BDAR IT auditas

Kada reikalingas BDAR auditas?

BDAR auditas rekomenduojamas, jeigu:

• tvarkote klientų, darbuotojų, partnerių ar kitų asmenų duomenis;
• naudojate bendras ar neaiškiai valdomas naudotojų paskyras;
• nežinote, ar visose sistemose įjungta MFA / 2FA apsauga;
• nesate tikri, ar kompiuterių diskai yra šifruojami;
• duomenys laikomi lokaliai kompiuteriuose, „Desktop“, „Documents“, „Downloads“ kataloguose ar PST archyvuose;
• naudojate nuotolinės prieigos programas, pvz., TeamViewer, AnyDesk ar RDP;
• neturite aiškios atsarginių kopijų ir duomenų atkūrimo testavimo tvarkos;
• nėra aiškiai aprašytos duomenų saugojimo, perdavimo, naikinimo ir darbuotojų išėjimo procedūros;
• norite pasiruošti klientų, partnerių, ISO, DORA ar kitam saugumo vertinimui.

Ką vertiname audito metu?

1. Darbo vietų ir įrenginių saugumas

Vertiname kompiuterių operacinių sistemų būklę, Windows versijas, palaikymą, aktyvaciją, TPM, Secure Boot, BIOS / UEFI apsaugą, administratoriaus teises ir automatinio užrakinimo nustatymus.

Taip pat tikriname, ar darbo vietose įjungtas disko šifravimas, pvz., BitLocker, ir ar šifravimo atkūrimo raktai saugomi centralizuotai bei saugiai.

2. Naudotojų paskyros ir prieigos kontrolė

Analizuojame, ar naudotojai turi individualias paskyras, ar nėra bendrų prisijungimų, ar administratoriaus teisės nėra naudojamos kasdieniam darbui. Vertiname, ar prieigos prie sistemų ir duomenų suteikiamos pagal darbuotojų vaidmenis ir realų poreikį.

Audito metu gali būti parengta arba rekomenduojama sukurti prieigos teisių matrica, kuri padeda aiškiai matyti, kas ir prie kokių duomenų turi prieigą.

3. MFA / 2FA ir slaptažodžių politika

Vienas svarbiausių BDAR ir informacijos saugumo kontrolės elementų yra daugiafaktorinė autentifikacija. Vertiname, ar MFA įjungta el. paštui, debesijos sistemoms, administravimo paskyroms, nuotolinei prieigai ir kitoms kritinėms sistemoms.

Taip pat tikriname slaptažodžių politiką: minimalų ilgį, sudėtingumą, istoriją, paskyrų užrakinimą, slaptažodžio reikalavimą po kompiuterio užrakinimo ar „sleep“ režimo.

4. Lokalių failų ir asmens duomenų saugojimas

Audito metu vertiname, kur faktiškai laikomi darbo dokumentai ir galimi asmens duomenys. Dažnai rizikos atsiranda tada, kai dokumentai laikomi ne centralizuotoje saugykloje, o lokaliai kompiuteryje – „Desktop“, „Documents“, „Downloads“ kataloguose arba el. pašto PST archyvuose.

Tikriname, ar tokie duomenys yra reikalingi, ar jie apsaugoti, ar jiems taikoma retencija ir ar jie nėra laikomi ilgiau nei būtina.

5. Atsarginės kopijos ir duomenų atkūrimas

Vertiname, ar organizacijoje yra aiški atsarginių kopijų politika, kokie duomenys kopijuojami, kaip dažnai daromos kopijos, kur jos saugomos ir ar atliekami atkūrimo testai.

Vien tik turėti atsargines kopijas nepakanka – svarbu įsitikinti, kad duomenis tikrai galima atkurti laiku ir patikimai.

6. Nuotolinė prieiga ir išorinės laikmenos

Tikriname, ar naudojamos nuotolinės prieigos priemonės, tokios kaip TeamViewer, AnyDesk ar RDP, yra valdomos saugiai: ar įjungta MFA, ar ribojama prieiga, ar peržiūrimi prisijungimų žurnalai.

Taip pat vertiname USB laikmenų naudojimą, AutoRun / AutoPlay nustatymus ir galimą duomenų išnešimo arba kenkėjiško turinio paleidimo riziką.

7. Incidentų valdymas ir darbuotojų pasiruošimas

Vertiname, ar organizacijoje yra aiški incidentų registravimo ir reagavimo tvarka, ar darbuotojai žino, kaip pranešti apie galimą duomenų saugumo pažeidimą, phishing laišką ar neteisėtą prieigą.

Taip pat rekomenduojame periodinius darbuotojų mokymus apie phishing, slaptažodžių saugumą, dokumentų saugojimą, USB laikmenas ir incidentų pranešimą.

8. BDAR ir IT saugumo dokumentacija

Audito metu įvertiname, kokių dokumentų organizacijai trūksta arba kuriuos reikėtų atnaujinti. Dažniausiai reikalingi šie dokumentai:

• asmens duomenų tvarkymo veiklos įrašai;
• duomenų klasifikavimo politika;
• duomenų saugojimo terminų ir retencijos tvarka;
• prieigos teisių matrica;
• slaptažodžių, MFA ir administratoriaus teisių valdymo politika;
• įrenginių šifravimo politika;
• atsarginių kopijų ir atkūrimo testavimo tvarka;
• incidentų valdymo procedūra;
• USB laikmenų naudojimo tvarka;
• nuotolinės prieigos politika;
• darbuotojų išėjimo iš darbo IT procedūra;
• darbuotojų saugumo mokymų įrodymai.

Ką gaunate po audito?

Po BDAR audito pateikiame aiškią ir praktiškai pritaikomą ataskaitą, kurioje nurodoma:

• audito tikslas ir apimtis;
• naudoti vertinimo šaltiniai;
• pagrindinės BDAR ir IT saugumo rizikos;
• darbo vietų ir sistemų būklės suvestinė;
• techninių kontrolės priemonių įvertinimas;
• organizacinių procesų įvertinimas;
• prioritetinės rekomendacijos;
• minimalus veiksmų planas;
• rekomenduojami dokumentai BDAR ir IT saugumo bylai;
• galutinė išvada ir siūlomi įgyvendinimo terminai.

Ataskaita parengiama suprantama kalba, kad ją galėtų naudoti ne tik IT specialistai, bet ir vadovybė, administracija ar atsakingi darbuotojai.

Pagrindinės audito naudos

Aiškiai matomos rizikos

Padedame suprasti, kuriose vietose organizacija turi didžiausias asmens duomenų ir informacijos saugumo rizikas.

Praktinės rekomendacijos

Pateikiame ne teorines, o konkrečias rekomendacijas: ką įjungti, ką sutvarkyti, ką dokumentuoti ir kokia tvarka tai atlikti.

Prioritetinis veiksmų planas

Rekomendacijos suskirstomos pagal prioritetą ir terminus, kad būtų aišku, ką reikia atlikti pirmiausia.

Pasiruošimas klientų ir partnerių patikroms

BDAR auditas padeda pasiruošti klientų, partnerių, tiekėjų, ISO ar kitų atitikties vertinimų klausimynams.

Mažesnė duomenų nutekėjimo rizika

Įgyvendinus rekomendacijas sumažinama neteisėtos prieigos, duomenų praradimo, nevaldomų kopijų ir incidentų rizika.

Kam tinkama ši paslauga?

BDAR auditas tinkamas:

• mažoms ir vidutinėms įmonėms;
• paslaugų įmonėms;
• finansų, teisės, sveikatos, švietimo ar konsultacijų sektoriaus organizacijoms;
• įmonėms, kurios tvarko klientų ar darbuotojų duomenis;
• organizacijoms, kurios nori pasiruošti ISO, DORA, klientų ar partnerių saugumo patikroms;
• įmonėms, kurios neturi vidinio IT saugumo specialisto;
• organizacijoms, kurios nori aiškaus ir praktiško veiksmų plano.

Dažniausiai nustatomos rizikos

BDAR audito metu dažnai aptinkame šias rizikas:

• neįjungta MFA / 2FA apsauga;
• nešifruoti kompiuterių diskai;
• nesaugomi arba neaiškiai saugomi BitLocker recovery raktai;
• per silpna slaptažodžių politika;
• darbuotojai dirba su administratoriaus teisėmis;
• naudojamos bendros paskyros;
• dokumentai laikomi lokaliai kompiuteriuose;
• nevaldomi PST el. pašto archyvai;
• nėra aiškios atsarginių kopijų atkūrimo testavimo tvarkos;
• neaiškiai valdomos USB laikmenos;
• naudojamos nuotolinės prieigos programos be pakankamos kontrolės;
• nėra incidentų registravimo ir reagavimo procedūros;
• trūksta BDAR ir IT saugumo dokumentacijos.

Kodėl verta rinktis Zillion Consulting?

Zillion Consulting BDAR auditą atlieka praktiškai – vertiname ne tik tai, kas parašyta dokumentuose, bet ir tai, kaip sistemos, darbo vietos bei procesai veikia realybėje.

Mūsų stiprybė – IT, kibernetinio saugumo ir organizacinių procesų supratimas. Todėl galime ne tik identifikuoti rizikas, bet ir pasiūlyti konkrečius techninius sprendimus: MFA, BitLocker, Microsoft 365, Google Workspace, atsarginių kopijų, prieigos teisių, nuotolinės prieigos ir įrenginių valdymo srityse.