Задачи аудита

Основные задачи, которые решаются в ходе аудита:

• Проведение информационного аудита существующей КИС (как объекта защиты), анализ ее структуры, функций и особенностей, используемых технологий автоматизированной обработки и передачи информации, анализ выполняемых бизнес-процессов, анализ нормативной и технической документации;

• Выявление значимых угроз, основных путей их реализации; выявление и ранжирование по степени опасности существующих уязвимостей технологического и организационного плана в информационной системе;

• Составление неформальной модели нарушителя и практическая проверка возможности реализации нарушителем выявленных внутренних угроз на объекте на основе обнаруженных уязвимостей путем проведения внутреннего теста на проникновение;

• Проведение тестов на проникновение по внешнему периметру IP-адресов; тестирование возможности проникновения в корпоративную сеть путем почтовой атаки рабочих станций пользователей специализированной реверсивной троянской программой;

• Анализ и оценка рисков, связанных с угрозами безопасности информационных ресурсов;

• Оценка системы управления информационной безопасностью на соответствие требованиям международного стандарта ISO 17799 и разработка рекомендаций;

• Анализ и оценка рисков, связанных с невыполнением требований стандарта ISO 17799;

• Разработка предложений и рекомендаций по внедрению новых и повышению эффективности существующих механизмов обеспечения информационной безопасности

Одной из важнейших задач аудита является оценка существующих бизнес процессов и определение ущерба (стоимости) по всем видам ценной информации, обрабатываемой в системе. Другая проблема, которую помогает решить аудит, состоит в том, что специалисты крупных компаний не имеют возможностей, времени и, зачастую, достаточных навыков для самостоятельного проведения всего сложнейшего комплекса технологических и организационных проверок информационной системы. И не будем забывать, что именно сторонний аудит позволяет владельцу компании непредвзято взглянуть на существующее состояние дел в компании области ИБ и получить наглядное представление о существующих проблемах с безопасностью и возможных финансовых потерях. Следующей важнейшей задачей, для выполнения которой необходимо проводить аудит, является анализ информационных рисков и определение эффективности затрат на обеспечение ИБ. Без понимания стоимости информации, объема затрат на ИБ, существующего уровня информационных рисков – невозможно эффективно управлять безопасностью информационной системы. Также, не будем забывать, что большинством стандартов рекомендует проведение регулярного (ежегодного) стороннего аудита ИБ – это также необходимо для определения и проведения должной корректировки уровня оперативной готовности служб обеспечения ИБ