Bezpečnostný audit, IT audit a penetračný test: v čom je rozdiel

Zavolá vám klient, že faktúra od vás vyzerá podozrivo. Vy ste žiadnu takú faktúru neposlali. Ukáže sa, že niekto mesiac čítal vašu firemnú poštu a čakal na správnu chvíľu. Presne vtedy si firmy spomenú na bezpečnostný audit, žiaľ, zvyčajne o pár týždňov neskoro.

Čo je bezpečnostný audit?

Bezpečnostný audit je dôkladné preverenie toho, ako firma chráni svoje dáta, systémy a prístupy pred zneužitím. Kontroluje technické opatrenia, napríklad firewall, zálohy či prístupové práva, aj organizačné procesy, teda kto má kam prístup a ako sa rieši bezpečnostný incident. Výsledkom je zoznam rizík zoradený podľa závažnosti a jasné odporúčania, čo opraviť ako prvé.

IT audit, bezpečnostný audit a penetračný test: tri rôzne veci

Tieto tri pojmy sa v praxi často miešajú a občas ich tak používajú aj niektorí dodávatelia. Nie sú to synonymá. Každý rieši inú otázku a hodí sa na inú situáciu vo firme.

IT audit sa pýta: funguje naše IT ako má? Pozrie sa na celú infraštruktúru, hardvér, siete, zálohy, licencie, výkon, aj bezpečnosť ako na jednu z oblastí medzi ostatnými.

Bezpečnostný audit, respektíve audit kybernetickej bezpečnosti, sa pýta úzko na jednu vec: ako dobre sme chránení? Ide do hĺbky pri nastavení firewallu, prístupových práv a procesov reakcie na incident.

Penetračný test sa pýta najpraktickejšie zo všetkých: dá sa k nám reálne dostať? Etický hacker sa pokúsi prelomiť vaše systémy presne tak, ako by to skúsil útočník, a ukáže vám, kade by sa dostal dnu.

Čo si objednať ako prvé

Toto je otázka, ktorú riešime s konateľmi najčastejšie. Odpoveď závisí od toho, kde firma momentálne stojí.

Ak neviete, čo vlastne máte

Začnite IT auditom. Dá vám prehľad o celej infraštruktúre: aké zariadenia bežia, ako je nastavené zálohovanie dát v cloude, aké licencie platíte a kde sú najväčšie diery. Bez tohto prehľadu ani neviete, čo má zmysel ďalej testovať.

Ak už viete, čo máte, ale neviete, ako ste zabezpečení

Prichádza na rad bezpečnostný audit zameraný konkrétne na kybernetickú bezpečnosť. Pozrie sa na prístupové práva, dvojfaktorové overenie (prečítajte si, prečo je dvojfaktorové overenie nevyhnutné pre každú firmu), školenie ľudí aj to, ako rýchlo by ste vedeli zareagovať na incident.

Ak už máte základ a chcete vedieť, či to naozaj drží

Vtedy má zmysel penetračný test. Overí, či opravy, ktoré ste urobili, naozaj fungujú, alebo len vyzerajú dobre na papieri.

Aký prvý krok odporúčate malej firme do 20 zamestnancov, ktorá ešte žiadny audit nerobila?

Odporúčame začať komplexným IT auditom, ktorý pri firme do 20 až 30 zariadení trvá spravidla do piatich pracovných dní. Dostanete prehľad o stave siete, záloh a prístupových práv spolu so zoznamom rizík podľa priority. Na jeho základe sa potom rozhodnete, či potrebujete aj penetračný test, alebo zatiaľ stačí doriešiť základné nastavenia a doplniť ochranu zariadení.

Odporúčaný postup teda vyzerá takto:

1. IT audit, zmapovanie infraštruktúry a najväčších rizík
2. Bezpečnostný audit, hĺbková kontrola nastavení a procesov
3. Penetračný test, overenie, že opravy naozaj fungujú
4. Školenie zamestnancov, pretože najlepší firewall nepomôže, keď niekto klikne na phishingový e-mail

Kedy to zvládnete interne a kedy sa oplatí zveriť to odborníkom

Niektoré veci si váš interný IT administrátor pokojne skontroluje sám. Politiku hesiel, stav aktualizácií, či sa zálohy skutočne dajú obnoviť. Aj inšpiráciu nájdete v našom texte o tom, prečo obyčajný router od operátora firme nestačí.

Penetračný test je iná liga. Vyžaduje certifikovaného etického hackera, špecializované nástroje a hlavne nezávislý pohľad zvonka. Váš administrátor totiž len ťažko objektívne otestuje vlastnú prácu. Rovnako platí, že ak sa vás týka smernica NIS2, nezávislý audit kybernetickej bezpečnosti nie je len dobrý nápad, ale často aj priama povinnosť. Viac o aktuálnych hrozbách a trendoch v kybernetickej bezpečnosti sa dá dohľadať aj na stránkach ENISA.

Koľko by vás stálo, keby ste mesiac fungovali bez dát alebo s odstaveným e-shopom? Práve táto suma rozhoduje o tom, či sa audit a test oplatí urobiť teraz, alebo až keď bude neskoro.

Čo by vás ešte mohlo zaujímať

Aký je rozdiel medzi IT auditom a penetračným testom?

IT audit preveruje celé fungovanie firemného IT vrátane bezpečnosti, zatiaľ čo penetračný test overuje len jednu konkrétnu vec, a to či sa dá do systémov reálne preniknúť. IT audit je teda širší a prehľadový, penetračný test je úzky a praktický. Najčastejšie dávajú spolu najväčší zmysel: audit ukáže, kde sú slabé miesta, test overí, či sú naozaj zneužiteľné.

Čo je bezpečnostný audit?

Bezpečnostný audit je dôkladná kontrola zabezpečenia firmy, ktorá sa zameriava na prístupové práva, zálohy, nastavenie siete a firewallu aj na to, ako firma reaguje na incidenty. Na rozdiel od všeobecného IT auditu sa nepozerá na výkon či licencie, ale výlučne na riziká spojené s únikom dát alebo útokom. Výsledkom je zoznam nedostatkov zoradený podľa naliehavosti.