Vad är en nätverkssäkerhetsbedömning?

En nätverkssäkerhetsbedömning är en granskning som är utformad för att hitta säkerhetsbrister som riskerar att utnyttjas, som kan skada affärsverksamheten eller som kan exponera känslig information.

Vad är syftet med en nätverkssäkerhetsbedömning?

Syftet med en nätverkssäkerhetsbedömning är att skydda ditt nätverk, dina enheter och känsliga data från obehörig åtkomst genom att identifiera potentiella attackvektorer inifrån och utanför det interna nätverket.

Dessutom kan du ha ett regulatoriskt ansvar att göra dem, beroende på din bransch. Till exempel måste kreditkortsbehandlare följa PCI DSS och hälso- och sjukvårdsorganisationer måste följa HIPAA.

Utvärderingar av nätverkssäkerhet kan besvara frågor som:

• Vilka system kommer sannolikt att brytas?
• Vilka är de vanligaste ingångspunkterna för säkerhetsöverträdelser?
• Vilken inverkan skulle en cyberattack ha på en specifik tillgång?
• Vilka känsliga uppgifter, personligt identifierbar information eller skyddad hälsoinformation skulle exponeras vid ett dataintrång eller en dataläcka?
• Vad kan vi göra för att mildra den här typen av attacker?

Vilka typer av nätverkssäkerhetsbedömningar finns det?

Det finns två typer av nätverkssäkerhetsutvärderingar:

1. Sårbarhetsbedömning: En sårbarhetsbedömning visar organisationer var deras svagheter finns. Läs mer om sårbarheter här och sårbarhetshantering här.
2. Penetrationstest: Penetrationstestning är utformad för att efterlikna en faktisk cyberattack eller social ingenjörsattack som phishing, spear phishing eller whaling.

Båda är bra metoder för att testa effektiviteten i ditt nätverkssäkerhetsskydd och mäta den potentiella effekten av en attack på specifika tillgångar.

Hur man genomför en nätverkssäkerhetsbedömning

En bedömning av nätverkssäkerhet är bara en annan typ av riskbedömning av cybersäkerhet. Processen är som följer:

• Inventera dina resurser
• Bestäm informationsvärde
• Bedöm sårbarheten i din IT-infrastruktur
• Testa ditt försvar
• Dokumentera resultat i en utvärderingsrapport för nätverkssäkerhet
• Implementera säkerhetskontroller för att förbättra cybersäkerheten
• Övervaka kontinuerligt problem och förändringar

Inventera resurser

Det första steget är att identifiera tillgångar för att utvärdera och fastställa bedömningens omfattning. På så sätt kan du prioritera vilka tillgångar som ska bedömas först. Du kanske inte vill eller behöver utföra en utvärdering på alla trådlösa nätverk, webbprogram och Wi-Fi-åtkomstpunkter. Och du kanske inte har budgeten även om du skulle vilja.

Som sagt, det kan hjälpa till att inventera alla dina nätverk, enheter, data och andra tillgångar så att du kan avgöra vilka tillgångar du vill säkra. Den här processen ger dig en översikt över ditt övergripande nätverk och IT-säkerhetskontrollerna runt det.

Bestäm informationsvärde

De flesta organisationer har inte en obegränsad budget för informationssäkerhet (InfoSec), så det är bäst att begränsa omfattningen till de mest affärskritiska tillgångarna. Dessutom bör du tänka på vilka regel- och efterlevnadskrav din organisation kan behöva följa.

Mer information finns i vår guide om bästa praxis för efterlevnadsövervakning.

För att spara tid och pengar kan du ägna tid åt att utveckla en dataklassificeringsprincip som definierar ett standardsätt att fastställa värdet för en tillgång eller en del av data. Mer information finns i vår guide om dataklassificering.

De flesta organisationer kommer att inkludera tillgångsvärde, juridisk ställning och affärsbetydelse. När policyn formellt har införlivats i ditt informationsriskhanteringsprogram kan du använda den för att klassificera varje tillgång som kritisk, större eller mindre.

Andra frågor som kan hjälpa dig att bestämma värdet är:

• Finns det ekonomiska eller juridiska påföljder förknippade med att exponera eller förlora denna information?
• Hur värdefull är den här informationen för en konkurrent?
• Kan vi återskapa den här informationen från grunden? Hur lång tid skulle det ta och vilka kostnader skulle det medföra?
• Skulle förlusten av denna information påverka intäkterna eller lönsamheten?
• Skulle det påverka den dagliga affärsverksamheten att förlora dessa data? Skulle vår personal kunna arbeta utan den?
• Vad skulle ryktet skadas om dessa uppgifter läcker ut?

Bedöm sårbarheten i din IT-infrastruktur

Sårbarheter är allt som kan utnyttjas i ett annars säkert nätverk.

Cybersäkerhetsrisker kan komma från var som helst, inklusive inom och utanför din organisation, intern personal med dåliga säkerhetsvanor eller tredjepartsleverantörer med otillräckliga informationssäkerhetspolicyer som har tillgång till ditt nätverk.

Eftersom riskerna kan vara så varierande bör en robust process för säkerhetsriskbedömning omfatta:

• Nätverksskanning: En omfattande genomsökning av alla nätverkets portar och andra attackvektorer. Läs mer om farorna med öppna hamnar här. Detta bör omfatta Wi-Fi, Internet of Things (IoT) och andra trådlösa nätverk och kommer att identifiera tillgängliga värdar och nätverkstjänster (t.ex. HTTP, FTP, SMTP och POP-3).
• Interna svagheter: Många organisationer väljer att anlita externa säkerhetskonsulter för att testa både personal och säkerhetskonsulter utifrån.
• Nätverksuppräkning: Identifieringen av värdar eller enheter i ett nätverk som kan ta fingeravtryck på operativsystemet för fjärrvärdar. När en angripare känner till operativsystemet kan de söka i CVE efter en lista över kända sårbarheter som kan utnyttjas.
• Granskning från tredje part: En granskning av alla tredje parter och deras åtkomstnivå till ditt interna nätverk och känsliga tillgångar.
• Granskning av informationssäkerhetspolicy: Granskning av policyer kring personalutbildning, BYOD (bring your own devices) och e-postanvändning.

Andra hot som du också bör tänka på:

• Naturkatastrofer: Översvämningar, orkaner, jordbävningar, blixtnedslag och bränder kan förstöra lika mycket som vilken cyberangripare som helst. Du kan inte bara förlora data utan även servrar. När du väljer mellan lokala och molnbaserade servrar, tänk på risken för naturkatastrofer.
• Systemfel: Körs dina mest kritiska system på utrustning av hög kvalitet? Har de bra stöd?
• Mänskligt fel: Är dina S3-buckets som innehåller känslig information korrekt konfigurerade? Har din organisation rätt utbildning om skadlig kod, nätfiske och social ingenjörskonst? Vem som helst kan av misstag klicka på en länk till skadlig programvara eller ange sina inloggningsuppgifter i ett nätfiskebedrägeri. Du måste ha starka IT-säkerhetskontroller inklusive regelbundna säkerhetskopieringar av data, lösenordshanterare etc.
• Fientliga hot: tredjepartsleverantörer, insiders, betrodda insiders, privilegierade insiders, etablerade hackerkollektiv, ad hoc-grupper, företagsspionage, leverantörer, nationalstater

Eftersom detta kan vara tidskrävande väljer många organisationer externa bedömningstjänster eller automatiserade säkerhetslösningar.

Testa ditt försvar

När du har utvärderat organisationens sårbarheter vill du testa om dina säkerhetskontroller och riskreduceringstekniker hindrar angripare från att kunna utnyttja dem.

Detta kan göras via manuell penetrationstestning eller med hjälp av automatiserade etiska hackningsverktyg som Metasploit eller Nmap.

Dokumentera resultat i en utvärderingsrapport för nätverkssäkerhet

Nu måste du ta fram en rapport för att stödja ledningens beslutsfattande om budget, policyer och rutiner. För varje sårbarhet bör rapporten beskriva dess risk, kryphål och värde. Tillsammans med påverkan och sannolikhet för förekomst och kontrollrekommendationer.

När du arbetar dig igenom den här processen kommer du att förstå vilken infrastruktur ditt företag använder, vilka dina mest värdefulla data är och hur du bättre kan driva och säkra ditt företag.

Implementera säkerhetskontroller för att förbättra cybersäkerheten

Chansen är stor att du har hittat en lucka eller en svag punkt i ditt nätverk. Gör en lista över dem och utveckla en plan för att åtgärda dem.

Kontroller kan implementeras med tekniska medel, t.ex. maskinvara eller programvara, kryptering, mekanismer för upptäckt av nätverksintrång, tvåfaktorsautentisering, automatiska uppdateringar, kontinuerlig detektering av dataläckage eller genom icke-tekniska metoder som säkerhetspolicyer och fysiska mekanismer som lås eller biometrisk åtkomst.

Klassificera dessutom kontroller i förebyggande och detektiva åtgärder. Förebyggande kontroller är utformade för att förhindra attacker från att inträffa, t.ex. kontinuerlig säkerhetsövervakning av leverantörer, medan detektivkontroller försöker upptäcka när en attack har inträffat.

Övervaka kontinuerligt problem och förändringar

Förutom manuella nätverkssäkerhetsbedömningar. Många organisationer investerar i säkerhetsklassificeringar för att tillhandahålla kontinuerlig övervakning av inte bara sin nätverkssäkerhet utan även sin övergripande säkerhetsstatus.

Säkerhetsklassificeringar används också ofta av riskhanteringsteam från tredje part för att bedöma kvaliteten på leverantörernas säkerhetsrutiner.

Säkerhetsbetyg eller cybersäkerhetsbetyg är ett datadrivet, objektivt och dynamiskt mått på en organisations säkerhetsstatus. De skapas av en pålitlig, oberoende plattform för säkerhetsbedömning, vilket gör dem värdefulla som en objektiv indikator på en organisations cybersäkerhetsprestanda.

Säkerhetsbetyg kompletterar traditionella riskhanteringsmetoder genom att tillhandahålla kontinuerliga, objektiva, användbara och alltid uppdaterade data.

Läs mer om säkerhetsklassning här.