Cik bieži jāveic IT audits uzņēmuma drošībai?

Uzņēmumam IT audits nav formalitāte, ko veic tikai pēc drošības incidenta vai bankas, apdrošinātāja un partnera pieprasījuma. Jautājums, cik bieži jāveic IT audits, ir tieši saistīts ar uzņēmuma izaugsmes tempu, datu kritiskumu, regulējuma prasībām un spēju turpināt darbu arī traucējumu gadījumā. Vairumam mazo un vidējo uzņēmumu pilnvērtīgs audits reizi gadā ir pamatots minimums. Taču noteiktos apstākļos ar to nepietiek.

IT vide mainās nepārtraukti: tiek pievienoti lietotāji, ieviestas mākoņsistēmas, mainīti piekļuves līmeņi, atjauninātas programmas un pieslēgti ārējie pakalpojumu sniedzēji. Katras šādas izmaiņas rada arī jaunus riskus. Regulārs audits palīdz vadībai redzēt ne tikai tehniskās nepilnības, bet arī to ietekmi uz dīkstāvi, klientu apkalpošanu, naudas plūsmu un reputāciju.

Cik bieži jāveic IT audits praksē?

Praktiskākais modelis ir balstīts uz trim līmeņiem. Pilns IT audits vismaz reizi 12 mēnešos sniedz kopainu par infrastruktūru, drošību, datu aizsardzību, rezerves kopijām, piekļuves pārvaldību un IT procesu briedumu. Starp pilnajiem auditiem ir lietderīgi veikt mērķtiecīgas pārbaudes reizi ceturksnī vai pusgadā, īpaši attiecībā uz rezerves kopiju atjaunošanu, administratoru piekļuvi, kritiskajiem atjauninājumiem un drošības notikumiem.

Dažās nozarēs ritms ir stingrāks. Uzņēmumi, kas apstrādā klientu maksājumu datus, veselības informāciju, lielus personas datu apjomus vai nodrošina pakalpojumus bez pārtraukuma, bieži izvēlas nepārtrauktu uzraudzību un regulāras kontroles katru mēnesi. Tas nenozīmē pilnu auditu ik pēc 30 dienām. Tas nozīmē, ka kritiskie riski netiek atstāti bez uzraudzības līdz nākamajam gada pārskatam.

Mazā uzņēmumā ar vienkāršu vidi - piemēram, Microsoft 365, dažām mākoņsistēmām un nelielu darbinieku skaitu - gada audits kopā ar disciplinētu ikmēneša IT uzturēšanu parasti ir samērīgs risinājums. Savukārt uzņēmumā ar vairākām lokācijām, ražošanas iekārtām, attālinātiem darbiniekiem vai hibrīdinfrastruktūru pārbaudes jāplāno biežāk un konkrētāk.

Notikumi, pēc kuriem audits jāveic nekavējoties

Gada plāns ir labs pamats, taču tas nedrīkst aizstāt rīcību pēc būtiskām pārmaiņām. IT audits ir nepieciešams arī ārpus regulārā grafika, ja mainās uzņēmuma riska profils.

Īpašu pārbaudi ir vērts pasūtīt pēc šādiem notikumiem:

• nopietna kiberdrošības incidenta, aizdomīgas piekļuves vai izspiedējvīrusa riska;
• uzņēmuma apvienošanās, iegādes, pārdošanas vai būtiskas reorganizācijas;
• pārejas uz mākoni, jaunas ERP, CRM vai grāmatvedības sistēmas ieviešanas;
• jaunas filiāles, noliktavas, ražotnes vai attālināta darba modeļa atvēršanas;
• būtiskas IT komandas, ārējā pakalpojumu sniedzēja vai atbildīgo personu maiņas;
• regulējuma, klientu līgumu vai apdrošinātāja prasību izmaiņām.

Piemēram, pēc jaunas ERP sistēmas ieviešanas nepietiek pārliecināties, ka lietotāji var pieslēgties un izrakstīt rēķinus. Jāpārbauda, kuriem lietotājiem ir administratora tiesības, vai tiek reģistrētas darbības, kā tiek aizsargātas integrācijas, cik ātri iespējams atjaunot datus un vai rezerves kopijas patiešām ir izmantojamas. Sistēma var darboties ikdienā, bet nebūt gatava kļūmei vai uzbrukumam.

Ko uzņēmums iegūst no regulāra IT audita?

Vadībai audits ir instruments lēmumu pieņemšanai, nevis tikai tehnisks atzinums. Kvalitatīvs audits parāda, kur riski ir lielākie, cik steidzami tie jānovērš un kādas būs biznesa sekas, ja tie paliks neatrisināti. Tas palīdz izvairīties no situācijas, kur IT budžets tiek tērēts atsevišķiem pirkumiem bez skaidras prioritātes.

Bieži vien auditā atklājas nevis viens dramatisks trūkums, bet vairāku nelielu problēmu kombinācija. Piemēram, bijušajiem darbiniekiem nav savlaicīgi atslēgta piekļuve, rezerves kopijas tiek veidotas, bet netiek testētas, un servera garantija ir beigusies. Katrs risks atsevišķi var šķist pārvaldāms. Kopā tie palielina iespēju, ka viena kļūme pārtaps ilgstošā dīkstāvē.

Regulārs audits arī palīdz precīzāk plānot ieguldījumus. Tā vietā, lai steidzami mainītu infrastruktūru pēc avārijas, uzņēmums var savlaicīgi ieplānot iekārtu nomaiņu, licences, kiberdrošības risinājumus un darbinieku apmācību. Tas nodrošina izmaksu kontroli un mazina neparedzētus kapitālieguldījumus.

Kādam jābūt audita apjomam?

Audita biežums vien nevar garantēt rezultātu. Tikpat svarīgi ir tas, ko tieši pārbauda. Virspusēja ierīču uzskaite neatbild uz galveno vadības jautājumu: vai uzņēmums spēj droši turpināt darbu, ja notiek kļūme, uzbrukums vai piegādātāja pārtraukums?

Pamatotā IT auditā jāaptver infrastruktūras stāvoklis, programmatūras un licenču pārvaldība, tīkla drošība, lietotāju un administratoru piekļuves, datu klasifikācija, rezerves kopijas, atjaunošanas iespējas un incidentu vadība. Ja uzņēmumam ir kritiski biznesa procesi, jāvērtē arī katastrofu seku novēršanas plāns un reāli sasniedzamais atjaunošanas laiks.

Svarīga daļa ir intervijas ar atbildīgajiem darbiniekiem. Dokumentācija var norādīt, ka pastāv incidentu procedūra, taču praksē neviens var nezināt, kam jāpieņem lēmums par sistēmu atslēgšanu vai klientu informēšanu. Audits vērtē ne tikai tehnoloģiju, bet arī atbildības sadalījumu un rīcības gatavību.

Rezerves kopijas ir jāpārbauda biežāk nekā viss audits

Viens no biežākajiem maldiem ir uzskats, ka veiksmīgs rezerves kopijas uzdevums nozīmē veiksmīgu datu atjaunošanu. Tā nav. Kopija var būt bojāta, nepilnīga, nepieejama uzbrukuma laikā vai atjaunojama pārāk lēni, lai uzņēmums varētu turpināt darbu pieņemamā termiņā.

Tāpēc rezerves kopiju un atjaunošanas testus ieteicams veikt vismaz reizi ceturksnī, bet kritiskām sistēmām - biežāk. Testā jāatjauno reāli dati vai sistēmas komponents izolētā vidē un jāfiksē rezultāts: kas tika atjaunots, cik ilgi tas prasīja, vai dati bija pilnīgi un kādas problēmas radās.

Šis ir būtisks nošķīrums starp tehnisku pieņēmumu un pierādītu darbības nepārtrauktību. Uzņēmums nevar atļauties uzzināt par neizmantojamu rezerves kopiju tikai tad, kad ražošana, pārdošana vai klientu apkalpošana jau ir apstājusies.

Audits pēc incidenta: meklēt cēloni, nevis vainīgo

Pēc incidenta uzņēmumi dažkārt koncentrējas tikai uz tūlītēju sistēmu atjaunošanu. Tas ir saprotami, taču pēc stabilizācijas ir vajadzīgs mērķēts audits. Tā uzdevums ir noskaidrot, kā incidents kļuva iespējams, kāpēc esošās kontroles to neapturēja un kā novērst atkārtošanos.

Pārbaudei nevajadzētu pārvērsties vainīgo meklēšanā. Ja darbinieks atvēra kaitīgu pielikumu, jautājums nav tikai par viņa rīcību. Jāvērtē, vai e-pasta aizsardzība bija pietiekama, vai piekļuves tiesības bija samērīgas, vai bija daudzfaktoru autentifikācija, vai darbinieki tika apmācīti un vai incidenta pazīmes tika pamanītas savlaicīgi.

Tieši šāda pieeja pārvērš nepatīkamu pieredzi par izmērāmu uzlabojumu plānu. KSK IT praksē audits tiek skatīts kā pamats prioritizētai rīcībai, nevis dokumentam, kas pēc iesniegšanas paliek mapē.

Kā noteikt savam uzņēmumam piemērotu ritmu?

Lēmumu ieteicams balstīt uz trim jautājumiem. Pirmais: cik ilgi uzņēmums var strādāt bez savām kritiskajām sistēmām? Otrais: kādas būtu sekas, ja tiktu pazaudēti vai nopludināti dati? Trešais: cik bieži uzņēmumā notiek tehniskas un organizatoriskas pārmaiņas?

Ja pat dažas stundas bez sistēmām rada būtiskus zaudējumus, piekļuvi kritiskām sistēmām izmanto desmitiem darbinieku vai tiek apstrādāti sensitīvi klientu dati, gada audits vien būs par retu. Savukārt stabilā, mazāk sarežģītā vidē nav nepieciešams radīt pārmērīgu administratīvo slogu. Mērķis ir samērīga kontrole, kas atbilst reālajam riskam.

Labākais sākumpunkts ir gada audits ar skaidru risku reģistru, atbildīgajiem un izpildes termiņiem. Pēc tam jānosaka regulāras kontroles kritiskajām jomām - īpaši piekļuvēm, atjauninājumiem, rezerves kopijām un incidentu gatavībai. Audita vērtība rodas nevis no pārbaudes fakta, bet no tā, ka atrastie riski tiek konsekventi novērsti.

Ja vadība var skaidri atbildēt, kuri dati ir kritiski, kas par tiem atbild, cik ātri tie tiks atjaunoti un kā tiek pārbaudīta šī gatavība, IT audits jau ir devis uzņēmumam savu būtiskāko rezultātu - pamatotu kontroli pār risku, nevis cerību, ka viss turpinās darboties.