Small Office साठी Security Audit: Actually काय expect करावं

Security audit हा VAPT scan पेक्षा जास्त broad असतो — तो संपूर्ण picture बघतो: network design, access controls, backup practices, आणि आधीच लावलेले security measures actually बरोबर configure आहेत का, नुसते "आहेत" म्हणून पुरेसं नाही.

Audit मध्ये काय review होतं

Network architecture — network प्रॉपर segment केलंय का (VLANs वापरून servers, guest Wi-Fi, CCTV, staff devices वेगळे केलेत का), की सगळं एकाच flat network वर आहे जिथे एक compromised guest laptop थेट file server पर्यंत पोहोचू शकतो?
Firewall configuration — rules actually restrictive आहेत का, की initial setup मधली leftover "allow all" rule कुणी काढलीच नाही?
User access — प्रत्येकाला नेमका तेवढाच access आहे का, की वर्षानुवर्षे role बदलत गेलं तसं permissions साचत गेलेत आणि जुना access कधीच काढला नाही?
Backup आणि recovery — data actually backup होतोय का, तो backup test केलाय का (ज्या backup वरून कधी restore केलंच नाही तो backup म्हणजे फक्त अंदाज, plan नाही), आणि किमान एक copy offsite/offline आहे का?
Patch status — servers आणि workstations security updates मध्ये किती मागे आहेत?
Physical आणि surveillance security — गरज असेल तिथे, CCTV coverage आणि server room access controls business च्या actual गरजेशी जुळतात का

एक real उदाहरण

एका logistics company च्या second-floor office साठी network setup आणि audit करताना, मी IP phones, guest Wi-Fi, servers, CCTV, आणि Windows PCs वेगळे करण्यासाठी VLANs तयार केले — त्याआधी एक compromised guest device थेट internal systems पर्यंत पोहोचू शकत होता. याशिवाय, live network वर Nmap आणि Nessus चालवल्यावर असे open ports सापडले ज्यांना उघडं राहायचं कोणतंच कारण नव्हतं, ते त्याच engagement मध्ये बंद केले.

Audit करण्याआधी विचारायचे प्रश्न

नेमकं scope मध्ये काय आहे — फक्त network, की applications आणि physical security पण?
मला priority नुसार fix list मिळेल, की फक्त problems ची यादी?
Fixes लावल्यानंतर ते खरंच काम करतायत का हे बघायला परत check होईल का?
Auditor findings साध्या भाषेत explain करतो, की फक्त scanner-report च्या jargon मध्ये?

जो audit फक्त problems ची यादी देतो, real risk नुसार rank करत नाही, तो सहसा सर्वात सोपे issues आधी fix करायला लावतो, सर्वात धोकादायक नाही. Severity-ranked, साध्या भाषेतला report insist कर.

हे VAPT सोबत कसं जुळतं

VAPT हा broader audit चा एक भाग आहे — तो technical vulnerabilities बद्दल सांगतो. Audit process आणि configuration संबंधी असे प्रश्न पण cover करतो जे vulnerability scanner पकडूच शकत नाही, जसं की backup restore कधी actually test केला होता का, किंवा एखाद्या ex-employee चा VPN access प्रॉपर पद्धतीने काढला होता का.