В настоящее время на рынке информационной безопасности всё чаще говорят об аудите информационной безопасности как об универсальной услуге, которая может быть использована для повышения уровня ИБ компании. При этом, как показывает практика, разные компании по-разному представляют себе данный вид услуг. В настоящем анализе приводятся ответы на наиболее часто задаваемые вопросы (FAQ, FrequentlyAskedQuestions), связанные с аудитом информационной безопасности.
В настоящее время на рынке информационной безопасности всё чаще говорят об аудите информационной безопасности как об универсальной услуге, которая может быть использована для повышения уровня ИБ компании. При этом, как показывает практика, разные компании по-разному представляют себе данный вид услуг. В настоящем анализе приводятся ответы на наиболее часто задаваемые вопросы (FAQ, FrequentlyAskedQuestions), связанные с аудитом информационной безопасности.
Несмотря на то, что в настоящее время ещё не сформировалось устоявшегося определения аудита безопасности, в общем случае его можно представить в виде документированного процесса сбора и анализа информации с целью получения объективной оценки уровня защищённости компании от возможных угроз безопасности.
Аудит может быть внешним или внутренним. Внешний аудит проводится независимой компанией, которая предоставляет консалтинговые услуги в области информационной безопасности. Внутренний аудит осуществляется силами службы внутреннего контроля компании, отделом информационной безопасности или ИТ.
Существует множество случаев, в которых целесообразно проводить аудит безопасности. В качестве примера можно привести следующие задачи, которые могут быть решены при его помощи.
Во-первых, когда нужна оценка уровня эффективности существующих в компании средств защиты информации.
Во-вторых, когда стоит задача приведения действующей системы безопасности в соответствие требованиям российского или международного законодательства.
В-третьих, нужна систематизация и упорядочивание существующих мер защиты информации. А затем, в-четвертых, возможно, при подготовке технического задания на проектирование и разработку системы защиты информации.
В-пятых (а, возможно, и во-первых), для обоснования инвестиций на развитие системы обеспечения информационной безопасности компании.
И, наконец, при расследовании инцидентов, связанных с нарушением информационной безопасности.
Как правило, инициатором процедуры аудита являются руководство предприятия, отдел автоматизации или информационной безопасности, а также служба внутреннего контроля. В ряде случаев аудит также может проводиться по требованию страховых компаний или регулирующих органов.
В общем случае аудит безопасности, вне зависимости от формы его проведения, состоит из четырёх основных этапов, каждый из которых предусматривает выполнение определённого круга задач.
Задавайте вопросы нашему консультанту, он ждет вас внизу экрана и всегда онлайн специально для Вас. Не стесняемся, мы работаем совершенно бесплатно!!!
Также оказываем консультации по телефону: 8 (800) 600-76-83, звонок по России бесплатный!
Первоначально с компанией-заказчиком заключается соглашение о неразглашении, в рамках которого исполнитель берёт на себя обязательства по сохранению в тайне всей конфиденциальной информации, которая будет получена им в процессе выполнения работ.
После подписания соглашения о неразглашении совместно с заказчиком разрабатывается регламент (техническое задание), устанавливающий состав и порядок проведения работ. Основная задача регламента заключается в определении границ, в рамках которых будет проведено обследование. Регламент является тем документом, который позволяет избежать взаимных претензий по завершению аудита, поскольку чётко определяет обязанности сторон.
На третьем этапе, в соответствии с согласованным регламентом, осуществляется сбор исходной информации. Методы сбора информации включают интервьюирование сотрудников заказчика, заполнение опросных листов, анализ предоставленной организационно-распорядительной и технической документации, использование специализированных инструментальных средств.
Четвертый этап работ предполагает проведение анализа собранной информации с целью оценки текущего уровня защищённости АС заказчика. По результатам проведённого анализа на четвёртом этапе проводится разработка рекомендаций по повышению уровня защищённости АС от угроз информационной безопасности.
Статью подготовила специалист по международным стандартам финансовой отчетности Меликова Мария Марковна. 
