Iekšējā drošības audita anketa

1. Pārvaldība un riski

Drošības politika apstiprināta, datēta, paziņota - Uzrāda apstiprinājuma datumu un paziņošanas pierādījumu.
Ir nozīmēta persona, kas pārvalda kiberdrošību - Tās atbildība un pienākumi ir rakstiski noteikti, un ir zināms aizvietotājs.
Vadība apstiprinājusi riska pārvaldības pasākumus un atbild par tiem - Apstiprinājums datēts. Vadība spēj paskaidrot, ko apstiprināja.
Vadība apmācīta atpazīt un novērtēt kiberriskus - Atsevišķi no darbinieku apmācībām - atbildība ir cita.
Risku reģistrs atjaunots pēdējo 12 mēnešu laikā - Ar īpašnieku, riska līmeni un rīcību katram ierakstam.
Aktīvu inventarizācija aktuāla un ar īpašniekiem
Atļautās programmatūras saraksts, nesankcionētā noņemta - Zināms ne tikai KAS ir uzstādīts, bet arī kas DRĪKST būt.
Datu klasifikācija un glabāšanas termiņi noteikti - Kas ir sensitīvs, cik ilgi glabājas, kad tiek dzēsts.
Apstrādes darbību reģistrs uzturēts - Kādi personas dati, kādam mērķim, kam nodoti.

2. Personāls

Pirms pieņemšanas darbā veikta uzticamības pārbaude - Apjoms atbilst amata piekļuves līmenim.
Līgumos konfidencialitātes saistības un drošības pienākumi - Spēkā arī pēc darba attiecību izbeigšanas.
Drošības pienākumi aprakstīti amatu aprakstos
Drošības apmācības veiktas visiem darbiniekiem - Pēdējo 12 mēnešu laikā. Uzrāda dalībnieku sarakstu.
Aiziešanas process: piekļuve atsaukta, aktīvi atgriezti - Tajā pašā dienā. Uzrāda pēdējo aizgājēju kā piemēru.
Disciplinārais process pārkāpumu gadījumā zināms

3. Fiziskā drošība un telpas

Telpas ar iekārtām fiziski nodalītas no koplietošanas zonām - Serveru telpa nav gaitenis, virtuve vai atvērtais birojs.
Piekļuve telpām kontrolēta un reģistrēta - Apmeklētāji pavadīti un reģistrēti, saraksts pārskatāms.
Piekļuves tiesības telpām pārskatītas un atsauktas savlaicīgi
Iekārtu telpā nodrošināta barošana, dzesēšana un ugunsaizsardzība - Rezerves barošana testēta, ne tikai uzstādīta.
Telpas uzraudzītas un ielaušanās pamanāma - Signalizācija vai videonovērošana ar saglabātiem ierakstiem.
Datu centra vai mitināšanas pakalpojuma drošība novērtēta - Ja iekārtas ir pie pakalpojuma sniedzēja - uzrāda tā apliecinājumu.
Datu nesēji iznīcināti droši un ar apliecinājumu - Diski, rezerves kopiju nesēji, papīrs.
Tīra galda un tīra ekrāna prakse ievērota

4. Piekļuve un identitāte

Lietotāju tiesību pārskats veikts - ≥ reizi 6 mēnešos. Uzrāda pārskata rezultātu, ne tikai sarakstu.
Paroļu politika ievērota - ≥12 simboli, MFA administratoriem, Argon2 hash.
Privileģētie konti nošķirti no ikdienas kontiem - Administratora darbības izsekojamas līdz personai.
Attālinātā piekļuve aizsargāta ar daudzfaktoru autentifikāciju
Koplietotie un servisa konti inventarizēti un pamatoti

5. Piegādes ķēde

Programmatūras komponenšu saraksts (SBOM) ģenerēts un aktuāls - Mašīnlasāmā formātā. Atjaunots pie katra laidiena, ne reizi gadā.
Atkarības piespraustas ar versiju un kontrolsummu - Bez tā būvējums nav atkārtojams.
Atkarību ievainojamības skenētas automātiski - Skenēšana būvēšanas ceļā. Uzrāda pēdējo atradumu apstrādi.
Konteineru attēli skenēti un no zināma avota - Bāzes attēls piesprausts un atjaunots pie katras būvēšanas.
Kritisko piegādātāju saraksts ar riska klasifikāciju - Kam ir piekļuve datiem vai ražošanas videi.
Piegādātāju līgumos drošības un paziņošanas klauzulas - Incidenta paziņošanas termiņš, audita tiesības, datu apstrāde.
Izbeigšanas plāns katram kritiskajam piegādātājam - Datu atgūšana un piekļuves atsaukšana.

6. Izstrāde un izmaiņas

Izmaiņas apstiprinātas, izsekojamas un ar atgriešanas ceļu
Izstrādes, testa un ražošanas vides nodalītas - Ražošanas dati testa vidē netiek lietoti neapstrādāti.
Koda izmaiņas pārskatītas pirms nonākšanas ražošanā
Drošības prasības iekļautas jaunu risinājumu iegādē
Šifrēšanas atslēgas glabātas droši, ar nomaiņas kārtību - Atslēga nav repozitorijā. Nomaiņa pārbaudīta, ne tikai aprakstīta.

7. Darbība un noturība

8. Konfigurācija un ļaunatūras aizsardzība

Drošas konfigurācijas bāzlīnija noteikta un pārbaudīta - Serveriem, darbstacijām un pakalpojumiem. Atkāpes pamatotas.
Noklusējuma paroles nomainītas, nevajadzīgie servisi izslēgti - Katrs atvērts ports un ieslēgts serviss ir jāpamato.
Ļaunatūras aizsardzība ieslēgta, atjaunota un trauksmes pārskatītas - Uzstādīta, bet nelasīta aizsardzība nav aizsardzība.
E-pasta sūtītāja autentifikācija ieviesta un uzraudzīta - SPF, DKIM un DMARC. Atskaites tiek lasītas, ne tikai ieslēgtas.
Pielikumu un saišu filtrēšana ieslēgta - E-pasts joprojām ir biežākais sākotnējās piekļuves ceļš.
Pārlūka un darbstaciju hardening ieviests

9. Incidenti, ziņošana un kontroļu efektivitāte