Час від часу ми чуємо, що Методологія дослідження інформаційної безпеки з аудитом (MIAUW) зробить тести на проникнення (тести на перо) дорожчими. Але чи так це насправді? Я хотів би пояснити, чому MIAUW сприяє прозорості, якості та в багатьох випадках навіть призводить до економії коштів.
Що таке MIAUW?
MIAUW — це структурована методологія для проведення тестів на проникнення (дослідження технічної безпеки). Там, де клієнт часто не знає, що запитати та як отримати реальні вказівки, MIAUW допомагає з вимогами до закупівлі та вимогами до досліджень, з наголосом на прозорості, відтворюваності та цінності аудиту. Він надає організаціям чітку структуру для планування, проведення та оцінки тестування на перо, а також забезпечує документування всіх ключових аспектів розслідування безпеки. Це важливо для дотримання законодавства, наприклад GDPR, Директиви NIS2 і майбутнього Акту про стійкість до кібернетичної інформації (CRA). Це законодавство вимагає від відповідальних осіб в організації (директора) продемонструвати, що ви виконуєте законодавство.
MIAUW не робить розслідування безпеки дорожчими
MIAUW не робить розслідування безпеки дорожчими, але допомагає забезпечити відповідність
Час від часу розлючені язики стверджують, що це призведе до збільшення вартості перевірки пера. Але звідки така ідея? Цей аргумент базується на низці непорозумінь. Тому я хотів би пояснити вартісні аспекти MIAUW:
- Більше зобов’язань не завжди означає більші витрати. MIAUW вимагає перевірки основних стандартів безпеки. Якщо це робить його дорожчим, що було перевірено раніше? менше? Не основи? Проба ручкою без цих основних перевірок просто неповна. На жаль, є кілька відомих прикладів технічних розслідувань безпеки, проведених незадовго до інциденту. Атака не була грандіозною і переконливою, а просто по елементах, які не перевірялися.
- Багаторазове використання не робить його дорожчим, але заощаджує кошти. MIAUW надає багаторазові ручні тести. Використовуючи звіт аудитора, організація може продемонструвати надійність попереднього тесту. Це запобігає повторному тестуванню того самого програмного забезпечення.
- Структурована робота – ефективна робота. Структурований підхід, такий як MIAUW, гарантує, що нічого не буде пропущено. Це призводить до більш ефективної роботи та меншої ймовірності помилок, що в кінцевому підсумку заощаджує витрати. Неструктуроване тестування призводить до додаткових зусиль, щоб досягти того самого або навіть гірше: не проводити важливих досліджень.
- Витрати на аудиторський звіт обмежені, але цінність велика. Аудиторський звіт коштує трохи більше, але має велику цінність. Це забезпечує чітке та надійне розуміння на адміністративному рівні та запобігає обговоренню, яке потребує багато часу.
- Безкоштовні моделі та документи. Усі моделі та документація для MIAUW доступні безкоштовно. Він доступний з відкритим кодом. Це знижує вхідний бар’єр для організацій, які хочуть застосувати методологію. Ви також не повинні платити за пентест під час його використання. Як клієнт, ви (сподіваємося) не повинні оплачувати витрати, яких не несе ваш постачальник.
- Інструменти для прискорення звітності. Доступні інструменти, які спрощують підготовку звіту. Це економить час і мінімізує адміністративне навантаження. Наприклад, нещодавно ми почули, що створення огляду доступних файлів із контрольною сумою (контрольним числом) збільшить ціну. Це саме те, що дуже легко автоматизувати і тому не економить час. Щоб допомогти постачальникам, які вважають це складним, ми створили доступний сценарій для усунення цієї складності.
Чому MIAUW фактично заощаджує витрати
Основою MIAUW є забезпечення ясності та прозорості. Це запобігає дублюванню роботи та гарантує, що організації точно знають, що було протестовано, як це було перевірено та які висновки були зафіксовані. Це дає змогу приймати більш обґрунтовані рішення та запобігає дорогим непорозумінням.
Ідея про те, що MIAUW робить тести на перо дорожчими, заснована на непорозумінні. Насправді MIAUW пропонує структуровані та прозорі перо-тести, які підвищують надійність і заощаджують кошти в довгостроковій перспективі. Компанії, які застосовують MIAUW, отримують уявлення, контролюють і зменшують свої ризики, що зрештою призводить до більш ефективної та ефективної безпеки.