Best Practices für ein Cybersicherheitsaudit
Mithilfe von Cybersicherheitsaudits können Unternehmen feststellen, ob ihre aktuellen Cybersicherheitspraktiken, -richtlinien und -tools der Aufgabe gewachsen sind, ihre Daten und Systeme zu schützen. Allerdings kann es schwierig sein, regelmäßig Cybersicherheitsprüfungen durchzuführen, wenn Sie nicht genau wissen, worauf Sie achten sollen.
In diesem Blog werde ich einige Best Practices für Ihre Cybersicherheit und interne Revision durchgehen, um Ihnen eine Anleitung zu geben, wie Sie am besten vorgehen.
Was ist ein Cybersicherheitsaudit?
Bei einem Cybersicherheitsaudit handelt es sich im Wesentlichen um eine Checkliste, anhand derer Unternehmen die Wirksamkeit ihrer Sicherheitsrichtlinien und -verfahren ermitteln können. Während ein Cybersicherheitsaudit vom internen Sicherheitsteam einer Organisation durchgeführt werden kann, ziehen es viele vor, das Audit an einen spezialisierten Dritten auszulagern, um Interessenkonflikte auszuschließen.
Der Prüfer überprüft alle Bereiche der Sicherheitslage der Organisation, um Schwachstellen zu finden, und beurteilt außerdem deren Fähigkeit, die relevanten Datenschutzbestimmungen einzuhalten.
Der Unterschied zwischen Cybersicherheitsbewertungen und Cybersicherheitsaudits
Im Wesentlichen wird vor einem Audit eine Cybersicherheitsbewertung durchgeführt, um Unternehmen ein tieferes Verständnis ihrer Sicherheitslücken zu vermitteln. Es wird verwendet, um zu vergleichen, wie die Dinge sein sollten, mit der Art und Weise, wie die Dinge tatsächlich sind und typischerweise intern ausgeführt werden.
Man könnte wohl sagen, dass ein Cybersicherheitsaudit eine offizielle Bestätigung der Ergebnisse der Cybersicherheitsbewertung darstellt. Allerdings reicht die bloße Durchführung einer Cybersicherheitsbewertung nicht aus, um Ihr Unternehmen auf ein Audit vorzubereiten.
Checkliste für Cybersicherheitsaudits
Im Folgenden finden Sie einige zusätzliche Schritte, die unternommen werden müssen, um sicherzustellen, dass Sie bereit sind.
1. Überprüfen Sie Ihre Informationssicherheitsrichtlinie
Eine Informationssicherheitsrichtlinie stellt eine Reihe von Regeln bereit, die festlegen, wie mit sensiblen Daten von Kunden und Mitarbeitern umgegangen werden soll. Es hilft Prüfern bei der Beurteilung, wie sensibel bestimmte Vermögenswerte sind und ob die zu ihrem Schutz vorhandenen Kontrollen ausreichend sind.
Bei der Bewertung sollten die Vertraulichkeit, Integrität und Verfügbarkeit der betreffenden Vermögenswerte berücksichtigt werden. Wenn es sich um vertrauliche Daten handelt, müssen diese selbstverständlich vor unbefugtem Zugriff und Missbrauch geschützt werden.
Um die „Integrität“ zu gewährleisten, sollten Maßnahmen zum Schutz der Daten vor unbefugter Änderung vorhanden sein. Verfügbarkeit von Daten bedeutet, dass Daten für autorisiertes Personal einfach und ohne unangemessene Verzögerung zugänglich sein sollten.
2. Konsolidieren Sie Ihre Cybersicherheitsrichtlinien
Sie müssen sicherstellen, dass alle Sicherheitsrichtlinien zentralisiert und leicht durchsuchbar sind. Dadurch erhalten Prüfer ein besseres Verständnis Ihrer gesamten Sicherheitslage, ohne dass sie nach relevanten Informationen suchen müssen.
Zusätzlich zu der oben erwähnten Informationssicherheitsrichtlinie sind im Folgenden einige der häufigsten Cybersicherheitsrichtlinien aufgeführt, die Sie den Prüfern zur Verfügung stellen sollten.
Acceptable Use Policy (AUP): ein allgemeiner Regelsatz, der normalerweise vom Systemadministrator definiert wird und angibt, was Benutzer im Netzwerk tun dürfen. Normalerweise müssen Benutzer die Nutzungsbedingungen akzeptieren, bevor ihnen der Zugriff auf das Netzwerk gewährt wird.
Zugriffskontrollrichtlinie (ACP): eine Richtlinie, die die Protokolle zum Gewähren und Entziehen von Zugriffsrechten für Ressourcen im Netzwerk dokumentiert.
Change Management Policy: ein formeller Prozess zur Durchführung von Änderungen an IT-Systemen. Der Hauptzweck einer Change-Management-Richtlinie besteht darin, sicherzustellen, dass alle Änderungen ohne Unterbrechung des Geschäftsbetriebs durchgeführt werden und dass alle relevanten Stakeholder über die Änderungen informiert wurden.
Incident Response (IR) Policy: auch Incident Response Plan (IRP) genannt, dokumentiert die formellen Verfahren für den Umgang mit Sicherheitsvorfällen. Ein IRP besteht typischerweise aus 6 Phasen, darunter: Vorbereitung, Identifizierung, Eindämmung, Ausrottung, Wiederherstellung und gewonnene Erkenntnisse. Ein IRP steht in engem Zusammenhang mit zwei anderen Richtlinien, nämlich einer Disaster Recovery Policy und einem Business Continuity Plan (BCP).
Remote-Zugriffsrichtlinie: eine Reihe von Regeln, die bestimmen, wie Remote-Benutzer auf das Unternehmensnetzwerk zugreifen können. Eine Remote-Zugriffsrichtlinie weist viele Ähnlichkeiten mit einer BYOD-Richtlinie auf.
E-Mail-/Kommunikationsrichtlinie: ein Dokument, das festlegt, wie Mitarbeiter elektronische Kommunikationsprotokolle wie E-Mail-Konten, soziale Medien sowie Chat- und Blogging-Plattformen nutzen können.
3. Detaillieren Sie Ihre Netzwerkstruktur
Die Bereitstellung eines Netzwerkdiagramms für Prüfer kann ihnen dabei helfen, ein besseres Verständnis Ihrer Infrastruktur zu erlangen. Sie können zwei Arten von Netzwerkdiagrammen bereitstellen: logische und physische.
Ein logisches Netzwerkdiagramm zeigt, wie Informationen durch das Netzwerk fließen, und umfasst typischerweise Elemente wie Subnetze, Domänen, Geräte, Netzwerksegmente, Router und alle anderen relevanten Netzwerkobjekte.
Ein physisches Netzwerkdiagramm umfasst die physischen Teile Ihres Netzwerks, wie z. B. Server, Ports, Kabel, Racks und andere relevante Hardware.
Es gibt kostenlose Softwareanwendungen, die bei der Erstellung von Netzwerkdiagrammen helfen können, beispielsweise Lucidchart und Dia.
4. Überprüfen Sie relevante Compliance-Standards
Auch wenn Sie lediglich Namen und E-Mail-Adressen für Ihren Newsletter sammeln oder Browser-Cookies verwenden, um Benutzeraktivitäten zu verfolgen, müssen Sie Gesetze einhalten, die Ihnen darüber informieren, wie dies zu tun ist.
Sie müssen die Prüfer über alle Datenschutzgesetze informieren, die für Ihr Unternehmen relevant sind. Sie sollten noch einen Schritt weiter gehen und die spezifischen Anforderungen für jede Verordnung detailliert beschreiben und erläutern, welche Maßnahmen Sie ergriffen haben, um diese zu erfüllen.
5. Erstellen Sie eine Liste des Sicherheitspersonals und seiner Verantwortlichkeiten
>Prüfer müssen möglicherweise Mitglieder Ihres Sicherheitsteams und Dateneigentümer befragen, um ein tieferes Verständnis Ihrer Infrastruktur und der Kontrollen zu erlangen, die Sie zum Schutz Ihrer sensiblen Daten eingerichtet haben.
Sie sollten eine detaillierte Liste aller relevanten Mitarbeiter bereitstellen und deren Rollen und Verantwortlichkeiten dokumentieren.
Verwenden Sie die richtigen Tools, um sich auf Ihr Cybersicherheitsaudit vorzubereiten
Obwohl dies technisch gesehen keine Voraussetzung für die Durchführung eines Cybersicherheitsaudits ist, wird der Einsatz der richtigen Tools und Technologien den Prozess erheblich vereinfachen.
Wenn Sie beispielsweise eine Datenerkennungs- und -klassifizierungslösung verwenden, erhalten Sie ein besseres Verständnis darüber, welche Daten Sie haben, wo sie sich befinden und wie sensibel die Daten sind. Mit diesem Verständnis können Sie eine Informationssicherheitsrichtlinie entwickeln, die für Ihre Daten relevanter ist.
Mithilfe einer automatisierten Echtzeit-Datensicherheitsplattform können Sie individuelle Berichte erstellen, die den Prüfern vorgelegt werden können, um ihnen einen Einblick in die von Ihnen durchgeführten Kontrollen und deren Wirksamkeit zu geben.
Sie können beispielsweise einen Bericht erstellen, der alle Benutzerkonten (einschließlich inaktiver Benutzerkonten) und die damit verbundenen Berechtigungen auflistet. Eine Echtzeit-Prüfungslösung liefert eine umfassende Aufschlüsselung darüber, wer wann, von wo und von welchem Gerät aus auf welche Daten zugreift.
Wenn Sie sehen möchten, wie die Lepide Data Security Platform genutzt werden kann, um Ihre Datensicherheit zu verbessern und aktive Bedrohungen für Ihre Sicherheit zu erkennen, vereinbaren Sie noch heute eine Demo mit einem unserer Techniker.