Oberoende Säkerhetsgranskningar
Oberoende säkerhetsgranskning är till för de organisationer som behöver en opartisk granskning av sin nuvarande informationssäkerhet. Hotbilden förändras ständigt och er utmaning är att säkerställa att ni och era underleverantörer alltid har rätt cybersäkerhetsnivå.
Secure State Cyber erbjuder säkerhetsgranskningar, både it-revisioner och tekniska granskningar.
Gör IT-avdelning, underleverantörer och olika externa tjänster verkligen det de säger sig göra? För att kontrollera detta erbjuder vi ett team av certifierade, oberoende experter inom både internrevision och it-revision. Vid en it-revision går en oberoende granskare igenom ett system eller ett projekt och bedömer hur efterlevnaden av ett visst regelverk ser ut. Det kan till exempel gälla efterlevnad av interna regler och policys eller en formell granskning av en specifik standard eller externa krav. All granskning utgår från väldefinierade kriterier som bestäms tillsammans med er som kund. En it-revision ger beslutsunderlag till organisationens ledning kring riskhantering och regelefterlevnad, inklusive tydliga beskrivningar av identifierade avvikelser och förbättringsmöjligheter för det granskade området. Revisionens syfte är att granska och ge råd kring styrning, riskhantering och kontroll av verksamheten för organisationens ledning eller styrelse. Vanliga arbetsområden för internrevision och it-revision är:
Utvärdering av projekt och verksamheter
Bedömning av it-styrning (governance), risker, införda kontrollers kvalitet och effektivitet samt regelefterlevnad (compliance)
Säkerställande av att befintliga kontroller är tillräckliga för att minska de risker som organisationen möter
Utvärdering av omvärldsfrågor och framväxande teknologier
Analys av möjligheter och förbättringspotential
Vi genomför it-revisioner av system och granskningar av organisationer för att identifiera avvikelser och förbättringsmöjligheter för en säkrare och mer effektiv verksamhet. Secure State Cyber är oberoende och arbetar enligt god revisionssed för att hjälpa organisationer att skapa värde och förbättra verksamheten. Våra revisorer är CISA-certifierade och har lång erfarenhet inom revisionsområdet.
Granskningsuppdrag som utförs av Secure State Cyber utgår alltid från internationellt erkända standarder inom IT, informationssäkerhet och kvalitet såsom IIA:s riktlinjer för revision, COBIT, ISO 27000-serien, ITIL och ISO 9001.
Håller systemet och dess säkerhetsfunktioner måttet i ett skarpt läge? Genom att låta en teknisk expert spela rollen som angripare i scenariot av ett penetrationstest verifieras systemets motståndskraft mot intrång och manipulation. Penetrationstestet kvalitetssäkrar systemets design och konfiguration samtidigt som det stärker tilliten till systemets säkerhetslösningar.
Sårbarhetsskanning är en kontroll där man identifierar tekniska sårbarheter i system och mjukvaror vad gäller t.ex. uppdateringar, patchnivåer och förekomsten av standardlösenord som kan finnas kvar i systemet efter ny- och ominstallationer. Kontrollen kan genomföras med återkommande tidsintervaller eller som engångsinsats för att identifiera sårbarheter som kan utnyttjas av en angripare. I våra sårbarhetsskanningar kvalitetssäkras alltid de identifierade sårbarheterna med manuell analys för att utesluta felaktiga utslag.
Applikationsgranskning innebär att testa en applikation eller webbsida för att identifiera sårbarheter som en angripare kan utnyttja för att göra intrång. Våra applikationsgranskningar utgår ifrån och mappas mot OWASP Top 10 som innehåller de vanligaste och mest rapporterade sårbarheterna i webbapplikationer.
Samtliga tekniska säkerhetsgranskningar resulterar i utförliga rapporter över iakttagelser med prioriteringar och förslag på hantering för att på bästa sätt hantera de sårbarheter som upptäckts.
Återkommande genomgångar av aktuell säkerhetsnivå i organisationen är ett krav för organisationer med ledningssystem för kvalitet och informationssäkerhet. Vi ger som oberoende part verksamhetsledningen underlag för att hålla sig informerad, styra och följa upp aktiviteter och åtgärder så att planerade säkerhetsåtgärder faktiskt införs och är anpassade för verksamhetens behov. Vi informerar också ledningen om aktuell säkerhetsnivå i förhållande till de risker och krav som finns för verksamheten.
En nulägesbild av vilka resurser som exponeras mot Internet och vilka potentiella tekniska sårbarheter som finns är av stort värde.
Nulägesanalysen ger bland annat svar på följande frågor:
Vilka resurser är exponerade mot Internet på våra publika IP-adresser?
Har vi utrustning på våra publika IP-adresser som vi inte känner till?
Vilka potentiella sårbarheter finns på våra exponerade resurser?
Hur löser vi eventuella problem på effektivaste sätt?
Extra: Ni får dessutom tillgång till tjänsten Kontinuerlig uppföljning av publikt exponerade resurser efter nulägesanalys.
Vi följer kontinuerligt upp era publikt exponerade tjänster med fokus på tekniska sårbarheter.
Tjänsten ger bland annat svar på följande frågor:
Vilka potentiella sårbarheter finns det på våra exponerade tjänster/resurser?
Hur löser vi eventuella problem på ett effekt sätt?
Hur ser riskexponeringen för våra tjänster/resurser ut över tid?
Allt detta ingår!
Kontinuerlig uppföljning av upp till 100 stycken publika resurser/tjänster[1]med fokus på tekniska sårbarheter, inklusive uppföljning av en webbapplikation om tillämpbart.
Larm om allvarliga brister identifierats mellan skanningarna.
Månatliga rapporter, riktade till ledning och tekniker. Rapporten innehåller bl.a. information om riskexponering över tid samt hur man löser problemen på effektivaste sätt.
Vid webbapplikationer, ingår också följsamhet mot ”OWASP Top 10” om det är tillämpbart.
DPO tilläggstjänst
Ni har säkert bra kontroll på vilka personuppgifter ni lagrar. Ni har säkert infört processer kring hanteringen och skydd av dessa! Men har ni koll på om det finns tekniska svagheter på de resurser som lagrar/hanterar dessa personuppgifter?
Se till att ha kontroll och hantera sårbarheterna innan det blir en personuppgiftsincident.
DPO-tilläggstjänsten ger både dataskyddsombud och personuppgiftsansvarig aktuell lägesbild genom regelbundna månatliga rapporter. Ni har därmed även möjlighet att följa upp resultat över tid.
DPO-tilläggstjänsten avger omedelbart larm om/när nya sårbarheter hittas!
Detta är en tilläggsmodul till ”Kontinuerlig uppföljning av publikt exponerade resurser/tjänster”