Тест на проникновение помогает вашей организации определить, насколько эффективна ваша кибер- или физическая безопасность.
Учитывая, что количество утечек данных растет, а кибератаки становятся все более изощренными, всем организациям крайне необходимо проводить тестирование на проникновение. Тестирование на проникновение поможет выявить и устранить уязвимости в вашем бизнесе, а также поможет разумно расходовать средства на кибербезопасность и поддерживать бизнес в соответствии с государственными нормами.
Независимо от того, является ли ваша компания малой, средней или большой, тестирование на проникновение необходимо и может помочь во многих отношениях. Однако частота, с которой вашей компании необходимо проводить тестирование, зависит от нескольких факторов:
- Частота добавления новых систем, сайтов или инфраструктуры;
- Соблюдение нормативных требований;
- Популярность или распространение вашего бизнеса;
- Размер вашей организации.
Итак, вы знаете, что важно проводить тестирование на проникновение, но определить, когда это делать, может быть сложно, поскольку это дорогостоящий процесс. Однако отсутствие тестирования может обойтись вашему бизнесу гораздо дороже в долгосрочной перспективе. Ниже мы рассмотрим каждый из перечисленных факторов, которые необходимо учитывать при определении частоты тестирования на проникновение, в отдельности.
Добавление новых систем, мест или инфраструктуры.
Если вы вносите существенные изменения в свою критическую инфраструктуру, программное обеспечение, сети и/или политику, вам следует провести новое тестирование на проникновение. Это позволит обнаружить любые уязвимости, которые могли появиться в результате обновления. Это особенно актуально, если вы добавляете новый физический объект. Необходимо будет провести тест на физическое проникновение, а также тест на кибер-оценку. Этот новый тест не только защитит ваши активы, но и обеспечит защиту инвестиций.
Соблюдение нормативных требований.
Многие стандарты соответствия требуют от компаний проведения тестирования на проникновение. Если от вас требуется соблюдение правительственного постановления, это постановление может определить для вас время проведения пентеста. Например, правила индустрии платежных карт (PCI-DSS) требуют проведения тестирования на проникновение ежегодно и каждый раз, когда ваша организация вносит изменения в свою систему.
Размер вашей организации.
Крупные компании являются более важными целями для киберпреступников, потому что их активы больше и потому что их присутствие в Интернете часто более масштабно. Крупные компании более уязвимы, поскольку в них больше сотрудников и больше устройств, а значит и больше точек доступа. Компаниям с крупным бюджетом и большим количеством сотрудников по всему миру лучше проводить пентесты каждые полгода или раз в квартал.
Популярность или распространение вашей компании.
Если ваша компания хорошо известна, имеет высокий авторитет в СМИ или растет в бизнесе, вы более уязвимы для кибер-атак. Чем популярнее вы у населения, тем популярнее вы у киберпреступников.
Общее правило — проводить тест на проникновение каждый год. Однако из правила всегда есть исключения. Чтобы получить максимальную отдачу от теста на проникновение, вашей компании необходимо наладить отношения с третьей стороной, проводящей тест. После того, как ваш доверенный поставщик проведет первоначальное тестирование на проникновение, он будет иметь глубокое понимание ваших систем, уязвимостей, программы кибербезопасности и т.д., поэтому сможет вместе с вами определить логичный и эффективный график тестирования, который может быть ежегодным, полугодовым или ежеквартальным.