Bezpečnostní audit (security audit)

Příklady z praxe

1. 01

   Audit přístupů v e-shopu

   E-shop si objedná bezpečnostní audit před rozšířením platebních metod. Auditor zjistí, že administrátorské účty nemají vynucené dvoufaktorové ověření a že bývalý dodavatel má stále aktivní přístup do produkce. Výsledkem je seznam nápravných kroků, odebrání neplatných účtů a nové pravidlo pro revizi přístupů po ukončení spolupráce.

2. 02

   Veřejné cloudové úložiště

   SaaS tým prochází auditem cloudové infrastruktury po rychlém růstu služby. Kontrola najde úložiště s citlivými exporty, které nemá v infrastruktuře jako kód výslovně zakázané veřejné zásady. Tým doplní ochranné nastavení do Terraformu a auditor při opakované kontrole ověří, že se změna promítla do všech prostředí.

   resource "aws_s3_bucket_public_access_block" "uploads" {
     bucket                  = aws_s3_bucket.uploads.id
     block_public_acls       = true
     block_public_policy     = true
     ignore_public_acls      = true
     restrict_public_buckets = true
   }

Časté omyly

MýtusBezpečnostní audit je jen automatický sken zranitelností.

Ve skutečnostiBezpečnostní audit může využít skenery, ale samotný audit zahrnuje také procesy, odpovědnosti, konfigurace, důkazy a řízení rizik. Automatický nástroj obvykle nepozná, zda firma správně odebírá přístupy nebo zvládne incident.

MýtusKdyž audit dopadne dobře, systém je bezpečný.

Ve skutečnostiBezpečnostní audit hodnotí stav v určitém rozsahu a čase. Nová změna v aplikaci, uniklý účet nebo špatná konfigurace mohou riziko znovu otevřít, proto je důležitá pravidelná kontrola a ověřování nápravy.

Časté dotazy

Kdo má bezpečnostní audit provádět?

Bezpečnostní audit by měl provádět člověk nebo tým, který rozumí kontrolované technologii, má zkušenost s riziky a není přímo odpovědný za posuzovaný výsledek. Interní audit zná prostředí a bývá rychlejší, externí audit přináší nezávislejší pohled a větší váhu vůči zákazníkům nebo regulátorům. U citlivých systémů dává smysl kombinace interní přípravy, externí kontroly a následného ověření nápravy.

Co připravit před začátkem bezpečnostního auditu?

Bezpečnostní audit potřebuje předem jasný rozsah, kontaktní osoby, architekturu systému, seznam aktiv, pravidla přístupů, relevantní smlouvy, bezpečnostní politiky a ukázky provozních důkazů. Typické důkazy zahrnují exporty účtů, konfigurace, záznamy o změnách, výsledky skenů, dokumentaci záloh a incidentní postupy. Kvalitní příprava zkracuje rozhovory a snižuje riziko, že auditor bude hodnotit neúplný obraz.

Může bezpečnostní audit nahradit penetrační test?

Bezpečnostní audit nemá automaticky nahradit penetrační test, protože oba nástroje odpovídají na jinou otázku. Audit hodnotí, zda organizace má funkční pravidla, kontroly a důkazy o jejich dodržování. Penetrační test prakticky zkouší vybrané útoky proti systému. Pokud firma potřebuje ověřit exploitovatelnost konkrétní aplikace, audit samotný obvykle nestačí.

Jak se pozná kvalitní nález z bezpečnostního auditu?

Dobrý auditní nález popisuje konkrétní problém, riziko, důkaz, dopad a doporučenou nápravu. Bezpečnostní audit by neměl produkovat jen obecné fráze typu „zlepšit zabezpečení“. Použitelný nález například uvede dotčený systém, nesprávné oprávnění, způsob ověření a důvod, proč může chyba vést k úniku dat nebo zneužití účtu.

Zdroje

1. OWASP Web Security Testing Guide(otevře se v novém okně)OWASP Foundation
2. NIST Cybersecurity Framework(otevře se v novém okně)National Institute of Standards and Technology, 2024
3. Security and Privacy Controls for Information Systems and Organizations(otevře se v novém okně)National Institute of Standards and Technology, 2020
4. ISO/IEC 27001:2022(otevře se v novém okně)International Organization for Standardization, 2022

Související pojmy

• Penetrační testPenetrační test je řízené bezpečnostní prověření systému, aplikace nebo sítě, při němž tester napodobuje postup útočníka v předem schváleném rozsahu. Cílem je najít zneužitelné slabiny, prakticky doložit jejich dopad a dodat doporučení, podle nichž tým riziko opraví, omezí nebo vědomě přijme.
• Patch managementPatch management je řízený proces vyhledávání, testování, nasazování a ověřování opravných balíčků softwaru napříč servery, aplikacemi, knihovnami i koncovými zařízeními. Zahrnuje evidenci majetku, hodnocení závažnosti zranitelností, stanovení lhůt pro nasazení, testovací prostředí, plán návratu zpět a doklad o tom, že oprava skutečně doběhla všude.
• 3-D Secure3-D Secure je protokol, který u online platby kartou ověří, že platí skutečně její držitel, typicky potvrzením v bankovní aplikaci. Při úspěšném ověření se zároveň přenáší odpovědnost za podvodnou transakci z obchodníka na vydavatele karty.
• ACIDACID je sada čtyř vlastností databázové transakce: atomicity, consistency, isolation a durability. Zaručuje, že skupina zápisů proběhne jako jeden celek, neporuší definovaná pravidla databáze, nebude se nebezpečně míchat s jinými transakcemi a po potvrzení přežije pád systému, například při převodu peněz.
• AcquirerAcquirer je finanční instituce nebo platební poskytovatel, který obchodníkovi umožňuje přijímat karetní platby a předává transakce do karetních schémat. V online platbách stojí mezi platební bránou, vydavatelem karty a obchodníkem, zajišťuje autorizaci, zúčtování, vyplacení peněz a část řízení rizik.
• Adaptive IconAdaptivní ikona je formát ikony aplikace na Androidu, který se místo jedné hotové bitmapy skládá z oddělených vrstev: pozadí a popředí. Systém výsledný tvar sám ořízne podle masky výrobce zařízení a může vrstvy animovat nebo přebarvit. Vývojář tak dodá jeden zdroj a launcher z něj vytvoří kruh, čtverec i squircle.
• Adresa v pamětiAdresa v paměti je číslo, kterým procesor jednoznačně označuje konkrétní buňku operační paměti, obvykle jeden bajt. Program pomocí adresy říká, odkud má data načíst nebo kam je zapsat. Adresy tvoří souvislý číselný rozsah, jehož velikost určuje šířka adresní sběrnice a architektura, typicky 32 nebo 64 bitů.
• AI agentAI agent je softwarový systém, který pomocí modelu umělé inteligence vnímá zadaný kontext, plánuje další kroky a samostatně volá nástroje nebo služby k dosažení cíle. Na rozdíl od jednorázového promptu udržuje stav úlohy, vyhodnocuje výsledky akcí a může opakovat postup, dokud nesplní zadání nebo nenarazí na limit.