MIAUW: структурований підхід для надійних досліджень інформаційної безпеки
У світі, де ризики кібербезпеки стають дедалі складнішими, а таке законодавство, як директива NIS2 і Закон про кібернетостійкість, змушує організації демонструвати «контроль», проведення тесту на проникнення (перевірка) уже недостатньо. Питання полягає не лише в тому, чи було проведено тест, а й у тому, як і з якою достовірністю результати є надійними та відтворюваними.
Тому була розроблена Методика дослідження інформаційної безпеки з аудитом (MIAUW). Це структурована основа для тестування на проникнення, яка дозволяє компаніям і урядам з упевненістю продемонструвати, що їхні системи перевірені прозорим, повторюваним і перевіреним способом. Тепер це частина фонду LibreKAT.
Чому Мяу особливий?
Багато традиційних тестів на проникнення не мають стандартизованого підходу, що призводить до різних результатів і невпевненості щодо повноти розслідування. Мяу розроблено, щоб змінити це. Методологія гарантує, що:
- Кожен крок випробування імітований і неспростовний.
- Офіційний звіт може бути складений аудитором, щоб зовнішні сторони могли підтвердити достовірність дослідження.
- Обсяг, контекст і глибина дослідження чітко задокументовані. – Висновки оцінюються об’єктивно, щоб пріоритети були чіткими.
- Усі проведені випробування та висновки повторюються, що спрощує аудити та перевірки відповідності.
MIAUW — це не просто стандарт для тестування пера; він пропонує цілісний метод, який створює як технологічну, так і юридичну визначеність.
Відкритий код як основа прозорості та надійності
MIAUW — це методологія з відкритим кодом, що означає, що будь-хто може переглядати, використовувати та вдосконалювати принципи. Це не тільки забезпечує широку підтримку та прозорість, але й запобігає залежності від комерційних сторін, які приховують тести та результати в «чорній скриньці».
Відкритий код особливо ефективний в екосистемі. У MIAUW ми створили Коаліцію охочих партій, яким сподобався підхід. Це призвело до чудових партнерських відносин і, перш за все, багато співпраці. Зрештою, ви не зробите щось подібне поодинці. Багато людей також роблять MIAUW великим зусиллям спільноти. Наприклад, багато роботи також зробили: Єрун Діль, Міша ван Гелен, Мааіке Гілкема, Ганс ван де Луй і Віктор Поус.
Відкритий характер MIAUW дозволяє компаніям і урядам:
- Перевірте якість дослідження та звітності самостійно.
- Співпраця з незалежними експертами та аудиторами для перевірки.
- Легше відповідати вимогам комплаєнсу, оскільки методологія відповідає міжнародним стандартам.
MIAUW приєднується до цінних існуючих ініціатив, таких як знак якості CCV pentest, який пропонує стандартизований і надійний спосіб тестування та оцінки розслідувань інформаційної безпеки.
Основні технічні принципи MIAUW
Методологія базується на ряді важливих принципів, які гарантують, що перо-проби є не лише технічно досконалими, але й юридично та перевірено.
Імітаційні та доказові дослідження
MIAUW гарантує, що всі проведені тести задокументовані та піддаються перевірці. Це означає, що:
- Кожен крок тесту підтверджується доказами (наприклад, знімками екрана та журналами).
- Аудитор може оцінити розслідування без необхідності його повного повторного виконання. – Зрозуміло, хто що перевіряв, як і навіщо.
Це створює контрольний слід, за допомогою якого організації можуть продемонструвати регулюючим органам, що тест було проведено правильно та повністю.
Відтворюваність і порівняння з часом
За допомогою MIAUW служби безпеки можуть порівнювати стан системи в різний час. Це надзвичайно важливо, оскільки вразливості не завжди виявляються відразу, а активуються або використовуються пізніше.
- Методика фіксує, які тести були проведені та які були результати.
- Це дозволяє організації легко оцінити, покращується чи погіршується стан безпеки.
- Це підтримує принцип «безперервного моніторингу безпеки», як того вимагає NIS2.
Сповіщення на основі політики з бізнес-правилами
Не всі вразливості однаково важливі, і не кожна технічна проблема становить ризик для бізнесу. MIAUW дає змогу застосовувати бізнес-правила до результатів пентесту, щоб сповіщення та звіти фільтрувалися на основі того, що стосується організації.
- Організації можуть визначати, коли та про що генеруються сповіщення.
- Це запобігає «шуму» від звітів із низьким рівнем ризику та зосереджується на тому, що справді має значення.
- Ризики поміщаються в правильний бізнес-контекст, щоб керівництво та служби безпеки могли приймати більш обґрунтовані рішення.
Мяу на практиці: кращий спосіб пентестування
MIAUW вже використовується в секторах, де безпека та відповідність є важливими, наприклад, державні органи, охорона здоров’я та фінансові послуги. Завдяки поєднанню технічного поглибленого тестування та механізмів аудиту MIAUW гарантує, що:
✅ Дослідження інформаційної безпеки забезпечують доказову достовірність, а не суб’єктивний знімок. ✅ Організації можуть краще виконувати свої обов’язки щодо відповідності та безпеки завдяки відтворюваним результатам і чітким журналам аудиту. ✅ Результати пентесту не залежать від інтерпретації одного тестувальника, а повідомляються та підтверджуються стандартизованим способом.
Отіс як талісман MIAUW
Оскільки абревіатура MIAUW нагадує котів, цілком логічно було мати кота як талісман. Саме таким став Отіс, прекрасний кіт Brenno de Winterа. Звичайно в позі, коли він нявкає. Як оцикат, Отіс має допитливий, доброзичливий і товариський характер. До речі, він трохи домінантний і не боїться дати зрозуміти, що він чогось хоче або не схвалює.
Чому Мяу змінює правила безпеки
Розробка MIAUW є прямою відповіддю на зростаючий попит на прозоре, повторюване та контрольоване перо-тестування. Дотримуючись цієї методології, організації можуть не тільки працювати більш безпечно, але й продемонструвати регуляторам, клієнтам і внутрішнім зацікавленим сторонам, що їхня політика безпеки відповідає найвищим стандартам.