Sektor ochrony zdrowia od kilku lat znajduje się wśród najczęściej atakowanych branż. Placówki medyczne przetwarzają duże ilości wrażliwych danych i jednocześnie muszą utrzymać ciągłość działania systemów, od których zależy codzienna praca personelu oraz dostęp do informacji o pacjentach.
W praktyce oznacza to konieczność regularnej weryfikacji poziomu zabezpieczeń oraz odporności infrastruktury IT.
W tym projekcie zespół Cyberforces przeprowadził kompleksowy audyt bezpieczeństwa informacji oraz testy bezpieczeństwa dla Uniwersyteckiego Szpitala Klinicznego we Wrocławiu, identyfikując kluczowe ryzyka i obszary wymagające poprawy.
Cel projektu
Celem projektu było przeprowadzenie kompleksowego audytu przedwdrożeniowego bezpieczeństwa informacji wraz z testami bezpieczeństwa infrastruktury teleinformatycznej.
W ramach realizacji zadania:
- oceniliśmy zgodność środowiska IT z obowiązującymi standardami bezpieczeństwa,
- zweryfikowaliśmy poziom zabezpieczeń infrastruktury sieciowej i systemowej,
- sprawdziliśmy odporność organizacji na ataki techniczne i socjotechniczne,
- przeanalizowaliśmy procedury zarządzania bezpieczeństwem informacji.
Audyt pozwolił zidentyfikować główne ryzyka oraz przygotować rekomendacje zwiększające poziom ochrony systemów informatycznych.
Zakres projektu
Projekt obejmował kompleksowe działania audytowe oraz testy bezpieczeństwa infrastruktury IT w kilku lokalizacjach organizacji.
Audyt bezpieczeństwa infrastruktury IT
- analiza publicznych usług dostępych z Internetu,
- skanowanie podatności systemów i usług,
- zweryfikowaliśmy konfigurację urządzeń brzegowych (firewall, IDS/IPS, zabezpieczenia anty-DDoS),
- sprawdziliśmy konfigurację mechanizmów szyfrowania i certyfikatów SSL/TLS.
Audyt infrastruktury sieciowej
- konfiguracja urządzeń sieciowych,
- ocena segmentacji sieci (VLAN),
- zweryfikacja bezpieczeństwa połączeń VPN,
- sprawdzenie dostępnych usług sieciowych pod kątem podatności.
Audyt środowiska systemowego
- weryfikacja bezpieczeństwa systemów operacyjnych,
- sprawdzenie konfiguracji oprogramowania i firmware,
- analiza polityki bezpieczeństwa IT.
Audyt Microsoft Active Directory
- konfiguracja domeny Active Directory,
- polityka GPO,
- audyt uprawnień użytkowników i grup,
- polityka haseł oraz mechanizmy monitorowania zdarzeń.
Audyt bezpieczeństwa aplikacji
- aplikacje działające w sieci wewnętrznej,
- mechanizmy autoryzacji i uwierzytelniania,
- weryfikacja potencjalnych podatności aplikacji
Audyt bezpieczeństwa danych
- ocena polityki tworzenia kopii zapasowych,
- sprawdzenie sposób szyfrowania backupów,
- sposób przechowywania kopii zapasowych.
Testy socjotechniczne
- scenariusze kampanii phishingowych,
- symulowane ataki phishingowe,
- sprawdzenie reakcji pracowników,
- identyfikacja podatności organizacji na manipulację socjotechniczną.
Wyzwania projektu
Realizacja projektu w środowisku medycznym wiązała się z istotnymi ograniczeniami operacyjnymi i technicznymi.
Najważniejsze z nich:
- konieczność prowadzenia testów bez wpływu na ciągłość działania systemów medycznych,
- analiza złożonej i rozproszonej infrastruktury IT,
- zapewnienie bezpieczeństwa danych wrażliwych,
- ścisła współpraca z zespołami IT klienta,
- przeprowadzenie testów socjotechnicznych w sposób kontrolowany i zgodny z regulacjami.
Przebieg realizacji projektu audytu bezpieczeństwa informacji
Rezultaty projektu
W wyniku przeprowadzonych działań organizacja uzyskała pełną widoczność poziomu bezpieczeństwa swojej infrastruktury IT.
Raport obejmował:
- identyfikację podatności technicznych i konfiguracyjnych,
- analizę ryzyk cyberbezpieczeństwa,
- rekomendacje dotyczące konfiguracji systemów i infrastruktury,
- wskazówki dotyczące poprawy procedur bezpieczeństwa,
- rekomendacje zwiększające odporność organizacji na ataki socjotechniczne.
Projekt pozwolił uporządkować obszar bezpieczeństwa IT oraz przygotować organizację do dalszych działań związanych ze zgodnością regulacyjną i audytami.
FAQ – najczęściej zadawane pytania
Czym jest audyt bezpieczeństwa informacji?
Audyt bezpieczeństwa informacji polega na ocenie zabezpieczeń infrastruktury IT oraz procedur organizacyjnych w celu identyfikacji podatności i określenia poziomu ryzyka.
Co obejmuje audyt cyberbezpieczeństwa infrastruktury IT?
Zakres audytu może obejmować analizę konfiguracji systemów i sieci, testy penetracyjne, audyt Active Directory, ocenę polityk bezpieczeństwa oraz weryfikację zabezpieczeń aplikacji.
Dlaczego testy socjotechniczne są ważnym elementem audytu?
Testy socjotechniczne pozwalają sprawdzić, czy pracownicy są podatni na manipulację, która może prowadzić do uzyskania nieautoryzowanego dostępu do systemów lub danych.
Czy audyt pomaga w przygotowaniu do NIS2 i UoKSC?
Tak – audyt jest jednym z pierwszych kroków w procesie przygotowania organizacji do spełnienia wymagań regulacyjnych i uporządkowania obszaru bezpieczeństwa.
Jak długo trwa audyt bezpieczeństwa?
Czas realizacji zależy od skali infrastruktury i zakresu prac – w przypadku dużych organizacji proces może trwać od kilku tygodni do kilku miesięcy.
