Noong Nobyembre 2017, ang Forever 21, isang retailer ng damit na nakabase sa Los Angeles, ay nag-anunsyo na ang isang potensyal na paglabag sa data ay maaaring nakaapekto sa ilan sa mga customer nito. Sa pagsisiyasat, nalaman nila na ang "solusyon sa pag-encrypt at tokenization" na ipinatupad noong 2015 ay maaaring hindi gumagana sa ilan sa mga PoS machine.
Ang mga organisasyon ay nagiging mahina sa mga banta sa cyber dahil sa tumaas na pag-asa sa mga pag-unlad ng teknolohiya. Ang mga banta na ito ay hindi lamang limitado sa mga kumpanya ng Pinansyal at IT ngunit umaabot din sa iba pang mga industriya. Ang Retail Industry, halimbawa, ay maraming na-target dahil malamang na natukoy ito bilang isang mas malambot na target pati na rin ang isang mas mayamang mapagkukunan ng impormasyon ng consumer. Ang Manufacturing Industry, kasama ang pagtatasa nito sa industriya 4.0 digital na pagmamanupaktura at pagtanggap ng teknolohiya ng sensor pati na rin ang iba pang matalinong produkto ay nalantad din sa iba't ibang banta sa cyber. Ang Industry 4.0 ay ang ika-apat na rebolusyong pang-industriya sa pagmamanupaktura at industriya at nagiging mas pamilyar ito sa automation, cloud, palitan ng data at mga autonomous na teknik sa industriya. Samakatuwid, napakahalaga na magkaroon ng matatag na mga programa sa cybersecurity at tiyaking napapanahon ang mga ito at gumagana nang maayos.
Bakit Mahalaga ang Pag-audit ng Mga Programa sa Cybersecurity?
Karamihan sa mga kumpanya sa buong industriya ay may mahusay na itinatag na mga programa sa cybersecurity. Kung ang mga programang ito ay kulang ay nasa kanilang kakayahan na suriin at i-audit ang mga proseso ng seguridad at pagtiyak na ang mga ito ay tumatakbo sa naaangkop na mga pagitan. Halimbawa, kung ang ipinatupad na proseso ng seguridad ay nag-iskedyul ng buwanang pag-scan ng kahinaan, ngunit ang mga pag-update ng produkto ay inilabas nang dalawang beses sa isang buwan, maaari itong mag-iwan ng mga kahinaan na malawak na bukas o ganap na hindi nabubunyag. Ang mga paglabag na tulad nito ay maaaring hindi napapansin sa mahabang panahon; minsan ang mga puwang ay inaasikaso lamang pagkatapos maganap ang isang paglabag sa seguridad. Dahil mabilis ang pag-unlad ng mga banta sa cyber, mahalagang tiyaking epektibo at napapanahon ang iyong mga hakbang sa cybersecurity.
Magbasa Pa: Ang Papel ng Internal Audit sa Cybersecurity
Pag-audit ng mga Timeline
Sa isang tipikal na modelo ng "Tatlong Linya ng Depensa" , ang responsibilidad ng cybersecurity ay nagsisimula sa pinakamataas na antas sa pamamagitan ng CIO/CISO kasama ang audit team na nagtatapos sa balangkas ng pagkontrol sa cybersecurity at pagpapatupad ng mga patakaran at pamamaraan sa seguridad. Ang balangkas na ito na maaaring ibalangkas para sa 3 hanggang 5 taon ay dapat suriin minsan sa bawat 6-12 buwan upang matiyak na ang proseso ay epektibo.
Ang mga bitag ay madalas na nangyayari kapag ang pagsubaybay at pag-observe ay hindi isang patuloy na bahagi ng isang pamamaraan sa cybersecurity. Ang mga bagong banta at kahinaan ay patuloy na ipinakikilala sa bawat ibang araw. Upang mabawasan ang mga panganib, maraming organisasyon ang bumubuo ng isang cybersecurity committee na kadalasang pinamumunuan ng CISO. Ang komite ay pana-panahong nakikipagpulong sa lahat ng mga stakeholder upang tasahin ang mga banta at kahinaan na maaaring idagdag sa tuwing may idaragdag na third-party na imbakan ng data, o ang isang kritikal na empleyado ay umalis/sumali sa kumpanya, o kung may idaragdag na bagong hardware, software o mga server.
Ang pangalawang linya ng depensa ay may tungkuling suriin ang mga panganib at pagkakalantad na may kaugnayan sa cybersecurity. Malapit silang nakikipagtulungan sa una at ikatlong linya ng depensa upang bumuo ng mga patakaran at lumikha ng epektibong kamalayan tungkol sa cybersecurity. Tinitiyak nila na ang pag-uulat at pagkontrol ng panganib ay sapat at napapanahon sa pamamagitan ng pagsasagawa ng quarterly/half-yearly na mga pag-audit at mga pagsusuri sa pamamahala. Sinusuri rin nila ang relasyon sa mga vendor at dapat silang pamahalaan sa pamamagitan ng patuloy na pagsubaybay sa kanilang pag-access sa sensitibong data ng kumpanya. Ang pag-audit sa mga vendor nang taun-taon at buwanang/quarterly na pag-uulat sa mga pangunahing sukatan ng seguridad ay maaaring matiyak ang mas mataas na pamantayan ng cybersecurity.
Ang tungkulin ng internal audit na gumaganap bilang ikatlong linya ng depensa ay responsable sa pag-awdit ng pagpapagaan ng panganib sa cybersecurity sa lahat ng aspeto ng organisasyon. Karaniwang kinabibilangan ito ng quarterly/half-annual/annual na pagsusuri ng mga access ng user, disenyo ng network, pamamahala ng vendor, pagsubaybay, pagsasanay sa kamalayan sa cybersecurity na isinasagawa para sa mga empleyado, kawani ng IT, at mga vendor na nagtatrabaho sa mga interface ng organisasyon. Tinitiyak nito ang mas mahusay na kahandaan sa insidente at paglabag. Ang pagsasanay sa table top drill kasama ang mga indibidwal na koponan tuwing anim na buwan ay nakakatulong sa pagtatasa ng bisa ng inilatag na proseso. Ang pag-audit ay dapat na isang nakaplanong aktibidad na may mahusay na pagtukoy sa mga pamantayan sa pagpasok, regular na pag-update at mga pulong ng paglabas, at eksaktong mga inaasahan sa bawat yugto.
Tiyakin ang Epektibong Pag-awdit at Pagsunod sa Seqrite
Seqrite Nag-aalok ng maraming pro-aktibo, aktibo, at reaktibong serbisyo upang protektahan ang kanilang mga kliyente laban sa lahat ng banta sa cyber. Seqrite Tinutulungan nito ang mga organisasyon na proaktibong protektahan ang kanilang mga IT asset at sumunod sa lahat ng pangangailangan sa regulasyon sa pamamagitan ng pagsasagawa ng napapanahon at mahusay na mga pag-audit sa mga sistema. Seqrite ay dalubhasa sa mga Teknikal, Pagsunod, at mga pag-audit ng Red Team at nagbibigay ng kumpletong pamamahala ng seguridad at mga serbisyo sa pagkonsulta sa mga negosyo sa buong mundo.
Ang Seguridad sa Imprastraktura, Seguridad sa Aplikasyon, at Seguridad sa Sistema ng Kontrol sa Industriya ang nangungunang tatlong larangan ng mga Teknikal na Pag-awdit na inaalok ng SeqriteKasama sa mga Compliance Audit ang ISO27001, PCI DSS, HIPAA at marami pang iba habang kabilang sa mga Red Team Audit ang Readiness Assessment, Red Team Assessment, at War Games.
Bagama't mahalagang magkaroon ng mga kontrol sa pagwawasto upang matugunan ang mga kahinaan, mas mahalagang tiyakin na ang mga kontrol sa pagwawasto at pag-iwas ay napapanahon at gumagana nang epektibo upang mabawasan ang isang pag-atake o paglabag. Mga pana-panahong pag-awdit, lalo na isinasagawa ng mga espesyalista tulad ng Seqrite, masisiguro na ang iyong programa sa cybersecurity ay palaging nasa pinakamahusay na kondisyon.
Bilang isang IT security partner para sa iyong negosyo, Seqrite nagbibigay ng komprehensibong endpoint na seguridad mula sa mga advanced na banta sa cyber. Upang malaman ang higit pa, bisitahin ang aming website or
