Сказали «сделайте аудит информационной безопасности» — что это такое, можно ли без него?

Аудиторская фирма запросит у вас доступ к репозиторию кода, логи серверов и сетевую топологию. На стороне кода они смотрят, как шифруются чувствительные данные, а на сервере — где хранятся SSH-ключи и пароли подключения к базе данных. Если вы всё это соберёте заранее, процесс пойдёт гораздо быстрее.

Не подписывайтесь сразу с дорогой аудиторской фирмой. Спросите у IT-директора заказчика напрямую: «Достаточно ли будет стандартного отчёта о тесте на проникновение и плана устранения?» В большинстве случаев они ищут не комплексный аудит организации, а всего лишь доказательство того, что систему нельзя взломать.

В прошлом году мы заплатили 400 000 RUB и провели его. В отчёте аудитор нашёл 9 уязвимостей, 2 из них критичные. На закрытие уязвимостей у нас ушло 10 дней, после чего мы получили чистый отчёт. Благодаря этому отчёту заказчик подписал трёхлетний контракт за один день, потраченные деньги окупились с лихвой.

На рынке есть фирмы, которые за 150 тысяч рублей запускают автоматический инструмент и выдают PDF. Ни в коем случае не ведитесь на них; специалисты по безопасности крупного ритейлера сразу поймут, что отчёт поверхностный, и доверие к вашей компании рухнет окончательно.

Корпоративные компании несут юридическую и финансовую ответственность за утечки данных, которые могут возникнуть в цепочке поставщиков. Поэтому требовать отчёт об аудите в рамках процедур управления рисками третьих сторон — это стандартное правило закупок.

Приходящая команда аудиторов запросит у вас 3 основных пункта: 1) результаты пентеста серверов, 2) логи доступа сотрудников к внутренним данным и обязательная двухфакторная аутентификация, 3) план восстановления с указанием, с какой периодичностью и куда бэкапятся данные.

ради дела на 14 миллионов расходы на аудит в 400 тысяч точно оправданы, это не препятствие, а билет в высшую лигу.

Я долго занимался этим вопросом. Если на один вопрос вы получаете три разных ответа, вопрос задан неправильно.

Если напишете результат здесь, это поможет и другим.

Ответ выше точно передал суть вопроса. Без измерений мы всегда приходим к одному и тому же.

Оставлю как заметку пригодится.

У меня будет вопрос, не хочу уходить от темы, но... Если ругать за ложные тревоги, никто больше не будет присылать уведомления.

Если напишете результат здесь, это поможет и другим.

Хорошо что вы создали эту тему. Если делаете впервые, начните с малого, масштабирование потом.

Ответ сильно зависит от отрасли универсального правила нет. ну если напишете результат здесь это поможет и другим.

Согласен. Если разрешение и объем тестирования не зафиксированы письменно, тест не начинать.

На этом всё, извините, если затянул.

Я тоже так считаю. ну автоматический отчет о сканировании и пентест — это не одно и то же.

Если напишете результат здесь это поможет и другим.

Я тоже так считаю. Если делаете впервые, начните с малого, масштабирование потом.

Если напишете результат здесь, это поможет и другим.

Я тоже так считаю. Если включена двухфакторная аутентификация, украденный пароль бесполезен.

Автоматический отчет о сканировании и пентест — это не одно и то же. На этом всё, извините, если затянул.

У меня было наоборот, поэтому и пишу. Большинство инцидентов начинается не с уязвимости а с украденного пароля.

Интересно, есть ли те, кто делает иначе.

Именно так. Когда пытаешься изменить всё сразу ничего не приживается.

Удачи.

я тоже так считаю. кстати решения работающие в малом масштабе, рушатся при росте, я узнал это слишком поздно.