Firma ma działać

Bezpieczeństwo to także dostępność danych i odporność firmy na awarie. Audyt powinien objąć także procedury chroniące pracę firmy przed skutkami awarii, w tym ochronę danych po awarii sprzętu i utrzymanie ciągłości pracy przedsiębiorstwa. Procedury takie należy sprawdzać co pewien czas, ale nawet jeśli działają, warto je zbadać przy pomocy doświadczonego audytora. Zalecenia mogą być bardzo cenne dla firmy, gdyż mogą przyczynić się do znacznie szybszego przywrócenia sprawności, a także pomogą działowi IT w utrzymaniu ciągłości działania w przypadku awarii.

Taką procedurę należy sprawdzić nawet jeśli firma potrzebuje jedynie wykonywania kopii bezpieczeństwa i możliwości jej odtworzenia w przypadku awarii. Czasami nieduży błąd (taki jak brak zabezpieczonych kluczy szyfrujących backup) może powodować niedostępność danych po awarii. Analiza takich procedur przez audytora daje szansę spojrzenia na potrzeby i możliwości firmy w tej dziedzinie. Niejednokrotnie okazuje się, że przeoczono jedno z zagrożeń, np. problem bezpiecznego przechowywania kaset z kopią bezpieczeństwa.

Raport w cenie

Wynikiem pracy audytora powinien być raport podatności firmy na ataki. W tym raporcie powinno się uwzględniać luki aplikacji, błędy proceduralne, problemy związane z personelem, a także zagrożenia spowodowane przez podmioty trzecie. Nie zawsze w raporcie znajdą się detale techniczne, niemniej należy określić maksymalne skutki udanego wykorzystania wszystkich wykrytych podatności.

Ważnym elementem raportu jest opis zaleceń w celu usunięcia luki w bezpieczeństwie. Opis ten powinien być wyczerpujący, w miarę możliwości powinien zawierać dwa warianty, jeden umożliwiający minimalizację ryzyka w szybki i prosty sposób oraz drugi, który zawiera docelowe działania, mające na celu eliminację wykrytej podatności.