Audit de securitate IT: cum alegi furnizorul potrivit

Firmele din Moldova ajung de regulă la un audit de securitate IT extern din unul din trei motive: un client sau partener mai mare îl cere contractual, înainte de a semna; o asigurare cibernetică îl condiționează ca termen al poliței; sau firma a trecut deja printr-un exercițiu de igienă de bază — autentificare în doi factori, parole, firewall — și vrea o verificare independentă, nu doar presupunerea că măsurile funcționează. În toate trei cazurile, întrebarea practică este aceeași: ce înseamnă, de fapt, un audit serios, și cum alegi un furnizor care livrează unul, nu un formular completat la finalul unei zile de lucru.

Audit intern versus audit extern: nu sunt interschimbabile

O listă de verificare parcursă de echipa IT proprie — am descris una, în șapte puncte, în ghidul de securitate cibernetică pentru firme, și una de rețea, în ghidul despre firewall — este utilă și necesară, dar are o limită structurală: persoana care a configurat sistemul este, de regulă, și persoana care îl verifică, iar o greșeală de configurare pe care nu a observat-o la instalare rareori o observă nici la verificare. Un audit extern aduce exact ce lipsește: o privire care nu a construit sistemul și nu are niciun interes să-l găsească „suficient de bun". Diferența nu este una de efort, ci de independență.

Ce evaluează, concret, un audit de securitate IT

Perimetrul unui audit serios depășește, de regulă, un singur sistem. Un furnizor competent verifică, în funcție de ce ați stabilit împreună în etapa de scopare:

• Rețeaua — configurarea firewall-ului, segmentarea rețelei interne de cea de oaspeți, porturi expuse către internet, acces de la distanță prin VPN.
• Aplicațiile — site-ul firmei, magazinul online sau aplicațiile interne, verificate pentru vulnerabilități cunoscute în cod sau în configurare.
• Accesul și identitatea — cine are drepturi de administrator, dacă există conturi vechi, ale unor angajați care au plecat, încă active, dacă autentificarea în doi factori este aplicată consecvent, nu doar pe hârtie.
• Politicile și procedurile — dacă există o politică scrisă de backup, cât de recent a fost testată o restaurare, cum este documentat procesul de reacție la un incident.

Un audit care verifică doar una dintre aceste patru zone — de regulă rețeaua, pentru că este cea mai ușor de scanat automat — nu este un audit complet, chiar dacă raportul rezultat este consistent ca volum.

Audit versus test de penetrare: termenii nu sunt sinonime

Cele două se confundă frecvent, iar diferența contează la momentul negocierii ofertei. Auditul este evaluarea mai largă — configurații, drepturi, politici, proceduri — bazată în mare parte pe verificare tehnică și documentară, nu pe atac activ. Testul de penetrare este o tehnică specifică, folosită de regulă ca parte a unui audit sau separat, în care furnizorul încearcă efectiv să exploateze o vulnerabilitate găsită, în limitele agreate prin contract, pentru a demonstra nu doar că o breșă este teoretic posibilă, ci că funcționează practic, cu impact real asupra datelor sau sistemelor.

Testele de penetrare se împart, la rândul lor, după cât de multă informație primește furnizorul înainte de a începe: black box (fără nicio informație prealabilă despre infrastructură, exact ca un atacator extern necunoscut), gray box (cu un nivel de acces similar unui angajat obișnuit, pentru a testa ce se poate face din interior cu drepturi limitate) și white box (cu acces complet la configurații și, unde este relevant, la codul sursă, pentru cea mai detaliată verificare posibilă). Niciuna nu este universal „mai bună" — alegerea depinde de ce scenariu de risc vreți să verificați, iar un furnizor serios vă va întreba asta explicit, nu va propune automat varianta cea mai ieftină pentru el.

Cum se desfășoară, practic, un audit extern

Secvența obișnuită, indiferent de furnizor, urmează aceiași pași:

• 1. Scopare — se stabilește în scris exact ce se testează, ce este exclus explicit (de exemplu, sistemele unui partener care nu a aprobat testarea) și pe ce fereastră de timp.
• 2. Acord de confidențialitate — semnat înainte de a oferi furnizorului orice acces la sisteme, nu după.
• 3. Execuția propriu-zisă, într-o fereastră comunicată dinainte echipei interne, ca să nu fie confundată cu un atac real în curs.
• 4. Raport preliminar, cu vulnerabilitățile găsite, clasificate după severitate și impact potențial asupra afacerii, nu doar după criterii pur tehnice.
• 5. Fereastra de remediere, în care echipa internă sau furnizorul de mentenanță IT corectează problemele identificate.
• 6. Retestare, care confirmă explicit că remedierea a funcționat — pasul cel mai frecvent omis, și cel care transformă auditul într-un exercițiu teoretic dacă lipsește.
• 7. Raport final, care documentează întregul proces pentru un partener, o asigurare sau un audit viitor.

Ce ar trebui să conțină, la final, un raport serios

Un raport util nu este o listă brută de vulnerabilități exportată dintr-un instrument automat. El prioritizează problemele după impactul real asupra afacerii — o vulnerabilitate critică într-un sistem fără date sensibile poate conta mai puțin decât una minoră într-un sistem cu acces la baza de clienți — și oferă recomandări de remediere concrete, aplicabile de echipa voastră, nu formulări generice de tipul „actualizați software-ul". Dacă raportul se citește ca un produs standardizat, identic indiferent de client, este un semn că scanarea a fost automată și raportul redactat după un șablon, nu adaptat la infrastructura voastră reală.

Cum alegi furnizorul: întrebările care fac diferența

Prețul cel mai mic nu este, de regulă, criteriul util de comparație, pentru că doi furnizori pot oferta perimetre foarte diferite sub aceeași denumire de „audit de securitate". Întrebările care separă o ofertă serioasă de un formular completat rapid:

• Ce perimetru exact este inclus — numărul de sisteme, aplicații și locații testate, în scris, nu verbal.
• Ce certificări are echipa care execută testarea — certificări internaționale recunoscute în domeniu, cum ar fi OSCP sau CEH, sunt un indicator relevant, nu o garanție absolută.
• Retestarea după remediere este inclusă în preț sau este facturată separat — merită clarificat înainte de a semna, nu după primul raport.
• Ce acoperire de răspundere și confidențialitate oferă furnizorul, dat fiind că va avea, temporar, acces la sisteme sensibile ale firmei.
• Cât timp este alocat execuției efective — un audit sau test de penetrare serios, pe un perimetru real, rareori se încheie în câteva ore.

Cât de des are nevoie firma ta de un audit extern

Nu este, de regulă, un exercițiu anual automat, independent de context. Momentele care justifică un audit nou sunt o schimbare majoră de infrastructură (migrare în cloud, o aplicație nouă expusă public), cererea explicită a unui partener sau asigurător înainte de un contract, sau un eveniment de securitate care a ridicat suspiciuni, chiar fără o breșă confirmată. Pentru firmele cu date sensibile gestionate constant — financiare, medicale, baze mari de clienți — o cadență anuală este un punct de referință rezonabil, dar nu un minim legal, ci o decizie de gestionare a riscului.

Greșeli frecvente de evitat

• Confuzia dintre o scanare automată de vulnerabilități și un audit complet — scanarea este rapidă și ieftină, dar verifică doar ce poate detecta automat un instrument, nu configurațiile greșite specifice contextului vostru sau procesele interne.
• Tratarea raportului final ca pe linia de sosire — fără remediere efectivă și retestare, raportul rămâne un document, nu o îmbunătățire reală a securității.
• Acordarea de acces larg la sisteme înainte de acordul de confidențialitate — ordinea contează, nu doar existența documentului.
• Alegerea exclusiv pe preț, fără perimetru comparabil scris — doi furnizori pot testa cantități foarte diferite de infrastructură sub aceeași etichetă.
• Niciun responsabil intern desemnat să urmărească remedierea fiecărei vulnerabilități găsite, până la închiderea ei efectivă.

Ce faci concret înainte să contactezi un furnizor

• Stabilește perimetrul de discuție: rețea, aplicații, acces și identitate, politici — toate patru sau doar o parte, dar explicit, nu implicit.
• Adună inventarul relevant: ce sisteme rulează, ce aplicații sunt expuse public, câte conturi active există.
• Decide bugetul și fereastra de timp, inclusiv pentru remediere și retestare, nu doar pentru execuția inițială.
• Pregătește întrebările din secțiunea de mai sus, în scris, pentru fiecare ofertant contactat.
• Cere oferte de la cel puțin doi furnizori, cu același perimetru descris identic, înainte de a compara prețurile.

Serviciile noastre de securitate cibernetică includ evaluări de securitate și pregătirea firmei pentru un audit extern, inclusiv remedierea vulnerabilităților găsite. Pentru firmele unde securitatea depinde și de administrarea zilnică a infrastructurii — patch-uri, monitorizare, backup — serviciile noastre de externalizare IT acoperă componenta de operare continuă dintre două audituri. Dacă firma ta nu a trecut încă prin exercițiul de igienă de bază, ghidul de securitate cibernetică pentru firme este punctul de start recomandat, iar monitorizarea IT proactivă acoperă ce se întâmplă în intervalul dintre două audituri, nu doar la momentul verificării punctuale.

Întrebări frecvente

Care este diferența dintre un audit de securitate și un test de penetrare? Auditul este evaluarea mai largă: configurații, drepturi de acces, politici, proceduri de backup și patch-uri, de regulă printr-o verificare în mare parte documentară și tehnică, nu activă. Testul de penetrare este o tehnică specifică, folosită de obicei ca parte a unui audit, în care furnizorul încearcă efectiv să exploateze vulnerabilitățile găsite, în limitele stabilite prin contract.

Cât costă, în linii mari, un audit de securitate IT pentru o firmă mică? Depinde în mare măsură de perimetru — câte sisteme, aplicații și locații sunt testate, și cât de des se repetă. Nu există un tarif standard de piață pe care să-l putem cita aici fără să inducă în eroare; cere oferte de la cel puțin doi furnizori, cu același perimetru descris în scris.

Avem nevoie de audit extern dacă deja avem firewall, MFA și politici de parole puse la punct? Măsurile de igienă de bază reduc riscul, dar nu confirmă independent că funcționează corect, complet și fără excepții nedocumentate. Un audit extern verifică exact asta.

Cine ar trebui să inițieze un audit de securitate — IT-ul intern sau conducerea firmei? Decizia de a-l contracta este, de regulă, una de conducere, dar scoparea tehnică ar trebui făcută împreună cu echipa IT internă sau cu furnizorul care administrează infrastructura.

Furnizorul care face auditul repară și vulnerabilitățile găsite? De regulă, nu automat. Auditul standard livrează un raport cu recomandări; repararea este fie a echipei interne, fie a furnizorului de mentenanță IT, printr-un contract separat. O retestare după remediere ar trebui inclusă sau negociată explicit în oferta inițială.

Verifică, nu presupune

Diferența dintre o firmă care știe exact cât de expusă este și una care presupune că „probabil e în regulă" nu este mărimea bugetului de securitate, ci dacă a cerut vreodată unei terțe părți independente să verifice.

Solicită o evaluare gratuită a nevoilor de securitate ale firmei tale și află dacă un audit extern este pasul următor potrivit, sau dacă igiena de bază încă neacoperită ar trebui rezolvată mai întâi.