Информация сегодня является одним из ключевых активов любого бизнеса. Сеть компании — главная транспортная магистраль, ответст-венная за передачу информации между сегментами ИТ-инфраструктуры. Поддержание должного уровня её защиты является базовым уровнем обеспечения ИБ. Современные инфомационные технологии обеспечивают самые широкие возможности использования этого ресурса для развития и повышения прибыльности бизнеса. Однако они же дают широкий простор для деятельности злоумышленников, так как активно развиваются механизмы по краже данных или использованию незаконно полученного доступа к ресурсам организации для извлечения прибыли. Угрозы могут распространяться по сети злоумышленниками целенаправленно, или сотрудниками компании совершенно случайно и без их ведома, например, в случае посещения зараженного сайта. Это обуславливает высокую степень уязвимости информационных систем и сетей. Для их защиты компании применяют мероприятия в сфере ИБ. Такие меры техно-логического, программного и организационного характера формируют единую систему ИБ. Состояние ИБ требует постоянного контроля. Поддерживать ее в актуальном и максимально эффективном состоянии позволяет аудит информационной безопасности.

Понятие аудита информационной безопасности является сравнительно новым. Однако сегодня он широко применяется компаниями, которые осознают значение защищенности данных и инфраструктуры. Аудит информационной безопасности — мероприятия для проверки текущего состояния защиты ИТ-инфраструктуры, выявления потенциальных угроз и уязвимостей, способных привести к потере конфиденциальной информации и, как следствие, к значительным финансовым и репутационным рискам. Аудиторские проверки могут проводиться в отношении корпоративных сетей, отдельных устройств, сайтов, приложений, программ, серверов разных масштабов и процессов. Аудит представляет собой проверку системы, обеспечивающей защиту данных. Проверка проводится независимым компетентным исполнителем, что гарантирует ее объективность. По ее результатам составляется детальный отчет, в котором отражается состояние системы, обнаруженные недостатки и даются рекомендации по их устранению.

Аудит информационной безопасности компании дает возможность руководству и собственникам оценить реальное положение в сфере ИБ, обнаружить уязвимые места и направления, получить представление о необходимых мерах для повышения защищенности. Его результаты, при условии профессионального исполнения, обеспечивают возможность построения эффективной системы защиты, которая справляется со своими задачами, соответствует специфике конкретного бизнеса.

Информация сегодня является одним из ключевых активов любого бизнеса. Сеть компании — главная транспортная магистраль, ответст-венная за передачу информации между сегментами ИТ-инфраструктуры. Поддержание должного уровня её защиты является базовым уровнем обеспечения ИБ. Современные инфомационные технологии обеспечивают самые широкие возможности использования этого ресурса для развития и повышения прибыльности бизнеса. Однако они же дают широкий простор для деятельности злоумышленников, так как активно развиваются механизмы по краже данных или использованию незаконно полученного доступа к ресурсам организации для извлечения прибыли. Угрозы могут распространяться по сети злоумышленниками целенаправленно, или сотрудниками компании совершенно случайно и без их ведома, например, в случае посещения зараженного сайта. Это обуславливает высокую степень уязвимости информационных систем и сетей. Для их защиты компании применяют мероприятия в сфере ИБ. Такие меры техно-логического, программного и организационного характера формируют единую систему ИБ. Состояние ИБ требует постоянного контроля. Поддерживать ее в актуальном и максимально эффективном состоянии позволяет аудит информационной безопасности.

Аудит информационной безопасности — один из эффективных методов получения объективной информации о текущем уровне защищенности компании от киберугроз разного характера. Его разделение на внешний и внутренний аудиты позволяет получить объективную картину состояния ИБ, что позволит организации в долгосрочной перспективе снижать свои операционные и стратегические риски.

Для своевременного выявления уязвимостей нужна регулярная проверка ИБ. Все издержки и затраты на ее проведение полностью оправданы. Ведь эти мероприятия снижают риск утечки ценных данных или даже потери контроля над объектами инфраструктуры или инфраструктурой вцелом. Можно выделить внутренний и внешний аудит информационной безопасности.

Лучше всего проводить полноценную проверку на максимальную глубину по всем направлениям. Для увеличения эффективности аудита можно грамотно ограничить зону проверки типовыми блоками. Так, месли в структурных подразделениях организации используются одинаковые информационные системы, можно провести комплексную проверку только в одном подразделении. Это позволит выявить ошибки и уязвимости, которые с большой вероятностью будут характерные для всех однотипных систем. В других подразделениях можно ограничиться проверкой по этим ошибкам.

Обычно внешний аудит ИБ проводится в несколько этапов:

• Определение требований к аудиту. Заказчик и исполнитель определяют сферы и направления проверки, а также ее глубину. Как правило, экспресс-обследование проводится на основании отдельного соглашения с заказчиком, а его результаты позволяют заключить уточненный договор на проведение остальных этапов полного аудита. В том случае, если для проведения аудита необходим доступ к конфиденциальной информации, то перед проведением обследования разрабатывается и утверждается соглашение о конфиденциальности и организуется взаимодействие со службой безопасности заказчика.

На данном этапе:

  Сбор и систематизация данных. Формируется перечень источников данных, лиц с правом доступа и с указанием его уровня, а также анализируются способы обмена данными, их хранения и использования.

В ходе этапа производится:

Количество этапов, а также выполняемые работы могут отличаться, что позволяет адаптировать проверку к реальным запросам заказчика.

Итогом аудита является документация, содержащая:

Проведение аудита информационной безопасности — это мера, которая необходима любой компании, стремящейся к развитию и успешной деятельности. Это компании, которые используют корпоративные сети, имеют собственный сайт, применяют технологии интернет-платежей, осуществляют сбор и обработку персональных данных и т. д. Фактически эта процедура рекомендована для подавляющего большинства компаний и организаций.

Существует серьезное заблуждение о том, что аудит обеспечения информационной безопасности необходим только крупному бизнесу. В действительности угрозы распространяются практически в равной степени на компании, независимо от их размеров и суммы оборота. При этом крупные фирмы обладают куда большим ресурсом для противодействия таким угрозам или для купирования последствий их реализации, по сравнению с представителями среднего и малого бизнеса. Поэтому для последних аудит вопросов информационной безопасности оказывается особенно актуальным.

Аудит предполагает комплексное обследование непосредственно на рабочих местах. В том числе аудит на соответствие требованиям информационной безопасности предусматривает изучение следующих ключевых аспектов:

Проверка оборудования и программ, применяемых для сбора, обработки, защиты информации. В том числе в процессе аудита ИБ дается оценка компьютерному и сетевому оборудованию, антивирусному ПО, сетевым экранам, базам данных, операционным системам. Также проверке подлежат пользовательские приложения. Обязательной проверке подлежат и физические хранилища информации.

Несмотря на развитие и все более широкое распространение услуги, многие компании отказываются от проведения независимой проверки ИБ. Причина, как правило, заключается в том, что руководители таких компаний до сих пор не осознают истинного значения защищенности информации для стабильности бизнеса. Они рассматривают процедуры аудита информационной безопасности как источник дополнительных немалых издержек. Между тем своевременное проведение проверки позволяет: