Poslovni sustav rijetko otkaže bez upozorenja. Neobični pokušaji prijave, sporiji poslužitelji, računi korisnika koji su ostali aktivni nakon odlaska zaposlenika ili backup koji nitko nije testirao obično su prvi signali. Pitanje kada napraviti sigurnosni audit sustava zato ne treba čekati do prvog ozbiljnog incidenta. Audit je kontrolirana provjera stvarnog stanja sigurnosti, dostupnosti i upravljanja IT okruženjem prije nego što propust preraste u prekid poslovanja, gubitak podataka ili reputacijsku štetu.
Za upravu i IT menadžment audit nije samo tehnička vježba. On daje jasan odgovor na važna poslovna pitanja: gdje su najveći rizici, tko ima pristup ključnim podacima, može li se tvrtka oporaviti nakon incidenta i koje investicije imaju stvarni prioritet. Dobar audit ne proizvodi dugu listu nejasnih nalaza, već provediv plan zaštite usklađen s poslovanjem.
Kada napraviti sigurnosni audit sustava
Najbolji trenutak za audit je prije promjene, ne nakon problema. Ipak, postoje situacije u kojima provjeru treba pokrenuti odmah, bez odgode. Organizacije koje ovise o dostupnosti poslovnih aplikacija, mreže, e-pošte, ERP-a, proizvodnih sustava ili osjetljivih baza podataka ne mogu se osloniti na pretpostavku da je sustav siguran samo zato što radi bez vidljivih poteškoća.
Nakon većih promjena infrastrukture
Svaka značajnija promjena uvodi novi skup rizika. To uključuje migraciju na Microsoft 365 ili cloud okruženje, zamjenu poslužitelja, uvođenje novog ERP-a ili CRM-a, spajanje lokacija putem VPN-a, postavljanje rada na daljinu te integraciju vanjskih aplikacija i partnera.
Promjena može biti tehnički uspješno završena, a da pritom ostanu otvoreni administratorski računi, preširoke dozvole, neadekvatna mrežna segmentacija ili nedovoljno zaštićene sigurnosne kopije. Audit nakon projekta provjerava je li novo rješenje postavljeno prema stvarnim sigurnosnim zahtjevima, a ne samo prema minimalnim uvjetima za puštanje u rad.
Kada se mijenjaju ljudi i odgovornosti
Promjene zaposlenika često stvaraju sigurnosne propuste koje tvrtke ne vide odmah. Korisnički računi bivših zaposlenika mogu ostati aktivni, zajedničke lozinke mogu biti poznate osobama koje više nisu ovlaštene, a administrativne ovlasti se kroz godine dodjeljuju bez jasnog pregleda i redovitog ukidanja.
To je posebno osjetljivo u financijama, upravi, prodaji, ljudskim resursima i IT-u, gdje jedan račun može otvoriti pristup velikoj količini podataka. Sigurnosni audit provjerava identitete, privilegije, način odobravanja pristupa i evidenciju aktivnosti. Cilj nije otežati rad zaposlenicima, već osigurati da svaka osoba ima pristup samo onome što joj je potrebno za posao.
Nakon sigurnosnog incidenta ili sumnjive aktivnosti
Phishing poruka, kompromitirani korisnički račun ili sumnjiva mrežna aktivnost nisu izolirani događaji koje treba samo brzo zatvoriti. Ako je napadač došao do jedne pristupne točke, potrebno je provjeriti koliko se daleko mogao kretati kroz sustav i postoje li isti propusti na drugim dijelovima infrastrukture.
Nakon incidenta audit treba obuhvatiti zapise prijava, konfiguraciju zaštite krajnjih uređaja, pravila na vatrozidu, udaljene pristupe, administrativne račune, zakrpe sustava i stanje backupa. Brza reakcija je nužna, ali jednako je važno utvrditi uzrok. Bez toga se organizacija može vratiti u redovan rad s istom ranjivošću koja je problem i stvorila.
Prije ugovaranja novih obveza ili suradnje s partnerima
Tvrtke koje ulaze u suradnju s većim klijentima, obrađuju više osobnih podataka, sudjeluju u natječajima ili preuzimaju ugovorne obveze vezane uz sigurnost trebaju znati stvarno stanje svoje infrastrukture. Upitnici o zaštiti podataka i informacijskih sustava sve su češći dio komercijalnih pregovora.
Audit tada pruža dokaz da organizacija upravlja sigurnosnim rizicima sustavno. Također otkriva nesklad između ugovornih obećanja i operativne prakse. Primjerice, tvrtka može ugovorom jamčiti redovite sigurnosne kopije, a da se oporavak podataka nije testirao mjesecima. Razlika između kopije koja postoji i kopije iz koje se sustav može obnoviti može biti presudna.
Znakovi da provjeru ne treba odgađati
Neki pokazatelji ne znače nužno da je došlo do proboja, ali traže stručnu provjeru. Posebno su relevantni kada se pojavljuju istodobno ili se ponavljaju bez jasnog objašnjenja.
- Zaposlenici dobivaju neuobičajene poruke za prijavu, zahtjeve za promjenu lozinke ili obavijesti o pristupu s nepoznatih lokacija.
- Poslužitelji, mrežna oprema ili poslovne aplikacije povremeno usporavaju, gube dostupnost ili stvaraju neobjašnjive pogreške.
- IT tim nema ažuran popis uređaja, softvera, korisničkih računa, licencija i administrativnih ovlasti.
- Sigurnosne kopije postoje, ali nema redovitog testa vraćanja podataka ni dokumentiranog plana oporavka.
- Sustavi koriste zastarjele operativne sustave, aplikacije ili mrežnu opremu za koju više nema sigurnosnih nadogradnji.
Kod manjih organizacija posebno je čest problem oslanjanje na jednog zaposlenika ili vanjskog suradnika koji poznaje cijeli sustav. Takav model može funkcionirati godinama, ali predstavlja operativni rizik ako nema dokumentacije, podijeljenih odgovornosti i kontroliranog pristupa. Audit u tom slučaju nije procjena rada pojedinca, nego način da poslovanje postane manje ovisno o jednoj osobi.
Što sigurnosni audit treba obuhvatiti
Opseg ovisi o veličini organizacije, djelatnosti, tipu podataka i složenosti infrastrukture. Proizvodna tvrtka s više lokacija nema iste prioritete kao računovodstveni servis ili ured s dvadesetak zaposlenika. Ipak, kvalitetan audit uvijek povezuje tehničke kontrole s poslovnim posljedicama.
Provjeravaju se mreža, vatrozid, bežične mreže, udaljeni pristup, poslužitelji, radne stanice, mobilni uređaji, identiteti korisnika i privilegirani računi. Jednako su važni antivirusna i EDR zaštita, upravljanje zakrpama, e-pošta, zaštita od phishinga, sigurnosne kopije, plan oporavka te nadzor događaja i zapisa.
Posebnu pozornost treba dati podacima. Gdje se nalaze? Tko im pristupa? Jesu li šifrirani tijekom prijenosa i pohrane? Koliko dugo se čuvaju? Odgovori na ta pitanja često otkrivaju rizike koji nisu vidljivi kroz samu konfiguraciju uređaja.
Audit bi trebao uključiti i pregled procesa: kako zaposlenik dobiva pristup, kako se prijavljuje incident, tko odobrava promjene te tko provjerava uspješnost backup zadataka. Sigurnost nije samo pitanje tehnologije. Loše definirana procedura može poništiti vrijednost kvalitetne opreme i licenciranog softvera.
Godišnji audit ili kontinuirana provjera?
Za većinu organizacija godišnji sigurnosni audit je razuman minimum, osobito ako se infrastruktura mijenja, raste broj zaposlenika ili tvrtka obrađuje osjetljive podatke. Međutim, godišnja provjera nije zamjena za kontinuirano održavanje. Zakrpe, nadzor, pregled sigurnosnih kopija i upravljanje korisničkim pristupima moraju biti dio redovnog operativnog rada.
U okruženjima s višim rizikom, poput financija, zdravstva, proizvodnje, logistike ili tvrtki koje rade s većim brojem klijenata i vanjskih integracija, smisleno je provoditi ciljane provjere češće. Nakon migracije, incidenta ili veće reorganizacije ne treba čekati sljedeći godišnji termin.
Važno je izbjeći i drugu krajnost: audit bez prioriteta. Nije svaka tehnička preporuka jednako hitna. Najprije se rješavaju propusti koji mogu omogućiti neovlašteni pristup, zaustaviti poslovanje ili onemogućiti oporavak podataka. Nakon toga slijede poboljšanja koja povećavaju otpornost, preglednost i dugoročnu upravljivost sustava.
Kako audit pretvoriti u poslovnu prednost
Vrijednost audita nastaje nakon nalaza. Izvještaj mora jasno razdvojiti kritične, visoke, srednje i niže rizike, objasniti poslovni utjecaj te predložiti odgovornu osobu i realan rok provedbe. Uprava tada može donositi odluke na temelju činjenica, umjesto procjena ili reakcije pod pritiskom.
Dobar plan obično kombinira brze korekcije, poput uklanjanja nepotrebnih računa i uključivanja višefaktorske autentifikacije, s dugoročnim mjerama kao što su obnova zastarjele infrastrukture, segmentacija mreže, unapređenje nadzora i testiranje oporavka. Trošak ovisi o stanju sustava, ali cijena planskog rješavanja propusta gotovo je uvijek predvidljivija od cijene prekida rada.
CarPen Rebuild pristupa auditu kao početnoj točki za sigurnije i stabilnije IT okruženje, s preporukama koje se mogu provesti bez nepotrebnog opterećenja poslovanja. Najkorisniji audit nije onaj s najviše tehničkih izraza, nego onaj nakon kojeg uprava zna što treba učiniti prvo, zašto to radi i kako će mjeriti napredak.
Ako niste sigurni kada je posljednji put provjereno tko ima pristup podacima, može li se backup doista vratiti ili jesu li ključni sustavi zaštićeni od poznatih prijetnji, vrijeme za audit vjerojatno je već došlo.