Audyt bezpieczeństwa IT dla urzędów, JST i firm
Ocena konfiguracji, uprawnień i zabezpieczeń pozwala ustalić, które problemy wymagają poprawy. Zakres audytu uzgadniamy przed rozpoczęciem badania.
Co sprawdzamy podczas audytu IT?
Badanie może objąć serwery, stacje robocze, urządzenia sieciowe i usługi zewnętrzne. Ustalamy listę systemów, kryteria oceny i zasady dostępu do materiałów. W urzędzie uwzględniamy zależność systemów od zadań wykonywanych przez wydziały oraz obsługi mieszkańców.
Konfiguracja i dostęp
Sprawdzamy ustawienia zabezpieczeń oraz sposób nadawania, zmiany i odbierania uprawnień. Ocena odnosi się do systemów wskazanych w zakresie badania.
Podatności i ryzyko
Ustalamy, jakie słabości mogą wpłynąć na działanie organizacji. Przed testami technicznymi uzgadniamy metody i ograniczenia.
Kopie zapasowe i odtwarzanie
Przeglądamy zasady wykonywania kopii i dostępne wyniki prób odtworzenia. Jeżeli zakres obejmuje nową próbę, osobno ustalamy warunki jej wykonania.
Dokumentacja i odpowiedzialność
Porównujemy przyjęte procedury z dostępnymi zapisami ich stosowania. Sprawdzamy, czy wiadomo, kto wykonuje daną czynność i jak potwierdza jej wykonanie.
Organizacja audytu w urzędzie lub jednostce JST
Po stronie jednostki potrzebny jest koordynator, który pomoże zebrać wykaz systemów, dokumentację i kontakty do osób odpowiedzialnych. Z pracownikami oraz dostawcami ustalamy dostępność potrzebną do rozmów i przeglądu konfiguracji.
Testy mogące wpłynąć na pracę systemów wymagają uzgodnienia okna czasowego, osoby kontaktowej i zasad przerwania badania. Zakres zlecenia powinien określać, czy obejmuje audyt techniczny, ocenę procesów SZBI, czy konkretny obowiązek audytowy. Tych zakresów nie należy przyjmować domyślnie.
Raport z audytu i działania po badaniu
Wynik badania powinien wskazywać ustalenie, dowód, możliwy skutek oraz zalecane działanie. Tak opisany raport umożliwia kierownictwu ustalenie kolejności prac, wyznaczenie osób odpowiedzialnych i zaplanowanie wydatków.
Jeżeli z audytu wynikają braki w procedurach lub analizie ryzyka, można ustalić zakres wsparcia przy wdrożeniu SZBI. Podstawy dokumentacji, odpowiedzialności i analizy ryzyka opisujemy też w cyklu artykułów o SZBI w urzędzie.
Pytania o zakres audytu
Czy audyt IT obejmuje testy penetracyjne?
Testy penetracyjne mogą stanowić osobny element zlecenia. Metody, systemy i dopuszczalne działania ustalamy przed badaniem; ogólne określenie „audyt IT” nie przesądza o ich wykonaniu.
Co przygotować do wyceny audytu?
Przydatne są informacje o liczbie lokalizacji, systemów i urządzeń, usługach zewnętrznych oraz celu badania. Warto wskazać oczekiwaną podstawę oceny i termin.
Czy audyt może odbywać się podczas pracy urzędu?
Przegląd dokumentów i rozmowy można zaplanować w godzinach pracy. Warunki testów technicznych ustalamy osobno, uwzględniając dostępność usług i obsługę mieszkańców.
Zapytaj o audyt bezpieczeństwa IT
Podaj cel badania, rodzaj jednostki i ogólny zakres infrastruktury.
Kontakt w sprawie audytu →