Экспертиза и аудит информационной безопасности

Экспертиза и проверка информационной безопасности осуществляются для выявления уязвимостей и слабостей в системе компьютерной безопасности организации, а также для оценки ее эффективности. Понятие аудита в контексте систем информационной защиты рассматривается несколько по-иному, включая такие термины, как оценка соответствия, аттестация или сертификация. В любом случае, аудит информационной безопасности представляет собой анализ уровня защиты информации компании и проводится с целью:

оценки соответствия системы требованиям нормативных актов;
проверки обоснованности и законности принимаемых решений в сфере безопасности;
оценки эффективности и корректности работы системы, которая может инициироваться самой организацией для повышения уровня информационной безопасности.

Если компании необходимо продемонстрировать соответствие систем безопасности установленным нормам, проведение аудита становится обязательным мероприятием. При выявлении нарушений организация может столкнуться с приостановлением деятельности, штрафами или другими санкциями в соответствии с законодательством.

Проведение экспертизы и аудита информационной безопасности становится особенно важным для компаний, работающих с конфиденциальными данными пользователей или клиентов. Защита такой информации от несанкционированного доступа является обязанностью организации, а не просто мерой предосторожности.

Основные направления проведения экспертизы и аудита информационной безопасности

Экспертиза и проверка информационной безопасности представляют собой детальный анализ всех информационных систем клиента, включая средства обмена информацией с контрагентами. При анализе информационных ресурсов выделяются следующие компоненты:

организация специальных мер по обеспечению безопасности информационных ресурсов;
программно-аппаратные средства защиты информационных систем;
физическая защита информационной инфраструктуры.

При оценке системы защиты данных эксперт изучает следующие аспекты:

алгоритмы бизнес-процессов, включая обработку защищенных данных, обмен данных между структурными подразделениями и передачу данных контрагентам;
документы, регулирующие данную область — должностные инструкции, положения, приказы и т. д.

При проведении экспертизы программно-аппаратных средств защиты информационных систем особое внимание уделяется следующим аспектам:

особенности конфигурационной настройки систем защиты информации;
техническая документация, сопровождающая системы и средства защиты информации;
выявление возможных уязвимостей системы с помощью специальных технических средств.

Физическая безопасность информационной инфраструктуры подразумевает ограничение доступа посторонних лиц в помещения, где находятся специальные оборудования, а также в пространства, где обрабатываются конфиденциальные данные.

Основные задачи в сфере экспертизы и аудита информационной безопасности

В ходе проведения экспертных мероприятий специалисты в области экспертизы и аудита информационной безопасности сталкиваются с разнообразными задачами, касающимися компьютерных систем, предназначенных для защиты предприятий от незаконных действий со стороны преступников и конкурентов. Основные вопросы, на которые обращают внимание эксперты, определяются существующими недостатками системы, потенциальными пробелами в защите и целями организации, инициирующей исследование. Наиболее распространенные задачи, решаемые в процессе экспертизы, включают:

анализ событий, фактов и обстоятельств, угрожающих информационной безопасности предприятия. Этот комплекс мероприятий также известен как аудит внешних информационных угроз;
проверка соответствия действующих на момент исследования нормативных документов целям и требованиям функционирующей системы;
выявление потенциально уязвимых узлов и подсистем в текущей системе информационной безопасности;
оценка общего уровня доступа сотрудников организации и прогнозирование сохранения целостности информационной защиты предприятия.

Порядок проведения экспертизы и аудита информационной безопасности

Существует четкая последовательность мероприятий для реализации экспертизы и аудита информационной безопасности. На первой стадии, называемой инициированием процесса аудита, назначается проверка — либо по инициативе организации, либо в обязательном порядке. В этот момент заключается соответствующий договор. На втором этапе происходит сбор информации. Для этого организация предоставляет необходимые документы и данные по запросу эксперта, который также получает доступ к информационным системам и исследует их с помощью специальных инструментов. Затем осуществляется тщательный анализ собранных данных. Эксперт изучает информацию и формирует профессиональные выводы о состоянии информационной безопасности организации. На четвертой стадии, основываясь на результатах анализа, эксперт разрабатывает рекомендации по устранению недостатков, исправлению уязвимостей, подготовке документации и принятию других мер. На финальном пятом этапе эксперт готовит заключение или отчет о проведенной экспертизе или аудите. Этот документ является важным итогом деятельности и содержит описание работы, выводы, рекомендации и ответы на поставленные вопросы.

Нормативно-правовая база проведения экспертизы и аудита информационной безопасности

Требования к организации информационной безопасности и мероприятиям по защите информации закреплены в ГОСТ Р ИСО/МЭК 27001-2006. Этот стандарт представляет собой свод лучших практик в области управления информационной защитой на крупных предприятиях. Российский стандарт соответствует международному стандарту ISO/IEC 27001:2005. Малые компании, включая банки и другие финансовые учреждения, иногда не могут полностью соответствовать требованиям, установленным в этом стандарте.18:03

Вопросы эксперту

Какова общая политика организации в сфере информационной безопасности?
Обнаружены ли во время экспертизы (аудита) уязвимости в системах защиты информации?
Какие именно слабые места были выявлены в системе и как их можно исправить?
Как организован доступ в помещения, где располагается специализированное оборудование?
Каким образом обеспечивается физическая безопасность помещений, где обрабатываются конфиденциальные данные?
Соответствует ли система информационной безопасности на предприятии требованиям установленного стандарта?
Каковы особенности конфигурации системы защиты? Содержит ли она ошибки или уязвимости?
Какие недостатки или недочеты присутствуют в пакете распорядительных документов?
Как организованы бизнес-процессы компании? Является ли используемая технология их выполнения оптимальной с точки зрения информационной безопасности?
Имеются ли недочеты в технической документации систем и средств защиты информации?
Безопасна ли передача данных контрагентам организации?
Возможно ли восстановление информации с переданного для анализа носителя данных?
Существует ли риск нарушения конфиденциальности данных при их передаче между структурными подразделениями организации?
Соответствуют ли методы обработки защищенной и конфиденциальной информации требованиям стандарта?

Важно! Приведённый список вопросов не исчерпывающий. Перед проведением экспертизы рекомендуется проконсультироваться с экспертом в случае возникновения дополнительных вопросов.

Основание для проведения экспертизы

Экспертиза проводится на основании:

договора с юридическим или физическим лицом;
судебного определения или постановления;
постановления дознавателя или следователя;
постановления налогового инспектора;
постановления нотариуса;
постановления дознавателя таможни;
в рамках государственных закупок.

Типы экспертиз

Единоличная — проводится одним экспертом.
Комиссионная — проводится группой экспертов одной специальности. Назначается при сложных случаях и повторном исследовании.
Комплексная — проводится с привлечением экспертов разных специальностей, для установления наиболее точных причин произошедшего.

Основные требования к эксперту

Чтобы гарантировать объективность исследования, эксперт обязан сохранять независимость от сторон, вовлечённых в спор. Если в ходе судебного процесса выявится предвзятость или необъективность эксперта, его участие будет прекращено, а заключение признано недопустимым доказательством по делу, затем будет назначена новая экспертиза.

Эксперт должен обладать высшим образованием в соответствующей области или пройти дополнительную подготовку по экспертной специальности.

Консультация эксперта

На предварительной консультации эксперт уточняет главную цель экспертизы, объясняет возможные выводы и используемые методики экспертизы, а также определяет в договоре объект экспертизы.

Все экспертизы проводятся с учетом принципов всесторонности, объективности и полноты исследований. Эксперты могут выявить недостатки в заключениях, подготовленных другими организациями, и составить критическую рецензию, выделяя методические и процессуальные ошибки в ходе выполнения экспертизы.

Проведение рецензирования

Если суд принял решение на основе необъективной и сомнительной экспертизы, можно заказать рецензирование.

Наши эксперты помогут выявить методические или процессуальные ошибки, если есть сомнения в достоверности выводов, сделанных другой организацией. Результатом станет подготовленное заключение в форме рецензии.

Всякая экспертиза проводится в соответствии с критериями всесторонности исследования, с использованием современных технологий и участием квалифицированных экспертов.