Audyt CERT

Komentarze »Napisane Lipiec 18th, 2022 przez Informatyk Białystok
Kategorie: Bezpieczeństwo teleinformatyczne

Osoba odpowiedzialna za bezpieczeństwo IT w jednostce wraz z odpowiednimi kompetencjami

Zabezpieczenie teleinformatyczne urzędu, zadzwoń 502 920 330

Dokumentacja potwierdzająca wykonane działania wskazanego w ustawie o krajowym systemie cyberbezpieczeństwa

  • Czy zostały zidentyfikowane usługi publiczne, których świadczenie zależy od bezpieczeństwa systemów informacyjnych?
  • Czy zostały wskazane osoby (podmioty) odpowiedzialne za zarządzanie incydentami?
  • Czy podmiot publiczny realizuje zadania publikowania informacji pozwalających na zrozumienie zagrożeń cyberbezpieczeństwa oraz możliwych, skutecznych sposobów zabezpieczania się przed tymi zagrożeniami, tj. zadań zawartych w art. 22 ust. 1 pkt 4 ustawy o krajowym systemie cyberbezpieczeństwa (Dz.U. z 2018 r. poz. 1560 z późn. zm.)?
  • Czy została wyznaczona i zgłoszona do właściwego CSIRT, osoba kontaktowa, o której mowa w art. 21 oraz art. 22 ust. 1 pkt 5 ustawy o krajowym systemie cyberbezpieczeństwa (Dz.U. z 2018 r. poz. 1560 z późn. zm.)?

Opis identyfikacji systemu informacyjnego wspierającego zadanie publiczne

  • Czy wszystkie elementy składowe systemu informatycznego zostały zinwentaryzowane?
  • Czy dla każdego systemu informatycznego utrzymywana jest aktualna lista osób odpowiedzialnych za jego bezpieczną eksploatację?

Dokumentacja Systemu Informacyjnego wspierającego zadanie publiczne

  • Czy istnieją raporty z audytów systemów informacyjnych wspierających zadanie publiczne?
  • Czy istnieje dokumentacja architektury zastosowanych zabezpieczeń?
  • Czy istnieje dokumentacja architektury sieci?
  • Czy istnieje baza danych konfiguracji urządzeń aktywnych?
  • Czy istnieje dokumentacja zmian w systemach informacyjnych?
  • Czy istnieje dokumentacja dotycząca monitorowania w trybie ciągłym?
  • Czy są dostępne umowy z dostawcami (wsparcie techniczne)?
  • Czy są zawierane umowy z dostawcami usług z zakresu bezpieczeństwa teleinformatycznego?
  • Czy są wymagane wyniki audytów u dostawców usług bezpieczeństwa teleinformatycznego?
  • Czy jest dostępna i aktualna dokumentacja zabezpieczeń fizycznych i środowiskowych?
  • Czy jest prowadzony rejestr dostępu do dokumentacji systemu informacyjnego?

Dokumentacja procesu zarządzania incydentami

  • Czy wdrożone jest monitorowanie i wykrywanie incydentów? Kto za nie odpowiada? (stanowiska, funkcje itp. - bez danych osobowych)
  • Czy istnieje procedura informowania o wykrytych incydentach?
  • Czy istnieją procedury reagowania na incydenty?

Aspekty techniczne do weryfikacji

Wyniki audytu serwisów WWW z uwzględnieniem:

  • wersji serwera HTTP;
  • wersji systemu CMS (o ile występuje);
  • bezpieczeństwa komunikacji (aktualność certyfikatów X.509, wersja TLS, stosowane algorytmy kryptograficzne itp.);
  • dostępności kompetentnego personelu do utrzymania serwisów.

Wyniki audytu serwisów pocztowych z uwzględnieniem:

  • poprawności wdrożenia mechanizmów SPF, DKIM i DMARC;
  • poprawności i bezpieczeństwa wdrożenia mechanizmów TLS;
  • dostępności kompetentnego personelu do utrzymania serwisów.

Wyniki audytu lokalnych sieci teleinformatycznych z uwzględnieniem:

  • wdrożenia systemów ochrony przed kodem szkodliwym w sposób zapewniający ich automatyczną aktualizację;
  • stosowania mechanizmów segmentacji sieci;
  • izolacji urządzeń końcowych użytkowników;
  • procesu tworzenia i okresowego odtwarzania kopii zapasowych przetwarzanych informacji;
  • monitorowania ruchu wewnątrz sieci w zakresie wykrywania symptomów naruszeń bezpieczeństwa;
  • dostępności kompetentnego personelu do utrzymania infrastruktury sieciowej.

Wyniki audytu połączenia z siecią Internet z uwzględnieniem:

  • monitorowania ruchu wchodzącego i wychodzącego;
  • stosowanych zabezpieczeń przed atakami DDoS;
  • stosowanych zabezpieczeń przed wyciekiem informacji (DLP);
  • stosowanych zabezpieczeń punktu styku (FW, IDS, IPS, WAF itp.);
  • dostępności kompetentnego personelu do utrzymania punktu styku z siecią Internet.

Aspekty organizacyjne do weryfikacji

Wyniki audytu organizacji zarządzania bezpieczeństwem teleinformatycznym z uwzględnieniem:

  • regularnego identyfikowania znanych podatności w eksploatowanych systemach IT;
  • terminowego wprowadzania danych do systemów zarządzania tożsamością i uprawnieniami użytkowników;
  • prowadzenia okresowego przeglądu uprawnień użytkowników;
  • prowadzenia okresowych szkoleń użytkowników podnoszących ich świadomość zagrożeń.

Wyniki audytu procesów planowania z uwzględnieniem:

  • posiadania planów przywracania usług IT na wypadek awarii;
  • prowadzenia przeglądów oraz doskonalenia planów przywracania usług IT;
  • cyklu życia systemów IT i eksploatacji produktów nieposiadających wsparcia producenta.

Konfiguracja firewall oraz urządzeń sieciowych, wdrażanie polityk bezpieczeństwa sieci
zadzwoń: tel. 502 920 330