Банковское обозрение. Аудит информационной безопасности предприятия: понятие, стандарты, пример

Аудит представляет собой независимую экспертизу отдельных областей функционирования организации. Различают внешний и внутренний аудит. Внешний аудит - это, как правило, разовое мероприятие, проводимое по инициативе руководства организации или акционеров. Рекомендуется проводить внешний аудит регулярно, а, например, для многих финансовых организаций и акционерных обществ это является обязательным требованием со стороны их учредителей и акционеров. Внутренний аудит представляет собой непрерывную деятельность, которая осуществляется на основании «Положения о внутреннем аудите» и в соответствии с планом, подготовка которого осуществляется подразделениями службы безопасноти и утверждается руководством организации.

Целями проведения аудита безопасности являются:

анализ рисков, связанных с возможностью осуществления угроз безопасности в отношении ресурсов;

Оценка текущего уровня защищенности ИС;

Локализация узких мест в системе защиты ИС;

Оценка соответствия ИС существующим стандартам в области информационной безопасности;

Аудит безопасности предприятия (фирмы, организации) должен рассматриваться как конфиденциальный инструмент управления, исключающий в целях конспирации возможность предоставления информации о результатах его деятельности сторонним лицам и организациям.

Для проведения аудита безопасности предприятия может быть рекомендована следующая последовательность действий.

1. Подготовка к проведению аудита безопасности:

выбор объекта аудита (фирма, отдельные здания и помещения, отдельные системы или их компоненты);

Составление команды аудиторов-экспертов;

Определение объема и масштаба аудита и установление конкретных сроков работы.

2. Проведение аудита:

общий анализ состояния безопасности объекта аудита;

Регистрация, сбор и проверка статистических данных и результатов инструментальных измерений опасностей и угроз;

Оценка результатов проверки;

Составление отчета о результатах проверки по отдельным составляющим.

3. Завершение аудита:

составление итогового отчета;

Разработка плана мероприятий по устранению узких мест и недостатков в обеспечении безопасности фирмы.

Для успешного проведения аудита безопасности необходимо:

Активное участие руководства фирмы в его проведении;

Объективность и независимость аудиторов (экспертов), их компетентность и высокая профессиональность;

Четко структурированная процедура проверки;

Активная реализация предложенных мер обеспечения и усиления безопасности.

Аудит безопасности, в свою очередь, является действенным инструментом оценки безопасности и управления рисками. Предотвращение угроз безопасности означает в том числе и защиту экономических, социальных и информационных интересов предприятия.

Отсюда можно сделать вывод, что аудит безопасности становится инструментом экономического менеджмента.

В зависимости от объема анализируемых объектов предприятия определяются масштабы аудита:

Аудит безопасности всего предприятия в комплексе;

Аудит безопасности отдельных зданий и помещений (выделенные помещения);

Аудит оборудования и технических средств конкретных типов и видов;

Аудит отдельных видов и направлений деятельности: экономической, экологической, информационной, финансовой и т. д.

Следует подчеркнуть, что аудит проводится не по инициативе аудитора, а по инициативе руководства предприятия, которое в данном вопросе является основной заинтересованной стороной. Поддержка руководства предприятия является необходимым условием для проведения аудита.

Аудит представляет собой комплекс мероприятий, в которых помимо самого аудитора, оказываются задействованными представители большинства структурных подразделений компании. Действия всех участников этого процесса должны быть скоординированы. Поэтому на этапе инициирования процедуры аудита должны быть решены следующие организационные вопросы:

Права и обязанности аудитора должны быть четко определены и документально закреплены в его должностных инструкциях, а также в положении о внутреннем (внешнем) аудите;

Аудитором должен быть подготовлен и согласован с руководством план проведения аудита;

В положении о внутреннем аудите должно быть закреплено, в частности, что сотрудники предприятия обязаны оказывать содействие аудитору и предоставлять всю необходимую для проведения аудита информацию.

На этапе инициирования процедуры аудита должны быть определены границы проведения обследования. Если какие-то информационные подсистемы предприятия не являются достаточно критичными, их можно исключить из границ проведения обследования.

Другие подсистемы могут оказаться недоступными для аудита из-за соображений конфиденциальности.

Границы проведения обследования определяются в следующих категориях:

1. Список обследуемых физических, программных и информационных ресурсов.

2. Площадки (помещения), попадающие в границы обследования.

3. Основные виды угроз безопасности, рассматриваемые при проведении аудита.

4. Организационные (законодательные, административные и процедурные), физические, программно-технические и прочие аспекты обеспечения безопасности, которые необходимо учесть в ходе проведения обследования, и их приоритеты (в каком объеме они должны быть учтены).

План и границы проведения аудита обсуждается на рабочем собрании, в котором участвуют аудиторы, руководство компании и руководители структурных подразделений.

Для понимания аудита ИБ как комплексной системы может быть использована его концептуальная модель, показанная на рис. 1.1. Здесь выделены главные составляющие процесса:

Объект аудита:

Цель аудита:

Рис. 1.1 .

предъявляемые требования;

Используемые методы;

Масштаб:

Исполнители;

Порядок проведения.

С точки зрения организации работ при проведении аудита ИБ выделяют три принципиальных этапа:

1. сбор информации;

Ниже более подробно рассмотрены эти этапы.

Большинство современных предприятий и организаций стремятся обезопасить себя от утечки коммерческой информации, однако в век высоких технологий реализовать это крайне сложно. Надёжная защита информации является фундаментом эффективной работы любой организации. Выбор остаётся за Вами - реализовать эффективную модель работы предприятия или терять прибыль, лишаться ценных кадров и дарить своих клиентов конкурентам.

В наши дни существует ряд охранных систем, реализующих информационную безопасность (ИБ), но для того, чтобы проверить эффективность их работы, необходимо проведение аудита безопасности информационных систем, который позволит выявить, ликвидировать бреши внутри структуры организации и предотвратить появление подобных проблем в будущем. Он представляет собой независимую оценку состояния системы на предмет соответствия установленным требованиям, и проводится в отношении налоговой и бухгалтерской отчётности, финансово-хозяйственной деятельности и экономического обеспечения.

Многолетняя практика нашей компании показывает, что формальный подход к информационной «обороне» оборачивается для организаций предельной беззащитностью перед конкретными угрозами. Мы доверяем только практике, тщательно анализируя защищённость бизнес-процессов, обнаруживая уязвимости в системах и давая клиентам объективное представление о них.

Оказание услуг по защите информации от «Зеонит»: наши преимущества

• Предотвращение хакерских атак. Тысячи хакеров систематически взламывают сервера организаций ради развлечения, корысти или тренировки. Важно своевременно обезопасить предприятие от утечки конфиденциальной информации.
• Доскональная аналитика. На основе аналитики наши эксперты разрабатывают эффективную стратегию контроля информационных систем. Мы понимаем уязвимости IT-инфраструктур любой специфики и масштаба, и каков бы ни был размер Вашей компании, мы реализуем индивидуальный подход и высококлассную экспертизу с гарантией полной конфиденциальности.
• Формат «под ключ». Обращаясь к нам, Вы получаете комплексный подход: мы выявляем слабые места внутри информационной системы Вашей компании, возможные проблемы и риски, и на выходе предлагаем готовые пути их ликвидации.
• Компетентные эксперты. В команде «Зеонит» работают профессионалы в области ИБ, квалификация и опыт работы которых имеет документальное подтверждение. Глубоко погружаясь в логику работы систем, мы обнаруживаем даже самые неочевидные риски и предлагаем варианты их устранения. Именно поэтому наши специалисты предлагают самые эффективные и перспективные решения.
• Обеспечение ИБ для организации любого уровня. Мы предоставляем услуги как государственным предприятиям и банковским структурам, так и коммерческим организациям, учитывая потребности в каждом отдельном случае.
• Понятное резюме. Мы формируем отчёт на доступном языке, с подробным описанием рисков и набором практических рекомендаций для технических специалистов компании.
• Внедрение передовых технологий. В рамках реализации ИБ нашей целью является внедрение самых современных технологий и свежих решений, подтвержденных международными сертификатами. Помимо всего, мы успешно реализуем и собственные разработки.

Стоит помнить, что хорошо защищённая информационная система - это залог успешной и прибыльной работы любого предприятия. Обращайтесь к нам и заказывайте профессиональный аудит уже сегодня.

Зачем нужен аудит ИБ

Комплексный аудит ИБ

Тест на проникновение

Экспресс аудит ИБ

Зачем нужен аудит информационной безопасности

Информационная безопасность (ИБ) – фундамент любого предприятия, без применения которого невозможно построить надежную структуру организации. Выбор за Вами: получить эталонную защиту, или продолжать дарить клиентов своим конкурентам, терять существенную прибыль и ценные кадры. Аудит информационной безопасности позволит выявить, устранить и предупредить появление брешей внутри структуры Вашего предприятия.

6 причин, доверить проведение аудита нашей компании

Защита от хакерских атак

На скрытых форумах общаются тысячи хакеров, которые взламывают сервера предприятий для забавы, корыстных целей или ради тренировки. Крупные организации подвергаются хакерским атакам регулярно.

Аналитический подход

Наши эксперты проводят глубокий аудит с предоставлением полного отчета по обследованным системам. На основе аналитики разрабатывается наиболее эффективная стратегия обеспечения бесперебойного контроля над безопасной работой с информацией.

Сервис в формате «под ключ»

Обращаясь к нам, Вы получаете исчерпывающий перечень услуг в сегменте ИБ. Выявим слабые места внутри вашей информационной системы, оценим возможные проблемные места, риски и предложим готовые решения для их полного устранения.

Экспертный консалтинг

Получите консультацию ведущих экспертов «ЗЕОНИТ»: оценка возможных проблемных участков и рисков, расчет инвестиций в информационную безопасность, варианты готовых решений, советы по постройке надежной защиты.

Компетентные специалисты

В нашей команде работают ведущие консультанты в сфере информационной безопасности, квалификация которых подтверждена сертификатами. Именно поэтому специалисты «ЗЕОНИТ» предлагают самые эффективные решения.

Полное погружение

Не существует единого стандарта информационной безопасности, поэтому при заказе аудита наши эксперты учитывают особенности именно Вашей организации, чтобы построить защиту действительно эталонного уровня.

Приоритетная направленность наших услуг

Мы работаем с множеством предприятий различного масштаба, как с банками и другими государственными структурами, так и коммерческими организациями.

Обеспечение ИБ для коммерческих организаций

• Контроль и предоставление сотрудникам доступа различного уровня к данным предприятия;
• Отслеживание и управление репутацией компании в сети;
• Создание корпоративной тайны и сбережение корпоративной информации от посягательств конкурентов.

Обеспечение ИБ для госпредприятий и банковских структур

• Проверка на соответствие ИБ ГОСТ стандартам;
• Оптимизация технологий под масштабы организации;
• Оценка экспертами степени безопасности систем автоматизации и менеджмента.

Обеспечение ИБ банковских организаций

• Системы управления рисками;
• Создание и приведение к актуальности стандартов под требования Банка России;

Выявление и устранение информационных утечек по вине сотрудников и клиентов

Проведение аудита настоятельно рекомендуется в случаях смены руководства или структуры организации, а также для актуализации требований под действующее законодательство. Необходимо понимать, что хорошо обособленная и защищенная информационная система - это надежная опора любого предприятия. Свяжитесь с нами уже сегодня, и закажите профессиональный аудит ИБ прямо сейчас.

Основной целью нашей организации в рамках внедрения первичных систем безопасности информации, является укоренение передовых технологий по информационной защите внутри бизнес процессов своих клиентов. Для ее исполнения мы используем множество новых и полезных решений, прошедших сертификацию у мировых лидеров по разработке ПО. Кроме того, мы имеем собственные успешные разработки, не уступающие большинству европейских и американских образцов. Специалисты нашей компании ясно понимают, какие именно сегменты рынка безопасности будут востребованы в ближайшие годы, поэтому мы с имеем возможность с уверенностью смотреть в будущее, зная, какие бизнес – процессы не потеряют своей актуальности еще долгое время. Опираясь на наших постоянных партнеров, мы продолжаем развитие нашей компании, точно зная, что всегда сможем принести пользу окружающему миру.

Каждый заказчик получает от нас особое внимание, и мы, учитывая все особенности его бизнеса, предлагаем ему проект, имеющий максимальную эффективность с экономической и технической точки зрения, согласно которому, после согласования, мы строим всю последующую работу.

Согласно концепции комплексного подхода, к решению всех вопросов нашего клиента, мы можем гарантировать и качественный охват всех поставленных задач.

Проведение аудита настоятельно рекомендуется в случаях смены руководства или структуры организации, а также для актуализации требований под действующее законодательство. Защищенная информационная система, это надежная опора любого предприятия. Свяжитесь с нами уже сегодня, и закажите профессиональный аудит ИБ прямо сейчас.

Комплексный аудит информационной безопасности

Когда нужен действительно компетентный аудит информационной безопасности (ИБ), выбирают «ЗЕОНИТ». Наши эксперты проведут полноценную аналитику, объективно оценят степень защищенности систем и дадут экспертное заключение о состоянии инфраструктуры Вашей организации

6 главных причин, почему выбирают нашу компанию

Независимая оценка

Привлечение внешних консультантов компании «ЗЕОНИТ» позволит получить объективную оценку информационной безопасности Вашего предприятия. С нами, Вы узнаете реальную картину состояния инфраструктуры, а также получите ценные рекомендации специалистов.

Экспертный консалтинг

Помимо выявления дыр в системе безопасности, наши эксперты предложат стратегию предотвращения появления новых проблем, а также проконсультируют по внедрению необходимых средств защиты.

Услуги в формате «под ключ»

Комплексный аудит от нашей компании подразумевает проведение пентестов, аналитики состояния информационных систем и онлайн безопасности. В итоге, Вы будете в курсе актуального состояния как внутренних, так и внешних ресурсов информационной безопасности.

Исключительно индивидуальный подход

Мы предлагаем решения, которые адаптированы под реалии и особенности Вашей организации. Состав и специализация наших работ обговариваются с клиентом индивидуально.

Реальные бюджеты

Наши цены на 10-12% ниже среднерыночной стоимости. При этом, в комплекс наших услуг входит оценка и грамотное планирование бюджета на оптимизацию информационной безопасности.

Предлагаем эффективные решения

Разработаем план мероприятий по усовершенствованию безопасности информационных систем, а также предложим эффективные решения по устранению обнаруженных недостатков.

Как проводится комплексный аудит

• Изучение особенностей организации, исследование действующих методологий и решений информационной безопасности;
• Аналитика существующей структуры, выявление наиболее значимых компонентов;
• Оценка конфигурации используемых средств защиты и элементов инфраструктуры, определение соответствия информационной системы актуальным требованиям безопасности;
• Проведение пентестов;
• Независимая оценка рисков взлома или сбоя в системе информационной безопасности;
• Подготовка подробной отчетности о текущем состоянии ИБ;
• Составление рекомендаций по улучшению степени информационной безопасности, которые могут быть адаптированы под особенности Вашей организации.

Остались вопросы? Свяжитесь с нами прямо сейчас, и Вас СОВЕРШЕННО БЕСПЛАТНО проконсультирует ведущий эксперт компании «ЗЕОНИТ». Спешите, наши цены временно снижены.

Тестирование на проникновение в Москве

Одна из довольно популярных и востребованных услуг в области безопасности информации, которые предоставляет наша компания – так называемое тестирование на проникновение . Это довольно популярная во всём мире услуга, которая заключается в попытке обойти защитный комплекс мер вашей информационной системы с целью выявления ее слабых и уязвимых деталей. На протяжение всего времени тестирования , специалист ведет себя как злоумышленник, пытающийся совершить проникновение к данным клиента. Проще говоря, аудитор ведет санкционированную хакерскую атаку, проверяя тем самым уязвимость системы заказчика к подобным посягательствам извне.

Как правило, совершающий атаку специалист в большинстве случаев добивается своих результатов, проникая в тестируемую внутреннюю сеть компании заказчика. Как показывает практика, порядка 20% уязвимостей высокой степени можно выявить уже в процессе сбора информации о компании из официальных источников, в том числе и из социальных сетей персонала. То есть при отсутствии у большинства сотрудников информационной дисциплины, можно с высокой долей вероятности сказать, что ваша коммерческая тайна несет большие риски. Более сложный, комбинированный тест с применением инженерных средств, является еще более эффективным и дает порядка 70% положительных результатов на проникновение. После окончания проверки все риски и слабые места системы безопасности заносятся в подробный отчёт и демонстрируются заказчику, после чего следует этап исправления ошибок и внедрения инструкций по элементарным основам безопасности.

Результатом работы аудитора является составление аудиторского заключения. Для того чтобы иметь основания для выводов по основным направлениям аудиторской проверки, аудитор должен собрать соответствующие доказательства. Информация, собранная и проанализированная аудитором в ходе проверки, служит обоснованием выводов аудитора и называется аудиторскими доказательствами. Собирая аудиторские доказательства, аудитор использует следующие методы:

1. Методы фактического контроля

а) инвентаризация;

б) контрольный обмер.

2. Методы документального контроля

а) формальная проверка;

б) арифметическая проверка;

в) проверка документов по существу.

3. Прочие методы

а) наблюдение;

в) экономический анализ.

Рассмотрим, насколько эффективен каждый из этих методов сбора аудиторских доказательств при проверке основных средств.

Инвентаризация проводится в целях обеспечения достоверности данных бухгалтерского учета и отчетности. Сразу по прибытии в организацию аудитор должен уточнить дату проведения последней инвентаризации. Если инвентаризация основных средств не проводилась более 2-3 лет, то аудитор может потребовать ее проведение, что позволит более качественно провести последовательную проверку и уменьшить аудиторский риск. Аудитор может сам участвовать в проведении инвентаризации или ограничиться наблюдением за ее проведением. Рекомендуется убедиться в наличии наиболее дорогостоящих предметов. Часть имущества может отсутствовать, в этом случае надо проверить, по каким документам, кому и когда оно передано. При использовании работниками какого-либо имущества в домашних условиях стоимость этого имущества (компьютеров, принтеров) может рассматриваться в качестве налогооблагаемой базы (дохода) работников. В том случае, когда при проведении инвентаризации основных средств выясняется, что один из цехов проверяемого экономического субъекта занят иным хозяйствующим субъектом (признаков тому может быть несколько: весит вывеска с наименованием другого экономического субъекта; выпускается продукция, не соответствующая профилю проверяемого экономического субъекта и т.п.), а в составе доходов от внереализационных операций нет статьи “доходы от аренды”, то речь идет о “скрытой аренде” и уклонении от уплаты налогов. Аудитор может сделать вывод о нарушении клиентом законодательства при совершении финансово-хозяйственных операций. Инвентаризация основных средств производится на основании “Методических указаний по инвентаризации имущества и финансовых обязательств” утв. Приказом МФ РФ от 13.06.95 № 49.

Метод контрольного обмера эффективен при проверке затрат на ремонт основных средств. Аудитор может произвести контрольный обмер объемов выполненных работ по ремонту непосредственно на объектах, что позволит дать объективную оценку фактических ремонтных работ и установить сумму необоснованно списанных материалов, а также сумму незаконно выплаченной заработной платы, если при попустительстве отдельных работников организации имело место завышение объемов выполненных работ.

При проведении формальной проверки документов аудитор визуально просматривает первичные документы по учету основных средств, инвентарные карточки, журналы-ордера, расчетные таблицы, форму №5, Главную книгу и др. Необходимо проверить соответствие документов типовым межведомственным формам, правильность заполнения всех реквизитов, наличие неоговоренных исправлений, подчисток, дописок в тексте и цифр, подлинность подписей должностных и материально ответственных лиц, инструкции о порядке заполнения типовых форм годовой бухгалтерской отчетности, карточек подписей должностных лиц.

Метод арифметической проверки предусматривает проверку правильности подсчетов, а также правильности составления алгоритмов расчетов при автоматизации бухгалтерского учета, проверку расчетов сумм амортизации, переоценки основных средств, правильности применения норм амортизации и коэффициентов пересчета. Также сверяются данные аналитических и синтетических счетов, журналов-ордеров, главной книги, баланса, приложения к балансу по ф. №5.

При проверке документов по существу рассматривается законность и целесообразность хозяйственной операции, правильность отнесения на счета и включения в статьи затрат. При реализации основных средств на сторону аудитору необходимо убедиться, что на это есть письменное разрешение руководителя. Если при проверке первичный документ вызывает сомнение, то необходимо получить письменное объяснение у лиц, ответственных за данную сделку, и сделать встречную проверку.

Наблюдение - получение общего представления о возможностях клиента на основании визуального наблюдения. Аудитор наблюдает за тем, как оформляется та или иная операция по учету движения основных средств, заполняются первичные документы и регистры синтетического учета. Однако операции по учету основных средств не так многообразны и часты, особенно на малых предприятиях, поэтому наблюдение как метод аудиторской проверки малоэффективен. Более полную информацию можно получить в результате документальной проверки, опроса сотрудников и экономического анализа.

Методом экономического анализа аудитор пользуется, как правило, при проверке бухгалтерской отчетности, где отражено состояние основных средств (ф.№1, ф.№5). Аудитор может сделать анализ использования организацией основных средств по времени и мощности с учетом специфики производственной деятельности организации, а так же эффективность капиталовложений.

Опрос - получение устной или письменной информации от клиента. Опрос или беседа должны быть проведены со всеми сотрудниками, принимающими участие в учете основных средств и заполнении отчетности. Для того чтобы беседа дала аудитору результаты, она, как и все прочие аудиторские процедуры, должна быть тщательно спланирована. Для этого аудитор составляет заранее вопросник, который включает в себя перечень вопросов, которые аудитор планирует задать сотрудникам организации с вариантами ответов. Вопросник распечатывается в нужном количестве экземпляров, соответствующем составу опрашиваемых специалистов. На каждом экземпляре вопросника проставляется должность, фамилия, имя и отчество лица, с которым будет проведена беседа. По результатам опроса аудитор делает пометки напротив выбранных сотрудниками вариантов ответа и делает вывод о состоянии дисциплины в организации учета основных средств и определяет степень аудиторского риска и глубину последующих процедур по проверке правильности учета основных средств.

Аудит информационных систем дает актуальные и точные данные о том, как работает ИС. На базе полученных данных можно планировать мероприятия для повышения эффективности предприятия. Практика проведения аудита информационной системы - в сравнении эталона, реальной обстановки. Изучают нормативы, стандарты, регламенты и практики, применимые в других фирмах. При проведении аудита предприниматель получает представление о том, как его фирма отличается от нормальной успешной компании в аналогичной сфере.

Общее представление

Информационные технологии в современном мире развиты исключительно сильно. Сложно представить себе предприятие, не имеющее на вооружении информационные системы:

• глобальные;
• локальные.

Именно за счет ИС компания может нормально функционировать и идти в ногу со временем. Такие методологии необходимы для быстрого и полного обмена информацией с окружающей средой, что позволяет компании подстраиваться под изменения инфраструктуры и требований рынка. Информационные системы должны удовлетворять ряду требований, меняющихся по прошествии времени (внедряются новые разработки, стандарты, применяют обновленные алгоритмы). В любом случае информационные технологии позволяют сделать доступ к ресурсам быстрым, и эта задача решается через ИС. Кроме того, современные системы:

• масштабируемые;
• гибкие;
• надёжные;
• безопасные.

Основные задачи аудита информационных систем - выявление, соответствует ли внедренная ИС указанным параметрам.

Аудит: виды

Очень часто применяется так называемый процессный аудит информационной системы. Пример: внешние специалисты анализируют внедренные системы на предмет отличия от эталонов, изучая в том числе и производственный процесс, на выходе которого - программное обеспечение.

Может проводиться аудит, направленный на выявление того, насколько правильно применяется в работе информационная система. Практику предприятия сравнивают со стандартами производителя и известными примерами корпораций международного масштаба.

Аудит системы информационной безопасности предприятия затрагивает организационную структуру. Цель такого мероприятия - найти тонкие места в кадрах ИТ-отдела и обозначить проблемы, а также сформировать рекомендации по их решению.

Наконец, аудит системы обеспечения информационной безопасности направлен на качественный контроль. Тогда приглашенные эксперты оценивают, в каком состоянии процессы внутри предприятия, тестируют внедренную информационную систему и делают некоторые выводы по полученной информации. Обычно применяется модель TMMI.

Задачи аудита

Стратегический аудит состояния информационных систем позволяет определить слабые места во внедренной ИС и выявить, где применение технологий оказалось неэффективными. На выходе такого процесса у заказчика будут рекомендации, позволяющие устранить недочеты.

Аудит позволяет оценить, как дорого обойдётся внесение изменений в действующую структуру и сколько времени это займет. Специалисты, изучающие действующую информационную структуру компании, помогут подобрать инструментарий для реализации программы улучшений, учитывая особенности компании. По итогам можно также выдать точную оценку, в каком объеме ресурсов нуждается фирма. Проанализированы будут интеллектуальные, денежные, производственные.

Мероприятия

Внутренний аудит информационных систем включает в себя проведение таких мероприятий, как:

• инвентаризация ИТ;
• выявление нагрузки на информационные структуры;
• оценка статистики, данных, полученных при инвентаризации;
• определение, соответствуют ли требования бизнеса и возможности внедренной ИС;
• формирование отчета;
• разработка рекомендаций;
• формализация фонда НСИ.

Результат аудита

Стратегический аудит состояния информационных систем - это процедура, которая: позволяет выявить причины недостаточной эффективности внедрённой информационной системы; провести прогнозирование поведения ИС при корректировке информационных потоков (числа пользователей, объема данных); предоставить обоснованные решения, помогающие повысить продуктивность (приобретение оборудования, совершенствование внедренной системы, замена); дать рекомендации, направленные на повышение продуктивности отделов компании, оптимизацию вложений в технологии. А также разработать мероприятия, улучшающий качественный уровень сервиса информационных систем.

Это важно!

Нет такой универсальной ИС, которая подошла бы любому предприятию. Есть две распространенных базы, на основе которых можно создавать уникальную систему под требования конкретного предприятия:

• Oracle.

Но помните, что это лишь основа, не более. Все усовершенствования, позволяющие сделать бизнес эффективным, нужно программировать, учитывая особенности конкретного предприятия. Наверняка придется вводить ранее отсутствовавшие функции и отключать те, которые предусмотрены базовой сборкой. Современная технология аудита банковских информационных систем помогает понять, какие именно особенности должна иметь ИС, а что нужно исключить, чтобы корпоративная система была оптимальной, эффективной, но не слишком «тяжелой».

Аудит информационной безопасности

Анализ, позволяющий выявить угрозы информационной безопасности, бывает двух видов:

• внешний;
• внутренний.

Первый предполагает единовременную процедуру. Организует ее руководитель компании. Рекомендовано регулярно практиковать такую меру, чтобы держать ситуацию под контролем. Ряд АО, финансовых организаций ввели требование внешнего аудита ИТ-безопасности обязательным к выполнению.

Внутренний - это регулярно проводимые мероприятия, регламентированные локальным нормативным актом «Положение о внутреннем аудите». Для проведения формируют годовой план (его готовит отдел, ответственный за аудит), утверждает генеральный директор, другой руководитель. ИТ-аудит - несколько категорий мероприятий, аудит безопасности занимает не последнее место по значимости.

Цели

Главная цель аудита информационных систем в аспекте безопасности - это выявление касающихся ИС рисков, сопряженных с угрозами безопасности. Кроме того, мероприятия помогают выявить:

• слабые места действующей системы;
• соответствие системы стандартам информационной безопасности;
• уровень защищенности на текущий момент времени.

При аудите безопасности в результате будут сформулированы рекомендации, позволяющие улучшить текущие решения и внедрить новые, сделав тем самым действующую ИС безопаснее и защищённые от различных угроз.

Если проводится внутренний аудит, призванный определить угрозы информационной безопасности, тогда дополнительно рассматривается:

• политика безопасности, возможность разработки новой, а также иных документов, позволяющих защитить данные и упростить их применение в производственном процессе корпорации;
• формирование задач обеспечения безопасности работникам ИТ-отдела;
• разбор ситуаций, сопряженных с нарушениями;
• обучение пользователей корпоративной системы, обслуживающего персонала общим аспектам безопасности.

Внутренний аудит: особенности

Перечисленные задачи, которые ставят перед сотрудниками, когда проводится внутренний аудит информационных систем, по своей сути, не аудит. Теоретически проводящий мероприятия лишь в качестве эксперта оценивает механизмы, благодаря которым система обезопасена. Привлеченное к задаче лицо становится активным участником процесса и теряет независимость, уже не может объективно оценивать ситуацию и контролировать ее.

С другой стороны, на практике при внутреннем аудите остаться в стороне практически невозможно. Дело в том, что для проведения работ привлекают специалиста компании, в прочее время занятого другими задачами в сходной области. Это значит, что аудитор - это тот самый сотрудник, который обладает компетенцией для решения упомянутых ранее заданий. Поэтому приходится идти на компромисс: в ущерб объективности привлекать работника к практике, чтобы получить достойный итог.

Аудит безопасности: этапы

Таковые во многом сходны с шагами общего ИТ-аудита. Выделяют:

• старт мероприятий;
• сбор базы для анализирования;
• анализ;
• формирование выводов;
• отчетность.

Инициирование процедуры

Аудит информационных систем в аспекте безопасности начинается, когда на это дает отмашку руководитель компании, так как именно начальники - те персоны, которые более прочих заинтересованы в эффективной проверке предприятия. Проведение аудита невозможно, если руководство не поддерживает процедуру.

Аудит информационных систем обычно комплексный. В нем принимает участие аудитор и несколько лиц, представляющих разные отделы компании. Важна совместная работа всех участников проверки. При инициации аудита важно уделить внимание следующим моментам:

• документальная фиксация обязанностей, прав аудитора;
• подготовка, согласование плана аудита;
• документальное закрепление того факта, что сотрудники обязаны оказывать аудитору посильную помощь и предоставлять все запрашиваемые им данные.

Уже в момент инициации проверки важно установить, в каких границах проводится аудит информационных систем. В то время как некоторые подсистемы ИС критичны и требуют особенного внимания, другие таковыми не являются и достаточно маловажны, поэтому допускается их исключение. Наверняка найдутся и такие подсистемы, проверка которых будет невозможна, так как вся информация, хранимая там, конфиденциальна.

План и границы

Перед началом работ формируется список ресурсов, которые предполагается проверить. Это могут быть:

• информационные;
• программные;
• технические.

Выделяют, на каких площадках проводят аудит, на какие угрозы проверяют систему. Существуют организационные границы мероприятия, аспекты обеспечения безопасности, обязательные к учету при проверке. Формируется рейтинг приоритетности с указанием объема проверки. Такие границы, а также план мероприятия утверждаются генеральным директором, но предварительно выносятся темой общего рабочего собрания, где присутствуют начальники отделов, аудитор и руководители компании.

Получение данных

При проведении проверки безопасности стандарты аудита информационных систем таковы, что этап сбора информации оказывается наиболее продолжительным, трудоемким. Как правило, ИС не имеет документации к ней, а аудитор вынужден плотно работать с многочисленными коллегами.

Чтобы сделанные выводы оказались компетентными, аудитор должен получить максимум данных. О том, как организована информационная система, как она функционирует и в каком состоянии находится, аудитор узнает из организационной, распорядительной, технической документации, в ходе самостоятельного исследования и применения специализированного ПО.

Документы, необходимые в работе аудитора:

• организационная структура отделов, обслуживающих ИС;
• организационная структура всех пользователей.

Аудитор интервьюирует работников, выявляя:

• провайдера;
• владельца данных;
• пользователя данных.

Для этого нужно знать:

• основные виды приложений ИС;
• число, виды пользователей;
• услуги, предоставляемые пользователям.

Если в фирме есть документы на ИС из перечисленного ниже списка, обязательно нужно предоставить их аудитору:

• описание технических методологий;
• описание методик автоматизации функций;
• функциональные схемы;
• рабочие, проектные документы.

Выявление структуры ИС

Для корректных выводов аудитор должен располагать максимально полным представлением об особенностях внедренной на предприятии информационной системы. Нужно знать, каковы механизмы безопасности, как они распределены в системе по уровням. Для этого выясняют:

• наличие и особенности компонентов используемой системы;
• функции компонентов;
• графичность;
• входы;
• взаимодействие с различными объектами (внешнее, внутреннее) и протоколы, каналы для этого;
• платформы, примененные для системы.

Пользу принесут схемы:

• структурная;
• потоков данных.

Структуры:

• технических средств;
• информационного обеспечения;
• структурных компонентов.

На практике многие из документов готовят непосредственно при проведении проверки. Анализировать информацию можно лишь при сборе максимального объема информации.

Аудит безопасности ИС: анализ

Есть несколько методик, применяемых для анализа полученных данных. Выбор в пользу конкретной основывается на личных предпочтениях аудитора и специфике конкретной задачи.

Наиболее сложный подход предполагает анализировать риски. Для информационной системы формируются требования к безопасности. Они базируются на особенностях конкретной системы и среды ее работы, а также угроз, свойственных этой среде. Аналитики сходятся во мнении, что такой подход требует наибольших трудозатрат и максимальной квалификации аудитора. Насколько хорош будет результат, определяется методологией анализа информации и применимостью выбранных вариантов к типу ИС.

Более практичный вариант предполагает обращение к стандартам безопасности для данных. Таковыми определяется набор требований. Это подходит для различных ИС, так как методика выработана на основе крупнейших фирм из разных стран.

Из стандартов следует, каковы требования безопасности, зависящие от уровня защиты системы и принадлежности ее тому или иному учреждению. Многое зависит от предназначения ИС. Главная задача аудитора - определить корректно, какой набор требований по безопасности актуален в заданном случае. Выбирают методику, по которой оценивают, соответствуют ли стандартам имеющиеся параметры системы. Технология довольно простая, надежная, поэтому распространена широко. При небольших вложениях в результате можно получить точные выводы.

Пренебрегать недопустимо!

Практика показывает, что многие руководители, особенно небольших фирм, а также те, чьи компании работают уже достаточно давно и не стремятся осваивать все новейшие технологии, относятся к аудиту информационных систем довольно халатно, так как просто не осознают важности этой меры. Обычно лишь ущерб бизнесу провоцирует начальство принимать меры по проверке, выявлению рисков и защите предприятия. Иные сталкиваются с тем, что у них крадут данные о клиентуре, у других утечки происходят из баз данных контрагентов или уходит информация о ключевых преимуществах некоего субъекта. Потребители перестают доверять компании, как только случай подвергается огласке, и компания терпит еще больший урон, нежели просто от потери данных.

Если есть вероятность утечки информации, невозможно построить эффективный бизнес, имеющий хорошие возможности сейчас и в будущем. У любой компании есть данные, представляющие ценность для третьих лиц, и их нужно беречь. Чтобы защита была на высочайшем уровне, необходим аудит, выявляющий слабые стороны. В нем нужно учитывать международные стандарты, методики, новейшие наработки.

При аудите:

• оценивают уровень защиты;
• анализируют применяемые технологии;
• корректируют документы по безопасности;
• моделируют рисковые ситуации, при которых возможна утечка данных;
• рекомендуют внедрение решений для устранения уязвимостей.

Проводят эти мероприятия одним из трех образов:

• активный;
• экспертный;
• выявляющий соответствие стандартам.

Формы аудита

Активный аудит предполагает оценку системы, на которую смотрит потенциальный хакер. Именно его точку зрения «примеряют» на себя аудиторы - изучают сетевую защиту, для чего применяют специализированное ПО и уникальные методики. Обязателен и внутренний аудит, проводимый также с точки зрения предполагаемого преступника, желающего украсть данные или нарушить работу системы.

При экспертном аудите проверяют, насколько соответствует внедренная система идеальной. При выявлении соответствия стандартам за основу берут абстрактное описание стандартов, с которыми сравнивают имеющийся объект.

Заключение

Корректно и качественно проведенный аудит позволяет получить следующие итоги:

• минимизация вероятности успешной хакерской атаки, ущерба от нее;
• исключение атаки, основанной на изменении архитектуры системы и информационных потоков;
• страхование как средство уменьшения рисков;
• минимизация риска до уровня, когда таковой вовсе можно не учитывать.

Сегодня всем известна чуть ли не сакральная фраза о том, что владеющий информацией владеет миром. Именно поэтому в наше время красть пытаются все кому не лень. В связи с этим принимаются и беспрецедентные шаги по внедрению средств защиты от возможных атак. Однако иногда может потребоваться провести аудит предприятия. Что это такое и зачем все это нужно, сейчас и попробуем разобраться.

Что представляет собой аудит информационной безопасности в общем определении?

Сейчас не будем затрагивать заумные научные термины, а постараемся определить для себя основные понятия, описав их самым простым языком (в народе это можно было назвать аудитом для «чайников»).

Название этого комплекса мероприятий говорит само за себя. Аудит информационной безопасности представляет собой независимую проверку или обеспечения безопасности информационной системы (ИС) какого-либо предприятия, учреждения или организации на основе специально разработанных критериев и показателей.

Говоря простым языком, например, аудит информационной безопасности банка сводится к тому, чтобы оценить уровень защиты баз данных клиентов, проводимых банковских операций, сохранности электронных денежных средств, сохранности банковской тайны и т. д. в случае вмешательства в деятельность учреждения посторонними лицами извне, использующими электронные и компьютерные средства.

Наверняка, среди читателей найдется хотя бы один человек, которому звонили домой или на мобильный телефон с предложением оформления кредита или депозитного вклада, причем из банка, с которым он никак не связан. То же самое касается и предложения покупок от каких-то магазинов. Откуда всплыл ваш номер?

Все просто. Если человек ранее брал кредит или вкладывал деньги на депозитный счет, естественно, его данные были сохранены в единой При звонке из другого банка или магазина можно сделать единственный вывод: информация о нем незаконно попала в третьи руки. Как? В общем случае можно выделить два варианта: либо она была украдена, либо передана сотрудниками банка третьим лицам осознанно. Для того чтобы такие вещи не происходили, и нужно вовремя проводить аудит информационной безопасности банка, причем это касается не только компьютерных или «железных» средств защиты, но всего персонала банковского учреждения.

Основные направления аудита информационной безопасности

Что касается сферы применения такого аудита, как правило, их различают несколько:

• полная проверка объектов, задействованных в процессах информатизации (компьютерные автоматизированные системы, средства коммуникации, приема, передачи и обработки информационных данных, технических средств, помещений для проведения конфиденциальных встреч, систем наблюдения и т.д.);
• проверка надежности защиты конфиденциальной информации с ограниченным доступом (определение возможных каналов утечки и потенциальных дыр в системе безопасности, позволяющих получить к ней доступ извне с использованием стандартных и нестандартных методов);
• проверка всех электронных технических средств и локальных компьютерных систем на предмет воздействия на них электромагнитного излучения и наводок, позволяющих отключить их или привести в негодность;
• проектная часть, включающая в себя работы по созданию концепции безопасности и применения ее в практическом исполнении (защита компьютерных систем, помещений, средств связи и т.д.).

Когда возникает необходимость проведения аудита?

Не говоря о критических ситуациях, когда защита уже была нарушена, аудит информационной безопасности в организации может проводиться и в некоторых других случаях.

Как правило, сюда включают расширение компании, слияния, поглощения, присоединения другими предприятиями, смену концепции курса бизнеса или руководства, изменения в международном законодательстве или в правовых актах внутри отдельно взятой страны, достаточно серьезных изменения в информационной инфраструктуре.

Виды аудита

Сегодня сама классификация такого типа аудита, по мнению многих аналитиков и экспертов, является не устоявшейся. Поэтому и разделение на классы в некоторых случаях может быть весьма условным. Тем не менее в общем случае аудит информационной безопасности можно разделить на внешний и внутренний.

Внешний аудит, проводимый независимыми экспертами, имеющими на это право, обычно представляет собой разовую проверку, которая может быть инициирована руководством предприятия, акционерами, правоохранительными органами и т.д. Считается, что внешний аудит информационной безопасности рекомендован (а не обязателен) для проведения регулярно в течение установленного промежутка времени. Но для некоторых организаций и предприятий, согласно законодательства, он является обязательным (например, финансовые учреждения и организации, акционерные общества и др.).

Информационной безопасности является процессом постоянным. Он базируется на специальном «Положении о внутреннем аудите». Что это такое? По сути, это аттестационные мероприятия, проводимые в организации, в сроки, утвержденные руководством. Проведение аудита информационной безопасности обеспечивается специальными структурными подразделением предприятия.

Альтернативная классификация видов аудита

Кроме выше описанного разделения на классы в общем случае, можно выделить еще несколько составляющих, принятых в международной классификации:

• экспертная проверка состояния защищенности информации и информационных систем на основе личного опыта экспертов, ее проводящих;
• аттестация систем и мер безопасности на предмет соответствия международным стандартам (ISO 17799) и государственным правовым документам, регулирующим эту сферу деятельности;
• анализ защищенности информационных систем с применением технических средств, направленный на выявление потенциальных уязвимостей в программно-аппаратном комплексе.

Иногда может применяться и так называемый комплексный аудит, который включает в себя все вышеперечисленные виды. Кстати, именно он дает наиболее объективные результаты.

Постановочные цели и задачи

Любая проверка, будь то внутренняя или внешняя, начинается с постановки целей и задач. Если говорить проще, нужно определить, зачем, что и как будет проверяться. Это и предопределит дальнейшую методику проведения всего процесса.

Поставленных задач, в зависимости от специфики структуры самого предприятия, организации, учреждения и его деятельности, может быть достаточно много. Однако среди всего этого выделяют унифицированные цели аудита информационной безопасности:

• оценка состояния защищенности информации и информационных систем;
• анализ возможных рисков, связанных с угрозой проникновения в ИС извне, и возможных методов осуществления такого вмешательства;
• локализация дыр и прорех в системе безопасности;
• анализ соответствия уровня безопасности информационных систем действующим стандартам и нормативно-правовым актам;
• разработка и выдача рекомендаций, предполагающих устранение существующих проблем, а также усовершенствование существующих средств защиты и внедрение новых разработок.

Методика и средства проведения аудита

Теперь несколько слов о том, как проходит проверка и какие этапы и средства она в себя включает.

Проведение аудита информационной безопасности состоит из нескольких основных этапов:

• инициирование процедуры проверки (четкое определение прав и обязанностей аудитора, подготовка аудитором плана проверки и его согласование с руководством, решение вопроса о границах проведения исследования, накладывание на сотрудников организации обязательства в помощи и своевременном предоставлении необходимой информации);
• сбор исходных данных (структура системы безопасности, распределение средств обеспечения безопасности, уровни функционирования системы безопасности, анализ методов получения и предоставления информации, определение каналов связи и взаимодействия ИС с другими структурами, иерархия пользователей компьютерных сетей, определение протоколов и т.д.);
• проведение комплексной или частичной проверки;
• анализ полученных данных (анализ рисков любого типа и соответствия стандартам);
• выдача рекомендаций по устранению возможных проблем;
• создание отчетной документации.

Первый этап является наиболее простым, поскольку его решение принимается исключительно между руководством предприятия и аудитором. Границы проведения анализа могут быть рассмотрены на общем собрании сотрудников или акционеров. Все это в большей степени относится к правовому полю.

Второй этап сбора исходных данных, будь то проведение внутреннего аудита информационной безопасности или внешней независимой аттестации, является наиболее ресурсоемким. Связано это с тем, что на этой стадии нужно не только изучить техническую документацию, касающуюся всего программно-аппаратного комплекса, но и провести узконаправленное интервьюирование сотрудников компании, причем в большинстве случаев даже с заполнением специальных опросных листов или анкет.

Что же касается технической документации, здесь важно получить данные о структуре ИС и приоритетных уровнях прав доступа к ней сотрудников, определить общесистемное и прикладное программное обеспечение (используемые операционные системы, приложения для ведения бизнеса, управления им и учета), а также установленные средства защиты софтверного и непрограммного типа (антивирусы, файрволлы и т.д.). Кроме того, сюда включается полная проверка сетей и провайдеров, предоставляющих услуги связи (организация сети, используемые протоколы для подключения, типы каналов связи, методы передачи и приема информационных потоков и многое другое). Как уже понятно, это занимает достаточно много времени.

На следующем этапе определяются методы аудита информационной безопасности. Их различают три:

• анализ рисков (самая сложная методика, базирующаяся на определении аудитором возможности проникновения в ИС и нарушения ее целостности с применением всех возможных методов и средств);
• оценка соответствия стандартам и законодательным актам (наиболее простой и самый практичный метод, основанный на сравнении текущего состояния дел и требований международных стандартов и внутригосударственных документов в сфере информационной безопасности);
• комбинированный метод, объединяющий два первых.

После получения результатов проверки начинается их анализ. Средства аудита информационной безопасности, которые применяются для анализа, могут быть достаточно разнообразными. Все зависит от специфики деятельности предприятия, типа информации, используемого программного обеспечения, средств защиты и пр. Однако, как можно заметить по первой методике, аудитору, главным образом, придется опираться на собственный опыт.

А это означает только то, что он должен обладать соответствующей квалификацией в сфере информационных технологий и защиты данных. На основе такого анализа аудитор и рассчитывает возможные риски.

Заметьте, он должен разбираться не только в операционных системах или программах, используемых, например, для ведения бизнеса или бухгалтерского учета, но и четко понимать, каким образом злоумышленник может проникнуть в информационную систему с целью кражи, порчи и уничтожения данных, создания предпосылок для нарушений в работе компьютеров, распространения вирусов или вредоносного ПО.

На основе проведенного анализа эксперт делает заключение о состоянии защиты и выдает рекомендации по устранению имеющихся или возможных проблем, модернизации системы безопасности и т.д. При этом рекомендации должны быть не только объективными, но и четко привязанными к реалиям специфики предприятия. Иными словами, советы по апгрейду конфигурации компьютеров или программного обеспечения не принимаются. В равной степени это относится и к советам по увольнению «ненадежных» сотрудников, установке новых систем слежения без конкретного указания их назначения, места установки и целесообразности.

Исходя из проведенного анализа, как правило, различают несколько групп рисков. При этом для составления сводного отчета используется два основных показателя: вероятность проведения атаки и ущерб, нанесенный компании в результате (потеря активов, снижение репутации, потеря имиджа и пр.). Однако показатели по группам не совпадают. Так, например, показатель низкого уровня для вероятности атаки является лучшим. Для ущерба - наоборот.

Только после этого составляется отчет, в котором детально расписываются все этапы, методы и средства проведенных исследований. Он согласовывается с руководством и подписывается двумя сторонами - предприятием и аудитором. Если аудит внутренний, составляет такой отчет глава соответствующего структурного подразделения, после чего он, опять же, подписывается руководителем.

Аудит информационной безопасности: пример

Наконец, рассмотрим самый простой пример ситуации, которая уже случалась. Многим, кстати, она может показаться очень знакомой.

Так, например, некий сотрудник компании, занимающейся закупками в США, установил на компьютер мессенджер ICQ (имя сотрудника и название фирмы не называется по понятным соображениям). Переговоры велись именно посредством этой программы. Но «аська» является достаточно уязвимой в плане безопасности. Сам сотрудник при регистрации номера на тот момент либо не имел адреса электронной почты, либо просто не захотел его давать. Вместо этого он указал что-то похожее на e-mail, причем даже с несуществующим доменом.

Что бы сделал злоумышленник? Как показал аудит информационной безопасности, он бы зарегистрировал точно такой же домен и создал бы в нем другой регистрационный терминал, после чего мог отослать сообщение в компанию Mirabilis, которая владеет сервисом ICQ, с просьбой восстановления пароля по причине его утери (что и было бы сделано). Поскольку сервер получателя не являлся почтовым, на нем был включен редирект - перенаправление на существующую почту злоумышленника.

Как результат, он получает доступ к переписке с указанным номером ICQ и сообщает поставщику об изменении адреса получателя товара в определенной стране. Таким образом, груз отправляется неизвестно куда. И это самый безобидный пример. Так, мелкое хулиганство. А что говорить о более серьезных хакерах, которые способны куда на большее…

Заключение

Вот вкратце и все, что касается аудита безопасности ИС. Конечно, здесь затронуты далеко не все его аспекты. Причина состоит только в том, что на постановку задач и методы его проведения влияет очень много факторов, поэтому подход в каждом конкретном случае строго индивидуален. К тому же методы и средства аудита информационной безопасности могут быть разными для различных ИС. Однако, думается, общие принципы таких проверок для многих станут понятными хотя бы на начальном уровне.