Аудит информационной безопасности

Аудит информационной безопасности — это обследование, которое направлено на проверку и оценку состояния информационной безопасности (ИБ) компании, выявление уязвимостей и несоответствий.

Аудит бывает внутренний и внешний. Внутренний аудит необходим для самоконтроля, компания проводит его силами своих сотрудников. Внешний аудит помогает получить независимую оценку процессов ИБ и защищенности инфраструктуры от сторонней организации, у которой есть все необходимые сертификаты и лицензии.

Как подготовиться к аудиту

Перед проведением внутреннего аудита сотрудники отдела ИБ готовят внутренний документ, где они по шагам прописывают процесс проверки: перечень систем и процессов, вид итоговых отчетов и т.д. Перед внешним аудитом организация-аудитор подписывает с компанией NDA и договор. В договоре фиксируют обязанности сторон, требования к проверке, границы проверки и т.д. После этого аудиторы предварительно изучают процессы ИБ и состав ИТ-инфраструктуры компании.  

Что проверяют в ходе аудита

В процессе аудита специалисты проверяют: операционные системы, серверы, средства связи, процессы обработки данных, права доступа и т.д. Аудит позволяет найти слабые места в ИБ и ИТ-инфраструктуре, чтобы в будущем компания могла надежно защитить конфиденциальную информацию и избежать финансовых и репутационных потерь.

Итог аудита

После проведения проверки специалисты составляют итоговый отчет с информацией о состоянии процессов информационной безопасности и дают рекомендации, что необходимо исправить. Выполнять их компания может своими силами или с помощью передачи задач на аутсорс сторонней организации.

Специалисты ITGLOBAL.COM Security рекомендуют проводить внутренний аудит 4 раза в год, а внешний не реже 1-2 раз в год. Но все зависит от задач бизнеса и влияния информационной безопасности на деятельность компании.