28.09.2023

Особенности профессионального аудита ИБ

Сегодня достаточно многие компании, являющиеся представителями самых различных сфер и направлений бизнеса, сталкиваются с необходимостью аудита их информационной безопасности. Поскольку каналов утечки коммерчески важной информации может быть не мало, в то время как ИТ-инфраструктуры многих организаций сегодня достаточно многогранны и содержат много потенциальных узлов, откуда может информация утечь. Особенно это касается крупных компаний с достаточно разветвленной ИТ-средой, у которых есть множество филиалов и подразделений.

Кроме того, в связи с переходом многих сотрудников организаций на удаленную работу также возрастает спрос на услуги компаний, профессионально занимающихся внешним аудитом ИБ в организациях. Сам же по себе, внешний аудит – это систематический процесс, в ходе которого независимые эксперты, в данном случае аудиторы, устанавливают степень выполнения организацией установленных критериев. В общем же случае, аудит иб позволяет успешно разрешать самые сложные проблемы и в обязательном порядке сам процесс документируется.

Производит же его специальное лицо – аудитор или целая назначенная для этого аудиторская группа. В первом случае аудитор представляет собой лицо, которое имеет достаточные знания в области информационной безопасности, а также обладает компетентностью, то есть является проверенным и признанным экспертом в своей сфере деятельности. В то время как в типовую аудиторскую группу могут входить не только аудиторы, но еще и технические эксперты.

С точки зрения своих типов аудит в зависимости от соответствия тем или иным требованиям под ответственных систем производится ежегодно или же один раз в два года. При этом, стоит отметить, он является довольно трудоемким процессом, поэтому организации следует назначить ответственного человека, который заранее распределит обязанности между всеми ее сотрудниками. Как правило, таковыми являются сотрудники отдела информационной безопасности, но иногда им также может потребоваться помощь IT-отдела.

Целью же проведения аудита является получение комплексной, объективной и на 100% независимой оценки состояния информационной безопасности организации заказчика. И экспертам в данной области следует детально и кропотливо изучить все IT и бизнес-процессы, всю внутреннюю организационно-распорядительную документацию в сфере защиты информации, а также модель угроз, информационные системы, входящие в область оценки, а также применяемые средства защиты информации и средства криптографической защиты информации, если таковые имеются.

Кроме того, им необходимо полностью проверить все электронные свидетельства, которые могут быть предоставлены проверяемой компанией, и произвести интервью сотрудников компании заказчика услуги.