Pelajaran 20 tahun keamanan siber tentang audit

Saya telah menghabiskan dua puluh tahun di bidang keamanan siber, dan sebagian besar waktu itu dihabiskan untuk audit: mempersiapkannya, menjalaninya, berdebat tentang temuan, dan memperbaiki hal-hal yang diungkapkannya. Kerangka kerja telah berubah berkali-kali. Pelajaran ini tidak.

1. Bukti lebih penting daripada narasi

Temuan audit yang paling umum bukanlah kontrol yang hilang. Melainkan kontrol yang sudah dijalankan tetapi tidak dapat dibuktikan. Tinjauan hak akses memang dilakukan, tetapi tidak ada yang menyimpan daftarnya. Perubahan disetujui di sebuah utas obrolan yang kini sudah dihapus. Auditor hanya dapat mengandalkan apa yang bisa mereka lihat. Bangun kontrol yang secara otomatis meninggalkan bukti sebagai efek samping dari pelaksanaannya, dan sebagian besar temuan akan hilang.

2. Cakupan menentukan segalanya

Sebagian besar masalah dalam audit berawal dari cakupan: terlalu lebar sehingga setiap sistem harus memenuhi setiap kontrol; terlalu sempit sehingga sertifikatnya tidak menjawab pertanyaan pelanggan; atau tidak jelas sehingga tidak ada yang tahu sistem mana yang termasuk. Tetapkan dengan sengaja, tuliskan, dan pertahankan. Postingan kami tentang penentuan cakupan laporan SOC 2 pertama berlaku untuk hampir semua audit.

3. Kontrol yang gagal adalah kontrol yang tidak dimiliki siapa pun

Ketika sebuah kontrol memiliki pemilik yang ditunjuk dan menjalankannya sebagai bagian dari pekerjaannya, kontrol itu berfungsi. Ketika kontrol itu hanya menjadi tanggung jawab 'TI' atau 'tim keamanan' secara umum, kontrol itu akan melenceng hingga minggu sebelum audit. Kepemilikan adalah perbaikan kontrol termurah yang bisa dilakukan.

4. Dokumen harus menggambarkan kenyataan

Kebijakan templat yang menggambarkan perusahaan yang sebenarnya tidak Anda jalankan lebih buruk daripada kebijakan singkat yang menggambarkan perusahaan Anda yang sebenarnya. Auditor menguji apa yang Anda tulis. Setiap kesenjangan antara dokumen dan praktik menjadi temuan, dan sering kali juga menjadi masalah kredibilitas bagi semua hal lain yang Anda tunjukkan kepada mereka.

5. Auditor lebih berguna sebagai sekutu daripada lawan

Audit yang berjalan paling baik adalah audit ketika tim memperlakukan auditor sebagai pasang mata kedua, bukan sebagai lawan. Tanyakan sejak awal bagaimana mereka akan menguji sebuah kontrol. Ungkapkan kelemahan yang sudah diketahui beserta rencananya. Temuan yang Anda angkat sendiri, dengan perbaikan yang sedang berjalan, terlihat sangat berbeda dibandingkan dengan temuan yang harus mereka gali sendiri.

6. Kerangka kerja kedua seharusnya murah

Organisasi yang menjalankan satu program untuk setiap kerangka kerja membayar penuh untuk setiap audit. Organisasi yang membangun satu set kontrol, yang dipetakan ke setiap kerangka kerja yang harus mereka penuhi, hanya membayar hampir sekali. Pekerjaan pemetaan memang membosankan, tetapi manfaatnya berlipat. Inilah salah satu alasan utama saya membangun ControlMapping.

7. Kerangka kerja berbeda, pertanyaannya sama

Setelah cukup banyak audit, kerangka kerja mulai saling menyatu. Auditor ISO, auditor SOC 2, asesor PCI, dan regulator menggunakan kata-kata yang berbeda, tetapi mereka menanyakan segelintir pertanyaan yang sama: apa yang termasuk dalam cakupan, siapa yang bertanggung jawab, bagaimana Anda tahu hal itu berfungsi, dan apa yang terjadi ketika tidak berfungsi? Organisasi yang dapat menjawab keempat pertanyaan itu dengan jelas, disertai bukti, biasanya berhasil dalam hampir semua audit. Matriks cakupan adalah ilustrasi yang baik: di seluruh sebelas kerangka kerja, topik-topik inti yang sama terus muncul berulang kali.

Poin utama

• Bangun kontrol yang meninggalkan bukti sebagai efek samping.
• Tetapkan cakupan dengan sengaja dan berikan setiap kontrol pemilik yang ditunjuk.
• Perlakukan audit sebagai produk sampingan dari menjalankan keamanan dengan baik.

8. Lulus bukanlah tujuan

Audit yang bersih berarti kontrol dalam cakupan berfungsi pada sampel yang diuji. Itu tidak berarti organisasi tersebut aman; kepatuhan bukan keamanan. Tim terbaik yang pernah saya temui memperlakukan audit sebagai produk sampingan dari menjalankan keamanan dengan baik, bukan sebagai tujuannya.

Jika Anda hanya mengambil satu hal dari ini: tentukan apa yang Anda lakukan, lakukan secara konsisten, dan biarkan bukti menumpuk dengan sendirinya. Analisis kesenjangan adalah tempat yang baik untuk melihat seberapa jauh kontrol Anda saat ini sudah menjangkau.

Pertanyaan

Apa alasan paling umum untuk temuan audit?

Berdasarkan pengalaman saya, bukti yang hilang atau tidak lengkap untuk kontrol yang benar-benar dijalankan: tinjauan dilakukan tetapi tidak dicatat, perubahan disetujui secara lisan, populasi yang tidak sesuai.

Bagaimana Anda sebaiknya mempersiapkan audit keamanan?

Jalankan kontrol secara berkelanjutan dan simpan buktinya selama prosesnya, pastikan dokumen sesuai dengan praktik, dan telusuri sendiri sampel sebelum auditor melakukannya.

Haruskah kami memberi tahu auditor tentang kelemahan yang sudah kami ketahui?

Umumnya, ya. Kelemahan yang sudah Anda identifikasi, dengan pemilik dan rencana remediasi, terlihat sebagai lingkungan kontrol yang berjalan. Kelemahan yang ditemukan sendiri oleh auditor terlihat sebagai celah pengawasan.