FAQ – kibernetska varnost

Eden najučinkovitejših načinov je izvedba varnostnega pregleda oziroma penetracijskega testa, s katerim preverimo, ali je mogoče obstoječe ranljivosti dejansko izkoristiti in kakšno tveganje predstavljajo za organizacijo. SIQ pri penetracijskem testiranju uporablja pristope, orodja in tehnike, primerljive s tistimi, ki jih uporabljajo resnični napadalci.

Odvisno od tega, kaj želite preveriti. SIQ med drugim izvaja:
• zunanje penetracijske teste,
• notranje penetracijske teste,
• penetracijske teste spletnih aplikacij,
• penetracijske teste mobilnih aplikacij,
• preverjanje brezžičnih omrežij,
• penetracijske teste API vmesnikov
• varnostne preglede izvorne kode (source code review) ter programske opreme
• varnostne preglede IoT naprav.
Če niste prepričani, kateri pregled potrebujete, nam predstavite svoje okolje in cilj preverjanja ter bomo skupaj določili ustrezen obseg.

Pregled ranljivosti oziroma varnostni sken je praviloma usmerjen v prepoznavanje znanih varnostnih pomanjkljivosti. Skeniranje je koristen del preverjanja, vendar samo po sebi ne nadomešča penetracijskega testa. Penetracijski test gre korak dlje: strokovnjak ugotovljene oziroma druge potencialne ranljivosti preveri z vidika možnosti dejanske zlorabe in oceniti njihov vpliv na varnost organizacije. Pri penetracijskem testiranju SIQ uporablja pristope, orodja in tehnike, primerljive s tistimi, ki jih uporabljajo resnični napadalci, vendar v dogovorjenem in nadzorovanem obsegu.

Rezultat vključuje analizo kibernetskih tveganj in poročilo o ugotovitvah. SIQ zagotovi vodstveni povzetek, tehnično dokumentacijo ugotovitev in priporočila. Tako dobite pregled nad ugotovljenimi ranljivostmi, njihovo kritičnostjo ter podlago za načrtovanje izboljšav.
Na željo naročnika lahko po odpravi ugotovljenih ranljivosti izvedemo tudi ponovno preverjanje (retest), s katerim potrdimo uspešnost izvedenih ukrepov.

Večina organizacij penetracijske teste izvaja najmanj enkrat letno ali po večjih spremembah informacijskega sistema. Pogostejše preverjanje je priporočljivo za kritične sisteme, spletne aplikacije ter organizacije z regulatornimi zahtevami. Pogostost je odvisna od tveganj, vrste informacijskega sistema, sprememb infrastrukture in aplikacij, regulativnih oziroma pogodbenih zahtev ter občutljivosti podatkov. Ponovno preverjanje je posebej smiselno po pomembnih spremembah sistema, uvedbi novih aplikacij ali storitev ter odpravi pomembnejših ugotovljenih ranljivosti.

Da. SIQ izvaja penetracijske teste spletnih in mobilnih aplikacij, s katerimi preverja ranljivosti, ki bi lahko omogočile nepooblaščen dostop, spreminjanje ali razkritje podatkov oziroma druge zlorabe. Pregled je smiseln tako med razvojem kot pred uvedbo aplikacije v produkcijsko okolje ter po pomembnejših spremembah.

Da. SIQ izvaja varnostno preverjanje povezljivih proizvodov in z njimi povezanih storitev. Storitve lahko vključujejo analizo tveganj in groženj, penetracijsko testiranje ter preskušanje skladnosti z relevantnimi zahtevami in standardi ter analizo arhitekture proizvoda, komunikacijskih protokolov in mehanizmov za posodabljanje programske opreme.

SIQ izvaja preskušanje povezljivih naprav po relevantnih standardih, med drugim po seriji EN 18031, IEC 62443 in ETSI EN 303 645. Za določene preglede po standardih EN 18031 in EN 303 645 lahko SIQ izda tudi akreditirano poročilo.

Kibernetsko varnost je najbolje vključiti že v razvojni proces in ne šele tik pred začetkom prodaje proizvoda. Zgodnje preverjanje omogoča, da se potencialne ranljivosti in neskladnosti odkrijejo v fazi, ko jih je praviloma lažje odpraviti. Med načrtovanjem priporočamo analizo tveganj in groženj ter konceptualni pregled arhitekture. Med razvojem lahko ponudbimo pregled izvorne kode in implementacije. Pred lansiranjem pa penetracijske teste in preskušanje skladnosti.

Penetracijski test je predvsem tehnično usmerjen in preverja, ali je mogoče ranljivosti informacijskega sistema dejansko izkoristiti. Revizijski pregled pa sistematično ocenjuje tehnične in organizacijske kontrole ter njihovo skladnost z zahtevami standardov, zakonodaje oziroma dobrimi praksami.

SIQ izvaja različne neodvisne preglede, med drugim:
• preglede informacijske varnosti glede na ISO/IEC 27001,
• preglede upravljanja IT-storitev,
• preglede neprekinjenega poslovanja,
• pregledi skladnosti z zakonodajnimi in regulatornimi zahtevami
• neodvisni varnostni pregledi informacijskih sistemov.

SIQ lahko z neodvisnimi varnostnimi in revizijskimi pregledi pomaga ugotoviti trenutno stanje informacijskega okolja ter identificirati vrzeli glede na relevantne zahteve, standarde in dobre prakse. Ker so konkretne zahteve odvisne od organizacije, dejavnosti in zakonodaje, je treba obseg pregleda določiti za posamezen primer. SIQ lahko pomaga organizacijam oceniti pripravljenost na zahteve različnih regulativnih okvirov in standardov, kot so NIS2, DORA, ISO/IEC 27001 in drugi relevantni varnostni okviri.