Iekšējā drošības audita anketa

1. Organizatoriskās kontroles - pārvaldība un riski

Drošības politika apstiprināta, datēta, paziņotaUzrāda apstiprinājuma datumu un paziņošanas pierādījumu.Risks: Politika bez vadības apstiprinājuma nav saistoša, un to neievēro.Pārbaude: Salīdzini apstiprinājuma datumu ar pēdējām būtiskām izmaiņām organizācijā.Pierādījums: Parakstīta politika ar datumu un paziņošanas ieraksts.NIS2: 21(2)(a).
Ir nozīmēta persona, kas pārvalda kiberdrošībuTās atbildība un pienākumi ir rakstiski noteikti, un ir zināms aizvietotājs.Risks: Bez atbildīgā drošības uzdevumi paliek starp nodaļām.Pārbaude: Pajautā, kurš lemj par incidentu ārpus darba laika.Pierādījums: Rīkojums vai amata apraksts ar aizvietotāju.NIS2: 20. pants.
Vadība apstiprinājusi riska pārvaldības pasākumus un atbild par tiemApstiprinājums datēts. Vadība spēj paskaidrot, ko apstiprināja.Risks: Pasākumi bez vadības lēmuma nesaņem resursus.Pārbaude: Vadības loceklis paskaidro vismaz divus apstiprinātos pasākumus.Pierādījums: Vadības sēdes protokols ar datumu.NIS2: 20. pants.
Vadība apmācīta atpazīt un novērtēt kiberriskusAtsevišķi no darbinieku apmācībām - atbildība ir cita.Risks: Vadība nespēj novērtēt riskus, par kuriem atbild.Pārbaude: Apmācība ir pēdējo 12 mēnešu laikā un aptver visus vadības locekļus.Pierādījums: Apmācību saraksts un saturs.NIS2: 20. pants.
Risku reģistrs atjaunots pēdējo 12 mēnešu laikāAr īpašnieku, riska līmeni un rīcību katram ierakstam.Risks: Novecojis reģistrs neredz jaunas sistēmas un draudus.Pārbaude: Pārbaudi, vai divi pēdējā gada notikumi ir reģistrā.Pierādījums: Reģistrs ar izmaiņu datumiem un īpašniekiem.NIS2: 21(2)(a).

2. Organizatoriskās kontroles - aktīvi un dati

Aktīvu inventarizācija aktuāla un ar īpašniekiemRisks: Neuzskaitītu iekārtu neviens neatjaunina un neuzrauga.Pārbaude: Salīdzini inventāru ar tīkla skenēšanas rezultātu.Pierādījums: Aktīvu saraksts ar īpašniekiem un pārskatīšanas datumu.NIS2: 21(2)(i).
Atļautās programmatūras saraksts, nesankcionētā noņemtaZināms ne tikai KAS ir uzstādīts, bet arī kas DRĪKST būt.Risks: Nesankcionēta programmatūra apiet atjauninājumus un uzraudzību.Pārbaude: Izlases iekārtās salīdzini uzstādīto ar atļauto.Pierādījums: Atļautās programmatūras saraksts un novirzes atskaite.NIS2: 21(2)(a).
Datu klasifikācija un glabāšanas termiņi noteiktiKas ir sensitīvs, cik ilgi glabājas, kad tiek dzēsts.Risks: Dati glabājas ilgāk nekā vajag, un noplūdes apjoms aug.Pārbaude: Pārbaudi, vai vecākie ieraksti vienā sistēmā atbilst termiņam.Pierādījums: Klasifikācijas kārtība un dzēšanas ieraksti.NIS2: 21(2)(i).
Apstrādes darbību reģistrs uzturētsKādi personas dati, kādam mērķim, kam nodoti.Risks: Nezinot, kur ir personas dati, noplūdi nevar novērtēt laikus.Pārbaude: Salīdzini reģistru ar sistēmu sarakstu.Pierādījums: Reģistrs ar pēdējās atjaunošanas datumu.NIS2: 21(2)(i).
Datu aizsardzības ietekmes novērtējums veikts augsta riska apstrādeiPirms apstrādes sākuma, ne pēc tās. Uzrāda pēdējo novērtējumu.Risks: Augsta riska apstrāde sākas bez aizsardzības pasākumiem.Pārbaude: Pārbaudi pēdējo jauno sistēmu ar personas datiem.Pierādījums: Ietekmes novērtējums ar datumu pirms ieviešanas.NIS2: 21(2)(a).

3. Organizatoriskās kontroles - piegādes ķēde

Kritisko piegādātāju saraksts ar riska klasifikācijuKam ir piekļuve datiem vai ražošanas videi.Risks: Kritiska piegādātāja atteice vai kompromitācija pārsteidz.Pārbaude: Pārbaudi, vai katram ir riska novērtējums.Pierādījums: Piegādātāju saraksts ar klasifikāciju.NIS2: 21(2)(d).
Piegādātāju līgumos drošības un paziņošanas klauzulasIncidenta paziņošanas termiņš, audita tiesības, datu apstrāde.Risks: Par piegādātāja incidentu uzzini pārāk vēlu.Pārbaude: Pārbaudi divu kritisko piegādātāju līgumus.Pierādījums: Līgumu klauzulas.NIS2: 21(2)(d).
Izbeigšanas plāns katram kritiskajam piegādātājamDatu atgūšana un piekļuves atsaukšana.Risks: Aiziešana no piegādātāja nozīmē datu zudumu vai dīkstāvi.Pārbaude: Pārbaudi, vai dati ir atgūstami lietojamā formātā.Pierādījums: Izbeigšanas plāns.NIS2: 21(2)(d).

4. Organizatoriskās kontroles - incidenti, nepārtrauktība un ziņošana

Incidentu reģistrs uzturēts, reaģēšanas plāns aktuālsRisks: Atkārtoti incidenti netiek pamanīti.Pārbaude: Pārbaudi pēdējā incidenta ierakstu.Pierādījums: Reģistrs un plāns ar datumu.NIS2: 21(2)(b).
Ziņošanas termiņi zināmi un pārbaudītiAgrīnais brīdinājums 24 h, paziņojums 72 h, gala ziņojums mēneša laikā pēc paziņojuma.Risks: Nokavēts ziņojums nozīmē sankcijas.Pārbaude: Pajautā atbildīgajam termiņus un adresātu.Pierādījums: Ziņošanas kārtība un veidlapas.NIS2: 23. pants.
Reaģēšana pārbaudīta mācībās, ne tikai aprakstītaGalda mācības vai simulācija ar pierakstītiem secinājumiem.Risks: Plāns neiztur pirmo īsto incidentu.Pārbaude: Pārbaudi pēdējo mācību secinājumus.Pierādījums: Mācību protokols.NIS2: 21(2)(b).
Droši saziņas līdzekļi, arī ārkārtas saziņai, noteikti un pārbaudītiKā komanda sazinās, ja e-pasts vai iekšējā tērzēšana ir kompromitēta.Risks: Komanda nevar sazināties, kad pamata sistēmas krīt.Pārbaude: Pārbaudi, vai rezerves kanāls darbojas.Pierādījums: Kanālu saraksts un pārbaudes ieraksts.NIS2: 21(2)(j).
Darbības nepārtrauktības un krīzes pārvaldības plāns apstiprināts un izmēģinātsKurš lemj, kā sazinās un kuri pakalpojumi atjaunojami pirmie.Risks: Krīzē lēmumus pieņem improvizējot.Pārbaude: Pārbaudi pēdējā izmēģinājuma secinājumus.Pierādījums: Plāns un izmēģinājuma protokols.NIS2: 21(2)(c).
Atjaunošanas laika un datu zuduma mērķi definēti un pārbaudīti mācībāsRisks: Atjaunošana ilgst ilgāk, nekā organizācija var izturēt.Pārbaude: Salīdzini mērķus ar mācību rezultātu.Pierādījums: Mērķi un mācību protokols.NIS2: 21(2)(c).
Skartie pakalpojuma saņēmēji informēti, kad incidents tos ietekmēArī tad, kad tehniski pakalpojums darbojas.Risks: Klienti nevar laikus sevi aizsargāt.Pārbaude: Pārbaudi kārtību un pēdējo gadījumu.Pierādījums: Paziņojuma veidne un nosūtīšanas ieraksts.NIS2: 23. pants.

5. Organizatoriskās kontroles - uzraudzības iestāde un efektivitāte

Organizācija reģistrēta uzraudzības iestādē un kontaktpersona paziņotaKontaktinformācija aktuāla arī ārpus darba laika.Risks: Uzraudzības iestāde nevar sazināties incidenta laikā.Pārbaude: Salīdzini reģistrētos kontaktus ar pašreizējiem.Pierādījums: Reģistrācijas apstiprinājums.NIS2: 27. pants.
Par būtiskām izmaiņām paziņots uzraudzības iestādeiNosaukums, kontaktpersona, sniegtie pakalpojumi.Risks: Iestādes rīcībā ir novecojusi informācija.Pārbaude: Pārbaudi pēdējās izmaiņas un paziņojumu.Pierādījums: Paziņojuma kopija.NIS2: 27. pants.
Pašnovērtējums iesniegts noteiktajā termiņāRisks: Nokavēts pašnovērtējums ir pārkāpums.Pārbaude: Pārbaudi iesniegšanas datumu.Pierādījums: Iesniegšanas apstiprinājums.NIS2: 21(2)(f).
Ievainojamību atklāšanas politika publicētaKontakts un derīguma termiņš, mašīnlasāmā formātā.Risks: Atradējs nezina, kur ziņot.Pārbaude: Atver publicēto kontaktu un pārbaudi termiņu.Pierādījums: Publicētā politika.NIS2: 21(2)(e).
Ielaušanās tests veikts pēdējo 12 mēnešu laikāAr atradumu novēršanas apstiprinājumu, ne tikai ziņojumu.Risks: Nezināmi caurumi paliek atvērti.Pārbaude: Pārbaudi, vai atradumi ir novērsti.Pierādījums: Testa ziņojums un labojumu apstiprinājums.NIS2: 21(2)(f).
Kontroļu efektivitāte mērīta ar iepriekš noteiktiem rādītājiemKontrole, kuras efektivitāti neviens nemēra, nav kontrole.Risks: Kontroles pastāv tikai uz papīra.Pārbaude: Pārbaudi rādītāju vērtības pēdējā periodā.Pierādījums: Rādītāju atskaite.NIS2: 21(2)(f).
Iepriekšējā audita atradumi novērsti un pārbaudītiRisks: Tie paši trūkumi atkārtojas.Pārbaude: Katram atradumam atrodi labojuma pierādījumu.Pierādījums: Atradumu saraksts ar statusu.NIS2: 21(2)(f).

6. Personāla kontroles

Pirms pieņemšanas darbā veikta uzticamības pārbaudeApjoms atbilst amata piekļuves līmenim.Risks: Piekļuvi kritiskām sistēmām saņem nepārbaudīta persona.Pārbaude: Izlasē pārbaudi divus pēdējos pieņemtos darbiniekus.Pierādījums: Pārbaudes ieraksts personāla lietā.NIS2: 21(2)(i).
Līgumos konfidencialitātes saistības un drošības pienākumiSpēkā arī pēc darba attiecību izbeigšanas.Risks: Aizgājējs drīkst izmantot darbā iegūto informāciju.Pārbaude: Pārbaudi līguma paraugu un divus parakstītus līgumus.Pierādījums: Parakstītas saistības.NIS2: 21(2)(i).
Drošības pienākumi aprakstīti amatu aprakstosRisks: Neviens nezina, kurš atbild par konkrētu drošības darbību.Pārbaude: Salīdzini amata aprakstu ar faktiskajām tiesībām.Pierādījums: Amatu apraksti ar drošības pienākumiem.NIS2: 21(2)(i).
Drošības apmācības veiktas visiem darbiniekiemPēdējo 12 mēnešu laikā. Uzrāda dalībnieku sarakstu.Risks: Pikšķerēšana un kļūdas ir biežākais incidenta sākums.Pārbaude: Salīdzini dalībnieku sarakstu ar darbinieku sarakstu.Pierādījums: Apmācību saraksts un rezultāti.NIS2: 21(2)(g).
Aiziešanas process: piekļuve atsaukta, aktīvi atgrieztiTajā pašā dienā. Uzrāda pēdējo aizgājēju kā piemēru.Risks: Bijušā darbinieka konts paliek aktīvs.Pārbaude: Pārbaudi pēdējā aizgājēja kontus visās sistēmās.Pierādījums: Aiziešanas kontrolsaraksts ar datumiem.NIS2: 21(2)(i).
Disciplinārais process pārkāpumu gadījumā zināmsRisks: Pārkāpumiem nav seku, un noteikumi zaudē nozīmi.Pārbaude: Pajautā vadītājam, kā viņš rīkotos pārkāpuma gadījumā.Pierādījums: Apstiprināta kārtība.NIS2: 21(2)(i).

7. Tehnoloģiskās kontroles - identitāte un piekļuve

Lietotāju tiesību pārskats veikts≥ reizi 6 mēnešos. Uzrāda pārskata rezultātu, ne tikai sarakstu.Risks: Tiesības uzkrājas, mainoties amatiem.Pārbaude: Pārbaudi, vai pēdējā pārskatā kāda tiesība tika atsaukta.Pierādījums: Pārskata rezultāts ar izmaiņām.NIS2: 21(2)(i).
Paroļu politika ievērotaVismaz 15 simboli, ja parole ir vienīgais faktors. Paroles pārbaudītas pret noplūdušajām un glabātas ar lēnu jaucējfunkciju (Argon2id, scrypt, bcrypt).Risks: Vājas vai noplūdušas paroles dod tiešu piekļuvi.Pārbaude: Pārbaudi sistēmas iestatījumus, ne tikai dokumentu.Pierādījums: Konfigurācijas izdruka.NIS2: 21(2)(i).
Privilēģētie konti nošķirti no ikdienas kontiemAdministratora darbības izsekojamas līdz personai.Risks: Kompromitēts ikdienas konts dod administratora tiesības.Pārbaude: Izlases administratoriem salīdzini kontus.Pierādījums: Priviliģēto kontu saraksts.NIS2: 21(2)(i).
Attālinātā piekļuve aizsargāta ar daudzfaktoru autentifikācijuRisks: Attālināta piekļuve tikai ar paroli ir biežākā ieeja.Pārbaude: Mēģini pieslēgties bez otra faktora.Pierādījums: Konfigurācija un pieteikšanās žurnāls.NIS2: 21(2)(j).
Koplietotie un servisa konti inventarizēti un pamatotiRisks: Koplietota konta darbības nevar piesaistīt personai.Pārbaude: Pārbaudi, kurš zina katra servisa konta paroli.Pierādījums: Servisa kontu saraksts ar īpašniekiem.NIS2: 21(2)(i).

8. Tehnoloģiskās kontroles - izstrāde, izmaiņas un programmatūras piegāde

Izmaiņas apstiprinātas, izsekojamas un ar atgriešanas ceļuRisks: Nekontrolēta izmaiņa izraisa dīkstāvi vai caurumu.Pārbaude: Pēdējām izmaiņām atrodi apstiprinājumu.Pierādījums: Izmaiņu pieprasījumi.NIS2: 21(2)(e).
Izstrādes, testa un ražošanas vides nodalītasRažošanas dati testa vidē netiek lietoti neapstrādāti.Risks: Testa kļūda vai dati nonāk ražošanā.Pārbaude: Pārbaudi piekļuves un datus testa vidē.Pierādījums: Vides apraksts.NIS2: 21(2)(e).
Koda izmaiņas pārskatītas pirms nonākšanas ražošanāRisks: Kļūdas un apzināti caurumi nonāk ražošanā.Pārbaude: Izlases izmaiņām atrodi pārskatītāju.Pierādījums: Pārskatīšanas ieraksti.NIS2: 21(2)(e).
Drošības prasības iekļautas jaunu risinājumu iegādēRisks: Nopirkts risinājums neatbilst drošības prasībām.Pārbaude: Pārbaudi pēdējo iepirkumu.Pierādījums: Prasību saraksts iepirkumā.NIS2: 21(2)(e).
Programmatūras komponenšu saraksts (SBOM) ģenerēts un aktuālsMašīnlasāmā formātā. Atjaunots pie katra laidiena, ne reizi gadā.Risks: Jaunas ievainojamības gadījumā nav zināms, kur tā ir.Pārbaude: Pārbaudi, vai saraksts atbilst pēdējam laidienam.Pierādījums: Komponenšu saraksts ar laidiena datumu.NIS2: 21(2)(e).
Atkarības piespraustas ar versiju un kontrolsummuBez tā būvējums nav atkārtojams.Risks: Būvējumā nonāk cits kods, nekā tika pārbaudīts.Pārbaude: Pārbaudi atkarību failu.Pierādījums: Fiksēts atkarību fails ar kontrolsummām.NIS2: 21(2)(e).
Atkarību ievainojamības skenētas automātiskiSkenēšana būvēšanas ceļā. Uzrāda pēdējo atradumu apstrādi.Risks: Zināma ievainojamība nonāk ražošanā.Pārbaude: Pārbaudi pēdējo atradumu apstrādi.Pierādījums: Skenēšanas atskaite un labojumi.NIS2: 21(2)(e).
Konteineru attēli skenēti un no zināma avotaBāzes attēls piesprausts un atjaunots pie katras būvēšanas.Risks: Bāzes attēls nes vecas ievainojamības.Pārbaude: Pārbaudi pēdējā attēla būvēšanas datumu.Pierādījums: Skenēšanas atskaite.NIS2: 21(2)(e).

9. Tehnoloģiskās kontroles - darbība, kopijas un uzraudzība

Drošības atjauninājumi pielietoti politikā noteiktajos termiņosAktīvi izmantotām ievainojamībām - dienās, ne mēnesī. Uzrāda pēdējā mēneša atjauninājumu atskaiti.Risks: Zināma ievainojamība paliek atvērta.Pārbaude: Salīdzini uzstādīšanas datumus ar publicēšanas datumiem.Pierādījums: Atjauninājumu atskaite.NIS2: 21(2)(e).
Backup veikts un atjaunošana testēta pēdējos 3 mēnešosNetestēta kopija nav kopija - uzrāda atjaunošanas protokolu.Risks: Kopija nav lietojama brīdī, kad to vajag.Pārbaude: Pārbaudi pēdējo atjaunošanas testu un tā ilgumu.Pierādījums: Atjaunošanas protokols.NIS2: 21(2)(c).
Rezerves kopijas glabātas atsevišķi un aizsargātas pret dzēšanuRisks: Izspiedējvīruss iznīcina arī kopijas.Pārbaude: Pārbaudi, vai administrators var kopijas izdzēst.Pierādījums: Glabāšanas konfigurācija.NIS2: 21(2)(c).
Audita logu vākšana un saglabāšana ≥12 mēnešusRisks: Incidentu nevar izmeklēt, jo pēdu nav.Pārbaude: Pārbaudi vecākā pieejamā ieraksta datumu.Pierādījums: Glabāšanas iestatījumi.NIS2: 21(2)(b).
Trauksmes tiešām sasniedz atbildīgoLogu vākšana nav detektēšana - uzrāda pārbaudītu trauksmi.Risks: Brīdinājumu neviens nelasa.Pārbaude: Izraisi testa trauksmi un mēri reakcijas laiku.Pierādījums: Testa trauksmes ieraksts.NIS2: 21(2)(b).
Izejošais trafiks uzraudzīts un anomālijas pamanāmasIenākošā filtrēšana neatklāj jau notikušu kompromitāciju.Risks: Noplūde un vadības kanāls paliek nepamanīti.Pārbaude: Pārbaudi, vai neparasts izejošais savienojums rada brīdinājumu.Pierādījums: Uzraudzības noteikumi un brīdinājumi.NIS2: 21(2)(b).
Ievainojamību skenēšana veikta arī infrastruktūraiNe tikai atkarībām - arī serveriem un tīklam.Risks: Infrastruktūras caurumi paliek nezināmi.Pārbaude: Pārbaudi pēdējās skenēšanas datumu un atradumu apstrādi.Pierādījums: Skenēšanas atskaite.NIS2: 21(2)(e).

10. Tehnoloģiskās kontroles - konfigurācija, tīkls un šifrēšana

11. Fiziskās kontroles

Telpas ar iekārtām fiziski nodalītas no koplietošanas zonāmServeru telpa nav gaitenis, virtuve vai atvērtais birojs.Risks: Iekārtām var piekļūt jebkurš, kas iet garām.Pārbaude: Apskati serveru telpu un tās durvis.Pierādījums: Telpu plāns un piekļuves saraksts.NIS2: 21(1).
Piekļuve telpām kontrolēta un reģistrētaApmeklētāji pavadīti un reģistrēti, saraksts pārskatāms.Risks: Nepiederoša persona nonāk pie iekārtām nepamanīta.Pārbaude: Salīdzini apmeklētāju žurnālu ar vienas dienas faktu.Pierādījums: Apmeklētāju un piekļuves žurnāls.NIS2: 21(1).
Piekļuves tiesības telpām pārskatītas un atsauktas savlaicīgiRisks: Atslēgas un kartes paliek aizgājējiem.Pārbaude: Salīdzini karšu sarakstu ar darbinieku sarakstu.Pierādījums: Pārskata ieraksts ar atsauktajām kartēm.NIS2: 21(1).
Iekārtu telpā nodrošināta barošana, dzesēšana un ugunsaizsardzībaRezerves barošana testēta, ne tikai uzstādīta.Risks: Strāvas vai dzesēšanas atteice aptur pakalpojumu.Pārbaude: Pārbaudi pēdējo rezerves barošanas testu.Pierādījums: Testa protokols un apkopes ieraksti.NIS2: 21(1).
Telpas uzraudzītas un ielaušanās pamanāmaSignalizācija vai videonovērošana ar saglabātiem ierakstiem.Risks: Ielaušanos atklāj tikai pēc zaudējuma.Pārbaude: Pārbaudi, vai ieraksti pieejami par pēdējām 30 dienām.Pierādījums: Signalizācijas un videonovērošanas žurnāls.NIS2: 21(1).
Datu centra vai mitināšanas pakalpojuma drošība novērtētaJa iekārtas ir pie pakalpojuma sniedzēja - uzrāda tā apliecinājumu.Risks: Pakalpojuma sniedzēja vājums kļūst par tavu risku.Pārbaude: Pārbaudi, vai apliecinājums ir derīgs šim gadam.Pierādījums: Sniedzēja apliecinājums vai audita ziņojums.NIS2: 21(1).
Datu nesēji iznīcināti droši un ar apliecinājumuDiski, rezerves kopiju nesēji, papīrs.Risks: Izmesti diski un papīri atklāj datus.Pārbaude: Pārbaudi pēdējo iznīcināšanas reizi.Pierādījums: Iznīcināšanas akts.NIS2: 21(1).
Tīra galda un tīra ekrāna prakse ievērotaRisks: Atstāti dokumenti un atbloķēti ekrāni ir viegli pieejami.Pārbaude: Apstaigā biroju pēc darba laika.Pierādījums: Apstaigāšanas ieraksts.NIS2: 21(1).