.png)
Testy penetracyjne są kluczowym aspektem zapewnienia bezpieczeństwa realizowanego biznesu, a szczególnie gdy odnotowuje się stały rozwój oprogramowania oraz infrastruktury. Niezależnie czy chodzi o produkt w postaci oprogramowania, które jest rozwijane i wydawane przez organizację czy też infrastrukturę dużej firmy z wieloma oddziałami w różnych częściach świata.
Jak więc zintegrować testy penetracyjne z polityką bezpieczeństwa organizacji, a także jej strategii w tym kontekście? Zapraszamy do artykułu.
Polityka bezpieczeństwa, czym jest?
Polityka bezpieczeństwa jest spoiwem, który łączy ze sobą wszystkie najważniejsze aktywa i aspekty funkcjonowania organizacji, aby zdefiniować, jak mają być chronione. Tym samym dla działających w firmie procesów biznesowych klasyfikowane są procesowane w nich dane oraz wykorzystywane aktywa. Polityka określa kategorie ich wrażliwości, a następnie identyfikuje jakie zagrożenie należy względem nich typować. Na tej podstawie można określić środki bezpieczeństwa, które pomogą ochronić je przed niechcianymi skutkami.
Polityka składa się z szeregu wytycznych, rekomendacji oraz wewnętrznych regulacji, które definiują reguły towarzyszące środkom zapewnienia ochrony. W pierwszej kolejności wskazuje cele, jakie stoją przed organizacją w kontekście cyberbezpieczeństwa. Następnie określony zostaje zakres, do jakiego odnosi się polityka. Wytyczone są standardy bezpieczeństwa obowiązujące w organizacji dla wybranych zagadnień takie jak polityka haseł, kopii zapasowych, bezpieczeństwa fizycznego czy zarządzania podatnościami.
Polityka bezpieczeństwa określa również ryzyka i determinuje ich prawdopodobieństwo wystąpienia.
Ogólnie rzecz ujmując, polityka bezpieczeństwa jest kluczowym dokumentem, aby strategia w kontekście ochrony organizacji przed zagrożeniami posiadała solidny fundament. Aby to spełnić, niezwykle kluczowe w tym aspekcie jest jej regularne aktualizowanie i dostosowywanie względem rozwoju organizacji, a przede wszystkim egzekwowanie. W tym celu istnieje szereg możliwości, które opierają się na zasobach ludzkich, sprzętowych, technologicznych czy choćby zamawianych specjalistycznych usług bezpieczeństwa. W tym artykule chcielibyśmy poruszyć aspekt testów penetracyjnych, które mogą świetnie uzupełnić i zintegrować się z polityką bezpieczeństwa.
Integracja testów penetracyjnych z polityką bezpieczeństwa
Na potrzeby tego artykułu załóżmy, że omawiamy realizację testów penetracyjnych jako uzupełnienie polityki bezpieczeństwa funkcjonującej w firmie produktowej. To znaczy takiej, która posiada własny produkt np. oprogramowania biznesowego, które świetnie radzi sobie na rynku w swojej dziedzinie. Jej rozwój jest perspektywistyczny i otwiera nowe możliwości dla organizacji. Firma posiada zasoby ludzkie zapewniające kompetencje programistyczne i administracyjne, aby rozwijać i utrzymywać infrastrukturę aplikacji. Funkcjonuje w niej także szereg procesów biznesowych jak księgowość, sprzedaż, wsparcie klienta czy marketing.
Firma zakłada realizację testów penetracyjnych w obszarach tworzonego oprogramowania, infrastruktury IT, a także ochrony samej organizacji przed zagrożeniami z zewnątrz. Polityka bezpieczeństwa w oparciu o zidentyfikowane ryzyka dla konkretnych zagrożeń, a także prawdopodobieństwa ich wystąpienia typuje, że każdy z tych obszarów przynajmniej raz w roku przechodzi testy penetracyjne.
Podane scenariusze realizacji testów to tylko przykłady celów, jakie organizacja powinna stawiać sobie przed realizacją zaplanowaniem takich działań. W ten sposób znacznie łatwiej można określić stopień przygotowania organizacji względem tych zagrożeń. Wynik pentestów należy traktować jako status bezpieczeństwa, który nawet przy najlepszej ocenie wcale nie gwarantuje, że firma jest w „100% bezpieczna i przygotowana”. Bezpieczeństwo to proces ciągły, a testy penetracyjne są tylko jedną z metod ich pragmatycznej oceny.
Adaptacja testów penetracyjnych w proces zarządzania bezpieczeństwem
Testy penetracyjne każdorazowo wymagają zaangażowania organizacji. Aby jasno określić cele, trzeba na bieżąco przeprowadzać analizę ryzyka i typować zagrożenia wraz ze wskazaniem prawdopodobieństwa ich wystąpienia. Wymagają one także przygotowania obszaru, czyli np. infrastruktury, w której będą one realizowane. W ten sposób praca zespołu testerów i potencjalnie wykryte podatności nie będą zakłócać bieżącego funkcjonowania firmy. Jednocześnie należy także zaplanować okres dla mitygacji zidentyfikowanych w testach podatności lub zagrożeń, a także wdrażania rekomendacji dla nich. Następnie na bazie zrealizowanych zadań muszą zostać wyciągnięte odpowiednie wnioski, które pozwolą na aktualizowanie procedur i polityk bezpieczeństwa, a także wspomóc zarządzanie ryzykami.
Im większa i bardziej rozbudowana infrastruktura lub skomplikowanie procesów biznesowych tym realizacja testów penetracyjnych stanie się większym wyzwaniem. Oczywiście co warte podkreślenia, w takich przypadkach zapotrzebowanie ich przeprowadzenia proporcjonalnie rośnie. Istotne jest jednak, że określenie celów, zaplanowanie i przygotowanie warunków do przeprowadzenia testów penetracyjnych jest wówczas efektem pracy nawet kilku zespołów. Mogą być one zaangażowane w ten proces nawet przez dłuższy czas. Nie można też nie zapomnieć o możliwym rozszerzeniu zaangażowania zespołów w aspekcie eliminacji podatności oraz wdrażania rekomendacji.
Pragmatyczna weryfikacja i skuteczna integracja z polityką bezpieczeństwa
Polityka bezpieczeństwa bogata w mechanizmy i podejściach, które pragmatycznie weryfikują stan bezpieczeństwa wybranych obszarów funkcjonowania organizacji, to duży skarb. W ten sposób wytyczona strategia bezpieczeństwa będzie sukcesywnie realizowana, a także na bieżąco doskonalona w procesie zarządzania bezpieczeństwem. Jest także gwarantem, aby pokryć dynamicznie zmieniające się w czasie zagrożenia, które są proporcjonalne do rozwoju technologicznego firmy. Dobrze i mądrze zaplanowane testy penetracyjne w cyklu rocznym ułatwią pracę zaangażowanym zespołom co też przełożyć się na utrzymanie spójności z rozwojem produktu, infrastruktury jak również aktualizacji polityk.