Co jakiś czas słyszymy, że Metodologia badań bezpieczeństwa informacji z wartością audytu (MIAW) spowodowałaby, że testy penetracyjne (testy piórowe) będą droższe. Ale czy tak jest naprawdę? Chciałbym wyjaśnić, dlaczego MIAUW przyczynia się do przejrzystości, jakości, a w wielu przypadkach nawet skutkuje oszczędnościami.

Co to jest MIAUW?

MIAUW to ustrukturyzowana metodologia przeprowadzania testów penetracyjnych (badań bezpieczeństwa technicznego). Tam, gdzie klient często nie wie, o co pytać i jak uzyskać prawdziwe wskazówki, MIAUW pomaga w zakresie wymagań zakupowych i wymagań dotyczących badań, kładąc nacisk na przejrzystość, odtwarzalność i wartość audytu. Zapewnia organizacjom jasne ramy do planowania, przeprowadzania i oceny testów piórowych oraz zapewnia udokumentowanie wszystkich kluczowych aspektów dochodzenia w sprawie bezpieczeństwa. Jest to niezbędne, aby zachować zgodność z przepisami takimi jak RODO, dyrektywa NIS2 i nadchodząca ustawa o odporności cybernetycznej (CRA). Przepisy te nakładają na osoby odpowiedzialne w organizacji (dyrektor) obowiązek wykazania, że ​​przestrzegają Państwo przepisów.

MIAUW nie powoduje, że dochodzenia dotyczące bezpieczeństwa są droższe

MIAUW nie powoduje, że dochodzenia w sprawie bezpieczeństwa są droższe, ale pomagają zapewnić zgodność

Kosten

Czasami wściekłe języki twierdzą, że zwiększyłoby to koszty testów piórowych. Ale skąd bierze się ten pomysł? Argument ten opiera się na szeregu nieporozumień. Dlatego chciałbym wyjaśnić aspekty kosztowe MIAUW:

  1. Większe obowiązki nie zawsze oznaczają wyższe koszty. MIAUW wymaga testowania podstawowych standardów bezpieczeństwa. Jeśli to powoduje, że jest droższy, co testowano wcześniej? Mniej? Nie podstawy? Test piórowy bez tych podstawowych kontroli jest po prostu niekompletny. Niestety, istnieje kilka znanych przykładów dochodzeń w sprawie bezpieczeństwa technicznego przeprowadzonych na krótko przed incydentem. Atak nie był spektakularny i przekonujący, ale po prostu oparty na podstawach, których nie sprawdzono.
  2. Możliwość ponownego użycia nie powoduje, że jest droższa, ale oszczędza koszty. MIAUW zapewnia testy piórowe wielokrotnego użytku. Korzystając z raportu audytora, organizacja może wykazać, że poprzedni test jest wiarygodny. Dzięki temu nie trzeba wielokrotnie testować tego samego oprogramowania.
  3. Ustrukturyzowana praca to wydajna praca. Ustrukturyzowane podejście, takie jak MIAUW, gwarantuje, że nic nie zostanie przeoczone. Prowadzi to do bardziej wydajnej pracy i mniejszego ryzyka błędów, co ostatecznie pozwala zaoszczędzić koszty. Testowanie nieustrukturyzowane prowadzi do większego wysiłku, aby osiągnąć to samo lub nawet gorzej: niewykonywanie ważnych badań.
  4. Koszty sprawozdania biegłego rewidenta są ograniczone, ale jego wartość jest wielka. Raport biegłego rewidenta kosztuje trochę więcej, ale oferuje dużą wartość. Zapewnia jasny i rzetelny wgląd na poziomie administracyjnym i zapobiega czasochłonnym dyskusjom.
  5. Bezpłatne modele i dokumenty. Wszystkie modele i dokumentacja dla MIAUW są dostępne bezpłatnie. Jest dostępny na zasadach open source. Obniża to barierę wejścia dla organizacji, które chcą zastosować metodologię. Korzystając z niego, nie musisz także płacić za pentest. Jako klient nie musisz (miejmy nadzieję) płacić kosztów, których nie ponosi Twój dostawca.
  6. Narzędzia przyspieszające raportowanie. Udostępnione są narzędzia ułatwiające przygotowanie raportu. Oszczędza to czas i minimalizuje obciążenia administracyjne. Przykładowo ostatnio usłyszeliśmy, że utworzenie zestawienia dostępnych plików z sumą kontrolną (liczbą kontrolną) podniosłoby cenę. Są to właśnie rzeczy, które bardzo łatwo zautomatyzować i dlatego nie oszczędzają czasu. Aby pomóc dostawcom, którzy uważają to za skomplikowane, udostępniamy skrypt usuwający tę złożoność.

Dlaczego MIAUW faktycznie oszczędza koszty

Istotą MIAUW jest zapewnienie przejrzystości i przejrzystości. Zapobiega to powielaniu pracy i zapewnia, że ​​organizacje dokładnie wiedzą, co zostało przetestowane, w jaki sposób zostało to przetestowane i jakie ustalenia zostały zarejestrowane. Umożliwia to podejmowanie bardziej świadomych decyzji i zapobiega kosztownym nieporozumieniom.

Pomysł, że MIAUW powoduje, że testy piórowe są droższe, opiera się na nieporozumieniu. W rzeczywistości MIAUW oferuje ustrukturyzowane i przejrzyste testy piórowe, które zwiększają niezawodność i w dłuższej perspektywie oszczędzają koszty. Firmy stosujące MIAUW zyskują wgląd, kontrolę i zmniejszają ryzyko, co ostatecznie prowadzi do bardziej wydajnego i skutecznego bezpieczeństwa.