Testy bezpieczeństwa infrastruktury IT często kojarzą się z jednorazowym wydarzeniem — zewnętrzna firma przeprowadza test penetracyjny, dostarcza raport, temat zamyka się do następnego roku. Bartosz Wiszniewski z Galach Consulting, prezentując na konferencji IT w Administracji organizowanej przez GigaCon, pokazywał inne podejście — testy bezpieczeństwa jako stały, powtarzalny element systemu zarządzania bezpieczeństwem informacji (SZBI), a nie punktowe wydarzenie.
Różnica jest praktyczna. Test przeprowadzony raz w roku łapie tylko te luki, które istniały w dniu testu — nowe podatności, wynikające np. z aktualizacji oprogramowania czy zmian konfiguracyjnych wprowadzonych miesiąc później, pozostają niewykryte aż do kolejnego cyklu. Regularne, częstsze testy (choćby w formie automatycznego skanowania podatności) skracają to okno ryzyka.
SZBI to dokumentacja, ale też praktyka
System Zarządzania Bezpieczeństwem Informacji, zgodny np. z normą ISO 27001, wymaga udokumentowanych procedur — ale sama dokumentacja nie chroni przed atakiem, jeśli nie przekłada się na rzeczywiste działania. Wiszniewski podkreślał, że audytorzy coraz częściej sprawdzają nie tylko istnienie procedur, ale dowody na ich faktyczne stosowanie — logi z przeprowadzonych testów, historię zgłoszonych i naprawionych podatności, dokumentację reakcji na wykryte incydenty.
Adam Parysz z ISSA Polska, prezentujący analizę incydentów bezpieczeństwa z ostatnich dwóch lat, dostarczał danych, które uzasadniają takie podejście — znacząca część udanych ataków wykorzystywała luki, które teoretycznie powinny zostać wykryte podczas rutynowych testów, gdyby były przeprowadzane wystarczająco często i wystarczająco dokładnie.
Koszt testów kontra koszt incydentu
Instytucje, które traktują regularne testy bezpieczeństwa jako zbędny wydatek, zwykle zmieniają zdanie po pierwszym poważnym incydencie — kiedy koszty naprawy szkód, powiadomienia poszkodowanych i odbudowy zaufania wielokrotnie przewyższają to, co kosztowałaby systematyczna profilaktyka. To nie jest argument teoretyczny — to wzorzec, który powtarza się w statystykach incydentów z ostatnich lat.
Jeśli odpowiadacie za bezpieczeństwo informacji w instytucji publicznej lub firmie, warto zobaczyć więcej praktycznych podejść do budowania systemu zarządzania bezpieczeństwem. Zapisz się na konferencję IT w Administracji organizowaną przez GigaCon.