Hoe risicobasisgestuurd testen de beveiliging in gereguleerde organisaties transformeert
Voor veel organisaties volgt de penetratietest van de cyberbeveiliging nog steeds een bekend patroon. Een systeem moet jaarlijks getest worden, dus stuurt iemand een aanvraag. De scope wordt opgesteld, beoordeeld en goedgekeurd, er wordt een bestelbon opgestuurd en de test wordt gepland, uitgevoerd en gerapporteerd, met eventuele nieuwe tests. Een jaar later begint de cyclus opnieuw voor het grootste deel van de systemen.
Elke stap is op zichzelf begrijpelijk. Samen vormen ze een proces dat traag, veel resources vraagt en, het belangrijkste, niet afhankelijk is van risico’s. Het testen vindt plaats wanneer de inkoop het toelaat, niet wanneer borging het meeste toegevoegde waarde zou bieden. De diepte van het testen dat een systeem ondergaat heeft vaak weinig te maken met de cruciale rol die dat systeem binnen de organisatie speelt.
Bij Resillion werken we samen met een organisatie uit de publieke sector om dit te veranderen. We hebben een bewezen trackrecord van het combineren van expertise uit onze verschillende business units en een lange traditie van innovatie en voortdurende verbetering. Dit werk combineerde beide. De resultaten laten zien wat mogelijk is wanneer assurance is ontworpen op basis van risico’s in plaats van op basis van de inkoopkalender.
Een zekerheid die moeilijk te verdedigen is
Een van onze klanten opereert in een van de strengst gereguleerde omgevingen van het Verenigd Koninkrijk. De beveiligingsregelingen van deze organisatie worden beoordeeld door de toezichthouder in de sector op basis van de Security Assessment Principles, waarin wordt verlangd dat organisaties aantonen dat hun assuranceactiviteiten effectief zijn en in verhouding staan tot het risico.
Het bestaande testmodel maakte dat moeilijker dan het had moeten zijn. De meeste systemen vereisten jaarlijkse tests, en elke test moest door acht verschillende review- en goedkeuringsstappen worden doorlopen. Het personeel van de klant besteedde veel tijd aan het beheren van contracten in plaats van aan het beheren van risico’s. Er was ook geen gedocumenteerde link tussen de kritikaliteit van een systeem en de diepte van de tests die het kreeg, waardoor de verhouding tussen de ernst van de problemen en de diepte van de tests werd bepaald door uitleg in plaats van door bewijzen.
Dit is geen probleem dat specifiek voor een organisatie geldt. De centrale overheidseenheden die onder GovAssure werkzaam zijn, de belangrijke aanbieders van nationaal infrastructuur die onder de NIS Regulations vallen, en de organisaties die zich voorbereiden op de Britse Cybersecurity and Resilience Bill, staan allemaal voor dezelfde vraag: kunt u aantonen dat uw assurance-inspanning aansluit bij uw risico?
Laat het risico de scope bepalen
Samen met onze klant hebben we een risicobasisgestuurd model voor continue assurance ontwikkeld. In het hart van dit model staat een scope-tool waarmee de kritieke aard en het risico van elk systeem worden beoordeeld. Deze beoordeling wordt vervolgens gebruikt om de reikwijdte, diepte en frequentie van de tests te bepalen.
Wat dit mogelijk maakte, was het combineren van drie domeinen van Resillion expertise die zelden samen worden gebracht. Cyber Assurance Testing team brengt diepgaande kennis mee over hoe aanvallers kritieke systemen targeten en hoe testen moet worden opgezet en uitgevoerd. Onze Kwaliteitstechniek Het team heeft zijn ervaring met continue testen in de softwarelevering meegenomen, waarbij testen is ingebouwd in elke wijziging in plaats van dat deze later wordt gepland. En onze Governance, Risico en Compliance (GRC) Specialisten brachten de risicobeoordeling en de regulatoire kennis die nodig is om elke beslissing te rechtvaardigen, bij de auditeurs en toezichthouders.
De beoordelingscriteria werden ontwikkeld in gezamenlijke workshops waarbij de stakeholders van de klant samenkwamen met alle drie de teams. De criteria werden afgestemd op de regelgevende principes en op het risicoprofiel van de klant, zodat elke beslissing over de scope teruggaat naar een overeengekomen en transparante basis. Voordat we gebruik maakten van het instrument, werden er tests uitgevoerd op een reeks eerder getest systemen om te bevestigen dat de resultaten accuraat waren en door de klant werden geaccepteerd.
We hebben vervolgens de wijzigingen in een gestructureerd programma van negen werkstromen over vier fasen geïmplementeerd. We zijn begonnen met het begrijpen van de huidige situatie: het rationaliseren van de inventaris van assets en het analyseren van jarenlange historische bevindingen op basis van de kritieke status van de assets om te ontdekken waar het risico echt aanwezig was. Vervolgens hebben we een bibliotheek van vooraf goedgekeurde scope-specificaties ontworpen, zodat tests snel kunnen worden ingezet zonder dat elke keer dezelfde goedkeuringen hoeven te worden verleend. Vervolgens hebben we het model geïntegreerd in de dagelijkse bedrijfsvoering, waarbij testen werden geïntegreerd met DevSecOps-cyclus opdat een significante verandering automatisch een garantie oplevert en ondersteunende maatregelen worden genomen tot aan een gevalideerde afsluiting. Tenslotte hebben we metrics en governance ingevoerd om de verandering te ondersteunen, waarbij verandermanagement wordt toegepast gedurende de hele implementatieperiode, zodat het nieuwe model de manier waarop de organisatie werkt wordt.
Efficiency zonder afbreuk te doen aan de onafhankelijkheid
Een veelvoorkomend bezwaar tegen het stroomlijnen van assurance is dat efficiëntie ten koste van objectiviteit kan gaan. We hebben het model ontworpen om de onafhankelijkheid te versterken, niet te verzwakken. De reikwijdte wordt bepaald door de overeengekomen risicokriteria en niet door de testers, zodat niemand een belang heeft bij het resultaat. De bevindingen worden ongeraffineerd gepresenteerd op basis van een standaard methodologie voor ernstgraden. Wanneer we ondersteuning bieden voor herstelmaatregelen, worden verificatiehertests uitgevoerd door een andere consultant, zodat we onze eigen adviezen nooit goedkeuren.
De resultaten
De resultaten zijn significant. Onze klant besteedt nu meer dan 60% minder personeelstijd voor testopdrachten. De verificatie- en goedkeuringsstappen zijn Verkleind van acht naar twee per engagement, met volledige governance intact en een gemiddeld tijdsverloop van het verzoek tot het starten van een test Verlaagd van zes weken naar twee.
Net zo belangrijk is dat testen nu wordt geprioriteerd op basis van kritiekwaarde en wordt afgestemd op het moment waarop het het meeste toegevoegde waarde biedt, inclusief na aanzienlijke veranderingen in plaats van alleen op een jaarlijkse cyclus. Bovendien is er een traceerbare keten van risicobeoordeling tot scope, bevindingen en gevalideerde aanpassingen, waardoor de klant duidelijke bewijzen krijgt van effectieve assuranceprocessen voor de toezichthouder.
Korting op testtijd
De stappen voor goedkeuring zijn teruggebracht van 8 naar 2 per opdracht
De doorlooptijd van het verzoek tot het starten van een test is teruggebracht tot 2 weken.
Waarom dit belangrijk is voor de publieke sector
Voor de publieke sector en gereguleerde organisaties gaan de voordelen verder dan efficiëntie.
Ten eerste wordt het bewijzen van audit en assurance veel eenvoudiger. Wanneer elke test kan worden teruggevoerd op een gedocumenteerde risicobeoordeling, wordt het aantonen van proportionaliteit aan auditors en regelgevers een kwestie van het bewijzen van de gegevens, in plaats van het reconstrueren van de logica.
Ten tweede krijgen kritische systemen de aandacht die ze verdienen. Risicogebaseerde scoping richt de testinspanning op de systemen die het belangrijkst zijn, in plaats van deze gelijkmatig over het hele estate te verdelen.
De derde reden is dat schaarse interne middelen vrijkomen. Veiligheids- en aanbestedingsteams in de publieke sector zijn vaak overbelast en het engagementproces kan worden teruggebracht van acht goedkeuringsstappen naar twee. Dit zonder de controlemechanismen die belangrijk zijn te elimineren en toch de vereisten van de gebruikers te realiseren.
Ten slotte houdt assurance de ontwikkelingen in de gaten. Door testen te koppelen aan het ontwikkelingscyclusproces, worden nieuwe risico's beoordeeld zodra ze worden geïntroduceerd, in plaats van maanden later bij de volgende geplande test.
Beginnen
Organisaties die overwegen een vergelijkbare reis te ondernemen, kunnen beginnen door zichzelf een paar eenvoudige vragen te stellen. Hebben ze een overeengekomen, gedocumenteerde manier om de kritikaliteit van elk systeem te beoordelen, en kunnen ze de scope van elke test terugleiden tot die beoordeling? Hoeveel goedkeuringsstappen gaat een routinecontrole door, en welke stappen beheersen daadwerkelijk het risico? En wanneer er sprake is van aanzienlijke veranderingen, activeert deze de assurancefunctie of wacht deze op de volgende jaarlijkse cyclus? Als de antwoorden onzeker zijn, is er waarde en tijd te winnen.
Sindsdien hebben we deze aanpak toegepast bij andere Resillion-klanten, met vergelijkbare efficiëntieverbeteringen. Efficiënte assurance hangt evenzeer af van overeengekomen criteria, governance en bewijsvoering als van technische tests. Wanneer deze aanwezig zijn, kunnen organisaties slimmer testen, minder tijd besteden aan het beheren van engagements en hun bestuur en toezichthouders het vertrouwen geven dat ze nodig hebben.
Om te ontdekken hoe een risicobasisgestuurd model van continue assurance voor uw organisatie zou kunnen werken, neem contact op met Team Resillion Cyber Assurance.
