Teknisk audit:
kontrolpunkter, målestok og bevis
Når opsætningen skal efterses, lander arbejdet hos driften: give læseadgang, trække udtræk, forklare undtagelser og rette fundene bagefter. Sitet tager de tekniske kontrolpunkter et ad gangen og siger for hvert, hvad der læses i opsætningen, hvilken målestok indstillingen holdes op imod, og hvilket udtræk der viser det. Meget af det kan I måle selv uden hjælp udefra.
Teksterne er skrevet til IT-chefen, den driftsansvarlige og de specialister, der kender katalog, lejer, firewall og backup indefra. Målestokkene er læst i kilden: Styrelsen for Samfundssikkerhed, statens tekniske minimumskrav, bilaget til forordning (EU) 2024/2690, DORA’s tekniske standard, NIST og CISA samt producenternes egne baselines. Hvor en regel kun binder bestemte virksomheder, står det. Der står ingen beløb.
Hvor står I?
Det er tit en bestemt anledning, der sætter gennemgangen i gang. Vælg den, der ligner jeres.
- I skal forklare, hvad en teknisk gennemgang overhovedet er Adgang, omfang og det, der ligger udenfor.
- I skal vælge, hvad opsætningen måles imod Benchmark, producentens baseline eller myndighedens vejledning.
- Driften skal trække udtræk før start Tegning, systemliste og listerne fra systemerne.
- I er usikre på, hvem der reelt har MFA Reglerne, der håndhæver, og dem, de ikke rammer.
- Ingen kan sige, hvem der er administrator Én liste trukket fra alle systemerne.
- Firewallen har regler, ingen kan forklare Regel for regel med tre spørgsmål.
- Backuppen er aldrig prøvet af Mål, protokol og tid.
- Scanneren giver flere sårbarheder, end I kan rette En rækkefølge, der kan begrundes.
- En ny leverandør overtager driften Opsætningen fastholdt, før ansvaret skifter.
- I har fået en rapport og skal lave en plan Indstillinger nu, projekter senere.
Tre veje ind
- Identitet og adgang Konti, administratorer, MFA og betinget adgang.
- Backup og gendannelse Dækning, beskyttelse og prøvet gendannelse.
- Logning og overvågning Kilder, opbevaring, tid og alarmer.
Gennemgangen lag for lag
- Hvad en teknisk gennemgang er Teknikker, adgang, omfang og anledninger.
- Målestokke Hvad hver indstilling holdes op imod.
- Bevis og metode Udtræk, historik, samtaler og alvorlighed.
- Klienter og mobile enheder Makroer, kryptering, beskyttelse og telefoner.
- Servere og platforme Serverroller, domænecontrollere, databaser og kæder.
- Netværk og fjernadgang Regelsæt, segmentering, VPN og DNS.
- E-mail og domæner SPF, DKIM, DMARC og registratoren.
- Cloud-lejere Microsoft 365, Google Workspace, Azure og AWS.
- Sårbarhedsstyring Opdateringsniveau, scanning og frister.
- Fund og opfølgning Rapport, plan, rettelser og ny måling.
Det, I finder her
Ét kontrolpunkt pr. artikel. Hver tekst tager en afgrænset del af opsætningen og siger, hvad der læses, hvilken indstilling der er forventet, og hvordan en afvigelse ser ud i et udtræk. Sitets kontrolpunkter følger lagene i miljøet fra kataloget og ud til kantudstyret.
Kilden står ved tallet. Intervaller og tal skrives kun, hvor en kilde har dem, og kun for de virksomheder, kilden gælder. Statens minimumskrav binder staten, DORA binder den finansielle sektor, og bilaget til forordning 2024/2690 binder de digitale tjenesteudbydere, det nævner. For alle andre er de målestokke, I kan vælge at bruge.
Udtrækket tæller. En politik, der kræver en indstilling, viser hensigten. Det, der viser tilstanden, er status trukket fra maskinerne, lejeren eller regelsættet med tidspunkt og kommando. Nederst i hver artikel står det, en gennemgang skal kunne vise.
Læsning, ikke angreb. En teknisk gennemgang læser opsætning, regelsæt og logs og ændrer intet. Den afprøver ikke, om en svaghed kan udnyttes; det er en penetrationstest, som er en anden opgave. Forskellen står i gennemgang, scanning eller penetrationstest.
Når en gennemgang ikke er næste skridt
Mangler systemlisten, eller ved ingen, hvilke lejere og regelsæt der findes, begynder arbejdet med systemlisten bygget fra systemerne selv. En stor del af kontrolpunkterne kan driften afkrydse selv, og egen kontrol eller andres øjne skiller dem fra de valg, der bør efterses af andre. Skal hele organisationen auditeres, også ledelse og processer, hører det til den almene sikkerhedsaudit. Vil I kontrollere en driftsleverandør som kunde, så se audit af IT-leverandøren.
Hjælp udefra
Ønsker I, at en uvildig part læser opsætningen og holder den op mod en aftalt målestok, kan Nielco IT stå for gennemgangen. Arbejdet er uafhængigt og uden forhandleraftaler, så fundene peger på indstillinger og ikke på produkter, og konklusionen kan sagtens blive, at det meste af opsætningen holder. Der udstedes ingen certifikater eller erklæringer, og der testes ikke ved at angribe. Forløb og niveauer står under Få hjælp.
Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.
De nyeste artikler står nederst på siden.
Næste skridt
Læs også: Valg af målestok · Spørgsmål om teknisk audit
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
