Аудит информационной безопасности

Цели аудита информационной безопасности

Целью аудита является подтверждение соответствия деятельности организации какому-либо стандарту. По итогу аудита выдается документ, например сертификат соответствия.

В технических аудитах информационной безопасности главной целью может являться конкретное мероприятие. Например, заказчик может позиционировать в качестве конечной цели изменения (преобразование, улучшение и т.п.) в информационной системе.
Главная цель аудита — получение реальной и независимой оценки системы информационной безопасности организации.

Задачи аудита ИБ

Подтверждение соответствия требованиям стандартов;

• Установление уязвимостей инфраструктуры информационных технологий;
• Установление уязвимостей в процессах защиты информации;
• Получение рекомендаций по повышению качества или развития уровня информационной безопасности.

Стандарты и виды

Аудиты информационной безопасности разделяются на аудиты по стандартам (compliance) и экспертные аудиты.

Аудиты, предполагающие работу по стандарту или набору стандартов (ISO, NIST, ГОСТ и пр.), проводятся полностью основываясь на стандартах информационной безопасности, следуя всем требованиям и регламентам. В этом случае технология аудита заранее известна, значительная часть стандартов уже предусматривает методики аудитов.

Экспертные аудиты разрабатываются под определенную задачу организации. Может быть выполнен аудит внутренней инфраструктуры, включающий тестирование на проникновение. Такой аудит направлен на обнаружение недостатка в системе защиты информации.

Этапы аудита информационной безопасности

• Начальный этап аудита (подготовка и согласование договора);
• Получение информации (проведение интервью, сбор технических свидетельств, получение организационно-распорядительной документации по информационной безопасности и др.);
• Анализ информации (этап, где собранная информация обрабатывается аудитором);
• Подготовка отчета по итогам аудита.

Иногда, могут появиться дополнительные этапы, например:

• Предварительное согласование отчета;
• Процесс разработки документов (разработка Положения или Инструкции в направлении информационной безопасности);
• Презентация;
• Другое.