Аудит информационной безопасности

Экспертиза состояния информационной безопасностиАудит (зкспертиза) информационной безопасности (ИБ) проводится для выявления текущего состояния информационной безопасности организации и дальнейшего повышения её уровня.

Основными задачами, решаемыми в рамках аудита ИБ, являются:

  • проведение обследования существующей информационной системы заказчика, анализ ее структуры и выполняемых в ней функций;
  • выявление имеющихся угроз и уязвимостей, выдача рекомендаций по их устранению;
  • оценка соответствия информационной системы существующим стандартам в области ИБ и требованиям отраслевых руководящих документов по информационной безопасности (инструкций ЦБ РУз, PCI DSS);
  • выдача рекомендаций по внедрению новых и повышению эффективности существующих механизмов обеспечения ИБ в организации.

Работы по проведению аудита ИБ, как правило, состоят из следующих этапов:
1. Сбор информации о предприятии и проведение интервью с ключевыми специалистами.
2. Анализ существующей в организации нормативной базы по обеспечению информационной безопасности и практика её применения ‑ так называемый настольный аудит.
3. Проведение технической экспертизы информационных систем ‑ выявление уязвимостей.
4. Разработка проекта итогового отчета по итогам экспертизы и согласование его с заказчиком.
5. Презентация итогового отчета по результатам экспертизы и разъяснение всех его пунктов.

Работы по обследованию информационной инфраструктуры включают определение степени соответствия уровня развития ИБ в организации требованиям международно-признаваемых стандартов серии ISO 270xx (O'z DSt ISO/IEC 27001:2016, O'z DSt ISO/IEC 27002:2016).

Отчёт, выдаваемый заказчику по итогам проведения аудита, содержит:

  • описания всех выявленных уязвимостей информационной инфраструктуры организации и рекомендации по их устранению;
  • рекомендации по повышению текущего уровня защищенности информационной инфраструктуры и по совершенствованию системы обеспечения ИБ, разработанные на основе полученных в ходе экспертизы результатов. Везде, где это возможно, рекомендации сопровождаются ссылками на конкретные пункты стандартов и нормативов.

В результате, заказчик не только сможет получить данные о степени защищенности своих систем, но и будет иметь, по сути, готовый план действий по развитию ИБ.

Для тех, кто проводит аудит впервые ‑ он поможет понять уровень проблем с ИБ и правильно двигаться к их решению. Для тех, кто проводил аудит или экспертизу ранее ‑ увидеть, как изменился уровень ИБ и вовремя скорректировать планы.

*Органам государственного и хозяйственного управления (госорганам) Узбекистана экспертизу  рекомендуется проводить не реже, чем раз в 2 года. Проведение экспертизы, в том числе, влияет на итоговую оценку состояния внедрения ИКТ в госоргане. (п. 3.1.3 приложения №3 к протоколу № 7 заседания Республиканской комиссии по координации реализации Комплексной программы развития Национальной информационно-коммуникационной системы Республики Узбекистан на 2013-2020 годы от 23 февраля 2016 года).

Чем именно отличается аудит ИБ от экспертизы ИБ можно прочитать в нашем коммертарии.

Подробнее узнать об аудите ИБ и получить коммерческое предложение можно связавшись с нами. Для этого можно запросить опросник по электронной почте или заполнить онлайн-форму.

Отдельно, хотим отметить, что аудит/экспертиза проводится для выявления уровня ИБ на предприятии.

Эта услуга не является сертификацией (подтверждением соответствия объектов требованиям технических регламентов) и не является аттестацией объектов информатизациидля проведения этого вида работ уполномоченным органом выдается отдельный документ ‑ разрешение.

В целях повышения уровня информационной безопасности в органах государственной власти и управления между ООО «IT-TEAM SERVICE» и Центром развития и внедрения компьютерных и информационных технологий UZINFOCOM был подписан меморандум о сотрудничестве.

Мы также готовы оказать услуги по разработке нормативных документов по информационной безопасности.