Co znajdujemy w audytach IT: 5 przykładów z praktyki

W audytach IT zaczynamy od podstaw: kopii zapasowych, kont i dostępów, wersji systemów oraz planu na awarię. Właśnie tam znajdujemy problemy, które najbardziej zwiększają ryzyko. Poniżej opisujemy pięć ustaleń z naszej praktyki audytowej, zmienionych tak, żeby nie dało się rozpoznać organizacji. Przy każdym piszemy, co znaleźliśmy i co zaleciliśmy. Na końcu jest lista pytań do samodzielnego przeglądu.

Pełny zakres audytu i zawartość raportu opisujemy na stronie audytu infrastruktury IT. Ten tekst pokazuje, jak takie ustalenia wyglądają w praktyce.

Kopie zapasowe, których dało się nie odzyskać

Co znaleźliśmy: kopie zapasowe prowadził zewnętrzny dostawca usługi, ale repozytoria nie miały blokady retencji. Osoba z uprawnieniami administratora mogła je usunąć. Mógł to zrobić także napastnik, który przejąłby jej konto. Umowa nie dawała klientowi prawa do sprawdzenia konfiguracji ani wyników testów odtworzenia.

Co zaleciliśmy: repozytoria z blokadą retencji, czyli kopie, których nie da się zmienić ani usunąć przez cały okres przechowywania. Do tego kopię poza głównym ośrodkiem i rozdzielenie uprawnień. W umowie z dostawcą warto zapisać prawo do okresowego potwierdzania konfiguracji i wyników testów odtworzenia. Rozwiązania do kopii zapasowych wdrażamy w ramach oferty oprogramowania dla firm.

Incydent po godzinach bez osoby, która podejmie decyzję

Co znaleźliśmy: zespół monitorujący bezpieczeństwo działał całą dobę. Po godzinach pracy nie było jednak ustalone, do kogo dzwoni i kto może zdecydować o odcięciu zainfekowanego systemu. W praktyce alarm w nocy czekałby do rana.

Co zaleciliśmy: procedurę eskalacji poza godzinami pracy z nazwiskami osób, które podejmują decyzje. Zespół monitorujący powinien dostać listę kontaktów i listę najważniejszych systemów z priorytetami. Jak powinna wyglądać reakcja na incydent, opisaliśmy we wpisie o monitorowaniu zagrożeń i reakcji na incydenty.

Hasła w dokumentacji i konta po byłych dostawcach

Co znaleźliśmy: poświadczenia zapisane w firmowej dokumentacji wewnętrznej. W panelu zarządzania siecią nadal działało konto poprzedniego dostawcy. Część paneli administracyjnych nie wymagała drugiego składnika logowania.

Co zaleciliśmy: przegląd dokumentacji pod kątem haseł i przeniesienie ich do sejfu haseł. Konta byłych dostawców należy wyłączyć, a na wszystkich panelach włączyć uwierzytelnianie wieloskładnikowe (MFA). Dostęp firm zewnętrznych warto prowadzić w ewidencji i przeglądać co kwartał. Konfigurację logowania w Microsoft 365 opisujemy na stronie bezpieczeństwa Microsoft 365, a kolejne kroki w instrukcji, jak włączyć MFA w Microsoft 365 bez przestoju w firmie.

Stare systemy i reguły zapór po poprzednim dostawcy

Co znaleźliśmy: serwery z systemami po końcu wsparcia producenta, bez planu ich wycofania. Część zapór miała oprogramowanie, dla którego producent ogłosił krytyczną podatność. Na zaporach zostały też reguły pozostawione przez poprzedniego dostawcę, w tym nieużywane.

Co zaleciliśmy: plan wycofania starych systemów. Jeśli systemu nie da się szybko wyłączyć, potrzebny jest udokumentowany wyjątek z właścicielem ryzyka, izolacją w sieci i terminem. Zapory trzeba zaktualizować, a reguły uporządkować i ograniczyć zarządzanie urządzeniami od strony internetu. Takie prace przy zaporach FortiGate opisujemy na stronie Fortinet.

Brak planu na awarię i zasilania serwerowni

Co znaleźliśmy: organizacja nie miała planu ciągłości działania ani ustalonych czasów odtworzenia. Odtworzenia z kopii nikt nie testował. Serwerownia w siedzibie nie miała zasilania gwarantowanego ani czujników temperatury i zalania.

Co zaleciliśmy: zacząć od listy systemów ułożonej według ważności. Dla każdego ustalić dopuszczalny czas przestoju (RTO) i dopuszczalną utratę danych (RPO). Potem przeprowadzić test odtworzenia wybranego serwera i jednego systemu biznesowego. W serwerowni potrzebne jest zasilanie gwarantowane i czujniki. Jak ułożyć kopie, żeby test odtworzenia miał z czego się udać, opisaliśmy we wpisie o regule 3-2-1 w kopiach zapasowych.

Lista do samodzielnego sprawdzenia

Obszar	Pytanie kontrolne
Kopie zapasowe	Czy kopii nie da się usunąć przed końcem okresu przechowywania i kiedy ostatnio ją odtworzono?
Incydenty	Kto po godzinach pracy decyduje o odcięciu systemu i czy zespół monitorujący ma jego numer?
Konta i hasła	Czy w dokumentacji nie ma haseł i czy konta byłych dostawców są wyłączone?
Logowanie	Czy wszystkie panele administracyjne wymagają MFA?
Systemy	Czy któryś serwer lub zapora jest po końcu wsparcia albo ma znaną krytyczną podatność?
Plan na awarię	Czy znasz dopuszczalny czas przestoju najważniejszych systemów?
Serwerownia	Czy serwerownia ma zasilanie gwarantowane i czujniki temperatury?

Co dalej z wynikami

Jeśli na kilka pytań odpowiadasz „nie wiem”, warto zlecić audyt. Audyt wyceniamy indywidualnie po rozmowie o Twojej infrastrukturze, a raport układa problemy według ryzyka i pilności.

Wiele z tych problemów nie wraca, gdy ktoś regularnie pilnuje infrastruktury. Tym zajmujemy się w ramach obsługi informatycznej firm. Jeśli chcesz sprawdzić swoją firmę, napisz do nas. Ustalimy zakres audytu i podamy cenę przed rozpoczęciem prac.