Mikä on verkkoturvallisuuden arviointi?

Verkkoturvallisuuden arviointi on auditointi, jonka tarkoituksena on löytää tietoturva-aukkoja, jotka ovat vaarassa tulla hyväksikäytetyiksi, voivat aiheuttaa haittaa liiketoiminnalle tai paljastaa arkaluonteisia tietoja.

Mikä on verkkoturvallisuuden arvioinnin tarkoitus?

Verkon tietoturva-arvioinnin tarkoituksena on pitää verkkosi, laitteesi ja arkaluontoiset tietosi suojattuina luvattomalta käytöltä havaitsemalla mahdolliset hyökkäysvektorit sisäisen verkon sisältä ja ulkopuolelta.

Lisäksi sinulla voi olla sääntelyvelvollisuus tehdä ne toimialastasi riippuen. Esimerkiksi luottokorttien käsittelijöiden on noudatettava PCI DSS:ää ja terveydenhuollon organisaatioiden on noudatettava HIPAA:ta.

Verkon tietoturva-arvioinnit voivat vastata esimerkiksi seuraaviin kysymyksiin:

• Mihin järjestelmiin todennäköisesti murtaudutaan?
• Mitkä ovat tietoturvaloukkausten yleiset sisääntulokohdat
• Mikä olisi kyberhyökkäyksen vaikutus tiettyyn omaisuuteen?
• Mitä arkaluonteisia tietoja, henkilökohtaisia tunnistetietoja tai suojattuja terveystietoja paljastuisi tietomurron tai tietovuodon yhteydessä?
• Mitä voimme tehdä tämäntyyppisten hyökkäysten lieventämiseksi?

Mitkä ovat verkkoturvallisuuden arviointien tyypit?

Verkon tietoturva-arviointeja on kahdenlaisia:

1. Haavoittuvuusarviointi: Haavoittuvuusarviointi näyttää organisaatioille, missä niiden heikkoudet ovat. Lue lisää haavoittuvuuksista täältä ja haavoittuvuuksien hallinnasta täältä.
2. Tunkeutumistesti: Tunkeutumistestaus on suunniteltu jäljittelemään todellista kyberhyökkäystä tai manipulointihyökkäystä, kuten tietojenkalastelua, keihäänkalastelua tai valaanpyyntiä.

Molemmat ovat erinomaisia menetelmiä testata verkon tietoturvapuolustuksen tehokkuutta ja mitata hyökkäyksen mahdollisia vaikutuksia tiettyihin omaisuuseriin.

Verkon tietoturva-arvioinnin suorittaminen

Verkkoturvallisuuden arviointi on vain yksi eräänlainen kyberturvallisuusriskin arviointi. Prosessi on seuraava:

• Inventoi resurssisi
• Määritä tietoarvo
• Arvioi IT-infrastruktuurisi haavoittuvuus
• Testaa puolustuskykysi
• Dokumentoi tulokset verkon turvallisuuden arviointiraportissa
• Toteuta tietoturvavalvontaa kyberturvallisuuden parantamiseksi
• Seuraa jatkuvasti ongelmia ja muutoksia

Tee inventaario resursseista

Ensimmäinen askel on tunnistaa omaisuuserät arvioitavaksi ja määrittää arvioinnin laajuus. Näin voit priorisoida, mitkä omaisuuserät arvioidaan ensin. Et ehkä halua tai tarvitse suorittaa arviointia jokaiselle langattomalle verkolle, verkkosovellukselle ja WLAN-tukiasemalle. Ja sinulla ei ehkä ole budjettia, vaikka haluaisitkin.

Se voi kuitenkin auttaa arvioimaan kaikki verkot, laitteet, tiedot ja muu omaisuus, jotta voit määrittää, mitä omaisuutta haluat suojata. Tämä prosessi antaa sinulle yleiskatsauksen koko verkostasi ja sitä ympäröivistä IT-tietoturvatoiminnoista.

Määritä tiedon arvo

Useimmilla organisaatioilla ei ole rajoittamatonta tietoturvabudjettia (InfoSec), joten on parasta rajoittaa laajuus liiketoiminnan kannalta kriittisimpiin resursseihin. Lisäksi sinun tulee miettiä, mitä sääntely- ja vaatimustenmukaisuusvaatimuksia organisaatiosi on ehkä noudatettava.

Lue lisätietoja vaatimustenmukaisuuden seurannan parhaista käytännöistä oppaastamme.

Voit säästää aikaa ja rahaa kehittämällä tietojen luokittelukäytännön, joka määrittelee vakiotavan määrittää omaisuuden tai tiedon arvo. Katso lisätietoja tietojen luokitteluoppaastamme.

Useimmat organisaatiot sisältävät omaisuuden arvon, oikeudellisen aseman ja liiketoiminnan merkityksen. Kun käytäntö on virallisesti sisällytetty tietoriskien hallintaohjelmaan, luokittele sen avulla kukin omaisuuserä kriittiseksi, suureksi tai vähäiseksi.

Muita kysymyksiä, jotka voivat auttaa sinua määrittämään arvon, ovat:

• Liittyykö näiden tietojen paljastamiseen tai menettämiseen taloudellisia tai oikeudellisia seuraamuksia?
• Kuinka arvokasta tämä tieto on kilpailijalle?
• Voisimmeko luoda tämän tiedon uudelleen tyhjästä? Kuinka kauan se kestäisi ja mitkä olisivat siihen liittyvät kustannukset?
• Vaikuttaisiko näiden tietojen menettäminen liikevaihtoon tai kannattavuuteen?
• Vaikuttaisiko näiden tietojen menettäminen päivittäiseen liiketoimintaan? Voisiko henkilökuntamme työskennellä ilman sitä?
• Mikä olisi näiden tietojen vuotamisen mainehaitta?

Arvioi IT-infrastruktuurisi haavoittuvuus

Haavoittuvuuksia ovat kaikki, mitä voidaan hyödyntää muuten turvallisessa verkossa.

Kyberturvallisuusriskit voivat tulla mistä tahansa, mukaan lukien organisaatiosi sisältä ja ulkopuolelta, sisäiseltä henkilöstöltä, jolla on huonot tietoturvatottumukset, tai kolmannen osapuolen toimittajilta, joilla on riittämättömät tietoturvakäytännöt ja joilla on pääsy verkkoosi.

Koska riskit voivat olla niin erilaisia, vankan tietoturvariskien arviointiprosessin tulisi sisältää:

• Verkon skannaus: Kattava skannaus kaikista verkon porteista ja muista hyökkäysvektoreista. Lue lisää avoimien satamien vaaroista täältä. Tähän tulisi sisältyä Wi-Fi, esineiden internet (IoT) ja muut langattomat verkot, ja siinä tunnistetaan käytettävissä olevat isännät ja verkkopalvelut (kuten HTTP, FTP, SMTP ja POP-3).
• Sisäiset heikkoudet: Monet organisaatiot päättävät palkata ulkopuolisia tietoturvakonsultteja testaamaan sekä henkilöstöä että tietoturvakonsultteja ulkopuolelta.
• Verkkoluettelointi: Sellaisten isäntien tai laitteiden löytäminen verkosta, jotka voivat ottaa sormenjäljet etäisäntien käyttöjärjestelmästä. Kun hyökkääjä tuntee käyttöjärjestelmän, hän voi tarkistaa CVE:stä luettelon tunnetuista haavoittuvuuksista, joita hän voi hyödyntää.
• Kolmannen osapuolen tarkistus: Katsaus kaikkiin kolmansiin osapuoliin ja niiden käyttöoikeustasoon sisäverkkoosi ja arkaluontoisiin resursseihisi.
• Tietoturvakäytännön tarkistus: Työntekijöiden koulutusta, BYOD:ta (tuo omat laitteet) ja sähköpostin käyttöä koskevien käytäntöjen tarkistaminen.

Myös muita uhkia, jotka sinun tulee ottaa huomioon:

• Luonnonkatastrofit: Tulvat, hurrikaanit, maanjäristykset, salamat ja tulipalot voivat tuhota yhtä paljon kuin kuka tahansa kyberhyökkääjä. Et voi menettää vain tietoja, vaan myös palvelimia. Kun päätät paikallisten ja pilvipohjaisten palvelimien välillä, mieti luonnonkatastrofien mahdollisuutta.
• Järjestelmävika: Toimivatko kriittisimmät järjestelmäsi korkealaatuisilla laitteilla? Onko heillä hyvä tuki?
• Inhimillinen virhe: Onko arkaluonteisia tietoja sisältävä S3-säilö määritetty oikein? Onko organisaatiollasi asianmukaista koulutusta haittaohjelmista, tietojenkalastelusta ja manipuloinnista? Kuka tahansa voi vahingossa napsauttaa haittaohjelmalinkkiä tai syöttää tunnistetietonsa tietojenkalasteluhuijaukseen. Sinulla on oltava vahvat tietoturvakontrollit, mukaan lukien säännölliset tietojen varmuuskopioinnit, salasanojen hallintaohjelmat jne.
• Vastakkaiset uhat: kolmannen osapuolen toimittajat, sisäpiiriläiset, luotetut sisäpiiriläiset, etuoikeutetut sisäpiiriläiset, vakiintuneet hakkerikollektiivit, ad hoc -ryhmät, yritysvakoilu, tavarantoimittajat, kansallisvaltiot

Koska tämä voi olla aikaa vievää, monet organisaatiot valitsevat ulkopuolisia arviointipalveluita tai automatisoituja tietoturvaratkaisuja.

Testaa puolustuksesi

Kun olet arvioinut organisaatiosi haavoittuvuudet, haluat testata, estävätkö tietoturvavalvontasi ja riskinhallintatekniikat hyökkääjiä hyödyntämästä niitä.

Tämä voidaan tehdä manuaalisella tunkeutumistestauksella tai käyttämällä automatisoituja eettisiä hakkerointityökaluja, kuten Metasploit tai Nmap.

Dokumentoi tulokset verkkoturvallisuuden arviointiraportissa

Nyt sinun on kehitettävä raportti, joka tukee johdon päätöksentekoa budjetista, käytännöistä ja menettelytavoista. Raportissa tulee kuvata kunkin haavoittuvuuden riskit, hyväksikäyttökohteet ja arvo. Sekä esiintymisen vaikutus ja todennäköisyys sekä valvontasuositukset.

Kun käyt läpi tätä prosessia, ymmärrät, mitä infrastruktuuria yrityksesi käyttää, mitkä ovat arvokkaimmat tietosi ja miten voit paremmin toimia ja suojata liiketoimintaasi.

Toteuta turvavalvontaa kyberturvallisuuden parantamiseksi

On mahdollista, että olet löytänyt aukon tai heikon kohdan verkostasi. Tee niistä luettelo ja laadi suunnitelma niiden korjaamiseksi.

Valvonta voidaan toteuttaa teknisin keinoin, kuten laitteistolla tai ohjelmistolla, salauksella, verkon tunkeutumisen havaitsemismekanismeilla, kaksivaiheisella todennuksella, automaattisilla päivityksillä, jatkuvalla tietovuotojen havaitsemisella tai ei-teknisin keinoin, kuten tietoturvakäytännöillä, ja fyysisillä mekanismeilla, kuten lukoilla tai biometrisellä pääsyllä.

Luokittele lisäksi kontrollit ennaltaehkäiseviin ja paljastaviin toimenpiteisiin. Ennaltaehkäisevät valvontatoimet on suunniteltu estämään hyökkäyksiä, esimerkiksi jatkuva toimittajien tietoturvan seuranta, kun taas etsivät kontrollit yrittävät selvittää, milloin hyökkäys on tapahtunut.

Seuraa jatkuvasti ongelmia ja muutoksia

Manuaalisten verkon tietoturva-arviointien lisäksi. Monet organisaatiot investoivat tietoturvaluokituksiin tarjotakseen jatkuvaa valvontaa paitsi verkon turvallisuudesta myös yleisestä tietoturvatasostaan.

Myös kolmannen osapuolen riskienhallintatiimit käyttävät yleisesti tietoturvaluokituksia arvioidakseen toimittajien tietoturvakäytäntöjen laatua.

Tietoturvaluokitukset tai kyberturvallisuusluokitukset ovat tietoon perustuva, objektiivinen ja dynaaminen mittaus organisaation tietoturva-asemasta. Ne on luonut luotettava, riippumaton tietoturvaluokitusalusta, mikä tekee niistä arvokkaita objektiivisena indikaattorina organisaation kyberturvallisuuden suorituskyvystä.

Arvopaperiluokitukset täydentävät perinteisiä riskienhallintamenetelmiä tarjoamalla jatkuvaa, objektiivista, käyttökelpoista ja aina ajantasaista tietoa.

Lue lisää turvallisuusluokituksista täältä.