Аудит информационной безопасности

Аудит информационной безопасности (комплексное обследование защищенности информационных систем (ИС)) позволяет получить наиболее полную и объективную оценку защищенности ИС, локализовать имеющиеся проблемы и разработать эффективную программу построения системы обеспечения информационной безопасности (СОБИ) организации.

Аудит безопасности ИС включает в себя анализ механизмов безопасности организационного уровня, политики безопасности организации и организационно-распорядительной документации по обеспечению режима информационной безопасности, оценку их соответствия требованиям нормативных документов и адекватности существующим рискам.

Комплексное обследование защищенности ИС включает:

• классификацию информационных ресурсов
• анализ имеющихся нормативных и организационно-распорядительных документов о порядке функционирования корпоративной ИС и защите информации;
• анализ структуры, состава, принципов функционирования ИС и существующей системы защиты информации;
• анализ угроз безопасности информации;
• оценку эффективности существующей системы защиты ИС;
• определение степени участия персонала в обработке информации, требуемых категорий объекта и классов защищенности.

Перечисленные методы исследования предполагают использование как активного, так и пассивного тестирования системы защиты, реализуемых при помощи многочисленных средств анализа защищенности, включающих: сетевые сканеры, анализаторы параметров защиты, взломщики паролей и специализированные программные агенты.

Результаты комплексного обследования позволяют:

• оценить необходимость и достаточность принятых мер обеспечения безопасности информации;
• сформировать политику безопасности;
• анализ структуры, состава, принципов функционирования ИС и существующей системы защиты информации;
• выбрать степень защищенности информационной системы;
• выработать требования к средствам и методам защиты;
• добиться максимальной отдачи от инвестиций в создание и обслуживание СОБИ,
• принять обоснованные управленческие решения по обеспечению необходимого уровня защищенности информационных активов организации.

По итогам комплексного обследования ИС оформляется отчет о текущем состоянии защищенности информационной системы, содержащий развернутые рекомендации по повышению уровня защищенности ИС как за счет организационно-технических и административных мер, так и за счет применения специальных СЗИ и использования возможностей имеющихся программных и технических средств.

---