Minn skans għal evidenza: ISO 27001:2022, NIS2, DORA
Huma t-08:16 ta’ nhar ta’ Tnejn. Vulnerabbiltà kritika ta’ eżekuzzjoni remota ta’ kodiċi għadha kemm dehret fuq il-pannell ta’ monitoraġġ għal server ta’ applikazzjoni aċċessibbli mill-internet. It-tim tal-infrastruttura jgħid li l-patch tal-fornitur huwa disponibbli. Is-sid tal-applikazzjoni jwissi li s-server jappoġġa fluss tax-xogħol tal-klijenti kritiku għad-dħul. Il-funzjoni legali tistaqsi jekk sfruttament jistax jiskatta obbligi ta’ rappurtar taħt NIS2, DORA jew GDPR. Is-CISO, Maria, tiftaħ il-kalendarju tal-awditjar u tara l-problema reali: l-awditu ta’ sorveljanza ISO 27001:2022 jibda l-ġimgħa d-dieħla, rieżami ta’ tħejjija għal NIS2 diġà għaddej, u klijent fintech ewlieni talab evidenza għal DORA.
L-iskaner juri aħmar. Il-bord tat-tickets juri attività. L-ispreadsheet turi sforz. Iżda xejn minn dan ma jipprova awtomatikament il-kontroll.
Din hija l-lakuna li ħafna organizzazzjonijiet jiskopru tard wisq. L-iskannjar tal-vulnerabbiltajiet mhuwiex l-istess bħall-kapaċità li tintwera l-konformità fil-ġestjoni tal-vulnerabbiltajiet. Skan jgħidlek li xi ħaġa tista’ tkun ħażina. L-evidenza tal-awditu turi li l-organizzazzjoni kienet taf x’kellha, evalwat ir-riskju, assenjat is-sjieda, aġixxiet skont il-politika, ikkontrollat it-tibdil, iddokumentat l-eċċezzjonijiet, ivverifikat ir-riżultati u rrieżaminat l-eżitu.
Għal ISO/IEC 27001:2022, NIS2 u DORA, dik il-katina ta’ evidenza hija importanti daqs it-tiswija teknika. L-iskaner jibda l-istorja. L-inventarju tal-assi, ir-reġistru tal-vulnerabbiltajiet, it-ticket, id-deċiżjoni dwar ir-riskju, ir-reġistru tat-tibdil, ir-reġistru tal-patches, l-evidenza ta’ verifika, l-approvazzjoni tal-eċċezzjoni u r-rieżami mill-maniġment jikkompletawha.
L-approċċ ta’ Clarysec huwa sempliċi: tittrattax il-ġestjoni tal-vulnerabbiltajiet bħala ritwal tekniku ta’ kull xahar. Ittrattaha bħala fluss tax-xogħol ta’ evidenza taħt governanza.
Għaliex ir-rapporti tal-iskans ifallu bħala evidenza tal-awditu
Skan tal-vulnerabbiltajiet huwa osservazzjoni teknika f’punt partikolari fiż-żmien. Jista’ jidentifika CVE, patch nieqes, librerija mhux appoġġata, servizz espost jew konfigurazzjoni dgħajfa. Dan huwa utli, iżda mhux komplut.
Awditur jistaqsi mistoqsijiet differenti:
- L-assi affettwat kien fil-kamp ta’ applikazzjoni?
- Min hu s-sid tal-assi u tas-servizz tan-negozju?
- Il-vulnerabbiltà ġiet evalwata skont l-espożizzjoni, l-isfruttabbiltà, l-impatt fuq in-negozju u s-sensittività tad-data?
- Ir-rimedjazzjoni tlestiet fiż-żmien definit?
- Jekk ir-rimedjazzjoni ġiet ittardjata, min aċċetta r-riskju residwu?
- Il-patch ġie implimentat permezz ta’ ġestjoni tat-tibdil ikkontrollata?
- It-tiswija ġiet ivverifikata permezz ta’ skannjar mill-ġdid jew verifika teknika?
- L-evidenza nżammet u ġiet rieżaminata mill-maniġment?
Folder ta’ esportazzjonijiet mill-iskaner rarament iwieġeb dawn il-mistoqsijiet. F’awditu ISO 27001:2022, l-awditur ikun qed jittestja jekk l-ISMS jaħdimx kif iddisinjat. Taħt NIS2, il-korpi maniġerjali għandhom japprovaw u jwettqu sorveljanza tal-miżuri għall-ġestjoni tar-riskju taċ-ċibersigurtà. Taħt DORA, l-entitajiet finanzjarji jeħtieġu qafas dokumentat għall-ġestjoni tar-riskju tal-ICT, ċiklu tal-ħajja tal-inċidenti, ittestjar tar-reżiljenza u kontrolli tar-riskju tal-ICT minn partijiet terzi. Taħt GDPR, il-kwistjoni ssir jekk miżuri tekniċi u organizzattivi xierqa pproteġewx id-data personali, u jekk ir-responsabbiltà tistax tintwera.
Il-klawżoli 4.1 sa 4.4 ta’ ISO/IEC 27001:2022 jeħtieġu li l-organizzazzjoni tifhem il-kuntest tagħha, il-partijiet interessati, ir-rekwiżiti u l-kamp ta’ applikazzjoni tal-ISMS. Il-ġestjoni tal-vulnerabbiltajiet u l-patches ma tistax tiġi ddisinjata b’mod iżolat. Trid tirrifletti l-kuntratti tal-klijenti, ir-regolaturi, id-dipendenzi fuq il-cloud, is-servizzi ICT esternalizzati, l-obbligi tal-protezzjoni tad-data u s-servizzi kritiċi.
Il-klawżoli 6.1.1 sa 6.1.3 ta’ ISO/IEC 27001:2022 jeħtieġu valutazzjoni tar-riskju, trattament tar-riskju, għażla tal-kontrolli, Dikjarazzjoni ta’ Applikabbiltà u approvazzjoni mis-sid tar-riskju għar-riskju residwu. Dan ifisser li l-evidenza tal-vulnerabbiltajiet għandha tikkonnettja mar-Reġistru tar-Riskji, mal-pjan ta’ trattament u mas-SoA.
ISO/IEC 27005:2022 isaħħaħ dan il-mudell billi jħeġġeġ lill-organizzazzjonijiet jikkonsolidaw rekwiżiti minn Annex A, obbligi settorjali, regolamenti, kuntratti, regoli interni u kontrolli eżistenti fil-linja bażi tal-valutazzjoni tar-riskju. Jenfasizza wkoll kriterji għall-probabbiltà, il-konsegwenza, l-obbligi legali, ir-relazzjonijiet mal-fornituri, l-impatt fuq il-privatezza u l-impatt fuq partijiet terzi. F’termini prattiċi, vulnerabbiltà mhijiex biss numru CVSS. Hija avveniment ta’ riskju marbut ma’ assi, obbligi, partijiet interessati u konsegwenzi għan-negozju.
Il-pressjoni regolatorja wara l-evidenza tal-patches
Ir-regolamentazzjoni moderna taċ-ċibersigurtà hija inqas tolleranti lejn patching informali.
NIS2 japplika għal ħafna entitajiet medji u kbar f’setturi kritiċi u ta’ kritikalità għolja, u jista’ jilħaq ukoll ċerti entitajiet irrispettivament mid-daqs. Il-kamp ta’ applikazzjoni tiegħu jinkludi fornituri ta’ infrastruttura diġitali bħas-servizzi tal-cloud computing, servizzi ta’ ċentri tad-data, netwerks ta’ twassil tal-kontenut, fornituri ta’ komunikazzjonijiet elettroniċi pubbliċi, servizzi ta’ fiduċja, servizzi DNS u TLD, flimkien ma’ fornituri ta’ ġestjoni ta’ servizzi tal-ICT bħall-fornituri ta’ servizzi ġestiti u fornituri ta’ servizzi ta’ sigurtà ġestiti. Ikopri wkoll fornituri diġitali importanti bħas-swieq online, magni tat-tiftix online u pjattaformi tan-netwerks soċjali.
Article 20 ta’ NIS2 jagħmel iċ-ċibersigurtà responsabbiltà tal-korp maniġerjali. Article 21 jeħtieġ miżuri tekniċi, operattivi u organizzattivi xierqa u proporzjonati, inklużi analiżi tar-riskju, ġestjoni tal-inċidenti, kontinwità tan-negozju, sigurtà tal-katina tal-provvista, akkwist sigur, żvilupp sigur, manutenzjoni sigura, ġestjoni u żvelar tal-vulnerabbiltajiet, evalwazzjoni tal-effettività, iġjene ċibernetika, kontroll tal-aċċess, ġestjoni tal-assi u awtentikazzjoni. Article 23 joħloq proċess fi stadji għan-notifika ta’ inċident sinifikanti, inkluża twissija bikrija fi żmien 24 siegħa, notifika fi żmien 72 siegħa u rapport finali fi żmien xahar fejn applikabbli.
DORA joħloq qafas regolatorju direttament applikabbli għar-reżiljenza operattiva diġitali tal-entitajiet finanzjarji mis-17 ta’ Jannar 2025. Ikopri ġestjoni tar-riskju tal-ICT, rappurtar ta’ inċidenti maġġuri tal-ICT, ittestjar tar-reżiljenza operattiva, qsim ta’ intelliġenza dwar it-theddid ċibernetiku, ġestjoni tar-riskju tal-ICT minn partijiet terzi u sorveljanza ta’ fornituri kritiċi ta’ servizzi ICT ta’ partijiet terzi. Articles 5 u 6 ipoġġu l-governanza tar-riskju tal-ICT taħt il-korp maniġerjali u jeħtieġu qafas dokumentat, integrat u rrieżaminat regolarment għall-ġestjoni tar-riskju tal-ICT. Article 8 isaħħaħ il-ħtieġa li jiġu identifikati funzjonijiet tan-negozju appoġġati mill-ICT, assi tal-informazzjoni, assi ICT u dipendenzi. Articles 17 sa 20 jeħtieġu sejbien, reġistrazzjoni, klassifikazzjoni, eskalazzjoni, rappurtar, komunikazzjoni, rimedjazzjoni u tagħlim għal inċidenti relatati mal-ICT. Articles 28 sa 30 jeħtieġu li r-riskju tal-ICT minn partijiet terzi jiġi kkontrollat permezz ta’ reġistri, diliġenza dovuta, salvagwardji kuntrattwali, drittijiet ta’ awditjar, ippjanar tal-ħruġ u sorveljanza.
Għal entitajiet finanzjarji koperti minn DORA, DORA ġeneralment jieħu post obbligi ekwivalenti ta’ ġestjoni tar-riskju u rappurtar taħt NIS2. Iżda NIS2 jibqa’ importanti għall-koordinazzjoni tal-ekosistema u għal entitajiet barra l-kopertura ta’ DORA. Għal fornituri SaaS, MSP u MSSP li jaqdu klijenti finanzjarji, ir-realtà prattika hija diretta: il-klijenti jistgħu jeħtieġu l-evidenza tal-vulnerabbiltajiet tiegħek biex jissodisfaw l-obbligi tagħhom taħt DORA.
GDPR iżid saff ieħor. Articles 2 u 3 jistgħu japplikaw għal organizzazzjonijiet stabbiliti fl-UE u għal organizzazzjonijiet barra l-UE li joffru oġġetti jew servizzi lil persuni fl-UE jew jimmonitorjaw l-imġiba tagħhom. Article 5 jeħtieġ il-protezzjoni tad-data personali u responsabbiltà għall-konformità. Article 4 jiddefinixxi ksur ta’ data personali bħala inċident tas-sigurtà li jwassal għal telf, qerda, alterazzjoni, żvelar mhux awtorizzat ta’, jew aċċess għal data personali, b’mod aċċidentali jew illegali. Patch ittardjat fuq database, pjattaforma tal-identità jew portal tal-klijenti jista’ jsir kwistjoni ta’ responsabbiltà fil-privatezza.
Mill-politika għall-prova
L-ewwel pass huwa li jiġu definiti r-regoli. Politika b’saħħitha dwar il-ġestjoni tal-vulnerabbiltajiet u l-patches mhijiex biss dokument tal-awditu. Hija l-kostituzzjoni operattiva tal-kontroll.
Għal ambjenti ta’ intrapriża, Politika dwar il-Ġestjoni tal-Vulnerabbiltajiet u l-Patches torbot b’mod espliċitu l-patching tekniku mal-konformità trasversali:
Din il-politika tappoġġa l-konformità ma’ ISO/IEC 27001 Annex A Control 8.8 u l-gwida ISO/IEC 27002 u tindirizza rekwiżiti regolatorji taħt DORA Article 8, NIS2 Article 21, GDPR Article 32, u l-oqsma DSS u APO ta’ COBIT 2019.
Mit-taqsima “Għan”.
L-istess politika tistabbilixxi l-aspettattiva ta’ governanza għall-artifatt ewlieni tal-evidenza:
Reġistru ċentralizzat tal-Ġestjoni tal-Vulnerabbiltajiet għandu jinżamm mit-Tim tal-Operazzjonijiet tas-Sigurtà u jiġi rieżaminat kull xahar mis-CISO jew minn awtorità delegata.
Mit-taqsima “Rekwiżiti ta’ governanza”, klawżola tal-politika 5.1.
Tiddefinixxi wkoll il-kadenza tal-iskannjar:
Is-sistemi kollha għandhom jiġu skennjati mill-inqas kull xahar; assi b’riskju għoli jew esposti esternament għandhom jiġu skennjati kull ġimgħa.
Mit-taqsima “Rekwiżiti għall-implimentazzjoni tal-politika”, klawżola tal-politika 6.1.1.
U tipprevjeni li patching urġenti jsir attività teknika mhux ikkontrollata:
L-attivitajiet kollha ta’ rimedjazzjoni għandhom jiġu kkoordinati permezz tal-proċess tal-Ġestjoni tat-Tibdil (skont P5 - Politika tal-Ġestjoni tat-Tibdil) biex jiġu żgurati l-istabbiltà u l-preservazzjoni tat-traċċa tal-awditu.
Mit-taqsima “Rekwiżiti ta’ governanza”, klawżola tal-politika 5.5.
Għal SMEs, l-istess prinċipji tal-evidenza jistgħu jiġu implimentati b’mod aktar sempliċi. Politika dwar il-Ġestjoni tal-Vulnerabbiltajiet u l-Patches-sme tiddikjara:
Żomm reġistri preċiżi tal-patches applikati, kwistjonijiet pendenti u eċċezzjonijiet biex tiġi żgurata l-kapaċità li tintwera l-konformità
Mit-taqsima “Objettivi”, klawżola tal-politika 3.4.
Imbagħad tiddefinixxi r-reġistru tal-patches bħala evidenza tal-awditu:
Reġistru tal-patches għandu jinżamm u jiġi rieżaminat waqt awditi u attivitajiet ta’ rispons għall-inċidenti
Mit-taqsima “Rekwiżiti ta’ governanza”, klawżola tal-politika 5.4.1.
U tispeċifika l-kontenut minimu:
Ir-reġistri għandhom jinkludu l-isem tal-apparat, l-aġġornament applikat, id-data tal-patching u r-raġuni għal kwalunkwe dewmien
Mit-taqsima “Rekwiżiti ta’ governanza”, klawżola tal-politika 5.4.2.
Għal espożizzjoni urġenti aċċessibbli mill-internet, il-politika SME tistabbilixxi rekwiżit miżurabbli:
Patches kritiċi għandhom jiġu applikati fi żmien 3 ijiem mir-rilaxx, speċjalment għal sistemi aċċessibbli mill-internet
Minn Politika dwar il-Ġestjoni tal-Vulnerabbiltajiet u l-Patches-sme, taqsima “Rekwiżiti għall-implimentazzjoni tal-politika”, klawżola tal-politika 6.1.1.
Dawn il-klawżoli jbiddlu xogħol tekniku f’evidenza. Il-politika tiddefinixxi l-aspettattivi. Ir-reġistru jirreġistra s-sejbiet. It-ticket jassenja x-xogħol. Ir-reġistru tat-tibdil jikkontrolla l-implimentazzjoni. Ir-reġistru tal-patches jipprova l-azzjoni. Ir-Reġistru tar-Riskji jaqbad l-eċċezzjonijiet. Il-minuti tar-rieżami jippruvaw is-sorveljanza.
Il-mudell ta’ Clarysec ibbażat fuq l-evidenza l-ewwel
Il-mudell ta’ Clarysec ibbażat fuq l-evidenza l-ewwel jibda b’prinċipju wieħed: kull sejba ta’ vulnerabbiltà għandha tkun traċċabbli mill-iskoperta sad-deċiżjoni.
F’Zenith Blueprint: pjan direzzjonali ta’ 30 pass għall-awdituri, il-fażi Controls in Action, Step 19: Technological Controls I, tittratta l-ġestjoni tal-vulnerabbiltajiet bħala kontroll ripetibbli aktar milli bħala rekwiżit teoretiku:
Il-ġestjoni tal-vulnerabbiltajiet hija waħda mill-oqsma l-aktar kritiċi tal-iġjene ċibernetika moderna. Filwaqt li firewalls u għodod antivirus jipprovdu protezzjoni, dawn jistgħu jiġu mdgħajfa jekk sistemi mhux patched jew servizzi kkonfigurati ħażin jitħallew esposti.
L-istess pass jispjega li l-organizzazzjonijiet għandhom jużaw skedi regolari tal-patching, skaners tal-vulnerabbiltajiet, triage, assenjazzjoni, traċċar tar-rimedjazzjoni, kontrolli kumpensatorji u aċċettazzjoni tar-riskju residwu. L-aktar importanti, iqiegħed il-mentalità tal-awditjar fil-qafas korrett:
Il-kontroll mhuwiex dwar il-perfezzjoni; huwa dwar li jkollok proċess organizzat, trasparenti u b’responsabbiltà ċara.
Għall-awdituri, din id-distinzjoni hija importanti. Organizzazzjoni matura jista’ jkollha vulnerabbiltajiet miftuħa u xorta turi kontroll, sakemm ikollha prijoritizzazzjoni bbażata fuq ir-riskju, sjieda dokumentata, eċċezzjonijiet approvati, kontrolli kumpensatorji u rimedjazzjoni vverifikata.
Il-Zenith Blueprint iwissi wkoll li l-awdituri se jispezzjonaw dan il-qasam mill-qrib:
Dan huwa kontroll ta’ prijorità għolja għall-awdituri, u normalment jidħlu fid-dettall. Stenna li tistaqsik kemm-il darba s-sistemi jiġu patched, liema proċess issegwu meta jitħabbar zero-day, u liema sistemi huma l-aktar diffiċli biex jiġu patched.
Għalhekk CISO m’għandux jidħol għal awditu b’pannell tal-iskaner biss. Il-pakkett tal-evidenza għandu juri governanza, proċess, eżekuzzjoni, verifika u titjib.
Immappjar tal-kontrolli ISO 27002 għall-evidenza tal-awditu
Zenith Controls: il-gwida għall-konformità trasversali jaġixxi bħala kumpass tal-konformità trasversali billi jimmappja l-kontrolli ISO/IEC 27002:2022 u juri kif dawn jirrelataw mal-aspettattivi tal-awditjar. Għall-ġestjoni tal-vulnerabbiltajiet u l-patches, tliet kontrolli ISO/IEC 27002:2022 jiffurmaw it-trijangolu operattiv.
Il-kontroll 8.8 ta’ ISO/IEC 27002:2022, Management of Technical Vulnerabilities, huwa l-kontroll ċentrali. Huwa preventiv, jappoġġa Kunfidenzjalità, Integrità u Disponibbiltà, huwa allinjat mal-kunċetti taċ-ċibersigurtà Identify u Protect, u jikkonnettja mal-ġestjoni tat-theddid u l-vulnerabbiltajiet.
Il-kontroll 8.32 ta’ ISO/IEC 27002:2022, Ġestjoni tat-tibdil, huwa wkoll preventiv. Jorbot il-patching ma’ implimentazzjoni kkontrollata, ittestjar, approvazzjoni, treġġigħ lura u awditabbiltà.
Il-kontroll 5.36 ta’ ISO/IEC 27002:2022, Compliance with Policies, Rules and Standards for Information Security, jiżgura li l-proċess ma jkunx fakultattiv jew dipendenti fuq sforzi individwali straordinarji. Jorbot il-ġestjoni tal-vulnerabbiltajiet mal-konformità mal-politika, l-assigurazzjoni u s-sorveljanza.
| Kontroll ISO/IEC 27002:2022 immappjat f’Zenith Controls | Rilevanza għall-awditjar | Evidenza prattika |
|---|---|---|
| 8.8 Management of Technical Vulnerabilities | Juri li l-vulnerabbiltajiet jiġu identifikati, evalwati u ttrattati | Rapporti tal-iskans, reġistru tal-vulnerabbiltajiet, noti ta’ triage, tickets tar-rimedjazzjoni, verifika tal-għeluq |
| 8.32 Ġestjoni tat-tibdil | Juri li r-rimedjazzjoni hija kkontrollata u awditabbli | Talbiet għal tibdil, approvazzjonijiet, pjanijiet ta’ treġġigħ lura, riżultati tat-testijiet, reġistri tal-implimentazzjoni |
| 5.36 Compliance with Policies, Rules and Standards for Information Security | Juri li l-obbligi tal-politika jiġu mmonitorjati | Attestazzjonijiet tal-politika, rieżamijiet tal-konformità, reġistri tal-eċċezzjonijiet, riżultati tal-awditjar intern |
Dan l-immappjar jevita falliment komuni fl-awditjar. Is-sigurtà tgħid, “Applikajna l-patch.” L-operazzjonijiet jgħidu, “Implimentajnieh.” Il-konformità tgħid, “Ma nistgħux nippruvaw is-sekwenza.” Katina ta’ evidenza mmappjata tagħti l-istess storja lit-tliet timijiet.
Il-katina ta’ evidenza li jridu l-awdituri
Katina ta’ evidenza difensibbli għall-ġestjoni tal-vulnerabbiltajiet għandha seba’ stadji.
| Stadju | X’jiġri | Evidenza maħluqa |
|---|---|---|
| Skoperta | Skaner, avviż tal-fornitur, rapport bug bounty, intelliġenza dwar it-theddid jew test intern jidentifika vulnerabbiltà | Esportazzjoni tal-iskan, avviż, allert, timestamp tas-sejbien |
| Kamp ta’ applikazzjoni u sjieda | L-assi, is-sid, is-servizz, it-tip ta’ data u l-espożizzjoni jiġu kkonfermati | Link għall-inventarju tal-assi, assenjazzjoni tas-sid, immappjar tas-servizz tan-negozju |
| Triage tar-riskju | Is-severità tiġi evalwata permezz tal-isfruttabbiltà, l-espożizzjoni, il-kritikalità tal-assi, is-sensittività tad-data u l-impatt fuq in-negozju | Klassifikazzjoni tar-riskju, noti ta’ triage, għażla tal-SLA, link għar-Reġistru tar-Riskji |
| Ippjanar tar-rimedjazzjoni | Jintgħażel patch, tiswija tal-konfigurazzjoni, kontroll kumpensatorju jew triq ta’ upgrade | Ticket tar-rimedjazzjoni, pjan tekniku, noti dwar dipendenzi |
| Kontroll tat-tibdil | Ir-rimedjazzjoni tiġi approvata, skedata, ittestjata u implimentata | Talba għal tibdil, approvazzjoni, evidenza tal-ittestjar, reġistru tal-implimentazzjoni |
| Verifika | Skannjar mill-ġdid jew verifika tikkonferma li l-kwistjoni ġiet irranġata jew mitigata | Skan nadif, prova tal-verżjoni, screenshot tal-konfigurazzjoni, nota ta’ verifika |
| Rieżami tal-governanza | L-eċċezzjonijiet, id-dewmien, ir-riskji residwi u x-xejriet jiġu rieżaminati | Reġistru tal-patches, approvazzjoni tal-eċċezzjoni, minuti tar-rieżami tas-CISO, rapport KPI |
Id-differenza prattika bejn “nagħmlu skans” u “aħna lesti għall-awditu” hija l-kontinwità. Jekk vulnerabbiltà ma tistax tiġi traċċata mill-iskoperta sal-għeluq, il-kontroll huwa dgħajjef. Jekk jeżistu eċċezzjonijiet iżda ħadd ma approvahom, il-proċess huwa dgħajjef. Jekk il-patches jaqbżu l-ġestjoni tat-tibdil, it-traċċa tal-awditu hija dgħajfa. Jekk vulnerabbiltajiet kritiċi jibqgħu miftuħa mingħajr kontrolli kumpensatorji, il-governanza hija dgħajfa.
Politika tal-Awditu u l-Monitoraġġ tal-Konformità tappoġġa l-awtomazzjoni bħala parti minn dan il-mudell:
Għodod awtomatizzati għandhom jiġu implimentati biex jimmonitorjaw il-konformità tal-konfigurazzjoni, il-ġestjoni tal-vulnerabbiltajiet, l-istatus tal-patches u l-aċċess privileġġjat.
Mit-taqsima “Rekwiżiti għall-implimentazzjoni tal-politika”, klawżola tal-politika 6.4.1.
Għal SMEs, Politika tal-Awditu u l-Monitoraġġ tal-Konformità-sme tiddefinixxi l-verifika tal-kontrolli tekniċi f’termini prattiċi:
Verifika tal-kontrolli tekniċi (eż., status tal-backup, konfigurazzjoni tal-kontroll tal-aċċess, reġistri tal-patches)
Mit-taqsima “Rekwiżiti għall-implimentazzjoni tal-politika”, klawżola tal-politika 6.1.1.2.
Organizzazzjonijiet żgħar m’għandhomx bżonn għodod ta’ livell intrapriża biex ikunu lesti għall-awditu. Jeħtieġu evidenza konsistenti. Reġistru ħafif, bord tat-ticketing, reġistru tal-patches u rieżami ta’ kull xahar jistgħu jkunu biżżejjed jekk ikunu kompluti, attwali u marbuta mar-riskju.
Eżempju: sejba kritika waħda, kompletament lesta għall-awditu
L-iskan estern ta’ kull ġimgħa ta’ Maria jidentifika CVE-2026-12345 fuq gateway tal-API tal-ħlasijiet aċċessibbli mill-internet. L-iskaner jikklassifikaha bħala kritika. Is-servizz jipproċessa l-identità tal-klijenti u metadata tat-tranżazzjonijiet, għalhekk jista’ jkun hemm implikazzjonijiet ta’ GDPR u DORA. Il-gateway hija proprjetà tal-Platform Engineering, iżda l-patch jeħtieġ waqfien qasir.
Dan huwa l-fluss tax-xogħol lest għall-awditu.
1. Oħloq l-entrata fir-reġistru tal-vulnerabbiltajiet
It-tim tas-sigurtà jirreġistra s-sejba fir-reġistru ċentrali:
- ID tas-sejba: VULN-2026-0142
- Sors: skan estern ta’ kull ġimgħa
- Data u ħin tal-iskoperta
- Assi: api-gw-prod-01
- Sid: Platform Engineering
- Espożizzjoni: aċċessibbli mill-internet
- Kuntest tad-data: identità tal-klijenti u metadata tat-tranżazzjonijiet
- Severità: kritika
- SLA: 72 siegħa jew aktar strett skont il-politika
- Ticket: SEC-4821
- Reġistru tat-tibdil: CHG-10988
- Status: rimedjazzjoni ppjanata
2. Agħmel triage bl-użu tal-kuntest tan-negozju u regolatorju
It-tim jiċċekkja d-disponibbiltà tal-exploit, il-wiċċ tal-attakk, ir-rekwiżiti tal-awtentikazzjoni, l-impatt fuq in-negozju u s-sensittività tad-data. Minħabba li s-sistema hija aċċessibbli mill-internet u tappoġġa flussi tax-xogħol tal-klijenti, il-vulnerabbiltà tibqa’ kritika. Is-sid tar-riskju huwa l-Kap tal-Pjattaforma, u s-CISO jiġi nnotifikat minħabba implikazzjonijiet possibbli ta’ NIS2, DORA u GDPR.
Il-klawżoli 7.1 sa 7.4 ta’ ISO/IEC 27005:2022 jappoġġaw l-identifikazzjoni tar-riskju, is-sjieda, il-konsegwenza, il-probabbiltà u l-prijoritizzazzjoni. Il-klawżoli 8.2 sa 8.6 jappoġġaw l-għażla tat-trattament, id-determinazzjoni tal-kontrolli, ir-rabta mas-SoA, l-ippjanar tat-trattament u l-approvazzjoni tar-riskju residwu.
3. Iftaħ bidla ta’ emerġenza kkontrollata
Il-patch jiġi skedat għall-istess filgħaxija. Ir-reġistru tat-tibdil jinkludi r-referenza tal-fornitur, is-servizzi affettwati, il-pjan tat-test, il-pjan ta’ treġġigħ lura, it-tieqa ta’ manutenzjoni, id-deċiżjoni dwar il-komunikazzjoni mal-klijenti, l-approvazzjonijiet u r-rekwiżit ta’ verifika wara l-implimentazzjoni.
Dan jappoġġa direttament il-kontroll 8.32 ta’ ISO/IEC 27002:2022 u r-rekwiżit tal-politika tal-intrapriża li r-rimedjazzjoni tiġi kkoordinata permezz tal-ġestjoni tat-tibdil.
4. Applika l-patch u aġġorna r-reġistru tal-patches
Ir-reġistru tal-patches jirreġistra l-isem tal-apparat, l-aġġornament applikat, id-data tal-patching u r-raġuni tad-dewmien jekk ikun hemm. Kieku l-patching ġie ttardjat, it-tim kien jiddokumenta kontrolli kumpensatorji bħal regoli tal-Web Application Firewalls (WAF), restrizzjonijiet temporanji tal-aċċess, logging miżjud, iżolament jew monitoraġġ imsaħħaħ.
5. Ivverifika u agħlaq
Is-sigurtà terġa’ tiskennja l-gateway tal-API. Il-vulnerabbiltà ma tibqax tidher. It-ticket jiġi aġġornat b’evidenza ta’ skan nadif, verżjoni tal-patch, timestamp tal-implimentazzjoni u link għar-reġistru tat-tibdil. L-istatus fir-reġistru tal-vulnerabbiltajiet jinbidel għal “Magħluq, ivverifikat.”
6. Irrevedi l-impatt fuq ir-rappurtar
Jekk ma kien hemm l-ebda sfruttament u l-ebda tfixkil tas-servizz, ir-rappurtar ta’ inċidenti taħt NIS2 jew DORA jista’ ma jiġix skattat. Jekk jinstabu indikaturi ta’ kompromess, il-proċess tal-inċidenti għandu jikklassifika l-impatt u l-eskalazzjoni. Taħt NIS2, inċident sinifikanti jista’ jeħtieġ twissija bikrija u rappurtar fi stadji. Taħt DORA, inċident maġġuri relatat mal-ICT jeħtieġ klassifikazzjoni u rappurtar permezz tal-proċess tal-awtorità kompetenti applikabbli.
7. Daħħal it-tagħlim fir-rieżami mill-maniġment
Fl-aħħar tax-xahar, ir-rieżami tas-CISO jinnota li l-vulnerabbiltà nstabet permezz ta’ skannjar estern ta’ kull ġimgħa, ġiet rimedjata fi ħdan l-SLA, ivverifikata permezz ta’ skannjar mill-ġdid u ngħalqet mingħajr inċident. Jekk jerġgħu jseħħu kwistjonijiet simili, il-pjan ta’ trattament jista’ jinkludi konfigurazzjoni bażi sigura, implimentazzjoni awtomatizzata tal-patches, eskalazzjoni mal-fornitur jew modernizzazzjoni tal-applikazzjoni.
Meta awditur jistaqsi dwar CVE-2026-12345, Maria tista’ tippreżenta pakkett ikkurat minflok emails u screenshots.
| Tip ta’ evidenza | Dokument jew reġistru | Għan |
|---|---|---|
| Governanza | Politika dwar il-Ġestjoni tal-Vulnerabbiltajiet u l-Patches | Turi l-kamp ta’ applikazzjoni, ir-rwoli, il-kadenza tal-iskans, l-SLAs tal-patches u r-regoli tal-eċċezzjonijiet |
| Proċess | Reġistru tal-Ġestjoni tal-Vulnerabbiltajiet | Juri l-identifikazzjoni, is-sjieda, il-prijoritizzazzjoni u t-traċċar |
| Eżekuzzjoni | Ticket tal-Ġestjoni tat-Tibdil | Juri l-ittestjar, l-approvazzjoni, l-implimentazzjoni u l-ippjanar tat-treġġigħ lura |
| Verifika | Evidenza tal-iskans qabel u wara | Tipprova li l-vulnerabbiltà kienet teżisti u ġiet rimedjata |
| Sorveljanza | Minuti tar-rieżami tas-CISO | Juru għarfien tal-maniġment, rieżami tax-xejriet u azzjonijiet ta’ segwitu |
Dan huwa lest għall-awditu. Mhux għax l-organizzazzjoni ma kellhiex vulnerabbiltajiet, iżda għax kellha kontroll.
Sett wieħed ta’ evidenza, obbligi multipli
Programm imfassal tajjeb għall-ġestjoni tal-vulnerabbiltajiet u l-patches jista’ jissodisfa oqfsa multipli mingħajr ma jirduppja x-xogħol.
Għal ISO 27001:2022, l-evidenza tappoġġa l-ISMS ibbażat fuq ir-riskju, l-implimentazzjoni tal-kontrolli Annex A, id-Dikjarazzjoni ta’ Applikabbiltà, il-pjanijiet ta’ trattament tar-riskju, l-awditjar intern u t-titjib kontinwu. Jekk il-kontroll 8.8 ta’ ISO/IEC 27002:2022 huwa applikabbli fis-SoA, l-organizzazzjoni għandha tkun kapaċi turi r-raġuni legali, regolatorja, ta’ riskju jew tan-negozju. Din ir-raġuni spiss tinkludi NIS2 Article 21, obbligi tar-riskju tal-ICT taħt DORA, ir-responsabbiltà taħt GDPR, kuntratti tal-klijenti u bżonnijiet ta’ reżiljenza operattiva.
Għal NIS2, l-istess evidenza tgħin turi l-miżuri ta’ Article 21, inklużi analiżi tar-riskju, ġestjoni tal-vulnerabbiltajiet, ġestjoni tal-inċidenti, kontinwità tan-negozju, sigurtà tal-katina tal-provvista, iġjene ċibernetika, kontroll tal-aċċess u evalwazzjoni tal-effettività. Article 20 jintwera permezz tar-rieżami tas-CISO, rappurtar lill-bord, approvazzjoni tal-maniġment u taħriġ fiċ-ċibersigurtà. Article 23 isir rilevanti jekk sfruttament jikkawża jew jista’ jikkawża tfixkil operattiv serju, telf finanzjarju jew ħsara lil oħrajn.
Għal DORA, l-evidenza tal-vulnerabbiltajiet u l-patches tappoġġa l-qafas tal-ġestjoni tar-riskju tal-ICT, is-sorveljanza mill-korp maniġerjali, l-istrateġija tar-reżiljenza, is-sejbien u l-klassifikazzjoni tal-inċidenti, l-ittestjar tar-reżiljenza u s-sorveljanza ta’ partijiet terzi tal-ICT. Fejn fornitur ICT jospita jew jimmaniġġja s-sistema affettwata, Articles 28 sa 30 jeħtieġu diliġenza dovuta, protezzjonijiet kuntrattwali, drittijiet ta’ awditjar, assistenza għall-inċidenti u kunsiderazzjonijiet ta’ ħruġ.
Għal GDPR, l-istess evidenza tappoġġa r-responsabbiltà ta’ Article 5 u l-pożizzjoni tas-sigurtà mistennija taħt Article 32. Jekk vulnerabbiltà twassal għal aċċess mhux awtorizzat, alterazzjoni, telf jew żvelar ta’ data personali, il-kronoloġija tal-vulnerabbiltà, ir-reġistri tal-patches, ir-reġistri tal-monitoraġġ u n-noti tal-evalwazzjoni tal-ksur isiru essenzjali.
Għal COBIT 2019 u assigurazzjoni stil ISACA, il-ġestjoni tal-vulnerabbiltajiet tiġi evalwata permezz tas-sigurtà operattiva, il-monitoraġġ tal-kontrolli, l-abilitazzjoni tat-tibdil u r-responsabbiltà tal-governanza. Ir-referenzi ta’ konformità trasversali fil-Zenith Blueprint jindikaw COBIT 2019 DSS05.04 u BAI09.02, flimkien ma’ aspettattivi ta’ assigurazzjoni ITAF fuq ġestjoni tal-vulnerabbiltajiet, patching u ġestjoni sigura tat-tibdil.
Standards ISO ta’ appoġġ isaħħu l-mudell operattiv. ISO/IEC 27005:2022 jappoġġa l-valutazzjoni u t-trattament tar-riskju. ISO/IEC 27035:2023 jappoġġa rispons għall-inċidenti meta vulnerabbiltajiet jiġu sfruttati. ISO/IEC 30111 jappoġġa proċessi ta’ ġestjoni tal-vulnerabbiltajiet. ISO/IEC 29147 jappoġġa żvelar tal-vulnerabbiltajiet u avviżi. ISO/IEC 27017 jappoġġa ġestjoni tal-vulnerabbiltajiet fil-cloud. ISO 22301 jappoġġa ppjanar tal-kontinwità fejn vulnerabbiltajiet tekniċi jistgħu jfixklu servizzi tan-negozju.
Kif awdituri differenti jittestjaw l-istess proċess
Evalwaturi differenti jużaw lentijiet differenti. L-evidenza tista’ tkun l-istess, iżda l-mistoqsijiet jinbidlu.
| Sfond tal-awditur | Fokus probabbli tal-awditjar | Evidenza li tissodisfa l-mistoqsija |
|---|---|---|
| Awditur ISO 27001:2022 | Il-ġestjoni tal-vulnerabbiltajiet hija parti mill-ISMS, mit-trattament tar-riskju u mis-SoA? | Immappjar tas-SoA, Reġistru tar-Riskji, reġistru tal-vulnerabbiltajiet, pjan ta’ trattament, riżultati tal-awditjar intern, rieżami mill-maniġment |
| Evalwatur orjentat lejn NIS2 | Ġew implimentati miżuri xierqa u proporzjonati, u hemm sorveljanza mill-maniġment? | Immappjar ta’ Article 21, rieżami tal-bord jew tas-CISO, proċess ta’ ġestjoni tal-vulnerabbiltajiet, fluss tax-xogħol tal-inċidenti, evidenza tal-fornitur |
| Evalwatur DORA | Il-ġestjoni tal-vulnerabbiltajiet hija integrata fil-ġestjoni tar-riskju tal-ICT u fir-reżiljenza operattiva? | Qafas tar-riskju tal-ICT, immappjar tas-servizzi kritiċi, SLAs tal-patches, evidenza tal-ittestjar tar-reżiljenza, reġistru tal-ICT ta’ partijiet terzi |
| Rieżaminatur GDPR | L-organizzazzjoni pproteġiet id-data personali u wriet ir-responsabbiltà? | Immappjar tal-assi tad-data, kronoloġija tal-vulnerabbiltà, reġistri tal-aċċess, reġistri tal-patches, noti tal-evalwazzjoni tal-ksur |
| Awditur COBIT 2019 jew ISACA | L-operazzjonijiet, il-governanza u l-kontrolli tat-tibdil huma effettivi u mmonitorjati? | Rapporti tal-monitoraġġ tal-kontrolli, reġistri tat-tibdil, KPIs tar-rimedjazzjoni, approvazzjonijiet ta’ eċċezzjonijiet, ittestjar tal-assigurazzjoni |
| Rieżaminatur tal-assigurazzjoni orjentat lejn NIST | L-attivitajiet Identify u Protect qed joperaw b’mod konsistenti? | Inventarju tal-assi, skans tal-vulnerabbiltajiet, loġika tal-prijoritizzazzjoni, fluss tax-xogħol tar-rimedjazzjoni, evidenza tal-monitoraġġ |
Il-politika tgħid x’għandu jiġri. L-evidenza operattiva turi x’ġara. Ir-reġistri tar-rieżami juru li l-maniġment kien jaf, sfida u aġixxa.
Raġunijiet komuni għaliex il-ġestjoni tal-patches tfalli awditu
Il-biċċa l-kbira tas-sejbiet ma jiġux ikkawżati min-nuqqas ta’ skaner. Jiġu kkawżati minn traċċabbiltà miksura.
L-inventarju tal-assi mhuwiex komplut.
Jekk skaner isib assi li huma nieqsa mis-CMDB jew mir-reġistru tal-assi, is-sjieda u l-impatt fuq in-negozju ma jistgħux jiġu evalwati b’mod affidabbli. Dan idgħajjef il-kamp ta’ applikazzjoni, il-valutazzjoni tar-riskju u t-trattament ta’ ISO 27001:2022.
Il-vulnerabbiltajiet jiġu traċċati biss fl-iskaner.
Dashboards tal-iskaner mhumiex reġistri tal-governanza. Spiss jonqoshom approvazzjoni mis-sid tar-riskju, raġunament tal-eċċezzjoni, referenzi tat-tibdil u kuntest tan-negozju.
Sejbiet kritiċi m’għandhomx evidenza tal-SLA.
Politika tista’ tgħid li vulnerabbiltajiet kritiċi jiġu rranġati fi żmien tlett ijiem. Il-mistoqsija tal-awditjar hija jekk ir-reġistri jippruvawx li dan seħħ.
L-eċċezzjonijiet huma informali.
Sistemi legati, restrizzjonijiet ta’ qtugħ fis-servizz u dewmien tal-fornituri jseħħu. Iżda “ma stajniex napplikaw il-patch” għandu jsir eċċezzjoni dokumentata b’kontrolli kumpensatorji, data tal-iskadenza u approvazzjoni tar-riskju residwu.
Patching ta’ emerġenza jaqbeż il-ġestjoni tat-tibdil.
Bidliet ta’ emerġenza jibqgħu bidliet. Jekk ma jkunx hemm evidenza ta’ approvazzjoni, ittestjar jew treġġigħ lura, l-awdituri jistgħu jikkonkludu li r-rimedjazzjoni ħolqot riskju operattiv.
Sistemi ta’ partijiet terzi huma inviżibbli.
Taħt NIS2 u DORA, ir-riskju tal-fornituri u tal-ICT minn partijiet terzi huwa ċentrali. Jekk fornitur japplika patches lill-pjattaforma, xorta għandek bżonn evidenza, drittijiet kuntrattwali, rappurtar tas-servizz u rotot ta’ eskalazzjoni.
Ħadd ma jirrieżamina x-xejriet.
Vulnerabbiltajiet rikorrenti jistgħu jindikaw ġestjoni tal-konfigurazzjoni dgħajfa, prattiki fqajra ta’ żvilupp sigur, assi mhux appoġġati jew falliment tal-fornitur. Rieżami ta’ kull xahar ibiddel data teknika f’azzjoni ta’ governanza.
Il-pakkett ta’ awditu tal-vulnerabbiltajiet ta’ Clarysec
Għal rieżami imminenti ta’ tħejjija għal ISO 27001:2022, NIS2 jew DORA, Clarysec jgħin lill-organizzazzjonijiet jiġbru pakkett ta’ awditu għall-ġestjoni tal-vulnerabbiltajiet u l-patches li jinkludi dan li ġej:
- Politika dwar il-Ġestjoni tal-Vulnerabbiltajiet u l-Patches, inklużi kamp ta’ applikazzjoni, rwoli, kadenza tal-iskans, SLAs tal-patches u regoli tal-eċċezzjonijiet
- Estratt mill-inventarju tal-assi li juri sistemi fil-kamp ta’ applikazzjoni, sidien, kritikalità u espożizzjoni
- L-aktar rapporti reċenti ta’ skannjar intern u estern tal-vulnerabbiltajiet
- Reġistru ċentrali tal-Ġestjoni tal-Vulnerabbiltajiet b’oġġetti miftuħa, magħluqa u ta’ eċċezzjoni
- Reġistri tal-patches li juru apparat, aġġornament, data tal-patch u raġunijiet għad-dewmien
- Reġistri tat-tibdil għal kampjuni ta’ vulnerabbiltajiet kritiċi u għoljin
- Evidenza ta’ skannjar mill-ġdid jew verifika wara r-rimedjazzjoni
- Approvazzjonijiet ta’ eċċezzjonijiet u ta’ riskju residwu għal sistemi ttardjati jew li ma jistgħux jiġu patched
- Proċess ta’ monitoraġġ tal-avviżi tas-sigurtà għall-fornituri, libreriji u servizzi cloud
- Minuti ta’ rieżami ta’ kull xahar mis-CISO jew mill-maniġment
- Crosswalk għall-obbligi ISO 27001:2022, NIS2, DORA, GDPR u COBIT 2019
- Riżultati ta’ awditjar intern jew verifika tal-kontrolli tekniċi
Fil-Zenith Blueprint, il-fażi Audit, Review & Improvement, Step 24, Clarysec jenfasizza t-traċċabbiltà bejn id-Dikjarazzjoni ta’ Applikabbiltà, ir-Reġistru tar-Riskji u l-Pjan ta’ Trattament tar-Riskju:
Is-SoA tiegħek għandu jkun konsistenti mar-Reġistru tar-Riskji u mal-Pjan ta’ Trattament tar-Riskju. Iċċekkja darbtejn li kull kontroll li għażilt bħala trattament tar-riskju huwa mmarkat “Applikabbli” fis-SoA.
Dan huwa speċjalment importanti għall-ġestjoni tal-vulnerabbiltajiet. Jekk il-kontroll 8.8 huwa applikabbli, il-pakkett tal-awditu għandu jipprova mhux biss li jsir skannjar, iżda li s-sejbiet jiġu mmexxija permezz tat-trattament tar-riskju u t-titjib kontinwu.
Sprint ta’ tħejjija ta’ 30 jum
Jekk l-awditu tiegħek jinsab qrib, tibdiex billi terġa’ tikteb kollox. Ibda billi tibni l-evidenza malajr.
| Ġimgħa | Fokus | Eżitu |
|---|---|---|
| Ġimgħa 1 | Ikkonferma l-kamp ta’ applikazzjoni tal-ISMS, is-servizzi kritiċi, l-assi esterni, is-servizzi cloud, il-fornituri u s-sistemi tad-data personali | Inventarju bażi, esportazzjonijiet attwali tal-iskans, tqabbil bejn l-iskaner u l-assi |
| Ġimgħa 2 | Naddaf ir-Reġistru tal-Ġestjoni tal-Vulnerabbiltajiet, assenja sidien, ikklassifika sejbiet kritiċi u għoljin | Reġistru prijoritizzat, assenjazzjonijiet tas-sidien, tickets miftuħa tar-rimedjazzjoni |
| Ġimgħa 3 | Applika patches fejn jista’ jsir, irrotta r-rimedjazzjoni permezz tal-ġestjoni tat-tibdil, iddokumenta eċċezzjonijiet | Reġistri tal-patches aġġornati, reġistri tat-tibdil, kontrolli kumpensatorji, approvazzjonijiet tar-riskju residwu |
| Ġimgħa 4 | Erġa’ skennja, agħlaq oġġetti vverifikati, ipprepara rappurtar lill-maniġment u immappjar tal-konformità | Evidenza tal-għeluq, pakkett ta’ rieżami tas-CISO, crosswalk għal ISO 27001:2022, NIS2, DORA, GDPR u COBIT 2019 |
Dan is-sprint mhux se jelimina d-dejn tekniku kollu. Se jibdel il-konverżazzjoni tal-awditjar. Minflok tiddefendi esportazzjoni diżordinata mill-iskaner, tista’ turi proċess taħt governanza b’sidien, skadenzi, azzjonijiet, deċiżjonijiet u sorveljanza.
Għaddi mill-iskans għal evidenza difensibbli
Il-kapaċità li tintwera l-konformità fil-ġestjoni tal-vulnerabbiltajiet u l-patches mhijiex dwar li tipprova li m’għandekx vulnerabbiltajiet. Hija dwar li tipprova li tista’ ssibhom, tifhimhom, tipprijoritizzahom, tirranġahom, tikkontrolla l-eċċezzjonijiet u turi sorveljanza.
Zenith Blueprint, Zenith Controls, Politika dwar il-Ġestjoni tal-Vulnerabbiltajiet u l-Patches, Politika dwar il-Ġestjoni tal-Vulnerabbiltajiet u l-Patches-sme, Politika tal-Awditu u l-Monitoraġġ tal-Konformità u Politika tal-Awditu u l-Monitoraġġ tal-Konformità-sme ta’ Clarysec jipprovdu l-istruttura biex jinbena dak il-fluss tax-xogħol tal-evidenza.
Jekk l-organizzazzjoni tiegħek qed tipprepara għal ċertifikazzjoni ISO 27001:2022, tħejjija għal NIS2, reżiljenza operattiva diġitali taħt DORA, diliġenza dovuta tal-klijenti jew awditjar intern, ibda b’mistoqsija waħda:
Kull vulnerabbiltà kritika tista’ tiġi traċċata mill-iskan sal-għeluq?
Jekk it-tweġiba hija le, Clarysec jista’ jgħinek tibni r-reġistru, is-sett ta’ politiki, l-immappjar tal-konformità trasversali, il-pakkett tar-rieżami mill-maniġment u l-fluss tax-xogħol ta’ evidenza lest għall-awditu li jibdel l-iskannjar tekniku f’governanza difensibbli.
Frequently Asked Questions
About the Author
Igor Petreski
Compliance Systems Architect, Clarysec LLC
Igor Petreski is a cybersecurity leader with over 30 years of experience in information technology and a dedicated decade specializing in global Governance, Risk, and Compliance (GRC).Core Credentials & Qualifications:• MSc in Cyber Security from Royal Holloway, University of London• PECB-Certified ISO/IEC 27001 Lead Auditor & Trainer• Certified Information Systems Auditor (CISA) from ISACA• Certified Information Security Manager (CISM) from ISACA • Certified Ethical Hacker from EC-Council
