Audyt IT – czas na weryfikację – część II
22.09.2020
Ostatnio na Rodoradarze pisaliśmy na temat audytu IT, który warto przeprowadzić po ponad dwóch latach od czasu obowiązywania RODO. W większości organizacji zakończono prace wdrożeniowe, a zatem audyt może służyć zweryfikowaniu poprawności i skuteczności wdrożonych rozwiązań.
W pierwszej części artykułu skoncentrowaliśmy się na prawidłowym określeniu zakresu audytu. Poniższa, druga część artykułu poświęcona jest ocenie bezpieczeństwa.
Inwentaryzacja komponentów techniczno-systemowych będzie zazwyczaj pierwszym krokiem w kierunku oceny bezpieczeństwa stosowanych zasobów. Pełny rejestr komponentów IT, tj. systemów, aplikacji, sieci oraz urządzeń, pozwoli przyjrzeć się ich aktualności oraz pokaże zakres obszaru do wprowadzenia ewentualnych zmian, co przydatne będzie w późniejszych etapach.
Na podstawie aktualnego rejestru przeprowadza się analizę ryzyka w tym zakresie, w jakim dotyczy ona komponentów IT, badając podatności dla zastosowanych rozwiązań. Przeprowadzając analizę ryzyka, należy odnieść się do znanych zagrożeń dla stosowanych aktywów: uwzględnić ich źródło, wersję, zastosowanie oraz incydenty, do których doszło z ich wykorzystaniem. Nie należy jednak pomijać zbadania potencjalnych ryzyk dla danych przetwarzanych z wykorzystaniem komponentów IT. Jak pokazują ostatnie przykłady, wykonanie analizy ryzyka ograniczonej jedynie do sprawdzenia aktualności stosowanych środków zabezpieczeń w obszarze IT, nie pozwala w pełni uchronić się przed wyciekiem danych osobowych, a przy tym także przed nałożeniem na administratora nawet kilkumilionowej sankcji finansowej.
Analizując ryzyko, proces ten należy przeprowadzić szerzej, uwzględniając nie tylko zagrożenia znane, ale też podatności potencjalne, które co prawda do tej pory nie przełożyły się na realną stratę, czy zakłócenie poprawności działania stosowanych zabezpieczeń, ale stanowią lukę w systemie ochrony danych, która w przyszłości może skutkować incydentem. Wykonywanie okresowej analizy ryzyka, uwzględniającej zmiany, które zostają na bieżąco wprowadzane do stosowanych narzędzi IT, pozwala systematycznie minimalizować wpływ słabych punktów środowiska IT, a finalnie pomaga eliminować możliwości wystąpienia sytuacji skutkującej naruszeniem praw i wolności podmiotów danych.
Wynikiem przeprowadzonej analizy ryzyka jest informacja o skali zagrożenia dla zidentyfikowanych aktywów. Dla wskazanych zagrożeń należy opracować plan postępowania z ryzykiem. Warto by plan ten zawierał zatwierdzoną propozycję zmian, których wdrożenie zminimalizuje lub wykluczy materializację wykrytego zagrożenia, termin wdrożenia oraz osoby odpowiedzialne w organizacji za realizację poszczególnych zadań. Plan postępowania z ryzykiem wymaga także bieżącego nadzorowania postępów w jego realizacji oraz przeglądów pod kątem priorytetów.
Organizacje wdrażające środki zabezpieczające powinny mieć świadomość, iż należy cyklicznie dokonywać weryfikacji wprowadzonych mechanizmów, oceniając poufność, integralność i dostępność danych w środowisku IT. W tym celu należy przeprowadzić analizę stosowanych metod uwierzytelniania i autoryzacji użytkowników w systemach IT. W ramach weryfikacji przegląda się stosowane metody zabezpieczania danych na poziomie warstw aplikacji. Stosowanie tzw. dynamicznego maskowania danych (ang. dynamic data masking) pozwala w wielu przypadkach uniknąć dostępu do danych osobom nieuprawnionym, a przez to minimalizuje ryzyko naruszenia praw podmiotów danych. Rozwiązanie to polega na zróżnicowaniu uprawnień w zakresie dostępu do danych widocznych z poziomu interfejsu systemu dla różnych kategorii użytkowników. Stosowanie tego rozwiązania wprowadza pewien stopień pseudonimizacji dla danych szczególnie istotnych, przez co wybrani użytkownicy widzą tylko fragment danych posiadanych o osobie fizycznej. Zróżnicowanie uprawnień poza zmniejszeniem ryzyka przypadkowego, lub też celowego ujawnienia danych, np. przez ich eksport, pozwala także zapewnić adekwatność przetwarzania, poprzez jawność na różnym etapie operacji przetwarzania tylko tego zakresu danych, który do przeprowadzenia konkretnej operacji jest niezbędny. W trakcie audytu dobrze zatem sprawdzić, czy stosowane techniki ograniczające dostęp do danych są wystarczająco dostosowane i celowe. Podobną weryfikację pod kątem adekwatności należy przeprowadzić w zakresie stosowania innych narzędzi, np. typu SIEM lub DLP. Zasadnym jest przeprowadzenie przeglądu polityk w zakresie bezpiecznej wymiany danych. Rozwiązania pozwalające wysyłać pocztę, nawet w sposób szyfrowany, obsługiwane są jednak przez użytkowników – a to zawsze generuje potencjalną możliwość pomyłki. Z dotychczasowych doświadczeń wynika, że jednym z najczęstszych powodów wystąpienia incydentów, jest pomyłka w adresie mailowym osoby, do której przesyłane są informacje zawierające dane osobowe. Warto w tym zakresie przejrzeć stosowane zabezpieczenia i zastanowić się nad zasadnością wprowadzenia dodatkowych mechanizmów typu IRM/ERM, na podstawie których można już na etapie tworzenia dokumentu, zapisać uprawnienia odczytu tylko do wybranych osób, przy czym nie trzeba się ograniczać do osób wewnątrz organizacji; te rozwiązania pozwalają także dodatkowo zabezpieczać pliki wysyłane mailowo na zewnątrz. W czasie audytu IT warto przyjrzeć się konieczności wprowadzenia takich rozwiązań oraz poprawności ich działania, jak też poprawności całej polityki bezpiecznej wymiany danych.
W ostatniej, trzeciej części artykułu omówimy audyt IT pod kątem procesów utrzymaniowych i eksploatacyjnych. Zapraszamy do systematycznego śledzenia publikacji na Rodoradar.pl.
Z tej samej kategorii
Kategorie
