Bezpečnostní audit a penetrační test: kdy potřebujete který

Tabulka se dá shrnout jednou větou: audit posuzuje, jestli je bezpečnost popsaná a řízená, test posuzuje, jestli funguje. Ani jedno neodpoví za to druhé.

Slovo audit pokrývá tři různé služby, a právě odsud pramení nedorozumění mezi zadavatelem a dodavatelem. Než se domluvíte s dodavatelem na ceně, vyplatí se říct, kterou z nich myslíte, protože se liší výstupem i tím, kdo je smí dělat.

• Certifikační audit podle normy: posuzuje shodu se standardem a končí certifikátem nebo neshodou.
• Technický audit konfigurace: kontroluje nastavení systémů proti doporučenému stavu.
• Interní audit procesů: ověřuje, jestli se lidé drží vlastních směrnic a jestli o tom existují záznamy.

Penetrační test není ani jedno z toho. Nejblíž má k technickému auditu konfigurace, ale liší se v tom, že nastavení nejen prochází, nýbrž hledá způsob, jak se přes ně dostat dál. Silný technický audit konfigurace se přitom nemusí držet checklistu: dá se dělat i z ofenzivní expertízy, kdy se u každého nastavení ptáte, jak by ho zneužil útočník, jako technický audit konfigurace z ofenzivní expertízy. Rozdíl proti testu zůstává: audit se do konfigurací dívá společně a se souhlasem, test se přes ně láme sám. Pokud řešíte první z těch tří významů, tedy certifikaci, rozebíráme zvlášť, jak se penetrační test váže na certifikaci podle ISO 27001.

Audit vidí do věcí, které se nedají vyčíst z provozu. Kdo schvaluje přístupy, jestli se odebírají při odchodu zaměstnance, jak se řídí změny, kdo je odpovědný za zálohy a jestli se obnova někdy zkoušela. Tester tohle nezjistí, protože se dívá na systém, ne na organizaci kolem něj.

Druhá věc je úplnost. Auditor projde celé prostředí podle seznamu opatření, kdežto test se drží dohodnutého rozsahu a všechno mimo něj vědomě ignoruje. Když potřebujete vědět, kde nemáte vůbec nic, je to práce pro audit.

Test ukáže rozdíl mezi dokumentací a realitou. Směrnice může správně předepisovat vícefaktorové ověření a přesto existuje jedno rozhraní, kde se na něj zapomnělo. V auditní zprávě je opatření zavedené, v testu je to cesta dovnitř.

Druhá věc je dopad. Audit konstatuje neshodu, test doloží, co ta neshoda znamená: že se přes ni dá stáhnout databáze zákazníků nebo získat správcovský účet. Když potřebujete praktické ověření, jestli se dovnitř dá dostat, samotná zpráva o shodě to nenahradí.

Audit potřebujete tehdy, když výstup ukazujete někomu zvenčí, penetrační test tehdy, když má sloužit vašemu vlastnímu IT. Pro certifikační orgán, zákazníka nebo pojišťovnu začněte auditem, protože ten mluví jejich jazykem. Pro rozhodnutí, co opravit nejdřív, začněte testem.

• Zvolte audit, pokud chystáte certifikaci nebo vás o doklad požádal obchodní partner.
• Zvolte audit, pokud netušíte, jak jste na tom, a potřebujete přehled napříč celou organizací.
• Zvolte test, pokud provozujete aplikaci nebo síť dostupnou z internetu a chcete znát reálné riziko.
• Zvolte test, pokud jste od poslední kontroly zásadně změnili architekturu nebo přidali integraci.

V compliance projektu se obojí potkává skoro vždycky. Auditor u technických opatření nechce slyšet, že jsou zavedená, chce vidět doklad, a nejpřesvědčivější doklad je report z testu s datem, rozsahem, metodikou a s ověřením, že jsou nálezy opravené.

Pořadí dává smysl takové, že nejdřív se udělá audit, aby se vědělo, co všechno chybí, a test se nasadí na tu část, kde jde o technickou odolnost. U nových systémů se vyplatí i posouzení návrhu dřív, než se něco postaví, protože oprava na papíře je levnější než oprava v produkci.