Amikor életemben először önálló házba költöztem, kicsit elbizonytalanodtam: Rácsok mögé kell magam zárni? Hagyományos riasztót kell vennem, vagy hasznosabb egy videokamerás rendszer?

Szerencsére egy barátom ajánlott egy biztonsági audittal foglalkozó szakembert, aki egy alapos bejárás után megállapította, hogy “papírból” van a bejárati ajtó, érdemes fóliát szereltetni az ablakokra, és sürgősen le kell cserélnem a műanyag redőnyöket alumíniumra.

Nagyon hasonló a helyzet az IT területén is. Szükség van egy olyan szakértőre, aki kellő rutinnal és friss szemmel képes megvizsgálni az IT biztonságot. Professzionális IT auditra tehát minden IT rendszerekkel rendelkező cégnek szüksége van. 

A digitalizáció nemcsak lehetőségeket, hanem komoly változásokat és növekvő kockázatot is hozott a vállalatok számára. Az egyik legfontosabb kérdés, amivel egy cégvezetőnek vagy IT döntéshozónak feltétlenül foglalkoznia kell: biztonságban van-e a cég informatikai rendszere? A válasz nem szakértelem, intuíció, hanem alapos vizsgálat kérdése. Az igazi megoldás a szakszerű, külső  IT biztonsági audit.

Mi is az  IT biztonsági audit?

Egyszerűen megfogalmazva: egy IT biztonsági audit az informatikai rendszerek, folyamatok, szabályzatok és eszközök rendszeres, módszeres átvizsgálása a sebezhetőségek, hiányosságok és a megfelelőségi problémák feltárása érdekében. Az audit célja annak biztosítása, hogy a cég IT környezete, annak működése megfelel a jogszabályoknak, az iparági szabványoknak (pl. ISO 27001, NIS2, GDPR) és  persze az üzleti céloknak is.

Az IT biztonsági audit nem egyszerűen egy tétel a compliance listán. Egy jól elvégzett biztonsági audit képes:

• megelőzni súlyos adatvédelmi incidenseket,
• csökkenteni a működési kockázatokat,
• növelni az ügyfelek és partnerek bizalmát,
• és nem utolsósorban: védeni a cég reputációját és pénzügyi stabilitását.

A NIS2 és az IT biztonsági audit

A NIS2 az EU kibervédelmi irányelveinek teljesítését ellenőrzi. A NIS2 audit csak a vállalkozások, szervezetek egy meghatározott csoportjára terjed ki. Számukra is fontos, hogy már a NIS2 audit előtt elvégezzenek egy IT biztonsági auditot, hiszen a feltárt hiányosságok pótlásával megelőzhetnek egy jelentős NIS2 bírságot. Szeretném azonban hangsúlyozni: a NIS2 hatálya alá nem eső cégeknek is nagyon fontos az IT biztonsági audit.

Mit vizsgál egy IT biztonsági audit?

Az audit terjedelme mindig a cég méretétől, iparágától, és IT környezetének komplexitásától függ, de a következő területeket általában lefedi:

“Az IT biztonsági audit nem a hibák kereséséről szól, hanem a fejlődés lehetőségéről. Lehetőség arra, hogy a céged valóban biztonságos, stabil és megbízható IT környezetet építsen.”

Kalmár István

IT Architect, CISO

Az IT biztonsági audit menete

Ahogy a cégek különböznek egymástól, úgy az auditnak is illeszkednie kell az egyedi igényekhez. A következő elemek valamilyen súllyal minden IT biztonsági auditban szerepelnek:

1. Előkészítés és a “scope” meghatározása
   Az első lépés mindig a célok meghatározása, annak eldöntése, mit is akarunk megvizsgálni. A teljes IT környezet? Csak a felhőszolgáltatásokat? A külső partner által üzemeltetett rendszereket? Ez a lépés határozza meg a ráfordítandó időt, energiát, erőforrásokat.
   
2. Adatgyűjtés és interjúk
   Az auditorok nemcsak technikai eszközöket használnak (pl. vulnerability scanner), hanem beszélgetnek is a kulcsemberekkel: az IT vezetőkkel, a rendszergazdákkal, akár a felhasználókkal is.
   
3. Elemzés és értékelés
   Az összegyűjtött adatok alapján az auditorok feltérképezik a jelenlegi állapotot, majd azonosítják a hiányosságokat, kockázatokat.
   
4. Jelentés készítése
   A végső auditjelentés tartalmazza az észlelt problémákat, azok kockázati szintjét, és konkrét javaslatokat a megoldásra. A jó jelentés nemcsak technikai nyelven szól, hanem üzleti szempontból is értelmezhető.
   
5. Követés és javítás

Az audit vége nem a történet vége. A megállapításokat követni kell, akciótervet készíteni, és biztosítani, hogy a szükséges változások meg is történjenek.

Tippek az IT biztonsági auditra való felkészüléshez

 Az IT biztonsági audit sikere nagymértékben függ az auditra való felkészüléstől. 

• Ne utólag kapkodjunk. Egy audit nem kampányszerű, hanem rendszeres esemény kell, hogy legyen.
• Vonjuk be a menedzsmentet. Az IT biztonság nem csak az IT csapat felelőssége, hanem vezetői kérdés is.
• Dokumentáljunk mindent. Szabályzatok, naplók, jogosultságkezelési jegyzőkönyvek – minden számít.
• Támogassuk a dolgozói tudatosságot. A legtöbb IT incidens nem technológiai hiba, hanem emberi mulasztás eredménye.
• Dolgozzunk együtt az auditorral. Ne „ellenőrként”, hanem partnerként tekintsünk rá.

Miért éri meg?

Egy IT biztonsági audit költsége eltörpül amellett, amibe egy adatvesztés, zsarolóvírusos támadás vagy hatósági bírság kerülhet. De az audit nem csak a „mit nem csináltunk jól” kérdéséről szól. Lehetőséget ad arra is, hogy az IT működést fejleszthessük, átláthatóbbá és hatékonyabbá tegyük.

Záró gondolatok

Az IT biztonsági audit nem a hibák kereséséről szól, hanem a fejlődés lehetőségéről. Egy jól felépített auditfolyamat segíthet a cégnek, hogy ne csak megfeleljen az előírásoknak, hanem valóban biztonságos, stabil és megbízható IT környezetet építsen.

Az IT biztonság nem opció, hanem üzleti alapkövetelmény. És ennek az egyik legfontosabb eszköze az audit. Vezetőként pedig a legfontosabb kérdés: mikor végeztük el utoljára – és mikor tervezzük legközelebb?

IT biztonsági audit – Gyakran ismételt kérdések