Как провести аудит информационной безопасности бизнеса

Что такое аудит

В широком смысле аудит — это независимая оценка деятельности организации, системы, процесса, проекта или продукта по заранее известным критериям.

Например, результатом аудита информационной безопасности может быть подтверждение соответствия компании какому-либо стандарту (PCI DSS, ISO2700X, AICPA SOC и другие). По результату такого аудита может выдаваться сертификат соответствия или другой отчетный документ, например, список уязвимостей и рекомендаций по устранению.

Цель проведения аудита

После того как мы разобрали что такое аудит, нужно определить зачем мы его проводим и какой результат хотим получить.

Наиболее распространенные цели проведения аудита и их результат:

Границы проводимых работ

На этой стадии нужно четко разграничить, что будет включено в область проводимых работ. Это нужно в первую очередь для того, чтобы заказчик и исполнитель понимали перечень объектов в работе и объем требуемых ресурсов с обеих сторон.

Здесь необходимо определить и основные этапы/сроки проекта.

В качестве области работ могут быть включены:

• Регионы, подразделения, отделы, отдельные сотрудники.

• Процессы — как автоматизированные, так и с участием сотрудников.

• Сервисы, системы, отдельные серверы/оборудование, веб или мобильные приложения, исходный код. 

Виды аудита

Теперь рассмотрим различные виды аудита.

В зависимости от проверяемого объекта, аудит можно разделить на:

1. Технический:

• Анализ защищенности (поиск уязвимостей) внешнего периметра (всех доступных из интернет-ресурсов компании), веб-приложения (сайта), мобильного приложения.

• Анализ конфигураций оборудования на предмет каких-либо стандартов (например, CIS benchmark, ГОСТ) или соответствие предъявленным требованиям.

• Расследование инцидентов и следов компрометации инфраструктуры.

• Анализ исходного кода.

• Выявление каналов утечек информации.

• Поиск аппаратных и программных закладок.

2. Оценка соответствия процессов ИБ:

• Российскому законодательству.

• Международному законодательству.

• Лучшим практикам отрасли, стандартам.

Получите бесплатно запись вебинара «Как организовать информационную безопасность в компании»

Не становитесь жертвой кибератак и не позволяйте злоумышленникам получить доступ к вашим конфиденциальным данным

Узнайте как безопасно выстроить ключевые бизнес-процессы и как настроить систему информационной безопасности

Заполните форму ниже и мы пришлем запись вебинара на ваш e-mail:

Имя^*

E-mail^*

Телефон^*

Отправить

Принимаю оферту и даю согласие по перс.данным

3. Экспертный:

• Проведение аудита по требованиям заказчика, например, эффективность используемых систем защиты.

В зависимости от договора с аудитором, аудит можно разделить на:

• Внешний. Аудитор в штате консалтинговой компании или какой-то альтернативный вариант.

• Внутренний. Аудитор в штате проверяемой компании или группы аффилированных компаний.

Как правило, компании малого и среднего бизнеса работают с внешними аудиторами, а крупный бизнес имеет специализированное подразделение аудиторов. 

Проведение аудита

Разберем основные этапы проведения аудита.

Примечание: В зависимости от принадлежности аудитора к проверяемой компании и осведомленности о внутренних процессах, работы могут проводиться с разной скоростью и разным методикам.

В общем случае, все подобные работы можно разделить на следующие этапы:

1. Подготовительный этап.

Формируется команда, которая будет проводить аудит. Решаются организационные вопросы, например, предоставление доступа.

2. Сбор информации.

На этом этапе проводится сбор информации по проекту. В процессе сбора информации могут запрашиваться технические детали о системе защиты информации, журналы систем, другие сведения конфиденциального характера, проводят интервью с сотрудниками, в том числе ответственными за информационную безопасность.

3. Анализ собранной информации.

На этом этапе анализируется собранная информация и оценивается по выбранным для проекта критериям.

• Проверка соответствия законодательству и стандартам — проводится проверка соответствия системы защиты информации законодательству и стандартам безопасности.

• Проведение технических проверок и исследований — выявление уязвимостей и возможных угроз безопасности.

4. Подготовка отчета. 

По результатам аудита составляется отчет, в котором указываются выявленные недостатки, а также рекомендации по их устранению.

Результаты

По завершении работ проведите самостоятельную оценку тех недостатков, которые выявил аудитор. Это необходимо в первую очередь потому, что любой бизнес динамичен и какие-то недостатки перестали быть актуальными (или перестанут в ближайшее время).

Вывод

Проведение аудита информационной безопасности — это важный процесс для обеспечения безопасности информационных систем и защиты конфиденциальной информации компании.

Он позволяет выявить недостатки и возможные угрозы безопасности, а также улучшить эффективность процессов защиты информации компании.

Для проведения аудита необходимо определить:

• цель и ожидаемый результат;

• вид аудита (технический, экспертный, комбинированный и т.д.) и аудитора;

• границы проведения аудит — какие подразделения, процессы, системы будут включены.

Сам по себе факт проведения аудита не является законченным результатом. После проведения необходимо оценить выявленные недостатки и запланировать работы по их устранению. В случае получения сертификата/аттестата соответствия, нужно запланировать регулярные мероприятия по выполнению условий сертификации/аттестации.

DAS group | консалтинг для бизнеса

Выстраиваем и совершенствуем бизнес-процессы, задавая вектор улучшений и снижая риски

Подробнее

Реклама: ООО «ДАС ГРУП», ИНН 5405083068, erid: LjN8KJrbR