Oferta
Aktualności

Zobacz przyszłość chmury obliczeniowej i wirtualizacji.

więcej

Zaproszenie na seminarium "Symantec w drodze"

więcej

ITNS Polska odnowiło certyfikację Cisco Premier

więcej

Nasi klienci

Usługi » Audyty bezpieczeństwa


Audyt bezpieczeństwa sieci

Coraz większe zagrożenie dla firm stanowi ich własna sieć komputerowa. Dzieje się tak dlatego, że firmy uzależniły swoją działalność od krytycznych usług informatycznych i nagły ich brak prowadzi do bardzo wymiernych strat wynikających z jej braku ciągłości „działania”. Każda firma podłączona do Internetu stanowi potencjalny cel ataku hackerów, crackerów, złodziei informacji czy też niezadowolonych pracowników. Ataki mogą zatem być przeprowadzane z zewnątrz bądź wewnątrz sieci, dotyczyć urządzeń sieciowych lub systemów operacyjnych stanowisk roboczych i serwerów.

Z racji specjalizacji w problematyce security zajmujemy się wieloma elementami związanymi z bezpieczeństwem m.in. firewall’e jako klasyczne bramy filtrujące i weryfikujące pożądany ruch sieciowy, IDS/IPS – System detekcji i prewencji włamań, rozwiązania VPN na bazie technologii IPSec, SSL. Istotne jest również systematyczne podejście do zagadnień związanych z projektowaniem bezpiecznych sieci. Wzorujemy się na sprawdzonych najlepszych praktykach zgodnych z SAFE opracowanych i zebranych przez firmę CISCO. Aktualny stan implementacji różnych elementów bezpieczeństwa weryfikujemy poddając go audytowi bezpieczeństwa. Typowa procedura przewiduje następujące działania:

Analiza usług

Dokonana zostanie analiza usług udostępnianych zdalnie, jak również lokalnie, na systemach poddanych audytowi. W raporcie przedstwiamy następujące informacje:


Analiza topologii sieci

Dokonujemy analizy logicznej topologii sieci oraz reguł kontroli dostępu na routerach i firewallach. W raporcie przedstawiamy następujące informacje:


Analiza bezpieczeństwa systemów operacyjnych oraz aplikacji

Przy pomocy narzędzi (IBM ISS Internet Scanner, NeWT Security Scanner dawniej Nessus, NMap) wykonujemy audyt systemu, analizujący poziom zabezpieczeń „od wewnątrz”. Na podstawie raportu wygenerowanego przez skanery oraz wniosków z analizy usług i analizy topologii przygotowujemy raport zawierający m.in.:


Przy audycie bezpieczeństwa systemów operacyjnych oraz aplikacji na systemie Windows NT/2000/XP/Vista wykonywane są m. in. testy badające:


Przy audycie bezpieczeństwa systemów operacyjnych oraz aplikacji na systemach unixowych wykonujemy m.in. testy badające:


Analiza penetracyjna

Przy pomocy narzędzi testujemy podatność na znane ataki, analizujący odporność systemu „z zewnątrz” i „wewnątrz”. Na podstawie raportu wygenerowanego przez skanery oraz wniosków z analizy usług i analizy topologii przygotowujemy raport zawierający:


Weryfikacja pouadytowa

Po wykonaniu audytu bezpieczeństwa sieci oraz przekazaniu raportu poaudytowego ustalony zostaje okres naprawczy w trakcie, którego klient powinien wykonać niezbędne czynności w celu wyeliminowania nieprawidłowości wskazanych w raporcie. Po upływie tego okresu następuje kolejna weryfikacja (tzw. audyt kontrolny), na bazie której zostaje przygotowany raport końcowy. Zawiera on informacje o przeprowadzonych przez klienta czynnościach naprawczych wskazanych w raporcie poaudytowym w celu zminimalizowania zagrożeń mających wpływ na bezpieczeństwo sieci.
Raport końcowy zawiera m.in.:


Audyt bezpieczeństwa informacji

Postępujący rozwój technologii w zakresie informatyki i telekomunikacji doprowadził do sytuacji, że informacja jest jednym z njważniejszych, a często najważniejszym aktywem każdej organizacji. Utrata danych w wyniku zdarzeń losowych lub też zaplanowanych ataków powoduje bardzo poważne konsekwencje w działalności każdego przedsiębiorstwa.

Firmy, które zdają sobie sprawę ze skutków utraty informacji coraz częściej decydują się na sprawdzenie bezpieczeństwa informacji wewnątrz swojej organizacji. W tym celu przeprowadzane są audyty bezpieczeństwa informacji, które stanowią podstawę do nowego podejścia w działalności przedsiębiorstwa – do ochrony informacji. Przprowadzenie audytu pozwala zorientować się kierownictwu w aktualnym poziomie bezpieczeństwa informacji oraz zaplanować działania mające na celu ograniczenie ryzyka utraty informacji.

Ofertowany przez ITNS Polska Sp. z o.o. audyt bezpieczeństwa informacji jest przeprowadzany na podstawie polskich i międzynarodowych standardów dotyczących tej tematyki, m.in. normy PN-ISO/IEC 27001:2007 oraz PN-ISO/IEC 17799. Standardy te przedstawiają zbiór praktycznych wymagań dotyczących zarządzania bezpieczeństwem informacji w organizacjach.

Istotną cechą normy PN-ISO/IEC 17799 jest powiązanie potencjalnych zagrożeń zewnętrznych, powszechnie uznawanych za najbardziej niebezpieczne z analizą zagrożeń wewnętrznych. Oznacza to, że w rozumieniu normy nie tylko partnerzy rynkowi, dostawcy i odbiorcy mogą stanowić potencjalne zagrożenie dla informacji gospodarczych, równie istotne są zagrożenia wewnętrzne, związane z pracownikami.

Z normy wynika, że struktura zagrożeń organizacji oparta jest na czterech podstawowych elementach: (pracownikach, procesach biznesowych, stosowanych technologiach, strukturze organizacyjnej, która określa odpowiedzialność i uprawnienia). Każdy z przedstawionych elementów może stanowić dla nas potencjalne źródło zagrożeń wewnętrznych. Systemy, informacyjne w tym, np. teleinformatyczne przez swoją specyfikę oraz możliwość łączenia się bez względu na odległość i porę dnia muszą być traktowane w kategorii zagrożeń wewnętrznych oraz zewnętrznych - każda organizacja musi indywidualnie zdecydować ostatecznie, jaka rola zostanie im przypisana.

Norma PN-ISO/IEC 17799 definiuje poszczególne elementy kontroli i sterowania bezpieczeństwem informacji, podporządkowanych 10 grupom wymagań, co pozwala organizacji na zidentyfikowanie najlepszych zabezpieczeń w kontekście jej specyfiki działalności, otoczenia rynkowego oraz potrzeb w powyższym zakresie. Norma dotyczy wszystkich form informacji, w tym także ustnych i graficznych, powstających z wykorzystaniem telefonów komórkowych i faksów. Standard uwzględnia najnowsze formy działalności gospodarczej oraz możliwości komunikacji w dzisiejszym rozwiniętym technologicznie biznesie. Poniżej krótko opisano poszczególne rozdziały normy.


Audyt bezpieczeństwa informacji - metodyka

Audyt bezpieczeństwa informacji składa się z dwóch części, organizacyjnej oraz informatycznej. Ze względu na fakt wykorzystania przez przedsiębiorstwa technologii w codziennej działalności część informatyczna jest zazwyczaj kilka razy bardziej praco i czasochłonna od części organizacyjnej.


CZĘŚĆ ORGANIZACYJNA

Część ta jest przeprowadzana w oparciu o listę punktów bezpieczeństwa. Konsultanci ITNS na podstawie listy stosują następujące techniki audytu:


Podczas audytu badaniu zostaną poddane w szczególności następujące obszary organizacji:


Proces audytu zostaje poprzedzony wizytą konsultantów w organizacji klienta. Podczas wizyty analizie jest poddawana funkcjonująca dokumentacja oraz ramowy plan przeprowadzenia audytu.

CZĘŚĆ INFORMATYCZNA

Część informatyczna została dokładnie omówiona pod adresem (link do Audyt bezpieczeństwa sieci) ponieważ bezpieczeństwo sieciowe jest jednym ze składników bezpieczeństwa informacji.

WERYFIKACJA POUADYTOWA

Efektem przeprowadzonego audytu jest raport poaudytowy zawierający:


Po wykonaniu audytu bezpieczeństwa informacji oraz przekazaniu raportu poaudytowego ustalony zostaje okres naprawczy w trakcie, którego klient powinien wykonać niezbędne czynności w celu wyeliminowania nieprawidłowości wskazanych w raporcie. Po upływie tego okresu następuje kolejna weryfikacja (tzw. audyt kontrolny), na bazie której zostaje przygotowany raport końcowy. Zawiera on informacje o przeprowadzonych przez klienta czynnościach naprawczych wskazanych w raporcie poaudytowym w celu zminimalizowania zagrożeń mających wpływ na bezpieczeństwo informacji.

Klient po otrzymaniu raportu ma możliwość wykorzystania go do dalszych prac nad minimalizacją ryzyka utraty informacji oraz wykorzystania go do dalszych prac nad wdrażaniem polityki bezpieczeństwa informatycznego lub systemu zarządzania bezpieczeństwem informacji.


Audyty legalności oprogramowania

Zarządzanie oprogramowaniem jest to proces zapewniający pełną kontrolę nad licencjami, dający pewność, iż są one wykorzystywane w sposób zgodny z prawem i przynoszą maksimum korzyści.
Podstawą efektywnego zarządzania zasobami informatycznymi jest wiedza o tym, jakie stacje robocze, serwery, systemy operacyjne i aplikacje wchodzą w ich skład. Sposobem uzyskania wyczerpujących i aktualnych informacji o zainstalowanym oprogramowaniu, posiadanych licencjach oraz zasobach sprzętowych jest audyt oprogramowania. Pozwala on zoptymalizować zakupy i umożliwia administratorom szybsze i bardziej precyzyjne reagowanie - zwłaszcza w sytuacjach awaryjnych.
ITNS Polska jako Microsoft Certified Partner wdraża zasady i procedury zarządzania oprogramowaniem na terenie całego kraju. W ramach usług audytowych zapewniamy:


Po co mi audyt oprogramowania?

Jest to częste pytanie naszych klientów, którzy wahają się przed podjęciem decyzji zlecenia audytu oprogramowania. Wystarczy odpowiedzieć na n/w pytania aby uświadomić sobie, iż zarządzanie oprogramowaniem w mojej firmie jest niezbędne:

Jeśli odpowiedziałeś „nie” na którekolwiek z tych pytań lub, jeśli nie jesteś pewien jak na nie odpowiedzieć powinieneś przeprowadzić audyt oprogramowania a następnie wdrożyć system zarządzania oprogramowaniem.