Testy bezpieczeństwa – wymagania, potrzeby a rzeczywistość
10.08.2022
Obserwowane zwiększone zapotrzebowanie na przeprowadzanie audytów bezpieczeństwa informacji nie jest tylko chwilową modą, czy skutkiem nałożenia na wiele podmiotów obowiązku ich przeprowadzania przez prawo lub organy nadzorcze, ale działaniem niezbędnym dla zapewnienia bezpieczeństwa systemom informatycznym i przechowywanym w nich danych.
- W przypadku administracji publicznej działania te wymagane są przez Rozporządzenie Rady Ministrów z dnia 12 kwietnia 2012 r. w sprawie Krajowych Ram Interoperacyjności.
- W przypadku podmiotów z sektora finansowego, obowiązek taki nakładają między innymi wytyczne KNF (dotyczące zarządzania obszarami technologii informacyjnej i bezpieczeństwa środowiska teleinformatycznego w podmiotach infrastruktury rynku kapitałowego), a praktycznie wszystkie podmioty, do prowadzenia audytów bezpieczeństwa, w tym testów bezpieczeństwa – zobowiązuje Rozporządzenie RODO.
Coraz częściej audyty bezpieczeństwa obejmują także testy bezpieczeństwa i testy penetracyjne, mające na celu sprawdzenie odporności komponentów infrastruktury teleinformatycznej, systemów i procesów na próby przełamania zabezpieczeń, w sposób naśladujący zachowanie potencjalnych atakujących. Dzięki temu, testy bezpieczeństwa o ile są przeprowadzone rzetelnie i przez doświadczonego wykonawcę, stanowią rzeczywistą ocenę stanu bezpieczeństwa informacji i identyfikację słabych punktów wymagających pilnej interwencji.
Jakość, a nie jakoś
Dostępność narzędzi do wykonywania tzw. automatycznych testów bezpieczeństwa, a nawet istnienia zintegrowanych środowisk narzędziowych (np. dedykowanej dystrybucji systemu Linux) sprawia, że obecnie możliwe jest przeprowadzenie ich przez osoby nieposiadające wystarczającej wiedzy w obszarze bezpieczeństwa systemów teleinformatycznych (tzw. script kiddies). Raporty z tego typu testów są często niskiej jakości ze względu na brak doświadczenia i wiedzy „testerów” z zakresu bezpieczeństwa co prowadzi do braku możliwości prawidłowej interpretacji wyników.
Potrzeby a wymagania i rzeczywistość
Niewielkie podmioty administracji publicznej, w szczególności jednostki samorządu terytorialnego zazwyczaj ograniczają się do przeprowadzenia skanowania podatności dla posiadanych urządzeń. Dotyczy to w szczególności serwerów i stacji roboczych lub oszacowania poziomu bezpieczeństwa strony www i aplikacji web. Takie podejście jest często nierzetelne, gdyż co prawda pozwala na zidentyfikowanie otwartych portów, udostępnianie usług oraz podatnych na atak elementów, jednakże zaprezentowane przez skaner wyniki wymagają interpretacji przez doświadczonego eksperta.
Nie zawsze pamiętamy, że nie mniej istotna od testów oprogramowania jest ocena świadomości personelu za pomocą testów socjotechnicznych, obejmujących m.in:
- Próbę skłonienia personelu do ujawnienia haseł dostępowych np. poprzez rozmowę telefoniczną lub phishing.
- „Podrzucenie” nośnika danych, który po podłączeniu do stacji roboczej spowoduje automatyczną instalację złośliwego oprogramowania wykradającego wpisywane hasła.
Jest to szczególnie istotne ze względu na fakt, że człowiek jest jednym z najsłabszych ogniw wszystkich systemów zabezpieczeń.
Jak dobrać testy penetracyjne do potrzeb
Wybór solidnego usługodawcy o ugruntowanej pozycji i posiadającego doświadczenie w wykonywaniu testów penetracyjnych, także odbiegających od standardowych zawsze stanowi bardzo korzystną alternatywę w stosunku do usługodawców nie mających dużego doświadczenia w świadczeniu swoich usług. Zawsze należy zawsze pamiętać, że celem takich testów jest zwiększenie poziomu bezpieczeństwa, a nie tylko spełnienie wymagań prawnych lub regulacyjnych.
Podsumowując, doświadczenie usługodawcy jest istotnym kryterium w jego wyborze, gdyż w perspektywie powinniśmy dostrzegać nie tylko koszty związane z wykonaniem usługi, ale także potencjalne straty, finansowe i wizerunkowe związane z ewentualnym incydentem na skutek mało profesjonalnie wykonanych testów.
Z tej samej kategorii
Kategorie
