Notranji varnostni pregledi IT sistemov

Kaj vključuje celovit notranji varnostni pregled

Vsaka organizacija ima specifično infrastrukturo, zato kibernetska varnost zahteva prilagojen pristop. Naši strokovnjaki pri notranjem pregledu preverijo:

• Analizo notranjega omrežja: Pregled segmentacije omrežja, delovanja požarnih pregrad in varnosti stikal.
• Pregled strežniške infrastrukture: Analiza nastavitev operacijskih sistemov (Windows, Linux) in kritičnih servisov.
• Varnost Active Directory (AD): Preverjanje pravilnikov skupin, šibkih gesel ter higiene uporabniških računov.
• Upravljanje dostopov: Preverjanje načela najmanjših privilegijev in ustreznosti uporabniških pravic.
• Identifikacijo ranljivosti: Iskanje znanih (CVE) in neznanih pomanjkljivosti v programski opremi.
• Oceno notranjih groženj: Simulacija scenarija, kjer napadalec že ima dostop do notranjega omrežja (insider threat).

Postopek izvedbe: Korak za korakom

Izvedba varnostnega pregleda pri Telpromu poteka strukturirano, kar zagotavlja minimalen vpliv na vaše poslovanje:

• 1. Načrtovanje in priprava: Definiranje obsega pregleda, določitev ključnih sistemov in uskladitev terminov izvedbe.
• 2. Zbiranje informacij in skeniranje: Uporaba specializiranih orodij za popis vseh naprav in servisov v notranjem omrežju.
• 3. Analiza ranljivosti: Identifikacija šibkih točk, zastarele programske opreme in napačnih nastavitev.
• 4. Ročno preverjanje in potrditev: Naši etični hekerji ročno preverijo ugotovitve, da izločijo lažno pozitivne rezultate.
• 5. Priprava poročila: Izdelava dokumentacije z ugotovitvami, oceno tveganja in prednostnim seznamom za sanacijo.

Pomembno je razumeti, da celo stabilno IT okolje še ni nujno varno okolje, zato so redni pregledi nujni.

Notranji varnostni pregled vs. penetracijski test

Čeprav se pojma pogosto zamenjujeta, obstajajo ključne razlike v fokusu in globini analize:

• Notranji varnostni pregled: Osredotoča se na širino – preverja čim večje število sistemov, nastavitev in skladnost s politikami. Cilj je celovit pregled stanja “od znotraj”.
• Penetracijsko testiranje: Gre za usmerjen napad na točno določen cilj z namenom vdora. Penetracijsko testiranje se bolj osredotoča na globino in dejansko izkoriščanje ranljivosti.

Za optimalno varnost priporočamo kombinacijo obeh pristopov.

Skladnost z NIS2 in slovensko zakonodajo (ZInfV-1)

V Sloveniji področje informacijske varnosti ureja Zakon o informacijski varnosti (ZInfV-1), ki v slovenski pravni red prenaša evropske direktive. Z uveljavitvijo direktive NIS2 se krog zavezancev močno širi na srednja in velika podjetja v kritičnih sektorjih.

Notranji varnostni pregled je obvezen element za dokazovanje, da organizacija izvaja ustrezne tehnične in organizacijske ukrepe za obvladovanje tveganj. Za sofinanciranje teh storitev so pogosto na voljo vavčerji za kibernetsko varnost, ki podjetjem olajšajo pot do višje stopnje zaščite.

Metodologija in CVSS ocenjevanje

Pri delu uporabljamo mednarodno priznane metodologije (kot so NIST, OWASP in OSSTMM). Vsako ugotovljeno ranljivost ocenimo po standardu CVSS (Common Vulnerability Scoring System).

CVSS ocena (od 0.0 do 10.0) vam omogoča objektivno razumevanje resnosti posamezne grožnje:

• Kritična (9.0 – 10.0): Zahteva takojšnje ukrepanje, saj omogoča popoln nadzor nad sistemom.
• Visoka (7.0 – 8.9): Resna grožnja, ki jo je treba odpraviti v najkrajšem možnem času.
• Srednja (4.0 – 6.9): Ranljivosti, ki jih je težje izkoristiti, a še vedno predstavljajo tveganje.
• Nizka (0.1 – 3.9): Manjše pomanjkljivosti, ki jih odpravljamo v okviru rednega vzdrževanja.

Pogosta vprašanja (FAQ)

Koliko časa traja notranji varnostni pregled?

Trajanje je odvisno od velikosti in kompleksnosti vašega IT okolja. Za srednje velika podjetja pregled običajno traja od 5 do 10 delovnih dni, vključno s pripravo končnega poročila.

Ali bo pregled motil naše delovne procese?

Naša metodologija je zasnovana tako, da ne povzroča prekinitev poslovanja. Večina aktivnosti poteka v načinu opazovanja in analiziranja, brez agresivnih posegov v delovanje sistemov.

Kako pogosto bi morali izvajati takšne preglede?

Svetujemo izvedbo vsaj enkrat letno oziroma ob vsaki večji spremembi v IT infrastrukturi (npr. selitev v oblak, uvedba novih ERP sistemov ali prenova omrežja).

Kaj prejmemo ob zaključku pregleda?

Prejmete podrobno strukturirano poročilo, ki vsebuje seznam vseh ugotovitev, oceno tveganja po CVSS lestvici ter konkretna, tehnična navodila za odpravo ranljivosti.

Ali so varnostni pregledi obvezni za vsa podjetja?

Zakonodajno so obvezni za zavezance po ZInfV-1 in NIS2, vendar jih zaradi izjemnega povečanja kibernetskih napadov močno priporočamo vsem podjetjem, ki upravljajo z občutljivimi podatki.