Аудит інформаційної безпеки

Аудит інформаційної безпеки є основним інструментом моніторингу стану безпеки інформаційних систем компанії. Послугу можна виконувати як у поєднанні із загальним ІТ-аудитом, так і як самостійний проект.

Аудит безпеки проводиться для вирішення проблем:

• Підвищення рівня захисту інформаційної системи до прийнятного рівня;
• Оптимізація та планування витрат на забезпечення інформаційної безпеки та отримання максимального результату від вкладених коштів;
• Підтвердження того, що використовувані засоби внутрішнього контролю відповідають цілям організації та що вони можуть забезпечити ефективність та безперервність бізнесу;
• Після інцидентів інформаційної безпеки (найгірший випадок).

Аудит інформаційної безпеки – це послуга, яку можна і потрібно замовляти періодично. Проведення такого аудиту, наприклад, раз на рік, дозволяє переконатися, що рівень системи інформаційної безпеки залишається на колишньому рівні.

Аудит інформаційної безпеки дозволяє отримати найбільш повну та об`єктивну оцінку безпеки інформаційної системи, локалізувати наявні проблеми. Розробити рекомендації щодо покращення системи інформаційної безпеки організації.

Аудит інформаційної безпеки може проводитися як персоналом (внутрішній аудит), так і залученням незалежних спеціалістів (зовнішній аудит). Переваги зовнішнього аудиту інформаційної безпеки від Qwerty Networks для клієнтів:

• Аудит – це незалежне дослідження, яке дозволяє досягти об’єктивних результатів.
• Наші фахівці, які проводять аудит, більш кваліфіковані та досвідченіші в такій роботі, ніж звичайні працівники організації.
• Довірити аудиторську роботу спеціалізованій організації дешевше, оскільки самостійно організувати їх якісне виконання набагато дорожче.

Типи аудиту інформаційної безпеки:

Комплексний аудит безпеки систем - тестування безпеки інформаційних систем, що включає інвентаризацію ресурсів, ручний та автоматизований пошук уразливостей на всіх рівнях (мережа, ОС, СУБД, додаток), спроби використання вразливостей, перевірку можливості реалізації різноманітних кібератак тощо… Метою такого тестування є виявлення та документування максимальної кількості використаних уразливостей для їх подальшого усунення.

Аудит управління системою інформаційної безпеки - аудит процесів управління інформаційною безпекою на відповідність вимогам міжнародного стандарту ISO 27001:2005 або російського ГОСТ Р 27001:2006.

Також ми проводимо аудит на відповідність вимогам російського законодавства (Федеральні закони N 152-ФЗ «Про персональні дані», N 161-ФЗ «Про національну платіжну систему» та ін.)

Тестування на проникнення це тест, в якому експерту поставлено завдання отримати доступ до певних даних і він практично необмежений у виборі хакерських інструментів для досягнення цієї мети. Результатом аудиту є звіт з описом успішного сценарію проникнення з описом використаних уразливостей. У рамках тестування можуть бути використані методи соціальної інженерії, за допомогою яких оцінюється здатність співробітників компанії протистояти оманливим і маніпулятивним прийомам, спрямованим на отримання конфіденційної інформації.

Аудит безпеки програмного коду - аналіз вихідних кодів програмного забезпечення з метою виявлення вразливостей, пов`язаних з помилками кодування, навмисним вставленням програмних закладок, наявністю недокументованих функцій тощо.

Аудит веб-безпеки - пошук та усунення вразливостей у коді веб-сайтів, а також запровадження превентивних заходів захисту від хакерських атак.

Тестування безпеки мережі проводиться для всіх видів аудиту інформаційної безпеки.

Суть тестування безпеки мережі полягає в тому, що за допомогою спеціального програмного забезпечення та методів (у тому числі систем аналізу безпеки) збирається інформація про стан системи безпеки мережі. Стан системи захисту мережі відноситься тільки до тих параметрів і налаштувань, використання яких допомагає хакеру проникнути в мережу і завдати шкоди компанії.

При виконанні такого типу аудиту в системі захисту інформації моделюється якомога більше мережевих атак, які може здійснити хакер. При цьому аудитор штучно поміщений саме в ті умови, в яких працює хакер – йому надається мінімум інформації, тільки та, яку можна отримати з відкритих джерел. Звичайно, атаки лише імітуються і не мають деструктивного впливу на інформаційну систему. Їх різноманітність залежить від використовуваних систем аналізу безпеки та кваліфікації аудитора. Результатом тестування безпеки мережі є інформація про всі уразливості мережі, ступінь їх серйозності та способи усунення, інформація про широко доступні дані (інформація, доступна будь-якому потенційному зловмиснику) мережі клієнтів.

При тестуванні безпеки мережі завжди проводилися:

• Визначення IP-адрес клієнта, доступних із зовнішніх мереж;
• Сканування IP-адрес з метою визначення запущених служб і сервісів, визначення призначення сканованих хостів;
• Визначення версій сервісів і сервісів перевірених хостів;
• Вивчення маршрутів руху до хостів замовника;
• Збір інформації про IP замовника з відкритих джерел;
• Аналіз отриманих даних з метою виявлення вразливостей.

По закінченню тестування безпеки мережі видаються рекомендації щодо модернізації системи захисту інформації. Це може усунути небезпечні вразливості і тим самим підвищити рівень захисту інформаційної системи від дій «зовнішнього» зловмисника з мінімальними витратами на інформаційну безпеку.

Послуга надається в рамках напряму «Інформаційна безпека».

Варіанти співпраці