Audyt cyberbezpieczeństwa: jak wygląda od środka i co znajdziesz w raporcie

Czym jest audyt cyberbezpieczeństwa

Audyt cyberbezpieczeństwa to uporządkowany proces zbierania i oceny dowodów na to, że organizacja faktycznie robi to, co deklaruje. Kluczowe jest słowo „dowód". Audyt nie sprawdza, czy masz kupione narzędzia, tylko czy przyjęte zasady istnieją, są stosowane i dają się wykazać.

To odróżnia go od przeglądu technicznego i od testu penetracyjnego. Test odpowiada na pytanie „czy da się tu włamać". Audyt odpowiada na pytanie „czy ta organizacja panuje nad swoim bezpieczeństwem i potrafi to udowodnić". Obie odpowiedzi są potrzebne, ale to nie są zamienniki, a przy obowiązku z ustawy o KSC liczy się wyłącznie ta druga.

Zakres wyznaczają kryteria, wobec których prowadzi się ocenę: wymagania ustawy o KSC, norma ISO/IEC 27001, rozporządzenie DORA w sektorze finansowym albo wewnętrzne polityki organizacji. Bez ustalonego kryterium audyt zamienia się w luźną opinię, a raport w zbiór dobrych rad. Szczegóły obowiązków opisaliśmy w tekście o NIS2 i ustawie o KSC.

Kto musi zrobić audyt i w jakim terminie

Tu jest rozróżnienie, które w większości poradników się zaciera. Cykliczny obowiązek audytu dotyczy podmiotów kluczowych, nie wszystkich objętych ustawą. Podmiot ważny audytuje się wtedy, gdy nakaże to organ, zwykle po poważnym incydencie.

Zegar trzyletni ma jeszcze jedną cechę, którą łatwo przeoczyć: liczy się go od dnia sporządzenia i podpisania raportu z poprzedniego audytu, a nie od początku roku kalendarzowego ani od daty zamówienia usługi. Jeśli poprzedni raport podpisano w listopadzie, termin kolejnego wypada w listopadzie, nie w grudniu trzy lata później. Wymogi dla podmiotów finansowych rozłożyliśmy w tekście o rozporządzeniu DORA.

Audyt, test penetracyjny i skanowanie podatności

To trzy różne rzeczy, które w rozmowach handlowych bywają używane zamiennie. Różnica nie jest akademicka: tylko jedna z nich spełnia obowiązek z ustawy, a tylko jedna pokaże, czy da się przejąć kontrolę nad domeną.

Drugi wiersz tej tabeli wymaga komentarza, bo jest jedynym, w którym odpowiedź zależy nie od metody, tylko od wykonawcy. I to jest temat kolejnej sekcji.

Jak przebiega audyt — sześć etapów

Poniższa sekwencja jest wspólna dla audytu zgodności z KSC, ISO 27001 i wewnętrznych polityk. Zmieniają się kryteria oceny, nie sposób pracy. Czasy są orientacyjne dla organizacji średniej wielkości z jednym obszarem w zakresie.

1. Etap 1Zarząd + audytor
   Ustalenie zakresu i kryteriów

   Najważniejszy etap, a najczęściej skracany. Ustala się, które systemy i procesy podlegają ocenie oraz wobec jakich kryteriów — ustawy, normy, polityki wewnętrznej. Zapisuje się też, co jest poza zakresem, bo to później decyduje, czy raport odpowiada na pytania, które zadał zamawiający. Zakres zbyt szeroki rozmywa wnioski, zbyt wąski nie zamyka obowiązku.

2. Etap 2Osoba odpowiedzialna za dokumentację
   Przegląd dokumentacji

   Polityki, procedury, rejestry ryzyk, umowy powierzenia, plany ciągłości działania, rejestry incydentów, dowody ze szkoleń. Audytor sprawdza nie tylko to, czy dokumenty istnieją, ale też czy są aktualne, zatwierdzone i czy odnoszą się do rzeczywistej struktury organizacji. Dokument opisujący dział, którego nie ma od dwóch lat, jest ustaleniem sam w sobie.

3. Etap 3Właściciele procesów
   Wywiady z właścicielami procesów

   Rozmowy z osobami, które faktycznie wykonują opisane czynności: administratorami, kadrami, działem zakupów, kierownikami. To tu wychodzi rozjazd między procedurą a praktyką, nie dlatego, że ktoś kłamie, tylko dlatego, że procedurę pisano trzy lata temu i nikt jej od tego czasu nie czytał.

4. Etap 4Administratorzy + audytor techniczny
   Weryfikacja techniczna i konfiguracji

   Weryfikacja ustawień w systemach, a nie deklaracji o ustawieniach. Uprawnienia, polityki haseł, wyjątki od uwierzytelniania wieloskładnikowego, konfiguracja kopii zapasowych, retencja logów, reguły brzegowe, ustawienia poczty. Ten etap u części dostawców po prostu nie występuje, i o tym jest następna sekcja.

5. Etap 5Audytor
   Ustalenie i klasyfikacja niezgodności

   Każde ustalenie dostaje kryterium, którego dotyczy, dowód, na którym się opiera, i wagę. Rozróżnia się niezgodność (wymóg nie jest spełniony), spostrzeżenie (jest spełniony, ale krucho) i rekomendację (można lepiej). Bez tego podziału zamawiający nie wie, co musi naprawić, a co jedynie warto.

6. Etap 6Audytor + zarząd
   Raport i plan naprawczy

   Raport podpisują audytorzy, którzy go przeprowadzili, i to od dnia tego podpisu biegnie kolejny trzyletni termin. Podmiot kluczowy przekazuje kopię organowi właściwemu do spraw cyberbezpieczeństwa w ciągu 3 dni roboczych. Plan naprawczy powinien przypisywać każdemu ustaleniu właściciela i termin, inaczej raport zostaje dokumentem archiwalnym.

Dlaczego audyt to nie jest ankieta

Audyt cyberbezpieczeństwa obejmuje całą organizację: procesy, ludzi, dokumentację i technikę. Problem w tym, że cały taki audyt da się przejść, nie logując się do żadnego systemu. Wystarczy zebrać dokumenty, przeprowadzić rozmowy i spisać, co organizacja o sobie mówi. Kończy się to raportem opisującym, co firma deklaruje, a nie co ma ustawione. Formalnie może wyglądać poprawnie. Praktycznie nie mówi nic o tym, czy zabezpieczenia działają.

Dlatego prowadzimy audyt cyberbezpieczeństwa w pełnym zakresie, a weryfikacja techniczna jest w nim częścią obowiązkową, nie dodatkiem na życzenie. Ocena organizacji i procesów odpowiada na pytanie, czy zasady istnieją i są opisane. Sprawdzenie konfiguracji odpowiada na pytanie, czy ktoś je faktycznie wdrożył. Nie pytamy, czy uwierzytelnianie wieloskładnikowe jest włączone dla wszystkich, tylko sprawdzamy listę wyjątków. Nie pytamy, czy kopie zapasowe są robione, tylko gdzie leżą i czy odtworzenie było testowane.

Powyższe rozbieżności to typowe ustalenia, jakie ten rodzaj weryfikacji ujawnia, a nie statystyka z konkretnych postępowań. Wskazujemy je, żeby pokazać charakter pracy: żadna z nich nie wychodzi z rozmowy ani z dokumentu, bo w dokumencie wszystko jest w porządku. Więcej o tym, dlaczego retencja logów decyduje o wykryciu, piszemy w porównaniu SIEM, SOAR, XDR i EDR, a o roli izolowanych kopii — w tekście o pierwszej godzinie po ataku ransomware.

Konsekwencja praktyczna jest taka, że audyt bez części technicznej daje fałszywe poczucie zgodności. Przy kontroli albo po incydencie różnica między „mieliśmy politykę" a „mieliśmy to ustawione" przestaje być różnicą redakcyjną. Dlatego pytanie o zakres techniczny warto zadać każdemu dostawcy, zanim porówna się oferty po cenie.

Co realnie znajdziesz w raporcie

Dobry raport da się czytać od tyłu: bierzesz pojedyncze ustalenie i widzisz, czego dotyczy, skąd wiadomo, jak bardzo boli i kto ma to naprawić. Każde ustalenie powinno mieć obszar, kryterium, dowód, ocenę ryzyka, rekomendację i priorytet.

Warto z góry ustalić, w jakiej formie dostaniesz wyniki. Raport dla zarządu i lista zadań dla działu IT to dwa różne dokumenty, a próba połączenia ich w jeden zwykle kończy się tym, że żaden z odbiorców z niego nie korzysta.

Kiedy organ może nakazać audyt

Nowelizacja dała organowi właściwemu do spraw cyberbezpieczeństwa uprawnienie, o którym warto wiedzieć przed, a nie po. Organ może w drodze decyzji nakazać przeprowadzenie zewnętrznego audytu: podmiotowi kluczowemu w każdym czasie, a podmiotowi ważnemu w razie wystąpienia poważnego incydentu lub innego naruszenia przepisów ustawy.

W takiej decyzji organ określa termin przekazania raportu i wskazuje rodzaj podmiotów uprawnionych do przeprowadzenia audytu, a może również wyznaczyć jego zakres. Co istotne, decyzja podlega natychmiastowemu wykonaniu, więc nie ma tu czasu na spokojne wybieranie wykonawcy i układanie harmonogramu.

Praktyczny wniosek: organizacja, która ma uporządkowaną dokumentację i wie, jak wygląda jej konfiguracja, przechodzi taki nakaz jako formalność. Organizacja, która dowiaduje się o swoim stanie dopiero przy nakazie, robi to pod presją terminu i po incydencie.

Czy audyt można przeprowadzić samodzielnie

Wewnętrznie można i warto — jako przygotowanie, próbę generalną albo element utrzymania systemu zarządzania bezpieczeństwem informacji. Natomiast przy obowiązku z ustawy o KSC niezależność nie jest preferencją, tylko wymogiem.

Znowelizowany art. 15 dodaje ustęp 2a, zgodnie z którym audytu nie może przeprowadzić osoba realizująca w audytowanym podmiocie zadania z zakresu cyberbezpieczeństwa, ani osoba, która realizowała je w tym podmiocie w ciągu roku przed rozpoczęciem audytu. Innymi słowy: administrator nie audytuje własnej konfiguracji, a konsultant, który rok temu wdrażał tu politykę, nie ocenia jej skuteczności.

To rozstrzyga też sytuację, która wydaje się wygodna: zlecenie audytu firmie, która na co dzień obsługuje Wasze IT. Jeśli realizuje ona zadania wymienione w ustawie, nie może być audytorem. Utrzymanie i ocena muszą być rozdzielone, a bieżące zarządzanie bezpieczeństwem można oprzeć na zewnętrznym wsparciu CISO, oddzielnym od podmiotu audytującego.

Od czego zależy zakres i czas trwania

Nie ma jednej odpowiedzi na pytanie „ile trwa audyt", bo rozstrzyga o tym kilka czynników, które warto ustalić przed zapytaniem ofertowym. Im dokładniej opiszesz je na wejściu, tym mniej niespodzianek w trakcie.

• Liczba lokalizacji i to, czy wymagane są wizyty na miejscu
• Liczba systemów i procesów objętych zakresem, a nie liczba pracowników
• Stan dokumentacji na wejściu — audyt organizacji bez polityk to w praktyce dwa projekty naraz
• Obecność środowisk przemysłowych lub OT, które rządzą się osobnymi regułami
• Czy potrzebny jest audyt zgodności, techniczny, czy oba
• Czy raport ma spełniać wymogi ustawowe, czy służyć wyłącznie wewnętrznie

Najkosztowniejszy wariant to nie ten najszerszy, tylko ten źle zakreślony: audyt, który obejmuje wszystko po trochu, kończy się raportem, który nie zamyka obowiązku i nie daje działowi IT listy zadań. Przy planowaniu warto zestawić go z testami penetracyjnymi i pozostałymi formami weryfikacji, bo część pytań lepiej zadać innym narzędziem.

Najczęstsze pytania

Podsumowanie

Audyt cyberbezpieczeństwa bywa traktowany jak formalność do odhaczenia raz na trzy lata i przy takim podejściu faktycznie nią zostaje. Znowelizowana ustawa utrudnia jednak to podejście: raport trafia do organu w trzy dni robocze, nakaz audytu podlega natychmiastowemu wykonaniu, a rolę audytora odgrodzono od roli wykonawcy. Warto więc potraktować audyt jak to, czym jest w najlepszej wersji — jedyną okazją, żeby ktoś z zewnątrz sprawdził, czy to, co macie w dokumentach, zgadza się z tym, co macie w systemach.

W dokumentach zawsze wszystko jest w porządku. Audyt zaczyna się w miejscu, w którym ktoś to sprawdza.