av dessa hot avfyras. En sådan riskbedömning hjälper dig att sätta en prislapp på varje hot och prioritera korrekt när det gäller att implementera nya säkerhetskontroller. För att göra detta måste du titta på följande saker:

• din tidigare erfarenhet-oavsett om du har stött på ett specifikt hot eller inte kan påverka sannolikheten för att du stöter på det i framtiden. Om ditt företag var ett mål för hacking eller denial of service attack, finns det en god chans att det kommer att hända igen.
• allmänt cybersäkerhetslandskap – titta på de aktuella trenderna inom cybersäkerhet. Vilka hot blir alltmer populära och frekventa? Vad är nya och framväxande hot? Vilka säkerhetslösningar blir allt populärare?
• branschens tillstånd – titta på upplevelsen av din direkta konkurrens, liksom hot som din bransch står inför. Om du till exempel arbetar inom hälso-och sjukvård eller utbildning kommer du oftare att möta insiderattacker, phishing-attacker och ransomware, medan detaljhandeln kan möta denial of service-attacker och annan skadlig kod oftare.

enhet de nödvändiga kontrollerna

när du har fastställt riskerna för varje hot är du uppe till det sista steget – skapa checklista för IT-säkerhetsgranskning av kontroller som du behöver implementera. Undersök kontroller som finns på plats och utforma ett sätt att förbättra dem, eller implementera processer som saknas.

de vanligaste säkerhetsåtgärderna som du kan överväga inkluderar:

• fysisk serversäkerhet-om du äger dina egna servrar bör du definitivt säkra en fysisk åtkomst till dem. Naturligtvis är detta inte ett problem om du helt enkelt hyr serverutrymme från ett datacenter. Samtidigt bör alla IoT-enheter som används i ditt företag ha alla sina standardlösenord ändrade och fysisk åtkomst till dem ordentligt säkrade för att förhindra hackningsförsök.
• regelbunden säkerhetskopiering av data – säkerhetskopiering av data är mycket effektiv vid naturkatastrof eller malware attack som korrumperar eller låser dig ur dina data (ransomware). Se till att alla dina säkerhetskopior görs så ofta som möjligt och upprätta en korrekt procedur för att återställa dina data.
• brandvägg och antivirus-det här är cyber security 101, men du måste skydda ditt nätverk med korrekt konfigurerade brandväggar och dina datorer med antivirusprogram. Du kan lära dig mer och undersöka tillgängligt antivirusprogram på Antivirus.bästa.
• Anti-spam filter – korrekt konfigurerat anti-spam filter kan vara en stor välsignelse i kampen mot nätfiskeattacker och skadlig kod som skickas via e-post. Medan dina anställda kanske vet att de inte klickar på några länkar i ett e-postmeddelande är det alltid bättre att vara säker, snarare än ledsen.
• åtkomstkontroll – det finns flera sätt att kontrollera åtkomst och du skulle vara bättre att sätta dem alla på plats. Först och främst måste du se till att du kontrollerar nivån på privilegier som användare har och att du använder principen om minst behörighet när du skapar nya konton. Bortsett från det är tvåfaktorsautentisering ett måste, eftersom det kraftigt ökar säkerheten för inloggningsproceduren och låter dig veta vem som exakt har åtkomst till dina data och när.
• övervakning av användaråtgärder – programvara gör en videoinspelning av allt användaren gör under sessionen, så att du kan granska varje incident i sitt rätta sammanhang. Detta är inte bara mycket effektivt när det gäller att upptäcka insiderhot, det är också ett utmärkt verktyg för att undersöka eventuella överträdelser och läckor, samt ett bra svar på en fråga om hur man gör It-säkerhetsrevisionsrevision, eftersom det gör att du kan producera nödvändiga data för en sådan revision.
• Medarbetarsäkerhetsmedvetenhet – för att skydda dina anställda från phishing-och socialteknikattacker, samt minska frekvensen av oavsiktliga misstag och se till att alla säkerhetsförfaranden följs, är det bäst att utbilda dem om bästa cybersäkerhet. Lär dina anställda om hot som både de och ditt företag står inför, samt åtgärder du har infört för att bekämpa dessa hot. Att öka medarbetarnas medvetenhet är ett bra sätt att omvandla dem från en skuld till en användbar tillgång när det gäller cybersäkerhet.

slutsats

de 4 enkla stegen som nämns ovan, – definiera omfattningen av en revision, definiera hot, bedöma riskerna i samband med varje enskilt hot, samt bedöma befintliga säkerhetskontroller och utforma nya kontroller och åtgärder som ska genomföras, – är allt du behöver göra för att genomföra en säkerhetsrevision.

dina resultat bör utgöra en grundlig bedömning av nuvarande tillstånd för din säkerhet, samt specifika rekommendationer om hur du kan förbättra saker. Uppgifterna från sådan självrevision används för att bidra till att upprätta en säkerhetsbaslinje, samt att formulera säkerhetsstrategi för ditt företag.

cybersäkerhet är en kontinuerlig process, och självrevisioner bör vara dina stora regelbundna milstolpar på denna väg för att skydda dina data.