Экспертный или практический аудит информационных систем

Цель аудита ИС

Чтобы организация могла быть уверена в том, что её критичные информационные системы не находятся под угрозой, необходимо проводить регулярный аудит безопасности информационных систем.

Данная услуга будет интересна организациям, планирующим в скором времени совершенствование своей системы защиты, а также организациям, желающим выявить структурные недостатки ИС в разрезе информационной безопасности.

Этапы проведения аудита информационных систем

Аудит ИС состоит их нескольких последовательных неотъемлемых этапов:

1. Определение области оценки
   Команда аудиторов и представители заказчика совместно определяют перечень защищаемой информации. К ним могут быть отнесены любые данные, при наличии достаточных оснований – существовании законодательных требований к защите таких данных (персональные данные, информация о клиентских платежах), их ценности для бизнеса (коммерческая тайна), репутационных и финансовых рисков в случае их утечки (внутренние документы, средства рабочей связи между сотрудниками).
2. Определение защищаемой инфраструктуры
   После определения перечня защищаемой информации необходимо выделить аппаратные и программные средства, задействованные в обработке такой информации. Определяется состав рабочих мест, серверного и сетевого оборудования, внешних интерфейсов, устройств вывода и иных объектов, влияющих на поверхность возможной атаки.
   
3. Исследование реализованных процессов защиты
   Относительно выделенной инфраструктуры исследуются применяемые меры защиты информации (функционирующие средства защиты, регулярные мероприятия и т.п.). Оценивается их состав, полнота, эффективность, область покрытия. Исходя из актуальных рисков, выявленных на первом и втором этапе, формируются выводы о достаточности реализованных мер защиты.
4. Формирование отчётных документов
   Ход работ, результаты исследования, а также рекомендуемые меры по совершенствованию отражаются в отчёте по итогам аудита информационных систем.
   

Какие виды аудита ИС можно выделить?

Анализ состояния информационных систем затрагивает их аппаратные и программные средства, каналы связи с другими системами, интерфейсы, обрабатываемые чувствительные данные.

Аудит включает в себя комплексное исследование всех элементов информационной системы.

Критерии и содержание аудита во многом зависят от задач, которые ставит перед собой клиент.

Оценка соответствия нормативным требованиям

Если компания хочет удостовериться, соответствует ли её инфраструктура всем применимым требованиям законодательства или положениям отдельных отраслевых стандартов, то аудит будет иметь довольно чёткую структуру.

Область применения оценки соответствия устанавливается нормативным актом, также на основании него выделяются критерии оценки, вырабатывается методика проведения аудита.

Такие проекты ставят своей целью оценку юридических рисков в случае проверки регулятора, поэтому их влияние на состояние практической безопасности весьма ограничено.

Экспертное исследование

В ходе данного аудита в качестве нормативной базы не применяются отечественные или зарубежные нормативные акты.

Исследуется вся критичная информационная инфраструктура заказчика, оценивается её общая стойкость к различным популярным сценариям атак.

Стоит отметить отличие тестирования на проникновение от подобного аудита.

• Первое не имеет цели выявить глубокие проблемы системы защиты, не исследует подробно процессы информационной безопасности.
• Второе же направлено на широкое изучение элементов информационных систем и связанных с ней объектов, процессов.

Данные такого аудита могут помочь при формировании долгосрочной стратегии развития информатизации и защиты данных.

Почему RTM Group?

• Большой опыт в составлении программ обучения и методик обучения, разработке документации по внутреннему обучению персонала в направлении ИБ;
• Широкая номенклатура смежных услуг позволит развивать работы по совершенствованию системы безопасности при наличии такой потребности;
• Высокое качество услуг, консультационная поддержка по завершении проекта.
• Мы обладаем лицензиями:
  • Лицензия ФСТЭК России на деятельность по технической защите конфиденциальной информации
  • Лицензия ФСТЭК России на деятельность по разработке и производству средств защиты конфиденциальной информации
  • Лицензия ФСБ России на работу со средствами криптозащиты