Аудит Информационной безопасности
Аудит информационной безопасности представляет собой всестороннее обследование, позволяющее оценить текущее состояние информационной безопасности организации и спланировать дальнейшие шаги по повышению уровня защищенности.
Аудит информационной безопасности целесообразно проводить в случаях, когда нужна актуальная информация и независимая оценка состояния информационной безопасности.
Необходимость в этом может возникнуть в разных ситуациях:
- если меняется стратегия компании;
- при слиянии или поглощении;
- когда происходят значительные изменения в организационной структуре или смена руководства;
- при появлении новых внутренних или внешних требований в области информационной безопасности;
- в случае значительных изменений бизнес-процессов или ИТ-инфраструктуры.
Аудит может проводиться как для компании в целом, так и для отдельных критичных областей, бизнес-процессов или информационных систем.
Работа проводится экспертами, обладающими квалификацией, подтвержденной международными сертификатами, и обладающими богатым опытом проведения аудитов в различных отраслях экономики.
Методика выполнения работ предполагает гибкость и индивидуальный подход, позволяет учесть специфичные требования и особенности бизнеса каждой конкретной организации.
В процессе аудита проводятся:
- анализ организационно-распорядительных документов организации;
- интервью с сотрудниками организации: представителями бизнес-подразделений, администраторами и разработчиками информационных систем, специалистами по информационной безопасности;
- осмотр технологических и офисных помещений с точки зрения обеспечения физической безопасности ИТ-инфраструктуры;
- анализ конфигурационных настроек оборудования и ПО;
- аудит с использованием специальных технических средств (сканеров анализа защищенности, средств контроля утечек информации и т.п.);
- тестирование на проникновение;
- оценка знаний сотрудников организации в области информационной безопасности.
Также могут быть выполнены дополнительные специальные проверки, позволяющие учесть особенности организации, в которой проводится аудит.
Результаты аудита:
- анализ угроз, которые могут быть реализованы, через обнаруженные уязвимости;
- качественная или количественная оценка рисков ИБ;
- оценка соответствия актуальным требованиям;
- оценка соответствия лучшим практикам и стандартам в области ИБ;
- стратегия обеспечения ИБ;
- рекомендации, которые должны быть выполнены для повышения уровня защищенности организации;
- план реализации разработанных рекомендаций с бюджетной оценкой;
- техническое задание на внедрение рекомендуемых мер по обеспечению информационной безопасности.
В случае необходимости на этапе обследования может быть собрана дополнительная информация, необходимая для выполнении других проектов, что позволит в дальнейшем сэкономить ресурсы организации и равномерно распределить расходы бюджета.
