Audyty konfiguracji CIS Benchmark

Audyt konfiguracji CIS Benchmark to szczegółowa ocena bezpieczeństwa systemów operacyjnych, serwerów, baz danych, urządzeń sieciowych lub chmurowych pod kątem zgodności z Center for Internet Security (CIS) – międzynarodowym standardem bezpiecznej konfiguracji. Celem audytu jest wykrycie błędnych ustawień, nadmiarowych uprawnień i luk konfiguracyjnych, które mogą być wykorzystane w atakach.

Audyt CIS Benchmark pozwala zminimalizować ryzyko ataków wynikających z błędnej konfiguracji oraz podnieść poziom zgodności z normami bezpieczeństwa (np. ISO 27001, NIS2, DORA, RODO). Dodatkowo, raport z audytu stanowi mocny dowód due diligence podczas audytów zewnętrznych i przetargów IT.

Zbieranie danych o środowisku oraz urządzeniach objętych audytem. Analiza konfiguracji względem najlepszych praktyk bezpieczeństwa. Analiza konfiguracji oraz zgodności względem kontrolek CIS Benchmark. Przygotowanie raportu zgodności i rekomendacji naprawczych, spotkanie omawiające z administratorami, a po wdrożeniu zmian weryfikacja po hardeningu do 30 dni w cenie.

Zaleca się przeprowadzanie audytu co najmniej raz w roku lub po każdej większej zmianie w infrastrukturze IT (np. migracji do chmury, wdrożeniu nowych systemów, aktualizacji polityk bezpieczeństwa).

Cena audytu konfiguracji CIS Benchmark zaczyna się od 9 999 zł netto. Końcowy koszt zależy od liczby audytowanych systemów, środowisk chmurowych i poziomu szczegółowości analizy (profil Level 1 lub Level 2). Po wstępnej rozmowie przygotowujemy indywidualną ofertę dopasowaną do wielkości organizacji i jej infrastruktury. W cenie jest raport, weryfikacja po hardeningu do 30 dni, dostęp do platformy vulnerability management i konsultacja z audytorem.

CIS Benchmark to publiczne wytyczne bezpiecznej konfiguracji opracowywane przez Center for Internet Security dla ponad 100 technologii: systemów Windows i Linux, baz danych, kontenerów, urządzeń sieciowych, chmury i aplikacji serwerowych. Każdy benchmark zawiera listę punktów kontrolnych z uzasadnieniem, sposobem sprawdzenia i zalecanym ustawieniem, w profilu Level 1 (podstawowy) lub Level 2 (środowiska o podwyższonych wymaganiach). Audyt konfiguracji CIS polega na porównaniu Twoich systemów z tą listą punkt po punkcie.

Audytujemy systemy operacyjne Windows (w tym kontrolery domeny Active Directory) i Linux, bazy danych Oracle, Microsoft SQL Server, PostgreSQL i MySQL, środowiska kontenerowe Docker, urządzenia sieciowe (routery, przełączniki, UTM), firewalle oraz konfigurację aplikacji serwerowych. Na życzenie audyt rozszerzamy o przegląd kodu źródłowego. Zakres składasz z tych elementów; kilka serwerów tego samego typu audytujemy taniej niż kilka różnych technologii, bo skrypty i lista kontrolna są wspólne.

CIS Controls to zestaw priorytetowych zabezpieczeń organizacyjnych i technicznych (np. inwentaryzacja zasobów, zarządzanie podatnościami, kontrola dostępu), który mówi, co organizacja powinna wdrożyć. CIS Benchmarks to szczegółowe wytyczne konfiguracji konkretnych technologii, które mówią, jak ustawić dany system, żeby te zabezpieczenia zrealizować. Nasz audyt konfiguracji sprawdza zgodność z benchmarkami, a wyniki mapujemy na CIS Controls oraz wymagania ISO 27001, NIS2 i NIST.

Czas zależy od liczby i różnorodności komponentów oraz profilu benchmarku. Zbieranie konfiguracji odbywa się w trybie odczytu, skryptami audytowymi i eksportami, więc nie wymaga okna serwisowego ani przerwy w pracy systemów. Najwięcej czasu zajmuje analiza punktów wymagających interpretacji i przygotowanie planu hardeningu. Dokładny harmonogram z liczbą dni podajemy w wycenie po bezpłatnej rozmowie o zakresie; po wdrożeniu zmian weryfikacja do 30 dni jest w cenie.

Ani NIS2, ani ISO 27001 nie wymagają wprost CIS Benchmark, ale oba wymagają udokumentowanego standardu bezpiecznej konfiguracji i jego weryfikacji: ISO 27001 w zabezpieczeniach technicznych załącznika A, NIS2 w środkach zarządzania ryzykiem cyberbezpieczeństwa. CIS Benchmark jest najczęściej stosowanym, publicznym punktem odniesienia, więc raport z audytu CIS zamyka te wymagania i stanowi dowód due diligence dla audytora. Wyniki mapujemy na właściwe punkty normy lub dyrektywy.

Raport zawiera dla każdej niezgodności numer punktu CIS Benchmark, opis problemu i skutków, rekomendację zmiany konfiguracji oraz odnośnik do oficjalnej dokumentacji CIS, MITRE lub NIST, a w materiałach pomocniczych przykłady poprawnych konfiguracji (hardening guides) i komendy audytowe, którymi sprawdziliśmy ustawienie. Nie dostarczamy skryptów masowej naprawy, bo zmiany trzeba wdrażać w kolejności priorytetów i testować w Twoim środowisku; plan hardeningu omawiamy z administratorami na spotkaniu.

Oba sposoby łączymy. Punkty, które da się zweryfikować skryptem, sprawdzamy automatycznie na każdym hoście, co daje pełne pokrycie benchmarku. Punkty wymagające interpretacji (polityki haseł w kontekście MFA, reguły zapory względem architektury sieci, uprawnienia w bazie względem ról aplikacji) ocenia audytor, żeby raport nie zawierał niezgodności, które w Twoim środowisku są uzasadnione i udokumentowane. Każdą niezgodność widzisz na bieżąco w platformie vulnerability management.