Audyt bezpieczeństwa zaczyna się od ustalenia zakresu
Przygotowanie firmy lub urzędu do audytu: systemy IT, instalacje, dokumentacja, osoby odpowiedzialne i zasady testów. Lista informacji dla DATPOL.
Określ cel i granice badania
Audyt może dotyczyć infrastruktury IT, zabezpieczeń fizycznych, zasilania albo ich powiązań. Zapisz, jaki problem chcesz rozwiązać: przerwy w pracy, nieznany stan urządzeń, przygotowanie modernizacji czy weryfikację procedur. Ustal lokalizacje, systemy i wyłączenia. Audyt organizacji nie jest automatycznie testem penetracyjnym wszystkich jej usług.
Przygotuj informacje, nie hasła w wiadomości
Pomocne są wykazy urządzeń i aplikacji, schematy sieci, instrukcje, umowy serwisowe oraz dostępne protokoły. Brak dokumentacji również jest ważną informacją. Dostępy techniczne organizuje się osobnym, uzgodnionym kanałem i na czas niezbędny do pracy. W zwykłym formularzu kontaktowym nie przesyłaj haseł ani kopii danych osobowych.
Uzgodnij wpływ testów na działalność
Wskaż osoby odpowiedzialne za IT, obiekt i krytyczne procesy. Przed działaniami ingerującymi w system ustala się upoważnienie, okno prac, warunki przerwania testu i sposób przywrócenia działania. Samo zamówienie przeglądu dokumentacji nie oznacza zgody na skanowanie, wyłączenie instalacji lub odłączenie zasilania.
Jak wykorzystać wynik
Raport powinien oddzielać potwierdzone ustalenia od braków danych i zaleceń wymagających dalszej diagnostyki. Przy zaleceniu potrzebne są priorytet, odpowiedzialność i sposób sprawdzenia wykonania. DATPOL może następnie uzgodnić modernizację lub utrzymanie; audyt nie stanowi obietnicy całkowitego wyeliminowania ryzyka.