Målet med prinsippet: Virksomheten tester elementer i egne forsvarsmekanismer (teknologi, prosesser og personell) ved å simulere målene og handlingene til en angriper.
Hvorfor er dette viktig?
IKT-systemer er under konstant endring og utvikling og utfordres jevnlig av angrepsaktører. Virksomheter bør derfor jevnlig teste egen forsvarsevne for å verifisere etablerte sikkerhetstiltak, identifisere mangler og vurdere egen beredskap. Angripere utnytter ofte svakheter i virksomhetens rutiner. Eksempler på svakheter er:
- For langt tidsvindu fra annonsering av en sårbarhet og sikkerhetsretting fra leverandør, til faktisk installasjon.
- Vide brukertilganger i kombinasjon med svake autentiseringsløsninger (for eksempel bruk av svake passord).
- Mangelfull etablering av sikker konfigurasjon av enheter i IKT-systemet.
- Manglende evne til å forstå egne verdikjeder og avhengigheter mellom systemer.
En inntrengningstest vil gi dypere innsikt, gjennom en faktisk demonstrasjon av hvilken risiko sårbarheter kan utgjøre. Bruk av flere ulike angrepsvektorer og verktøy gir bedret evaluering av sikkerhetsbarrierene og forsvarssystemene i virksomheten.
Tilhørende tiltak
Utdypende informasjon
Inntrengingstesting er kontrollerte dataangrep som prøver ut motstandskraften i IKT-systemer gjennom målrettede søk og analyser, og forsøk på utnyttelse av identifiserte sårbarheter, feil og mangler. Man simulerer handlingene til en ondsinnet aktør, men testene foregår i en avgrenset tidsperiode mot deler av systemene. Vi skiller ofte mellom to typer tester. Testing av virksomhetens systemer og komponenter for å identifisere og utnytte sårbarheter. Målet med en slik test vil være å finne de viktigste svakhetene slik at disse kan utbedres. Det er vanlig å gå bredt ut for å finne så mange sårbarheter som mulig innenfor avsatt tid og omfang. En inntrengingstest kan demonstrere hvordan man kan få tilgang til konfidensiell informasjon, kontroll over deler av IKT-infrastrukturen eller spesifikke tjenester. Testing av virksomhetens kapasiteter for deteksjon og respons. Målet er å teste virksomhetens evne til å identifisere og respondere på dataangrep gjennom simulering av faktiske angrep. Denne type tester er ofte mer målrettet og har ikke som mål å finne så mange sårbarheter som mulig.