Аудит информационной безопасности предприятия

Аудит информационной безопасности представляет собой комплекс работ, включающий исследование всех аспектов обеспечения информационной безопасности на предприятии, проводимое по согласованному с заказчиком плану, в соответствии с выбранной методикой и критериями.

Этапы работ

Аудит включает в себя следующие последовательные этапы выполнения работ:

• инициирование и планирование
• обследование, документирование и сбор информации
• анализ полученных данных и уязвимостей
• выработка рекомендаций
• подготовка и утверждение отчетных документов

Методика аудита

Методика проведения аудита включает:

• методы анализа защищенности, включая тест на проникновение, анализ конфигурации средств защиты информации, анализ сценариев осуществления атак и использование списков проверки
• интервью и анкетирование сотрудников предприятия с использованием опросных листов
• документирование системы и анализ рисков с использованием специализированного программного инструментария и шаблонов отчетов
• анализ организационно-нормативной базы предприятия по обеспечению режима информационной безопасности
• оценка процессов обеспечения информационной безопасности на предприятии, квалификации сотрудников, знание ими своих должностных обязанностей и степени их осведомленности в вопросах информационной безопасности
• оценка достаточности физических механизмов безопасности и др.

По результатам аудита готовится отчет о текущем состоянии информационной безопасности предприятия, содержащий развернутые рекомендации по повышению уровня защищенности ИС как за счет организационно-технических и административных мер, так и за счет применения специальных средств защиты информации и использования возможностей имеющихся программных и технических средств.

Отчет аудита включает:

• краткое описание информационной системы (объекта обследования)
• выявленные недостатки и уязвимости в обеспечении ИБ
• качественный анализ выявленного недостатка
• описание возникающей в результате наличия данного недостатка угрозы ИБ, ее тип - внешняя (внутренняя) угроза, качественная оценка последствий реализации угрозы - информационного риска
• рекомендации по устранению недостатка (уязвимости), ликвидации или минимизации угрозы
• качественная оценка зависимости выполняемых подразделениями предприятия функций и процедур от условий функционирования ИС, и критерии непрерывности деловой активности
• качественная оценка категорий информационных ресурсов, обрабатываемых в ИС и требования по конфиденциальности, целостности и доступности
• качественная оценка квалификации персонала и его готовности к принятию изменений и новых требований по обеспечению ИБ
• качественная оценка состояния защищенности ИС предприятия
• качественная оценка деятельности персонала по обеспечению ИБ
• предложения по совершенствованию системы ИБ заказчика

Из состава работ по аудиту ИБ могут быть также выделены отдельные работы, такие как:

• Сетевое сканирование

• Инвентаризация ресурсов