Audyt bezpieczeństwa informatycznego.

kontakt@itpol.pl

Infrastruktura informatyczna każdej firmy jest stale narażona na penetrację. Aż w 80 proc. przypadków dane z firmy wyciekały w wyniku świadomego działania bądź niefrasobliwości jej pracowników. Audyt informatyczny pozwala stworzyć sieć teleinformatyczną zabezpieczoną przed każdą formą penetracji.

Zarówno sieci otwarte, z nieskrępowanym dostępem do Internetu, jak i sieci firmowe mające tylko jeden punkt dostępu do sieci globalnej czy wydzielone sieci typu VPN są zagrożone penetracją dokładnie w takim samym stopniu. Bezpieczeństwo sieci oznacza bowiem nie tylko budowanie murów ochronnych przed agresorem z zewnątrz, ale także stworzenie takich warunków, aby każdemu stanowisku pracy wewnątrz firmy przyporządkowane były ścisłe reguły dostępu do zasobów sieciowych. Konieczne jest skonstruowanie reguł i hierarchii, które będą opisywać każde stanowisko pracy i zarazem całą sieć. Jest to kompleksowa polityka bezpieczeństwa, która nie zamyka się w zabezpieczeniach technicznych, ale obejmuje również procedury działania pracowników podczas pracy z danymi oraz sposoby postępowania w razie incydentów i naruszeń bezpieczeństwa.

Każdy pracownik musi być odpowiedzialny za wykonywane działania w sieci teleinformatycznej. Zarządzanie bezpieczeństwem jest scentralizowane w organizacji, ale odpowiedzialność jest rozproszona.

Usługą, która pozwala na sprawdzenie całej sieci teleinformatycznej, ustalenie jej słabych punktów i usunięcie ich, jest audyt bezpieczeństwa informacyjnego. Jego część obejmująca jedynie badanie i tworzenie procedur dla infrastruktury technicznej nosi nazwę audytu bezpieczeństwa informatycznego.

Kompleksowy audyt całej infrastruktury nie jest zwykle zamawiany przez małe i średnie firmy, ale zdarzają się wyjątki. Robią to na przykład firmy brokerskie, parające się produkcją specjalną, wykonujące ważne zlecenia z zakresu projektowania (np. pracownie informatyczne czy designerskie) lub będące podwykonawcami w wielkich projektach. Zakres audytu może być bardzo różny. Dlatego także niewielkie firmy mogą go zamówić. Oczywiście koszt audytu nie może być wyższy od kosztu potencjalnie utraconych danych.

Standardowe zabezpieczenia nie wystarczą.

Audyt bezpieczeństwa informatycznego jest zamówioną w zewnętrznej firmie niezależną analizą infrastruktury sieciowej przedsiębiorstwa. Uchroni to dane firmowe przed zniszczeniem, ujawnieniem bądź modyfikacją. Nie jest to usługa jednorazowa - stan zabezpieczeń systemu IT każdej firmy powinien podlegać okresowej weryfikacji.

W polskich firmach najpopularniejszy jest audyt sprawdzający system informatyczny. Analizie poddaje się serwery dostępowe (www i FTP), urządzenia sieciowe realizujące połączenia (routery, switche), stacje robocze pracowników etc. Mimo że w wielu małych i średnich firmach nie ma jeszcze zwyczaju sprawdzania poziomu bezpieczeństwa infrastruktury IT, rosnąca ilość prób uzyskania dostępu do firmowych sieci i coraz bardziej widoczne, wymierne straty sprawiają, że sytuacja ta powoli się zmienia. Rośnie też liczba firm oferujących tego typu usługi.

Tak naprawdę nie wystarcza jednak zbudowanie w miarę sprawnego systemu bezpieczeństwa w firmie, wprowadzenie do sieci firewalla zabezpieczającego firmowe serwery i desktopy, używanie stale aktualizowanego oprogramowania antywirusowego oraz instalowanie publikowanych przez producentów oprogramowania łat.

Niebezpieczeństwo grozi bowiem nie tylko z zewnątrz. Jak wykazują raporty RSA Security i Verisign, aż 80 proc. incydentów związanych z bezpieczeństwem informacji ma miejsce wewnątrz firmy. Ze stanowiska użytkownika można doprowadzić do nadużyć, takich jak: nielegalne zwiększanie uprawnień dostępu, podszywanie się pod innych użytkowników, podsłuchiwanie informacji przesłanych przez sieć, sabotaż, wykradanie danych.

Istnieje także niebezpieczeństwo ataku zewnętrznego, np. zadziałania nieznanej dotychczas luki w systemach operacyjnych lub aplikacjach czy też zainstalowania przez przypadek konia trojańskiego, który stworzy w firmowej sieci "tylne drzwi" (backdoors) umożliwiające zdalne przejęcie kontroli nad zasobami informatycznymi w firmie.

telefon (+48) 535 581 930