Кіберпростір несе загрози для бізнесу – чим успішніша компанія, тим вище ризики. Тому так важливо мати план на випадок виникнення кіберзагроз та робити періодичні аудити.
Давайте розберемося, які види періодичних аудитів існують.
1. Аудит поточних процесів, політик і процедур кібербезпеки. Головний результат цих аудитів – отримати працюючі інструменти, а не просто прописані для галочки. Добре проводити після переоцінки поточних ризиків бізнесу.
2. Аудит поточного рівня захищеності від кіберзагроз. Включає в себе пошук вразливостей, моделювання хакерських атак, тести на проникнення і т.п. Цей тип аудитів – вже як краш-тест або стрес-тест для бізнесу та / або технічного персоналу, перевірка на реагування персоналу на кіберзагрози, а також перевірка реального впровадження політик, процесів і процедур. Під час таких аудитів також можуть виявлятися так звані тіньові IT-системи (Shadow IT), які формально в компанії не задокументовані і невідомі IT-персоналу.
3. Аудит на відповідність вимогам регуляторів, стандартів (compliance). Тут зрозумілий аудит, який допомагає компанії отримати сертифікацію і / або ліцензію. Вважаються аудитами для галочки, але при впровадженні всіх вимог регуляторів / стандартів бізнес однозначно стає безпечнішим і кіберстійким.
Навіщо це потрібно?
Кібераудіт – це зріз поточного стану кібербезпеки, який дозволить зрозуміти, де ви знаходитеся і куди потрібно рухатися, щоб стати безпечніше. Також з його допомогою можна зменшити кібер-ризики і наслідки їх виникнення.
Так як ризик – величина ймовірна, тобто може наступити, а може – й ні, то виправдати аудити однозначними об’єктивними розрахунками дуже складно. В принципі, робота з ризиками, ризик-менеджмент – це показник зрілості бізнесу, який мислить стратегічно. Доказ цього – більшість великих західних компаній проводить аудити кібербезпеки на постійній основі. Такі програми називаються bug bounty, полювання за помилками. Їх мета – знаходити проблеми кібербезпеки в продуктах або в кібербезпеці самої компанії і отримувати за це винагороду. Важливо розуміти, що програми bug bounty діють паралельно з іншими типами аудитів, особливо з аудитами на відповідність, без яких складно самостійно отримати необхідні сертифікати / ліцензії.
Скільки це коштує?
Вартість аудитів варіюється від їх типу, кваліфікації аудиторів і величини компанії, і може становити як тисячі, так і десятки тисяч доларів. Економічний ефект від аудитів складно порахувати безпосередньо, так само, як і ефект від проведення медоглядів або техоглядів.
Однак опосередковано якісно проведений аудит може розкрити проблеми безпеки, які часто призводять до прямих або непрямих фінансових втрат, простою окремих бізнес-процесів або бізнесу в цілому. Тому нехтувати проведенням періодичних аудитів не варто, а тип аудитів слід обирати залежно від поточних умов і завдань бізнесу.
