15.3.1. Понятие аудита безопасности

Понятие аудит информационной безопасности компании появилось сравнительно недавно. Примерно с 1995 года в ряде высокотехнологичных стран мира, главным образом в США, Великобритании, Германии и Канаде, проводятся ежегодные слушания и совещания специально созданных комитетов и комиссий по вопросам аудита информационной безопасности корпоративных систем. Подготовлено более десятка различных стандартов и спецификаций, посвященных аудиту информационной безопасности, среди которых наибольшую известность приобрели международные стандарты ISO 17799 (BS 7799), BSI и COBIT.

В настоящее время аудит информационной безопасности корпоративных систем Интернет/Интранет представляет собой одно из наиболее актуальных и динамично развивающихся направлений стратегического и оперативного менеджмента в области безопасности корпоративных систем Интернет/Интранет.

Основная задача аудита безопасности – объективно оценить текущее состояние информационной безопасности компании, а также ее адекватность поставленным целям и задачам бизнеса с целью увеличения эффективности и рентабельности экономической деятельности компании.

Аудит информационной безопасности корпоративной системы Интернет/Интранет – это системный процесс получения объективных качественных и количественных оценок о текущем состоянии информационной безопасности компании в соответствии с определенными критериями и показателями безопасности.

В настоящее время возрос объем конфиденциальных данных, обрабатываемых в корпоративной информационной системе Интернет/Интранет. В связи с этим актуальность аудита информационной безопасности резко также возрастает. Можно выделить две основные причины роста уязвимости корпоративных систем Интернет/Интранет.

Во-первых, повысилась уязвимость собственно корпоративных информационных систем за счет обоснованного усложнения аппаратно-программных элементов этих систем, увеличения структурной и функциональной сложности системного и прикладного программного обеспечения, применения новых технологий обработки, передачи и хранения данных.

Во-вторых, расширился спектр угроз корпоративным информационным системам из-за передачи информации по открытым каналам сетей общего назначения, «информационных войн и электронных диверсий» конкурирующих организаций, активного промышленного шпионажа с привлечением профессионалов в области IT-security и пр.

Есть два варианта построения системы информационной безопасности:

• полная замена системы корпоративной защиты информации, требующая больших капиталовложений;

• модернизация существующих систем безопасности. Этот вариант является наименее затратным, но несет проблемы совместимости старых, оставляемых из имеющихся аппаратно-программных средств безопасности, и новых элементов системы защиты информации; обеспечения централизованного управления разнородными средствами обеспечения безопасности.

Существенной причиной необходимости проведения аудита безопасности является то, что при модернизации и внедрении новых технологий защиты информации их потенциал полностью не реализуется. Аудит позволяет:

• оценить текущую безопасность функционирования корпоративной информационной системы;

• оценить и прогнозировать риски;

• управлять влиянием рисков на бизнес-процессы компании;

• обоснованно подойти к вопросу обеспечения безопасности ее информационных активов (стратегических планов развития, маркетинговых программ, финансовых и бухгалтерских ведомостей, содержимого корпоративных баз данных).

Важно то, что аудит информационной безопасности ориентирован как на специалистов в области безопасности корпоративных систем Интернет/Интранет, так и на специалистов в области менеджмента. Такой подход устраняет существующее недопонимание специалистов в области информационной безопасности ТОП - менеджерами компании. В данном случае они объединяются в единую команду, ориентированную на повышение экономической эффективности и рентабельности бизнес-деятельности компании.

В настоящее время многие поставщики средств защиты информации декларируют поставку полного, законченного решения в области безопасности корпоративных систем Интернет/Интранет. Однако, в лучшем случае все сводится к проектированию и поставке соответствующего оборудования и программного обеспечения. При этом фактически не создается корпоративная система безопасности. Для построения такой системы необходимо ответить на следующие вопросы:

• соответствует ли корпоративная система информационной безопасности целям и задачам бизнеса компаний;

• как контролировать реализацию и выполнение политики безопасности в компании;

• когда необходимо провести модернизацию системы безопасности; как обосновать необходимость модернизации и затрат;

• как быстро окупятся инвестиции в корпоративную систему безопасности;

• насколько правильно и корректно сконфигурированы и настроены штатные средства обеспечения информационной безопасности компании;

• как убедиться в том, что существующие в компании средства защиты – межсетевые экраны (firewalls), системы обнаружения вторжений (IDS), антивирусные шлюзы, VPN-шлюзы – эффективно справляются со своими задачами;

• как решаются вопросы обеспечения конфиденциальности, доступности и целостности;

• есть ли необходимость постоянно обучать сотрудников службы информационной безопасности компании, какие бюджетные средства для этого нужны;

• как управлять информационными рисками компании, какие инструментальные средства для этого необходимо задействовать;

• удовлетворяет ли организация информационной безопасности компании требованиям международных стандартов оценки и управления безопасностью, например ISO 15408, ISO 17799 (BS 7799).

Только объективный и независимый аудит безопасности корпоративной системы Интернет/Интранет позволит получить ответы на поставленные вопросы. Такой аудит, который позволит комплексно проверить все основные уровни обеспечения информационной безопасности компании: нормативно-правовой, организационный, технологический и аппаратно-программный.