Аудит информационной безопасности

Аудит информационной безопасности - основной инструмент мониторинга состояния защищенности информационных систем компании. Услуга может быть выполнена как совместно с общим ИТ-аудитом, так и как самостоятельный проект.

Аудит безопасности проводится для решения задач:

• Повышение уровня защиты информационной системы до приемлемого уровня;
• Оптимизация и планирование затрат на обеспечение информационной безопасности и получение максимального результата от вложенных средств;
• Подтверждение того, что используемые средства внутреннего контроля соответствуют целям организации и могут обеспечить эффективность и непрерывность бизнеса;
• После инцидентов информационной безопасности (худший случай).

Аудит информационной безопасности - услуга, которую можно и нужно периодически заказывать. Проведение такого аудита, например, один раз в год позволяет убедиться, что уровень системы защиты информации остается на прежнем уровне.

Аудит информационной безопасности позволяет получить наиболее полную и объективную оценку защищенности информационной системы, локализовать существующие проблемы. Разработать рекомендации по изменению системы информационной безопасности организации в лучшую сторону.

Аудит информационной безопасности может проводиться как персоналом (внутренний аудит), так и с привлечением независимых специалистов (внешний аудит). Преимущества внешнего аудита информационной безопасности от Qwerty Networks для клиентов:

• Аудит - это независимое исследование, позволяющее добиться объективных результатов.
• Наши специалисты, проводящие аудит, более квалифицированы и опытны в такой работе, чем штатные сотрудники организации.
• Доверить аудиторскую работу специализированной организации дешевле, ведь организовать их качественное выполнение своими силами намного дороже.

Виды аудита информационной безопасности:

Комплексный аудит безопасности систем - тестирование безопасности информационных систем, которое включает инвентаризацию ресурсов, ручной и автоматический поиск уязвимостей на всех уровнях (сеть, ОС, СУБД, приложение), попытки эксплуатации уязвимостей, проверка возможности реализации различных кибератак и т. д. Целью такого тестирования является выявление и документирование максимального количества эксплуатируемых уязвимостей для их последующего устранения.

Аудит менеджмента системы информационной безопасности - аудит процессов менеджмента информационной безопасности на соответствие требованиям международного стандарта ISO 27001: 2005 или российского ГОСТ Р 27001: 2006.

Также мы проводим проверки на соответствие требованиям российского законодательства (Федеральные законы N 152-ФЗ «О персональных данных», N 161-ФЗ «О национальной платежной системе» и др.)

Тестирование на проникновение это тест, в котором перед экспертом ставится задача получить доступ к определенным данным, и он практически неограничен в выборе хакерских инструментов для достижения этой цели. Результатом аудита является отчет, описывающий успешный сценарий проникновения с описанием использованных уязвимостей. В рамках тестирования могут использоваться методы социальной инженерии, с помощью которых оценивается способность сотрудников компании противостоять обманным и манипулятивным приемам, направленным на получение конфиденциальной информации.

Аудит безопасности программного кода - анализ исходных кодов программного обеспечения с целью выявления уязвимостей, связанных с ошибками кодирования, преднамеренной вставкой программных закладок, наличием недокументированных функций и т. д.

Аудит веб-безопасности - поиск и устранение уязвимостей в коде сайтов, а также внедрение превентивных мер защиты от хакерских атак.

Тестирование сетевой безопасности проводится для всех видов аудитов информационной безопасности.

Суть тестирования сетевой безопасности заключается в том, что с помощью специального программного обеспечения и методов (в том числе систем анализа безопасности) собирается информация о состоянии системы сетевой безопасности. Состояние системы защиты сети относится только к тем параметрам и настройкам, использование которых помогает хакеру проникнуть в сеть и нанести ущерб компании.

При проведении этого типа аудита системы защиты информации моделируется как можно больше сетевых атак, которые может выполнить хакер. При этом аудитор искусственно ставится именно в те условия, в которых работает хакер - ему предоставляется минимум информации, только та, которую можно получить из открытых источников. Конечно, атаки только моделируются и не оказывают деструктивного воздействия на информационную систему. Их разнообразие зависит от используемых систем анализа безопасности и квалификации аудитора. Результатом тестирования сетевой безопасности является информация обо всех сетевых уязвимостях, степени их серьезности и методах устранения, информация о широкодоступных данных (информация, доступная любому потенциальному злоумышленнику) сети клиентов.

При тестировании сетевой безопасности всегда проводится:

• Определение IP-адресов заказчика, доступных из внешних сетей;
• Сканирование IP-адресов с целью определения запущенных сервисов и сервисов, определение назначения сканируемых хостов;
• Определение версий сервисов и сервисов проверяемых хостов;
• Изучение маршрутов трафика на хосты заказчика;
• Сбор информации об ИС заказчика из открытых источников;
• Анализ полученных данных с целью выявления уязвимостей.

По окончании тестирования сетевой безопасности выдаются рекомендации по модернизации системы защиты информации. Это позволяет устранить опасные уязвимости и тем самым повысить уровень защиты информационной системы от действий «внешнего» злоумышленника с минимальными затратами на информационную безопасность.

Услуга предоставляется в рамках направления Информационная безопасность.

Варианты сотрудничества