Аудит информационной безопасности информационных систем — это процедура оценки уровня защищенности данных от внешних и внутренних угроз.
В ходе аудита оценивается соответствие системы установленным стандартам и требованиям законодательства, выявляются слабые места системы с целью их дальнейшего устранения и минимизации возможных рисков ИБ.
Стандарты аудита ИБ
Аудит проводится в соответствии со стандартами и методиками, в т.ч. отраслевыми, которые помогают определить требования к системе защиты информации и оценить ее эффективность.
Цели проведения ИБ аудита
1) Проверка соблюдения требований регуляторов
Для объектов КИИ, Госкомпаний, органов власти, ГИС, банков, финансовых и страховых организаций и ряда других компаний считается основной целью аудита ИБ.
В основном аудиту подлежит соответствие следующим требованиям:
- 152-ФЗ «О Персональных данных»
- 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации»
- Приказ ФСТЭК 21 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных»
- Приказ ФСТЭК 239 «Об утверждении Требований по обеспечению безопасности значимых объектов критической информационной инфраструктуры Российской Федерации»
- 250 Указ Президента РФ «О дополнительных мерах по обеспечению информационной безопасности Российской Федерации»
- Стандарты Банка России (757-П, 779-П Банка России, ГОСТ Р 57580)
2) Выявление векторов атак хакеров в системе защиты информации
Киберпреступники часто ищут слабые места в системах для проникновения и кражи данных. Пентест в рамках аудита помогает выявить уязвимости и прочие пути кибератаки до того, как ими воспользуются злоумышленники. В ходе аудита можно получить представление об уровне готовности организации к отражению киберугроз.
3) Оценка эффективности системы защиты
ИБ-аудит позволяет проверить, насколько эффективно работают существующие системы информационной безопасности. Проверка включает оценку используемых технологий, политик и процедур, направленных на защиту данных и инфраструктуры. Например, проверяется работа антивирусных решений, межсетевых экранов, систем мониторинга событий безопасности и управления доступом.
4) Предотвращение возможных угроз безопасности
Самая ценная задача ИБ аудита – разработка и незамедлительное внедрение плана реагирования на инциденты безопасности. Реализация плана позволяет свести к минимуму взломы инфраструктуры, ее шифрование, манипуляции с финансами, утечки данных и прочие недопустимые события, а также составить план оперативного восстановления работоспособности сервисов, если ЧП все же произойдет.
Этапы проведения аудита
- Определение целей и задач аудита, формирование рабочей группы
- Сбор информации: о системе защиты информации, изучение документации, протоколов и журналов системы, выявление уязвимостей, проведение интервью с сотрудниками, ответственными за ИБ, собственные наблюдения аудитора
- Аналитический этап: аудитор анализирует собранную информацию и дают оценку эффективности системы защиты информации
- Оценка рисков: аудитор составляет модель угроз безопасности, вероятность угроз и последствия, а также уровень риска для каждой из них
- Проверка соответствия системы защиты информации законодательству и стандартам безопасности
- Подготовка отчета и рекомендаций по повышению эффективности системы безопасности. Также этот этап можно назвать «управление рисками», потому что рекомендации включают в себя меры, позволяющие снизить риск или перенести его на сторону подрядчика.
- Внедрение рекомендаций по укреплению системы безопасности: позволяет устранить выявленные уязвимости и повысить уровень безопасности системы защиты информации
Процесс проведения аудита
Аудит ИБ может проходить очно, удаленно и в смешанной форме.
После получения информации о состоянии ИБ в компании аудитор приступает к анализу. На основе анализа аудитор делает вывод о степени соответствия объекта аудита установленным критериям. Оценка может быть количественной и качественной и выражаться:
- числовым значением (например, 0.84)
- формулировкой «соответствует»
Важно отметить, что одной из ключевых целей аудита является не только констатация факта несоответствия, но и предложение путей улучшения.
Рекомендации могут касаться различных аспектов деятельности проверяемого объекта: повышение эффективности процессов, улучшение управления рисками, устранение выявленных недостатков и пр.
Результаты ИБ аудита для клиента
После прохождения ИБ аудита вы можете быть уверены, что:
- Ваша организация выполняет требованиями регулятора
- Бизнес-процессы с точки зрения ИБ ясны и понятны
- Знаете слабые места системы безопасности
- Имеете на руках план устранения брешей в защите и снижения рисков
- Готовы к кибератаке
- Можете развивать инфраструктуру компании в соответствии с потребностями бизнеса, при этом обеспечивая необходимый уровень ИБ