Audyt bezpieczeństwa

Audyt bezpieczeństwa to systematyczna ocena zabezpieczeń systemu bazodanowego pod kątem zgodności z politykami i najlepszymi praktykami.

Audyt bezpieczeństwa – czym jest i jaki ma cel

Audyt bezpieczeństwa to uporządkowane sprawdzenie, czy system informatyczny, baza danych oraz sposób korzystania z nich są odpowiednio chronione przed nieuprawnionym dostępem, utratą informacji, błędami konfiguracji i niekontrolowanymi zmianami. Analizie podlega nie tylko samo oprogramowanie, lecz także reguły dostępu, sposób przechowywania haseł, kopie zapasowe, rejestrowanie zdarzeń oraz reakcja na podejrzane działania. Celem nie jest samo wskazanie pojedynczej usterki, ale odtworzenie całego obrazu ryzyka i ustalenie, które elementy wymagają poprawy w pierwszej kolejności.

Audyt może dotyczyć jednego komputera, programu, aplikacji, bazy danych albo większego środowiska wykorzystywanego do pracy. Zakres powinien zostać określony przed rozpoczęciem czynności, ponieważ ocena wszystkich możliwych obszarów naraz bywa niepotrzebnie szeroka. W praktyce sprawdza się między innymi to, kto ma dostęp do danych, jakie uprawnienia są przyznane poszczególnym kontom, czy nieużywane profile zostały wyłączone oraz czy działania użytkowników można później odtworzyć na podstawie zapisów zdarzeń.

Audyt bezpieczeństwa a test techniczny i kontrola zgodności

Audyt bezpieczeństwa różni się od zwykłego przeglądu stanu urządzenia. Przegląd techniczny koncentruje się zazwyczaj na działaniu podzespołów, stabilności systemu lub objawach zgłaszanych przez użytkownika. Audyt obejmuje natomiast również sposób zarządzania informacją i dostępem. Komputer może działać prawidłowo, a mimo to pozostawać słabo chroniony, jeżeli używane są wspólne konta, stare hasła, nieaktualne programy albo kopie zapasowe, których nigdy nie sprawdzono podczas odtwarzania.

Audyt nie jest także tym samym co test penetracyjny. Test penetracyjny skupia się na kontrolowanych próbach wykorzystania określonych słabości. Audyt może uwzględniać takie próby, ale często opiera się również na analizie ustawień, dokumentacji, rejestrów, procedur i faktycznych uprawnień. Istotne jest porównanie stanu zastanego z przyjętymi wymaganiami. Mogą nimi być wewnętrzne zasady organizacji, warunki wynikające z umów, wymagania branżowe lub reguły dotyczące ochrony danych.

Rzetelna ocena powinna prowadzić do wniosków możliwych do wykonania. Samo stwierdzenie, że konfiguracja jest ryzykowna, nie wystarcza. Przy każdym ustaleniu warto opisać jego przyczynę, możliwe skutki, poziom ważności oraz zalecany sposób usunięcia problemu. Dzięki temu można odróżnić usterkę wymagającą szybkiej reakcji od niedogodności, którą da się zaplanować przy okazji kolejnych prac.

Audyt bezpieczeństwa – typowe obszary i problemy

Jednym z częstych obszarów jest zarządzanie kontami. Należy sprawdzić, czy każda osoba korzysta z własnego profilu, czy zakres uprawnień odpowiada rzeczywistym obowiązkom oraz czy konta byłych użytkowników zostały wyłączone. Ryzyko zwiększa także pozostawianie uprawnień administracyjnych tam, gdzie wystarczą prawa standardowego użytkownika. Warto zweryfikować wymagania dotyczące haseł, stosowanie dodatkowego składnika logowania oraz sposób odzyskiwania dostępu po jego utracie.

Drugą grupę stanowią aktualizacje i konfiguracja programów. Nieaktualny system, rozszerzenie przeglądarki lub narzędzie używane do pracy może zawierać znaną lukę. Znaczenie ma również wyłączenie zbędnych usług, ograniczenie automatycznego uruchamiania niepotrzebnych aplikacji i kontrola źródeł, z których instalowane jest oprogramowanie. W audycie analizuje się także mechanizmy ochrony przed złośliwymi plikami, sposób filtrowania poczty oraz możliwość uruchamiania nośników wymiennych.

Osobnej uwagi wymagają kopie zapasowe. Należy ustalić, jakie dane są kopiowane, jak często odbywa się zapis, gdzie przechowywane są kopie i kto może je usunąć. Sama obecność pliku z kopią nie oznacza jeszcze gotowości do odtworzenia pracy. Warto wykonać kontrolną próbę odzyskania wybranych danych, sprawdzić czy kopia nie jest uszkodzona oraz ocenić, czy w razie awarii możliwe jest przywrócenie najważniejszych dokumentów w akceptowalnym czasie.

Audyt może ujawnić również brak rejestrów zdarzeń, niewłaściwe ustawienia prywatności, przechowywanie poufnych informacji w niezaszyfrowanej postaci albo brak jasnej procedury na wypadek podejrzenia włamania. Problematyczne bywają też urządzenia używane poza stałym miejscem pracy, ponieważ dane mogą zostać ujawnione po zgubieniu sprzętu, pozostawieniu go bez nadzoru lub podłączeniu do nieznanej sieci.

Audyt bezpieczeństwa – praktyczne przygotowanie i działania

Przed rozpoczęciem warto przygotować listę systemów, urządzeń, aplikacji i typów danych objętych oceną. Pomocne jest wskazanie właścicieli poszczególnych zasobów, osób odpowiedzialnych za dostęp oraz informacji, które mają szczególne znaczenie. Należy też ustalić, czy audyt będzie wyłącznie przeglądem ustawień i dokumentacji, czy obejmie także kontrolowane testy działania zabezpieczeń. Jasny zakres ogranicza ryzyko pominięcia ważnego elementu oraz ułatwia późniejsze porównanie wyników.

Dobrym rozwiązaniem jest rozpoczęcie od zagrożeń o największym możliwym wpływie. W pierwszej kolejności sprawdza się zwykle dostęp do danych, kopie zapasowe, aktualność oprogramowania, ochronę kont i możliwość wykrycia podejrzanych zdarzeń. Następnie można przejść do ustawień mniej krytycznych, porządkowania dokumentacji i doskonalenia procedur. Każda zmiana powinna być opisana, a w miarę możliwości także przetestowana po wdrożeniu.

Wynik audytu powinien mieć formę zrozumiałego raportu. Przydatny raport zawiera zakres prac, zastosowane metody, wykryte niezgodności, ocenę ryzyka oraz plan naprawczy. Wskazane jest rozdzielenie problemów technicznych od organizacyjnych, ponieważ wymagają one innych działań. Po usunięciu najważniejszych słabości warto wykonać audyt kontrolny, aby potwierdzić, że zalecenia zostały wdrożone i nie pojawiły się nowe zależności.

Kiedy audyt bezpieczeństwa wymaga konsultacji serwisowej

Warto zgłosić się do serwisu, gdy pojawiają się powtarzające problemy z logowaniem, nieoczekiwane komunikaty, samoczynne zmiany ustawień, podejrzane programy, utrata plików albo trudności z wykonaniem kopii zapasowej. Konsultacja może być przydatna również przed przekazaniem komputera do nowego użytkownika, po zmianie sposobu pracy, po incydencie z podejrzanym plikiem lub wtedy, gdy nie wiadomo, jakie konta i programy pozostają aktywne.

W takich sytuacjach pomoc może zapewnić Warszawskie Pogotowie Komputerowe 24/7, zwłaszcza gdy potrzebne jest uporządkowanie ustawień komputera, sprawdzenie podstawowych zabezpieczeń i przygotowanie zaleceń do dalszych działań. Naprawy są z reguły realizowane do 3 dni roboczych. Przed przekazaniem urządzenia warto opisać objawy, wskazać najważniejsze dane oraz zaznaczyć, czy wymagane jest zachowanie określonych plików i ustawień.

Nie powinno się czekać na pełny audyt, jeżeli istnieje podejrzenie przejęcia konta, zniszczenia danych lub działania szkodliwego programu. W pierwszej kolejności należy odłączyć urządzenie od nieznanych połączeń, nie kasować pochopnie zapisów zdarzeń i nie wykonywać przypadkowych programów naprawczych. Dalsze czynności powinny uwzględniać zabezpieczenie dowodów, zmianę danych dostępowych z bezpiecznego urządzenia oraz ocenę, czy kopie zapasowe pozostały nienaruszone.