Zintegrowany audyt bezpieczeństwa ProSentinel
Wiesz, że warto sprawdzić bezpieczeństwo firmy, ale nie wiesz, od którego obszaru zacząć. Ustalimy zakres audytu i ocenimy go na podstawie dostępnego materiału.
Jeden audyt, z modułami dobranymi do pytania i działania organizacji. Może objąć wybrany proces lub kilka powiązanych obszarów. Zakres, kryteria i wyłączenia uzgadniamy przed rozpoczęciem pracy.
01 / Zakres do wyboru
Dobór modułów wynika z potrzeb, dostępności materiału i naszych kompetencji. Nie musisz zamawiać wszystkich obszarów.
Co źródła otwarte ujawniają o firmie, osobach i powiązaniach istotnych dla jej działania.
Uzgodnione identyfikatory, źródła otwarte i kontekst przekazany przez organizację.
Ocena ujawnień, ich znaczenia i informacji wymagających weryfikacji.
Powiązane kompetencje usługoweJakie sygnały dotyczące kont, danych i obecności organizacji są dostępne w źródłach zewnętrznych.
Legalnie dostępne źródła zewnętrzne oraz materiał klienta, w uzgodnionych granicach.
Mapa ekspozycji, ocena wiarygodności sygnałów i priorytety ograniczenia ujawnień.
Powiązane kompetencje usługoweJak organizacja weryfikuje rozmówców, prośby o informacje i sytuacje podatne na manipulację.
Rozmowy z uzgodnionymi osobami oraz przegląd zasad i przykładów obiegu informacji. Bez nieuzgodnionych prób wobec pracowników.
Ocena odporności procesu na socjotechnikę i wskazanie potrzeb rozwojowych zespołu.
Powiązane kompetencje usługoweJak chronione są informacje i działania istotne dla organizacji oraz gdzie powstaje możliwa do wykorzystania ekspozycja.
Uzgodniony proces, kontekst zagrożeń, dokumenty i rozmowy z osobami odpowiedzialnymi.
Ocena ryzyka dla działania oraz możliwe ograniczenia ekspozycji i zależności.
Powiązane kompetencje usługoweCzy po zdarzeniu można ustalić przebieg, zabezpieczyć potrzebny materiał i uruchomić właściwą reakcję.
Przegląd odpowiedzialności, dostępności i retencji materiału cyfrowego oraz zasad jego zabezpieczania.
Ocena gotowości DFIR, luki w dostępnym materiale i zalecenia dotyczące przygotowania do analizy.
Powiązane kompetencje usługoweNa jakich podstawach podejmowane są decyzje, jak sprawdza się informacje i czy zespół rozpoznaje granice własnych kompetencji.
Uzgodnione przykłady opracowań i decyzji, podział ról oraz rozmowy z zespołem.
Ocena luk informacyjnych i kompetencyjnych, z rekomendacją dalszych działań, jeśli są potrzebne.
Powiązane kompetencje usługowe02 / Proces
Krótka rozmowa i pytania wejściowe pozwalają określić cel, procesy, osoby kontaktowe, upoważnienie oraz granice pracy.
Przeglądamy uzgodnione dokumenty, źródła i przykłady. Rozmawiamy z osobami odpowiedzialnymi; odnotowujemy niedostępny materiał.
Porównujemy ustalenia z uzgodnionymi kryteriami. Wyjaśniamy rozbieżności z organizacją i opisujemy niepewność, zamiast zastępować ją punktacją.
Przekazujemy priorytety oraz plan poprawy. Można ustalić właścicieli działań i termin ponownej oceny wybranych ustaleń.
03 / Ocena
Dla ocenionego obszaru opisujemy stan i materiał, który go potwierdza. Nie wyliczamy zbiorczego wyniku bezpieczeństwa firmy.
Brak wystarczającego materiału oznaczamy jako „nie oceniono”, a obszar poza zakresem jako „nie dotyczy”. Nie są to najniższe oceny. Profil odnosi się do uzgodnionej próbki i momentu badania.
Priorytet ustalenia opisujemy oddzielnie od gotowości: pilna decyzja, zaplanowana poprawa lub obserwacja. Uzasadnienie uwzględnia możliwy skutek, ekspozycję, wiarygodność materiału i czas reakcji.
04 / Wynik
Raport można wykorzystać samodzielnie, z własnym zespołem lub wybranym wykonawcą. Audyt nie wymaga zakupu kolejnej usługi ani szkolenia. Ocena organizacji nie jest certyfikacją jej pracowników.
Audyt nie obejmuje pełnego testu penetracyjnego, tworzenia exploitów, operacji red team ani kampanii ofensywnej. Nie przełamujemy zabezpieczeń w ramach tego produktu. Wynik może wskazać potrzebę odrębnego badania przez właściwego wykonawcę.
To ocena w uzgodnionym zakresie kompetencji ProSentinel. Nie stanowi certyfikacji organizacji ani potwierdzenia zgodności z ISO, NIS2 lub innymi przepisami. Nie zastępuje audytu prawnego, finansowego ani pełnego badania infrastruktury IT.
Zależnie od wyniku można zlecić wyjaśnienie zdarzenia, ograniczyć ekspozycję, zaplanować rozwój zespołu albo powtórzyć wybraną część oceny.
