Testy bezpieczeństwa – wymagania, potrzeby a rzeczywistość

Obserwowane zwiększone zapotrzebowanie na przeprowadzanie audytów bezpieczeństwa informacji nie jest tylko chwilową modą, czy skutkiem nałożenia na wiele podmiotów obowiązku ich przeprowadzania przez prawo lub organy nadzorcze ale działaniem niezbędnym dla zapewnienia bezpieczeństwa systemom informatycznym i przechowywanym  w nich danych.

W przypadku administracji publicznej działania te wymagane są przez Rozporządzenie Rady Ministrów z dnia 12 kwietnia 2012 r. w sprawie Krajowych Ram Interoperacyjności.

W przypadku podmiotów z sektora finansowego obowiązek taki nakładają między innymi wytyczne KNF (dotyczące zarządzania obszarami technologii informacyjnej i bezpieczeństwa środowiska teleinformatycznego w podmiotach infrastruktury rynku kapitałowego)  a   praktycznie wszystkie podmioty, do prowadzenia audytów bezpieczeństwa, w tym testów bezpieczeństwa – zobowiązuje Rozporządzenie RODO.

Coraz częściej audyty bezpieczeństwa obejmują także  testy bezpieczeństwa i testy penetracyjne, mające na celu sprawdzenie odporności komponentów infrastruktury teleinformatycznej, systemów i procesów na próby przełamania zabezpieczeń, w sposób naśladujący zachowanie potencjalnych atakujących. Dzięki temu, testy bezpieczeństwa o ile są przeprowadzone rzetelnie i przez doświadczonego wykonawcę, stanowią rzeczywistą ocenę stanu bezpieczeństwa informacji i identyfikację słabych punktów, wymagających pilnej interwencji.

Jakość, a nie jakoś

Dostępność narzędzi do wykonywania tzw. automatycznych testów bezpieczeństwa, a nawet istnienia zintegrowanych środowisk narzędziowych (np. dedykowanej dystrybucji systemu Linux) sprawia, że obecnie możliwe jest przeprowadzenie ich przez osoby nieposiadające wystarczającej wiedzy w obszarze bezpieczeństwa systemów teleinformatycznych (tzw. script kiddies). Raporty z tego typu testów są często niskiej jakości ze względu na brak doświadczenia i wiedzy „testerów” z zakresu bezpieczeństwa co prowadzi do  braku możliwości prawidłowej interpretacji wyników.

Potrzeby a wymagania i rzeczywistość

Niewielkie podmioty administracji publicznej, w szczególności jednostki samorządu terytorialnego zazwyczaj ograniczają się do przeprowadzenia skanowania podatności dla posiadanych urządzeń. Dotyczy to w szczególności serwerów i stacji roboczych lub oszacowania poziomu bezpieczeństwa strony www i aplikacji web. Takie podejście jest często nierzetelne, gdyż co prawda pozwala na zidentyfikowanie otwartych portów, udostępnianie  usług oraz podatnych na atak elementów, jednakże zaprezentowane przez skaner wyniki wymagają interpretacji przez doświadczonego eksperta.

Potrzeby a wymagania i rzeczywistość

Niewielkie podmioty administracji publicznej, w szczególności jednostki samorządu terytorialnego zazwyczaj ograniczają się do przeprowadzenia skanowania podatności dla posiadanych urządzeń. Dotyczy to w szczególności serwerów i stacji roboczych lub oszacowania poziomu bezpieczeństwa strony www i aplikacji web. Takie podejście jest często nierzetelne, gdyż co prawda pozwala na zidentyfikowanie otwartych portów, udostępnianie  usług oraz podatnych na atak elementów, jednakże zaprezentowane przez skaner wyniki wymagają interpretacji przez doświadczonego eksperta.

Nie zawsze pamiętamy, że nie mniej istotna od testów oprogramowania jest ocena świadomości personelu za pomocą testów socjotechnicznych, obejmujących m.in:

• Próbę skłonienia personelu do ujawnienia haseł dostępowych np. poprzez rozmowę telefoniczną lub phishing.
• „Podrzucenie” nośnika danych, który po podłączeniu do stacji roboczej spowoduje automatyczną instalację złośliwego oprogramowania wykradającego wpisywane hasła.

Jest to szczególnie istotne ze względu na fakt, że człowiek jest jednym z najsłabszych ogniw wszystkich systemów zabezpieczeń.

Jak dobrać testy penetracyjne do potrzeb?

Wybór solidnego usługodawcy o ugruntowanej pozycji i posiadającego doświadczenie w wykonywaniu testów penetracyjnych, także odbiegających od standardowych  zawsze stanowi bardzo korzystną alternatywę w stosunku do usługodawców nie mających dużego doświadczenia w świadczeniu swoich usług. Zawsze należy zawsze pamiętać, że celem takich testów jest zwiększenie poziomu bezpieczeństwa, a nie tylko spełnienie wymagań prawnych lub regulacyjnych.

Podsumowując, doświadczenie usługodawcy jest istotnym kryterium w jego wyborze, gdyż w perspektywie powinniśmy dostrzegać nie tylko  koszty związane z wykonaniem usługi, ale także  potencjalne straty, finansowe i wizerunkowe związane z ewentualnym incydentem na skutek mało profesjonalnie wykonanych testów..

Autor: Wiesław Krawczyński,
ekspert ds. bezpieczeństwa IT w Audytel S.A.