Результаты аудита информационной безопасности. Как производится проверка информационной безопасности на предприятии? Стандарт безопасности платежных карт PCI DSS
На сегодняшний день автоматизированные системы (АС) играют ключевую роль в обеспечении эффективного выполнения бизнес-процессов как коммерческих, так и государственных предприятий. Вместе с тем повсеместное использование АС для хранения, обработки и передачи информации приводит к повышению актуальности проблем, связанных с их защитой. Подтверждением этому служит тот факт, что за последние несколько лет, как в России, так и в ведущих зарубежных странах имеет место тенденция увеличения числа информационных атак, приводящих к значительным финансовым и материальным потерям. Для того, чтобы гарантировать эффективную защиту от информационных атак злоумышленников компаниям необходимо иметь объективную оценку текущего уровня безопасности АС. Именно для этих целей и применяется аудит безопасности, различные аспекты которого рассматриваются в рамках настоящей статьи.
1. Что такое аудит безопасности?
Не смотря на то, что в настоящее время ещё не сформировалось устоявшегося определения аудита безопасности, в общем случае его можно представить в виде процесса сбора и анализа информации об АС, необходимой для последующего проведения качественной или количественной оценки уровня защиты от атак злоумышленников. Существует множество случаев, в которых целесообразно проводить аудит безопасности. Вот лишь некоторые из них:
- аудит АС с целью подготовки технического задания на проектирование и разработку системы защиты информации;
- аудит АС после внедрения системы безопасности для оценки уровня её эффективности;
- аудит, направленный на приведение действующей системы безопасности в соответствие требованиям российского или международного законодательства;
- аудит, предназначенный для систематизации и упорядочивания существующих мер защиты информации;
- аудит в целях расследования произошедшего инцидента, связанного с нарушением информационной безопасности.
Как правило, для проведения аудита привлекаются внешние компании, которые предоставляют консалтинговые услуги в области информационной безопасности. Инициатором процедуры аудита может являться руководство предприятия, служба автоматизации или служба информационной безопасности. В ряде случаев аудит также может проводиться по требованию страховых компаний или регулирующих органов. Аудит безопасности проводится группой экспертов, численность и состав которой зависит от целей и задач обследования, а также сложности объекта оценки.
2. Виды аудита безопасности
В настоящее время можно выделить следующие основные виды аудита информационной безопасности:
- экспертный аудит безопасности, в процессе которого выявляются недостатки в системе мер защиты информации на основе имеющегося опыта экспертов, участвующих в процедуре обследования;
- оценка соответствия рекомендациям Международного стандарта ISO 17799, а также требованиям руководящих документов ФСТЭК (Гостехкомиссии);
- инструментальный анализ защищённости АС, направленный на выявление и устранение уязвимостей программно-аппаратного обеспечения системы;
- комплексный аудит, включающий в себя все вышеперечисленные формы проведения обследования.
Каждый из вышеперечисленных видов аудита может проводиться по отдельности или в комплексе в зависимости от тех задач, которые необходимо решить предприятию. В качестве объекта аудита может выступать как АС компании в целом, так и её отдельные сегменты, в которых проводится обработка информации, подлежащей защите.
3. Состав работ по проведению аудита безопасности
В общем случае аудит безопасности, вне зависимости от формы его проведения, состоит из четырёх основных этапов, каждый из которых предусматривает выполнение определённого круга задач (рис. 1).
Рисунок 1: Основные этапы работ при проведении аудита безопасности
На первом этапе совместно с Заказчиком разрабатывается регламент, устанавливающий состав и порядок проведения работ. Основная задача регламента заключается в определении границ, в рамках которых будет проведено обследование. Регламент является тем документом, который позволяет избежать взаимных претензий по завершению аудита, поскольку чётко определяет обязанности сторон. Как правило, регламент содержит следующую основную информацию:
- состав рабочих групп от Исполнителя и Заказчика, участвующих в процессе проведения аудита;
- перечень информации, которая будет предоставлена Исполнителю для проведения аудита;
- список и местоположение объектов Заказчика, подлежащих аудиту;
- перечень ресурсов, которые рассматриваются в качестве объектов защиты (информационные ресурсы, программные ресурсы, физические ресурсы и т.д.);
- модель угроз информационной безопасности, на основе которой проводится аудит;
- категории пользователей, которые рассматриваются в качестве потенциальных нарушителей;
- порядок и время проведения инструментального обследования автоматизированной системы Заказчика.
На втором этапе, в соответствии с согласованным регламентом, осуществляется сбор исходной информации. Методы сбора информации включают интервьюирование сотрудников Заказчика, заполнение опросных листов, анализ предоставленной организационно-распорядительной и технической документации, использование специализированных инструментальных средств.
Третий этап работ предполагает проведение анализа собранной информации с целью оценки текущего уровня защищённости АС Заказчика. По результатам проведённого анализа на четвёртом этапе проводится разработка рекомендаций по повышению уровня защищённости АС от угроз информационной безопасности.
Ниже в более подробном варианте рассмотрены этапы аудита, связанные со сбором информации, её анализом и разработкой рекомендаций по повышению уровня защиты АС.
4. Сбор исходных данных для проведения аудита
Качество проводимого аудита безопасности во многом зависит от полноты и точности информации, которая была получена в процессе сбора исходных данных. Поэтому информация должна включать в себя: существующую организационно-распорядительную документацию, касающуюся вопросов информационной безопасности, сведения о программно-аппаратном обеспечении АС, информацию о средствах защиты, установленных в АС и т.д. Более подробный перечень исходных данных представлен в таблице 1.
Таблица 1: Перечень исходных данных, необходимых для проведения аудита безопасности
|
Как уже отмечалось выше, сбор исходных данных может осуществляться с использованием следующих методов:
- интервьюирование сотрудников Заказчика, обладающих необходимой информацией. При этом интервью, как правило, проводится как с техническими специалистами, так и с представителями руководящего звена компании. Перечень вопросов, которые планируется обсудить в процессе интервью, согласовывается заранее;
- предоставление опросных листов по определённой тематике, самостоятельно заполняемых сотрудниками Заказчика. В тех случаях, когда представленные материалы не полностью дают ответы на необходимые вопросы, проводится дополнительное интервьюирование;
- анализ существующей организационно-технической документации, используемой Заказчиком;
- использование специализированных программных средств, которые позволяют получить необходимую информацию о составе и настройках программно-аппаратного обеспечения автоматизированной системы Заказчика. Так, например, в процессе аудита могут использоваться системы анализа защищённости (Security Scanners), которые позволяют провести инвентаризацию имеющихся сетевых ресурсов и выявить имеющиеся в них уязвимости. Примерами таких систем являются Internet Scanner (компании ISS) и XSpider (компании Positive Technologies).
5. Оценка уровня безопасности АС
После сбора необходимой информации проводится её анализ с целью оценки текущего уровня защищённости системы. В процессе такого анализа определяются риски информационной безопасности, которым может быть подвержена компания. Фактически риск представляет собой интегральную оценку того, насколько эффективно существующие средства защиты способны противостоять информационным атакам.
Обычно выделяют две основные группы методов расчёта рисков безопасности. Первая группа позволяет установить уровень риска путём оценки степени соответствия определённому набору требований по обеспечению информационной безопасности. В качестве источников таких требований могут выступать (рис. 2):
- Нормативно-правовые документы предприятия, касающиеся вопросов информационной безопасности;
- Требования действующего российского законодательства – руководящие документы ФСТЭК (Гостехкомиссии), СТР-К, требования ФСБ РФ, ГОСТы и др.;
- Рекомендации международных стандартов – ISO 17799, OCTAVE, CoBIT и др.;
- Рекомендации компаний-производителей программного и аппаратного обеспечения – Microsoft, Oracle, Cisco и др.
Рисунок 2: Источники требований информационной безопасности, на основе которых может проводиться оценка рисков
Вторая группа методов оценки рисков информационной безопасности базируется на определении вероятности реализации атак, а также уровней их ущерба. В данном случае значение риска вычисляется отдельно для каждой атаки и в общем случае представляется как произведение вероятности проведения атаки на величину возможного ущерба от этой атаки. Значение ущерба определяется собственником информационного ресурса, а вероятность атаки вычисляется группой экспертов, проводящих процедуру аудита.
Методы первой и второй группы могут использовать количественные или качественные шкалы для определения величины риска информационной безопасности. В первом случае риск и все его параметры выражаются в числовых значениях. Так, например, при использовании количественных шкал вероятность проведения атаки может выражаться числом в интервале, а ущерб атаки может задаваться в виде денежного эквивалента материальных потерь, которые может понести организация в случае успешного проведения атаки. При использовании качественных шкал числовые значения заменяются на эквивалентные им понятийные уровни. Каждому понятийному уровню в этом случае будет соответствовать определённый интервал количественной шкалы оценки. Количество уровней может варьироваться в зависимости от применяемых методик оценки рисков. В таблицах 2 и 3 приведены примеры качественных шкал оценки рисков информационной безопасности, в которых для оценки уровней ущерба и вероятности атаки используется пять понятийных уровней.
Таблица 2: Качественная шкала оценки уровня ущерба
|
Таблица 3: Качественная шкала оценки вероятности проведения атаки
|
При использовании качественных шкал для вычисления уровня риска применяются специальные таблицы, в которых в первом столбце задаются понятийные уровни ущерба, а в первой строке – уровни вероятности атаки. Ячейки же таблицы, расположенные на пересечении первой строки и столбца, содержат уровень риска безопасности. Размерность таблицы зависит от количества концептуальных уровней вероятности атаки и ущерба. Пример таблицы, на основе которой можно определить уровень риска, приведён ниже.
Таблица 4: Пример таблицы определения уровня риска информационной безопасности
|
При расчете значений вероятности проведения атаки, а также уровня возможного ущерба могут использоваться статистические методы, методы экспертных оценок или элементы теории принятия решений. Статистические методы предполагают анализ уже накопленных данных о реально случавшихся инцидентах, связанных с нарушением информационной безопасности. На основе результатов такого анализа строятся предположения о вероятности проведения атак и уровнях ущерба от них в других АС. Однако применение статистических методов не всегда возможно из-за отсутствия в полном объёме статистических данных о ранее проведённых атаках на информационные ресурсы АС, аналогичной той, которая выступает в качестве объекта оценки.
При использовании аппарата экспертных оценок проводится анализ результатов работы группы экспертов, компетентных в области информационной безопасности, которые на основе имеющегося у них опыта определяют количественные или качественные уровни риска. Элементы теории принятия решений позволяют применять для вычисления значения риска безопасности более сложные алгоритмы обработки результатов работы группы экспертов.
В процессе проведения аудита безопасности могут использоваться специализированные программные комплексы, позволяющие автоматизировать процесс анализа исходных данных и расчёта значений рисков. Примерами таких комплексов являются «Гриф» и «Кондор» (компании «Digital Security»), а также «АванГард» (Института Системного Анализа РАН).
6. Результаты аудита безопасности
На последнем этапе проведения аудита информационной безопасности разрабатываются рекомендации по совершенствованию организационно-технического обеспечения предприятия. Такие рекомендации могут включать в себя следующие типы действий, направленных на минимизацию выявленных рисков:
- уменьшение риска за счёт использования дополнительных организационных и технических средств защиты, позволяющих снизить вероятность проведения атаки или уменьшить возможный ущерб от неё. Так, например, установка межсетевых экранов в точке подключения АС к сети Интернет позволяет существенно снизить вероятность проведения успешной атаки на общедоступные информационные ресурсы АС, такие как Web-серверы, почтовые серверы и т.д.;
- уклонение от риска путём изменения архитектуры или схемы информационных потоков АС, что позволяет исключить возможность проведения той или иной атаки. Так, например, физическое отключение от сети Интернет сегмента АС, в котором обрабатывается конфиденциальная информация, позволяет исключить атаки на конфиденциальную информацию из этой сети;
- изменение характера риска в результате принятия мер по страхованию. В качестве примеров такого изменения характера риска можно привести страхование оборудования АС от пожара или страхование информационных ресурсов от возможного нарушения их конфиденциальности, целостности или доступности. В настоящее время российских компаний уже предлагают услуги по страхованию информационных рисков;
- принятие риска в том случае, если он уменьшен до того уровня, на котором он не представляет опасности для АС.
Как правило, разработанные рекомендации направлены не на полное устранение всех выявленных рисков, а лишь на их уменьшение до приемлемого остаточного уровня. При выборе мер по повышению уровня защиты АС учитывается одно принципиальное ограничение – стоимость их реализации не должна превышать стоимость защищаемых информационных ресурсов.
В завершении процедуры аудита его результаты оформляются в виде отчётного документа, который предоставляется Заказчику. В общем случае этот документ состоит из следующих основных разделов:
- описание границ, в рамках которых был проведён аудит безопасности;
- описание структуры АС Заказчика;
- методы и средства, которые использовались в процессе проведения аудита;
- описание выявленных уязвимостей и недостатков, включая уровень их риска;
- рекомендации по совершенствованию комплексной системы обеспечения информационной безопасности;
- предложения по плану реализации первоочередных мер, направленных на минимизацию выявленных рисков.
7. Заключение
Аудит информационной безопасности является сегодня одним из наиболее эффективных инструментов для получения независимой и объективной оценки текущего уровня защищённости предприятия от угроз информационной безопасности. Кроме того, результаты аудита являются основой для формирования стратегии развития системы обеспечения информационной безопасности организации.
Однако, необходимо представлять, что аудит безопасности не является однократной процедурой, а должен проводиться на регулярной основе. Только в этом случае аудит будет приносить реальную отдачу и способствовать повышению уровня информационной безопасности компании.
8. Список литературы
- Вихорев С.В., Кобцев Р.Ю., Как узнать – откуда напасть или откуда исходит угроза безопасности информации // Конфидент, №2, 2001.
- Симонов С. Анализ рисков, управление рисками // Информационный бюллетень Jet Info № 1(68). 1999. с. 1-28.
- ISO/IEC 17799, Information technology – Code of practice for information security management, 2000
- Operationally Critical Threat, Asset, and Vulnerability Evaluation (OCTAVE) – security risk evaluation – www.cert.org/octave.
- Risk Management Guide for information Technology Systems, NIST, Special Publication 800-30.
Сакральная фраза – «владение информацией – владение миром» актуальна как никогда. Потому, сегодня «красть информацию» присуща большинству злоумышленников. Избежать этого можно путем внедрения ряда защиты от атак, а также своевременное проведение аудита информационной безопасности. Аудит информационной безопасности – понятие новое, которое подразумевает актуально и динамическое развивающееся направление оперативного и стратегического менеджмента, которое касается безопасности информационной системы.
Информационный аудит – теоретические основы
Объем информации в современном мире растет стремительно быстро, так как во всем мире наблюдается тенденция глобализации использования компьютерной техники во всем слоях человеческого общества. В жизни рядового человека, информационные технологии являются основной составляющей.
Это выражается в использовании Интернета, как в рабочих целях, так и с целью игры и развлечения. Параллельно с развитием информационных технологий, растет монетизация сервисов, а значит и количество времени, которое затрачивается на совершение разных платежных операций с использованием пластиковых карт. В их число входит безналичный расчет за разные товары и потребленные услуги, транзакции в платежной системе онлайн банкинга, обмен валют, прочие платежные операции. Это все влияет на пространство во всемирной паутине, делая ее больше.
Информации о владельцах карт становится также, больше. Это является основой для расширения поля деятельности мошенников, которые на сегодняшний день, ухищряются произвести колоссальную массу атак, среди которых атаки поставщика услуг и конечного пользователя. В последнем случае, предотвратить атаку можно за счет использования соответствующего ПО, а вот если это касается вендора, необходимо применение комплекса мер, которые минимизируют перебои работы, утечку данных, взломы сервиса. Это осуществляется за счет своевременного проведения аудита информационной безопасности.
Задача, которую преследует информационные аудит лежит в своевременной и точной оценке состояния безопасности информации в текущий момент конкретного субъекта хозяйствования, а также соответствие поставленной цели и задачи ведения деятельности, с помощью которого должно производиться повышение рентабельности и эффективности экономической деятельности.
Иными словами, аудит информационной безопасности – это проверка того или иного ресурса на возможность противостоять потенциальным или реальным угрозам.
- Аудит информационной безопасности преследует следующие цели:
- Оценить состояние информационной системы информации на предмет защищенности.
- Аналитическом выявлении потенциальных рисков, которые связаны с внешним проникновением в информационную сеть.
- Выявлением локализации прорех в системе безопасности.
- Аналитическом выявлении соответствия между уровнем безопасности и действующим стандартам законодательной базы.
- Инициирование новых методов защиты, их внедрение на практике, а также создание рекомендаций, с помощью которых будет происходить усовершенствование проблем средств защиты, а также поиск новых разработок в данном направлении.
Применяется аудит при:
- Полной проверке объекта, который задействован в информационном процессе. Частности, речь идет о компьютерных системах, системах средств коммуникации, при приеме, передаче, а также обработке данных определенного объема информации, технических средств, систем наблюдения т.д.
- Полной проверке электронных технических средств, а также компьютерных системе на предмет воздействия излучения и наводок, которые будут способствовать их отключению.
- При проверке проектной части, в которые включены работы по созданию стратегий безопасности, а также их практического исполнения.
- Полной проверке надежности защиты конфиденциальной информации, доступ к которой ограничен, а также определение «дыр» с помощью которых данная информация обнародуется с применением стандартных и нестандартным мер.
Когда возникает необходимость проведения аудита?
Важно отметить, что необходимость проведения информационного аудита возникает при нарушении защиты данных. Также, проверка рекомендована к проведению при:
- Слиянии компании.
- Расширении бизнеса.
- Поглощении или присоединении.
- Смене руководства.
Виды аудита информационных систем
На сегодняшний день, существует внешний и внутренний информационный аудит.
Для внешнего аудита характерно привлечение посторонних, независимых экспертов, которые имеют право на осуществление таковой деятельности. Как правило, данный вид проверки носит разовый характер и инициируется руководителем предприятия, акционером или органами правоохранения. Проведение внешнего аудита не является обязательным, носит, скорее всего, рекомендованный характер. Однако есть нюансы, закрепленные законодательством, при которых внешний аудит информационной безопасности является обязательным. К примеру, под действие закона попадают финансовые учреждения, акционерные общества, а также финансовые организации.
Внутренний аудит безопасности информационных потоков представляет собой постоянный процесс, проведение которого регламентировано соответствующим документом «Положением о проведении внутреннего аудита». Это мероприятие, в рамках компании имеет аттестационный характер, проведение которого отрегулировано соответствующим приказом по предприятию. За счет проведения внутреннего аудита, в компании обеспечивается за счет специального подразделения в компании.
Аудит классифицируют также как:
- Экспертный.
- Аттестационный.
- Аналитический.
Экспертный включает в себя проверку состояния защиты информационных потоков и систем, которые основываются на опыте экспертов и тех, кто проводит эту проверку.
Аттестационный вид аудита касается систем, а также мер безопасности, в частности их соответствие принятым стандартам в международном обществе, а также соответствующими государственными документами, которые регулирую правовую основу данной деятельности.
Аналитический вид аудита касается проведения глубокого анализа информационной системы, с применением технических приспособлений. Данные действия должны быть направлены на то, чтобы выявить уязвимые места программно-аппаратного комплекса.
Методика и средства для проведения аудита на практике
Аудит проводится поэтапно и включает в себя:
Первый этап считается самым простым. Он определяет права и обязанности проводящего аудит, разработку пошагового плана действий и согласование с руководством. При этом на собрании сотрудников определяются границы анализа.
На втором этапе применяются большие объемы потребления ресурсов. Это обосновано тем, что изучается вся техническая документация, которая касается программно-аппаратного комплекса.
Третий этап проводится с помощью одного из трех методов, а именно:
- Анализа рисков.
- Анализа соответствия стандартам и законодательству.
- Комбинации анализа рисков и соответствия закона.
Четвертый этап позволяет систематизировать полученные данные провести глубокий анализ. При этом проверяющий обязательно должен быть компетентным в этом вопросе.
Как пройти , чтобы не возникло проблем? Для чего нужна такая проверка? Наша статья расскажет об этом.
Что такое аудиторская проверка и какие виды аудита бывают? Об этом написано .
Вы узнаете, что такое налоговая проверка и для каких целей она нужна.
После проведения проверки обязательно должно быть составлено заключение, которое отражено в соответствующем отчетном документе. В отчете, как правило, отражаются такие сведенья:
- Регламент проведенного аудита.
- Структуру системы информационных потоков на предприятии.
- Какими методами и средствами была проведена проверка
- Точное описание уязвимых мест и недостатков, с учетом риска и уровня недостатков.
- Рекомендованные действия по устранению опасных мест, а также улучшению комплекса всей системы.
Реальные практические советы, с помощью которых должны быть реализованы мероприятия, направлены на минимизацию рисков, которые были выявлены при проверке.
Аудит информационной безопасности на практике
На практике, довольно распространенным безобидным примером, является ситуация при которой сотрудник А, занимающийся закупками торгового оборудования вел переговоры с помощью определенной программы «В».
При этом сама программа является уязвимой, а при регистрации, сотрудник не указал ни электронного адреса, ни номера, а использовал альтернативный абстрактный адрес почты с несуществующим доменом.
По итогу, злоумышленник может зарегистрировать аналогичный домен и создать регистрационный терминал. Это позволит ему отправлять сообщения компании, которая владеет сервисом программы «В», с просьбой выслать утерянный пароль. При этом сервер будет отправлять почту на существующий адрес мошенника, так как у него работает редирект. В результате этой операции, мошенник имеет доступ к переписке, оглашает поставщику иные информационные данные, и управляет направлением груза по неизвестному, для сотрудника, направлению.
Актуальность информационного аудита в современном мире, становится все более востребование, в виду роста числа пользователей, как пространства всемирной паутины, так и применения различных способов монетизации в различных сервисах. Таким образом, данные каждого из пользователей становятся доступными для злоумышленников. Защитить их можно путем выявления очага проблемы – слабых мест информационных потоков.
Вконтакте
Многие наверно задавались вопросом «как проводить аудит информационной безопасности? с чего начать? какую использовать методику? существует ли специализированное программное обеспечения для этого? какие бесплатные программы есть для этого?
Сегодня мы представим вам продукт от компании Microsoft который позволяет провести аудит информационной безопасности Microsoft Secuity Assessment Tool (MSAT). Продукт позволяет выявить риски ИБ в уже существующей системе и дать рекомендации по их устранению. Как заверяют создатели приложение разработано для организаций с числом сотрудников менее 1000 человек, а также оно поможет лучше узнать персонал, процессы, ресурсы и технологии, направленные на обеспечение эффективного планирования мероприятий по безопасности и внедрение методов снижения риска в организации. Что самое приятное, приложение является бесплатным и его можно скачать с сайта разработчика. Данный продукт можно использовать в качестве опросного листа у специалистов ИТ, кадров, ИБ-шников.
Во время процедуры оценки риска, на основе ответом на вопросы, будет проверена среда ИТ по основным сферам угроз информационной безопасности. При оценке используется концепция эшелонированной защиты (DiD) для определения эффективности стратегии безопасности. Концепция «эшелонированной защиты» относится к реализации многоуровневой защиты, включающей технический, организационный и рабочий контроль. В основе средства оценки лежат общепринятые стандарты и передовой опыт, призванные снизить риски в системах информационных технологий. Процедуру оценки можно повторять, а также использовать для проверки прогресса в достижении организационных целей безопасности в инфраструктуре ИТ.
Чтобы выявить угрозы безопасности в системе ИТ вашей организации, в рамках определенных областей анализа будут оценены политики в отношении риска для бизнеса, технологий, процессов и персонала. После завершения оценки будут предоставлены рекомендации для управления этими рисками на основе признанных в отрасли передовых методик. Эти рекомендации призваны предоставить предварительные инструкции для помощи вашей организации во внедрении признанных в отрасли ИТ передовых методик.
Оценка риска состоит из двух частей: профиля риска для бизнеса (ПРБ) и оценки (включающей четыре области анализа). ПРБ представляет собой общие опасности, с которыми сталкивается компания. После выполнения этой оценки она остается неизменной, пока не будут выполнены коренные изменения в системе ИТ компании. Можно выполнить и сохранить несколько оценок. Эти оценки могут и должны изменяться с течением времени при принятии расширенных мер безопасности.
Итак давайте посмотрим, для начала создаем профиль:
И заполняем ответы на вопросы, по мере заполнения кнопки становятся зелеными:
После заполнения первого блока вопросов о параметрах компании наживаем: «Создание новой оценки»
После этого заполняем вопросы по ИТ-инфраструктуре, персоналу и управлению бизнесс-процессами:
После ответов ждем на иконку «Отчеты»
Отчет можно сохранить в *.docs или просматривать в приложении. Все читаем выводы, делаем рекомендации на основе лучших мировых практик, несем руководству, для согласования плана работ или обоснования закупки средств защиты информации)))))
Информационные технологии на сегодняшний день играют ключевую роль в обеспечении эффективного выполнения бизнес-процессов различных коммерческих компаний. Вместе с тем повсеместное использование информационных технологий в деятельности компаний приводит к повышению актуальности проблем, связанных с защитой данных. За последние несколько лет, как в России, так и в зарубежных странах наблюдается увеличение числа атак на автоматизированные системы, приводящих к значительным финансовым и материальным потерям. Для объективной оценки текущего уровня безопасности автоматизированных систем применяется аудит безопасности, о котором и будет рассказано в рамках настоящей статьи.
В настоящее время специалистами используется несколько определений аудита, но наиболее часто применяется следующее: аудит информационной безопасности — процесс получения объективных качественных и количественных оценок текущего состояния информационной безопасности компании в соответствии с определенными критериями и показателями безопасности.
Виды аудита информационной безопасности
Можно выделить следующие основные виды аудита информационной безопасности:
Инструментальный анализ защищенности автоматизированной системы. Данный вид аудита направлен на выявление и устранение уязвимостей программного и аппаратного обеспечения системы.
Инструментальный анализ заключается в проведении специалистами по информационной безопасности атак на исследуемую автоматизированную систему. При этом могут применяться любые программные и аппаратные средства, доступные злоумышленникам. Основное назначение инструментального анализа - периодические проверки с целью выявления новых уязвимостей. Кроме того, данный вид аудита может применяться при обнаружении факта утечки информации ограниченного доступа с целью недопущения повторных утечек.
В общем случае инструментальный анализ состоит из двух частей:
1) исследование защищенности автоматизированной системы от удаленных атак - сканируются доступные хосты из сети заказчика, проводятся сетевые атаки с целью получения несанкционированного доступа к защищаемой информации или административным ресурсам.
2) выявление угроз информационной безопасности, исходящих от сотрудников компании или проникших в офис злоумышленников - проводится анализ способов аутентификации сотрудников компании, механизмов разделения прав доступа, определяется защищенность информации при передаче по локальной сети.
В ходе проведения инструментального анализа в основном выявляются уязвимости, связанные с устаревшими версиями программных продуктов и некорректной их настройкой, хотя и могут быть выявлены существенные недочеты в корпоративной политике безопасности.
Оценка автоматизированных систем на предмет соответствия рекомендациям международных стандартов и требованиям руководящих документов ФСТЭК, ГОСТов, отраслевых стандартов.
Данный вид аудита является исследованием системы защиты информации на предмет соответствия требованиям официальных документов, например российских — «Специальные требования и рекомендации по технической защите конфиденциальной информации» (СТР-К), «Безопасность информационных технологий. Критерии оценки безопасности информационных технологий» (ГОСТ Р ИСО/МЭК 15408-2002) или зарубежных — «Информационные технологии. Управление информационной безопасностью» — ISO/IEC 17799, WebTrust и других.
Особенностью аудита на соответствие стандартам является его связь с другой услугой — сертификацией. В случае успешного прохождения аудита компания получит сертификат соответствия своей системы защиты информации. А это — серьезный плюс к имиджу любой публичной организации, особенно работающей с зарубежными партнерами. Следует отметить, что в государственных организациях, работающих с информацией, составляющей государственную тайну, сертификация системы защиты информации обязательна. Другой особенностью аудита на предмет соответствия стандартам является то, что право выдавать сертификаты имеют только организации, имеющие необходимые лицензии на право осуществления подобных видов деятельности или являющиеся специализированными аттестационными центрами.
Отчет о проведении такого вида аудита в общем случае содержит следующую информацию: степень соответствия проверяемой автоматизированной системы выбранным стандартам, количество и категории полученных несоответствий и замечаний, рекомендации по построению или модификации системы обеспечения информационной безопасности, которые позволят привести ее в соответствие с рассматриваемыми стандартами.
К результатам может добавиться также степень соответствия системы защиты информации внутренним требованиям руководства организации-заказчика.
Экспертный аудит защищенности автоматизированной системы. В процессе проведения данного вида аудита должны быть выявлены недостатки в системе защиты информации на основе имеющегося опыта экспертов, участвующих в процедуре обследования.
Экспертный аудит заключается в подробном исследовании системы защиты автоматизированной системы заказчика и в ее сравнении с некоторой идеальной моделью обеспечения информационной безопасности. Причем идеальная модель в каждом конкретном случае может меняться в зависимости от требований заказчика и собственного опыта компании-аудитора.
Результатом экспертного исследования является подготовка и предоставление клиентам отчета, в котором содержится информация о найденных уязвимостях системе защиты и недочетах в пакете организационно-распорядительных документов, а также предложения по их устранению. Кроме того, эксперты могут дать рекомендации по выбору и применению систем защиты информации и других дополнительных специальных технических средств.
Каждый из вышеперечисленных видов аудита может проводиться отдельно или в комплексе в зависимости от тех задач, которые необходимо решить в организации. В качестве объекта аудита может выступать как автоматизированная система компании в целом, так и её отдельные сегменты, в которых проводится обработка информации ограниченного доступа.
Состав работ по аудиту информационной безопасности
В общем случае аудит безопасности вне зависимости от формы его проведения состоит из четырёх основных этапов:
- Разработка регламента проведения аудита
- Сбор исходных данных
- Анализ полученных данных
- Разработка рекомендаций по повышению уровня защиты автоматизированной системы
На первом этапе совместно с заказчиком разрабатывается регламент, устанавливающий состав и порядок проведения работ. Основная задача регламента заключается в определении границ, в рамках которых будет проведено обследование. Регламент является тем документом, который позволяет избежать взаимных претензий по завершении аудита, поскольку чётко определяет обязанности сторон.
На втором этапе в соответствии с согласованным регламентом осуществляется сбор исходной информации. Методы сбора информации включают интервьюирование сотрудников заказчика, анализ предоставленной организационно-распорядительной и технической документации, использование специализированных инструментальных средств. На данном этапе собирается информация следующих типов:
- Организационно-распорядительная документация по вопросам информационной безопасности (политика информационной безопасности компании, руководящие документы, регламенты работы пользователей с информационными ресурсами)
- Информация об аппаратном обеспечении хостов (перечень серверов, рабочих станций, коммутационного оборудования автоматизированной системы; информация об аппаратной конфигурации серверов, данные о периферийном оборудовании)
- Информация об общесистемном ПО (информация об операционных системах и СУБД, используемых в исследуемой системе)
- Информация о прикладном ПО (перечень прикладного ПО общего и специального назначения; описание функциональных задач, решаемых с помощью прикладного ПО)
- Информация о средствах защиты, установленных в автоматизированной системе (информация о производителе средства защиты, сведения о конфигурации средств защиты, схема установки средств защиты)
- Информация о топологии автоматизированной системы (топология локальной сети, сведения о типах каналов связи и используемых в автоматизированной системе сетевых протоколах, схема информационных потоков)
Третий этап работ предполагает проведение анализа собранной информации с целью оценки текущего уровня защищённости автоматизированной системы заказчика.
В процессе анализа определяются риски информационной безопасности, которым может быть подвержена компания.
Фактически риск представляет собой интегральную оценку того, насколько эффективно существующие средства защиты способны противостоять атакам с использованием информационных технологий.
В зависимости от вида аудита используются две основные группы методов расчёта рисков безопасности. Первая группа методов позволяет установить уровень риска путём оценки степени соответствия определённому набору требований по обеспечению информационной безопасности.
В качестве источников таких требований могут выступать:
- Нормативно-правовые документы предприятия, касающиеся вопросов информационной безопасности;
- Требования действующего российского законодательства - руководящие документы ФСТЭК (Гостехкомиссии), СТР-К, требования ФСБ РФ, ГОСТы и др.;
- Рекомендации международных стандартов - ISO 17799, OCTAVE, CoBIT и др.;
- Рекомендации компаний-производителей программного и аппаратного обеспечения - Microsoft, Oracle, Cisco и др.
Данная группа методов используется при проведении оценки автоматизированных систем на предмет соответствия стандартам и руководящим документам.
Вторая группа методов оценки рисков информационной безопасности используется при проведении инструментального анализа защищенности и базируется на определении вероятности реализации атак, а также уровней их ущерба. В данном случае значение риска вычисляется отдельно для каждой атаки и в общем случае представляется как произведение вероятности проведения атаки на величину возможного ущерба от этой атаки. Значение ущерба определяется собственником информационного ресурса, а вероятность атаки вычисляется группой экспертов, проводящих процедуру аудита.
Методы первой и второй группы могут использовать количественные или качественные шкалы для определения величины риска информационной безопасности. В первом случае риск и все его параметры выражаются в числовых значениях. Так, например, при использовании количественных шкал вероятность проведения атаки может выражаться числом в определенном интервале, а ущерб атаки может задаваться в виде денежного эквивалента материальных потерь, которые может понести организация в случае успешного проведения атаки.
При использовании качественных шкал числовые значения заменяются на эквивалентные им понятийные уровни. Каждому понятийному уровню в этом случае будет соответствовать определённый интервал количественной шкалы оценки.
При расчете значений вероятности проведения атаки, а также уровня возможного ущерба могут использоваться статистические методы, методы экспертных оценок или элементы теории принятия решений.
По результатам проведённого анализа на четвёртом этапе проводится разработка рекомендаций по повышению уровня защищённости автоматизированной системы от угроз информационной безопасности.
- уменьшение риска за счёт использования дополнительных организационных и технических средств защиты, позволяющих снизить вероятность проведения атаки или уменьшить возможный ущерб от неё. Так, например, установка межсетевых экранов в точке подключения автоматизированной системы к сети Интернет позволяет существенно снизить вероятность проведения успешной атаки на общедоступные информационные ресурсы системы, такие как Web-серверы, почтовые серверы и т.д.;
- уклонение от риска путём изменения архитектуры или схемы информационных потоков автоматизированной системы, что позволяет исключить возможность проведения той или иной атаки. Так, например, физическое отключение от сети Интернет сегмента автоматизированной системы, в котором обрабатывается конфиденциальная информация, позволяет исключить атаки на конфиденциальную информацию из этой сети;
- изменение характера риска в результате принятия мер по страхованию. В качестве примеров такого изменения характера риска можно привести страхование оборудования автоматизированной системы от пожара или страхование информационных ресурсов от возможного нарушения их конфиденциальности, целостности или доступности;
- принятие риска в том случае, если он уменьшен до того уровня, на котором он не представляет опасности для автоматизированной системы.
Как правило, разработанные рекомендации направлены не на полное устранение всех выявленных рисков, а лишь на их уменьшение до приемлемого остаточного уровня. При выборе мер по повышению уровня защиты автоматизированной системы учитывается одно принципиальное ограничение - стоимость их реализации не должна превышать стоимость защищаемых информационных ресурсов.
В завершении процедуры аудита его результаты оформляются в виде отчётного документа, который предоставляется заказчику. В общем случае этот документ состоит из следующих основных разделов:
- описание границ, в рамках которых был проведён аудит безопасности;
- описание структуры автоматизированной системы заказчика;
- методы и средства, которые использовались в процессе проведения аудита;
- описание выявленных уязвимостей и недостатков, включая уровень их риска;
- рекомендации по совершенствованию комплексной системы обеспечения информационной безопасности;
- предложения по плану реализации первоочередных мер, направленных на минимизацию выявленных рисков.
Заключение
Аудит информационной безопасности является сегодня одним из наиболее эффективных инструментов для получения независимой и объективной оценки текущего уровня защищённости предприятия от угроз информационной безопасности. Кроме того, результаты аудита используются для формирования стратегии развития системы защиты информации в организации. Необходимо помнить, что аудит безопасности не является однократной процедурой, а должен проводиться на регулярной основе. Только в этом случае аудит будет приносить реальную пользу и способствовать повышению уровня информационной безопасности компании.
- 14.12.2017
Пять способов найти злоумышленника в сетиМы все знаем, что атаки в конечном счете пресекаются, единственный вопрос, который остается, — как их найти быстро! Хорошая новость: атака в своем начале очень активна.Злоумышленник может быть идентифицирован и остановлен, если вы знаете, как выглядят некоторые ключевые моменты, которые помогут вам в его обнаружении.
· сбор информации аудита;
· анализ данных аудита;
Аудит проводится не по инициативе аудитора, а по инициативе руководства компании, которое в данном вопросе является основной заинтересованной стороной. Поддержка руководства компании является необходимым условием для проведения аудита.
На этапе инициирования процедуры аудита должны быть определены границы проведения обследования. Одни информационные подсистемы компании не являются достаточно критичными и их можно исключить из границ проведения обследования. Другие подсистемы могут оказаться недоступными для аудита из-за соображений конфиденциальности.
Сбор информации аудита
· Функциональные схемы;
· Какие точки входа имеются?
· Структурная схема ИС;
Анализ данных аудита
Второй подход, самый практичный, опирается на использование стандартов.
Стандарты определяют базовый набор требований для широкого класса ИС, который формируется в результате обобщения мировой практики. Стандарты могут определять разные наборы требований, в зависимости от уровня защищенности ИС, который требуется обеспечить, ее принадлежности (коммерческая организация, либо государственное учреждение), а также назначения (финансы, промышленности, связь и т.п.). От аудитора в данном случае требуется правильно определить набор требований стандарта, соответствие которым требуется обеспечить для данной ИС. Необходима также методика, позволяющая оценить это соответствие. Из-за своей простоты (стандартный набор требований для проведения аудита уже заранее определен стандартом) и надежности (стандарт — есть стандарт и его требования никто не попытается оспорить), описанный подход наиболее распространен на практике (особенно при проведении внешнего аудита).
Он позволяет при минимальных затратах ресурсов делать обоснованные выводы о состоянии ИС.
Третий подход, наиболее эффективный, предполагает комбинирование первых двух. Базовый набор требований, предъявляемых к ИС, определяется стандартом. Дополнительные требования, в максимальной степени учитывающие особенности функционирования данной ИС, формируются на основе анализа рисков. Этот подход является намного проще первого, т.к. большая часть требований уже определена стандартом, и, в то же время, он лишен недостатка второго подхода, заключающего в том, что требования стандарта могут не учитывать специфики обследуемой ИС.
Похожая информация:
Поиск на сайте:
Есть в наличии
Аудит информационных технологий
Учебник для вузов
Грекул В.И.
2015 г.
Тираж 500 экз.
Учебное издание
Формат 60х90/16 (145×215 мм)
Исполнение: в мягкой обложке
I SBN 978-5-9912-0528-3
ББК 32.973
УДК 004.05
Аннотация
Приведены базовые сведения о практиках и технологиях, применяемых в компаниях для организации и поддержки ИТ, рассмотрены процедуры проведения исследования и анализа применения информационных технологий и их влияния на деятельность организации. Приведено описание различных видов ИТ-аудита, соответствующих им целей и задач, требований к профессиональной подготовке аудиторов, методик проведения аудиторских проверок. В основу книги положен курс лекций, читаемых автором в Национальном исследовательском университете «Высшая школа экономики».
Для студентов вузов, обучающихся по направлению «Бизнес-информатика», будет полезен специалистам в области управления информационными системами и реинжиниринга бизнес-процессов, системным аналитикам, бизнес-аналитикам и консультантам по информационным технологиям.
Введение
1. Организация проекта аудита информационных технологий
1.1. Общая характеристика проектов аудита ИТ
1.2. Планирование проекта
1.2.1. Определение проекта
1.2.2. Анализ рисков
1.2.3. Процедуры внутреннего управления заказчика
1.2.4. План проверок
1.3. Исполнение проекта аудита
1.3.1. Уточнение плана проверок
1.3.2. Процедуры сбора данных при аудите
1.3.3. Проверка существования процедур управления
1.3.4. Проверка эффективности процедур управления
1.3.5. Использование результатов самопроверок
1.3.6. Анализ особых ситуаций
1.3.7. Формирование заключений
1.3.8. Документация проекта аудита
1.3.9. Подготовка итогового отчета по аудиту
1.4. Вопросы для самостоятельного контроля знаний
2. Оценка организации руководства информационными технологиями
2.1. Задачи аудита
2.2. Методики и практики руководства ИТ
2.2.1. Организация руководства ИТ
2.2.2. ИТ-стратегия
2.2.3. Политики, процедуры и стандарты
2.2.4. Управление рисками
2.2.5. Управление информационными технологиями
2.2.6. Организационная структура ИТ-службы
2.3. Вопросы для самостоятельного контроля знаний
3. Оценка управления жизненным циклом ИТ
3.1. Задачи аудита
3.2. Методики и практики управления жизненным циклом ИТ
3.2.1. Управление программами и портфелями проектов
3.2.2. Управление проектами
3.2.3. Оценка стоимости и сроков исполнения ИТ-проектов
3.2.4. Управление жизненным циклом программных продуктов и информационных систем
3.2.5. Управление созданием инфраструктуры
3.2.6. Управление жизненным циклом бизнес-процессов
3.3. Вопросы для самостоятельного контроля знаний
4. Оценка управления ИТ-сервисами
4.1. Задачи аудита
4.2. Методики и практики управления ИТ-сервисами
4.2.1. Организация эксплуатации информационных систем
4.2.2. Управление ИТ-сервисами
4.2.3. Организация функционирования инфраструктуры
4.3. Вопросы для самостоятельного контроля знаний
5. Оценка безопасности информационных ресурсов
5.1.
Задачи аудита
5.2. Методики и практики обеспечения безопасности информационных ресурсов
5.2.1. Основные принципы обеспечения информационной безопасности
5.2.2. Роли и распределение ответственности в обеспечении информационной безопасности
5.2.3. Инвентаризация и классификация активов
5.2.4. Управление доступом
5.2.5. Точки доступа и методы входа
5.2.6. Защита информации в хранилищах
5.2.7. Управление исправлениями
5.2.8. Обеспечение физической безопасности активов
5.3. Вопросы для самостоятельного контроля знаний
6. Оценка обеспечения непрерывности и аварийного восстановления бизнеса
6.1. Задачи аудита
6.2. Методики и практики обеспечения непрерывности и восстановления бизнеса
6.2.1. Типы аварий и катастроф
6.2.2. Процессы обеспечения непрерывности бизнеса
6.2.3. Основные показатели восстановления процессов и систем
6.2.4. Разработка стратегии восстановления
6.2.5. Технологии для восстановления систем
6.2.6. Планирование обеспечения непрерывности и восстановления бизнеса
6.3. Вопросы для самостоятельного контроля знаний
7. Таблица ключей: номера правильных ответов на вопросы самопроверки
Литература
ГЛАВА 2. ЭТАПНОСТЬ РАБОТ ПО ПРОВЕДЕНИЮ АУДИТА ИНФОРМАЦИОННЫХ СИСТЕМ ПРЕДПРИЯТИЯ
Основные этапы аудита информационных систем предприятия
Работы по аудиту ИС включают в себя ряд последовательных этапов, которые в целом соответствуют этапам проведения комплексного ИТ аудита АС, который включает в себя следующее:
· инициирование процедуры аудита;
· сбор информации аудита;
· анализ данных аудита;
· подготовка аудиторского отчета;
· инициирование процедуры аудита.
Аудит проводится не по инициативе аудитора, а по инициативе руководства компании, которое в данном вопросе является основной заинтересованной стороной.
Поддержка руководства компании является необходимым условием для проведения аудита.
Аудит представляет собой комплекс мероприятий, в которых помимо самого аудитора, оказываются задействованными представители большинства структурных подразделений компании. Действия всех участников этого процесса должны быть скоординированы. Поэтому на этапе инициирования процедуры аудита должны быть решены следующие организационные вопросы:
Ø права и обязанности аудитора должны быть четко определены и документально закреплены в его должностных инструкциях, а также в положении о внутреннем (внешнем) аудите;
Ø аудитором должен быть подготовлен и согласован с руководством план проведения аудита;
Ø в положении о внутреннем аудите должно быть закреплено, в частности, что сотрудники компании обязаны оказывать содействие аудитору и предоставлять всю необходимую для проведения аудита информацию.
Инициирование процедуры аудита
На этапе инициирования процедуры аудита должны быть определены границы проведения обследования. Одни информационные подсистемы компании не являются достаточно критичными и их можно исключить из границ проведения обследования.
Другие подсистемы могут оказаться недоступными для аудита из-за соображений конфиденциальности.
Границы проведения обследования определяются в следующих терминах:
· Список обследуемых физических, программных и информационных ресурсов;
· Площадки (помещения), попадающие в границы обследования;
· Основные виды угроз безопасности, рассматриваемые при проведении аудита;
Организационные (законодательные, административные и процедурные), физические, программно-технические и прочие аспекты обеспечения безопасности, которые необходимо учесть в ходе проведения обследования, и их приоритеты (в каком объеме они должны быть учтены).
План и границы проведения аудита обсуждается на рабочем собрании, в котором участвуют аудиторы, руководство компании и руководители структурных подразделений.
Сбор информации аудита
Этап сбора информации аудита, является наиболее сложным и длительным. Это связано с отсутствием необходимой документации на информационную систему и с необходимостью плотного взаимодействия аудитора со многими должностными лицами организации.
Компетентные выводы относительно положения дел в компании могут быть сделаны аудитором только при условии наличия всех необходимых исходных данных для анализа. Получение информации об организации, функционировании и текущем состоянии ИС осуществляется аудитором в ходе специально организованных интервью с ответственными лицами компании, путем изучения технической и организационно-распорядительной документации, а также исследования ИС с использованием специализированного программного инструментария. Остановимся на том, какая информация необходима аудитору для анализа.
Первый пункт аудиторского обследования начинается с получения информации об организационной структуре пользователей ИС и обслуживающих подразделений. В связи с этим аудитору требуется следующая документация:
· Схема организационной структуры пользователей;
· Схема организационной структуры обслуживающих подразделений.
На следующем этапе аудитора интересует информация о назначении и функционировании ИС. Аудитор задает опрашиваемым примерно следующие вопросы:
· Какие услуги и каким образом предоставляются конечным пользователям?
· Какие основные виды приложений, функционирует в ИС?
· Количество и виды пользователей, использующих эти приложения?
Ему понадобиться также следующая документация, конечно, если таковая вообще имеется в наличие (что, вообще говоря, случается нечасто):
· Функциональные схемы;
· Описание автоматизированных функций;
· Описание основных технических решений;
· Другая проектная и рабочая документация на информационную систему.
Далее, аудитору требуется более детальная информация о структуре ИС. Это позволит уяснить, каким образом осуществляется распределение механизмов по структурным элементам и уровням функционирования ИС. Типовые вопросы, которые обсуждаются в связи с этим во время интервью, включают в себя:
· Из каких компонентов (подсистем) состоит ИС?
· Функциональность отдельных компонент?
· Где проходят границы системы?
· Какие точки входа имеются?
· Как ИС взаимодействует с другими системами?
· Какие каналы связи используются для взаимодействия с другими ИС?
· Какие каналы связи используются для взаимодействия между компонентами системы?
· По каким протоколам осуществляется взаимодействие?
· Какие программно-технические платформы используются при построении системы?
На этом этапе аудитору необходимо запастись следующей документацией:
· Структурная схема ИС;
· Схема информационных потоков;
· Описание структуры комплекса технических средств информационной системы;
· Описание структуры программного обеспечения;
· Описание структуры информационного обеспечения;
· Размещение компонентов информационной системы.
Подготовка значительной части документации на ИС, обычно, осуществляется уже в процессе проведения аудита. Когда все необходимые данные по ИС, включая документацию, подготовлены, можно переходить к их анализу.
Анализ данных аудита
Используемые аудиторами методы анализа данных определяются выбранными подходами к проведению аудита, которые могут существенно различаться.
Первый подход, самый сложный, базируется на анализе рисков. Опираясь на методы анализа рисков, аудитор определяет для обследуемой ИС индивидуальный набор требований, в наибольшей степени учитывающий особенности данной ИС, среды ее функционирования. Данный подход является наиболее трудоемким и требует наивысшей квалификации аудитора. На качество результатов аудита, в этом случае, сильно влияет используемая методология анализа и управления рисками и ее применимость к данному типу ИС.
Второй подход, самый практичный, опирается на использование стандартов. Стандарты определяют базовый набор требований для широкого класса ИС, который формируется в результате обобщения мировой практики. Стандарты могут определять разные наборы требований, в зависимости от уровня защищенности ИС, который требуется обеспечить, ее принадлежности (коммерческая организация, либо государственное учреждение), а также назначения (финансы, промышленности, связь и т.п.).
От аудитора в данном случае требуется правильно определить набор требований стандарта, соответствие которым требуется обеспечить для данной ИС. Необходима также методика, позволяющая оценить это соответствие. Из-за своей простоты (стандартный набор требований для проведения аудита уже заранее определен стандартом) и надежности (стандарт — есть стандарт и его требования никто не попытается оспорить), описанный подход наиболее распространен на практике (особенно при проведении внешнего аудита). Он позволяет при минимальных затратах ресурсов делать обоснованные выводы о состоянии ИС.
Третий подход, наиболее эффективный, предполагает комбинирование первых двух. Базовый набор требований, предъявляемых к ИС, определяется стандартом. Дополнительные требования, в максимальной степени учитывающие особенности функционирования данной ИС, формируются на основе анализа рисков. Этот подход является намного проще первого, т.к.
большая часть требований уже определена стандартом, и, в то же время, он лишен недостатка второго подхода, заключающего в том, что требования стандарта могут не учитывать специфики обследуемой ИС.
Сегодня всем известна чуть ли не сакральная фраза о том, что владеющий информацией владеет миром. Именно поэтому в наше время красть пытаются все кому не лень. В связи с этим принимаются и беспрецедентные шаги по внедрению средств защиты от возможных атак. Однако иногда может потребоваться провести аудит предприятия. Что это такое и зачем все это нужно, сейчас и попробуем разобраться.
Что представляет собой аудит информационной безопасности в общем определении?
Сейчас не будем затрагивать заумные научные термины, а постараемся определить для себя основные понятия, описав их самым простым языком (в народе это можно было назвать аудитом для «чайников»).
Название этого комплекса мероприятий говорит само за себя. Аудит информационной безопасности представляет собой независимую проверку или обеспечения безопасности информационной системы (ИС) какого-либо предприятия, учреждения или организации на основе специально разработанных критериев и показателей.
Говоря простым языком, например, аудит информационной безопасности банка сводится к тому, чтобы оценить уровень защиты баз данных клиентов, проводимых банковских операций, сохранности электронных денежных средств, сохранности банковской тайны и т. д. в случае вмешательства в деятельность учреждения посторонними лицами извне, использующими электронные и компьютерные средства.
Наверняка, среди читателей найдется хотя бы один человек, которому звонили домой или на мобильный телефон с предложением оформления кредита или депозитного вклада, причем из банка, с которым он никак не связан. То же самое касается и предложения покупок от каких-то магазинов. Откуда всплыл ваш номер?
Все просто. Если человек ранее брал кредит или вкладывал деньги на депозитный счет, естественно, его данные были сохранены в единой При звонке из другого банка или магазина можно сделать единственный вывод: информация о нем незаконно попала в третьи руки. Как? В общем случае можно выделить два варианта: либо она была украдена, либо передана сотрудниками банка третьим лицам осознанно. Для того чтобы такие вещи не происходили, и нужно вовремя проводить аудит информационной безопасности банка, причем это касается не только компьютерных или «железных» средств защиты, но всего персонала банковского учреждения.
Основные направления аудита информационной безопасности
Что касается сферы применения такого аудита, как правило, их различают несколько:
- полная проверка объектов, задействованных в процессах информатизации (компьютерные автоматизированные системы, средства коммуникации, приема, передачи и обработки информационных данных, технических средств, помещений для проведения конфиденциальных встреч, систем наблюдения и т.д.);
- проверка надежности защиты конфиденциальной информации с ограниченным доступом (определение возможных каналов утечки и потенциальных дыр в системе безопасности, позволяющих получить к ней доступ извне с использованием стандартных и нестандартных методов);
- проверка всех электронных технических средств и локальных компьютерных систем на предмет воздействия на них электромагнитного излучения и наводок, позволяющих отключить их или привести в негодность;
- проектная часть, включающая в себя работы по созданию концепции безопасности и применения ее в практическом исполнении (защита компьютерных систем, помещений, средств связи и т.д.).
Когда возникает необходимость проведения аудита?
Не говоря о критических ситуациях, когда защита уже была нарушена, аудит информационной безопасности в организации может проводиться и в некоторых других случаях.
Как правило, сюда включают расширение компании, слияния, поглощения, присоединения другими предприятиями, смену концепции курса бизнеса или руководства, изменения в международном законодательстве или в правовых актах внутри отдельно взятой страны, достаточно серьезных изменения в информационной инфраструктуре.
Виды аудита
Сегодня сама классификация такого типа аудита, по мнению многих аналитиков и экспертов, является не устоявшейся. Поэтому и разделение на классы в некоторых случаях может быть весьма условным. Тем не менее в общем случае аудит информационной безопасности можно разделить на внешний и внутренний.
Внешний аудит, проводимый независимыми экспертами, имеющими на это право, обычно представляет собой разовую проверку, которая может быть инициирована руководством предприятия, акционерами, правоохранительными органами и т.д. Считается, что внешний аудит информационной безопасности рекомендован (а не обязателен) для проведения регулярно в течение установленного промежутка времени. Но для некоторых организаций и предприятий, согласно законодательства, он является обязательным (например, финансовые учреждения и организации, акционерные общества и др.).
Информационной безопасности является процессом постоянным. Он базируется на специальном «Положении о внутреннем аудите». Что это такое? По сути, это аттестационные мероприятия, проводимые в организации, в сроки, утвержденные руководством. Проведение аудита информационной безопасности обеспечивается специальными структурными подразделением предприятия.
Альтернативная классификация видов аудита
Кроме выше описанного разделения на классы в общем случае, можно выделить еще несколько составляющих, принятых в международной классификации:
- экспертная проверка состояния защищенности информации и информационных систем на основе личного опыта экспертов, ее проводящих;
- аттестация систем и мер безопасности на предмет соответствия международным стандартам (ISO 17799) и государственным правовым документам, регулирующим эту сферу деятельности;
- анализ защищенности информационных систем с применением технических средств, направленный на выявление потенциальных уязвимостей в программно-аппаратном комплексе.
Иногда может применяться и так называемый комплексный аудит, который включает в себя все вышеперечисленные виды. Кстати, именно он дает наиболее объективные результаты.
Постановочные цели и задачи
Любая проверка, будь то внутренняя или внешняя, начинается с постановки целей и задач. Если говорить проще, нужно определить, зачем, что и как будет проверяться. Это и предопределит дальнейшую методику проведения всего процесса.
Поставленных задач, в зависимости от специфики структуры самого предприятия, организации, учреждения и его деятельности, может быть достаточно много. Однако среди всего этого выделяют унифицированные цели аудита информационной безопасности:
- оценка состояния защищенности информации и информационных систем;
- анализ возможных рисков, связанных с угрозой проникновения в ИС извне, и возможных методов осуществления такого вмешательства;
- локализация дыр и прорех в системе безопасности;
- анализ соответствия уровня безопасности информационных систем действующим стандартам и нормативно-правовым актам;
- разработка и выдача рекомендаций, предполагающих устранение существующих проблем, а также усовершенствование существующих средств защиты и внедрение новых разработок.
Методика и средства проведения аудита
Теперь несколько слов о том, как проходит проверка и какие этапы и средства она в себя включает.
Проведение аудита информационной безопасности состоит из нескольких основных этапов:
- инициирование процедуры проверки (четкое определение прав и обязанностей аудитора, подготовка аудитором плана проверки и его согласование с руководством, решение вопроса о границах проведения исследования, накладывание на сотрудников организации обязательства в помощи и своевременном предоставлении необходимой информации);
- сбор исходных данных (структура системы безопасности, распределение средств обеспечения безопасности, уровни функционирования системы безопасности, анализ методов получения и предоставления информации, определение каналов связи и взаимодействия ИС с другими структурами, иерархия пользователей компьютерных сетей, определение протоколов и т.д.);
- проведение комплексной или частичной проверки;
- анализ полученных данных (анализ рисков любого типа и соответствия стандартам);
- выдача рекомендаций по устранению возможных проблем;
- создание отчетной документации.
Первый этап является наиболее простым, поскольку его решение принимается исключительно между руководством предприятия и аудитором. Границы проведения анализа могут быть рассмотрены на общем собрании сотрудников или акционеров. Все это в большей степени относится к правовому полю.
Второй этап сбора исходных данных, будь то проведение внутреннего аудита информационной безопасности или внешней независимой аттестации, является наиболее ресурсоемким. Связано это с тем, что на этой стадии нужно не только изучить техническую документацию, касающуюся всего программно-аппаратного комплекса, но и провести узконаправленное интервьюирование сотрудников компании, причем в большинстве случаев даже с заполнением специальных опросных листов или анкет.
Что же касается технической документации, здесь важно получить данные о структуре ИС и приоритетных уровнях прав доступа к ней сотрудников, определить общесистемное и прикладное программное обеспечение (используемые операционные системы, приложения для ведения бизнеса, управления им и учета), а также установленные средства защиты софтверного и непрограммного типа (антивирусы, файрволлы и т.д.). Кроме того, сюда включается полная проверка сетей и провайдеров, предоставляющих услуги связи (организация сети, используемые протоколы для подключения, типы каналов связи, методы передачи и приема информационных потоков и многое другое). Как уже понятно, это занимает достаточно много времени.
На следующем этапе определяются методы аудита информационной безопасности. Их различают три:
- анализ рисков (самая сложная методика, базирующаяся на определении аудитором возможности проникновения в ИС и нарушения ее целостности с применением всех возможных методов и средств);
- оценка соответствия стандартам и законодательным актам (наиболее простой и самый практичный метод, основанный на сравнении текущего состояния дел и требований международных стандартов и внутригосударственных документов в сфере информационной безопасности);
- комбинированный метод, объединяющий два первых.
После получения результатов проверки начинается их анализ. Средства аудита информационной безопасности, которые применяются для анализа, могут быть достаточно разнообразными. Все зависит от специфики деятельности предприятия, типа информации, используемого программного обеспечения, средств защиты и пр. Однако, как можно заметить по первой методике, аудитору, главным образом, придется опираться на собственный опыт.
А это означает только то, что он должен обладать соответствующей квалификацией в сфере информационных технологий и защиты данных. На основе такого анализа аудитор и рассчитывает возможные риски.
Заметьте, он должен разбираться не только в операционных системах или программах, используемых, например, для ведения бизнеса или бухгалтерского учета, но и четко понимать, каким образом злоумышленник может проникнуть в информационную систему с целью кражи, порчи и уничтожения данных, создания предпосылок для нарушений в работе компьютеров, распространения вирусов или вредоносного ПО.
На основе проведенного анализа эксперт делает заключение о состоянии защиты и выдает рекомендации по устранению имеющихся или возможных проблем, модернизации системы безопасности и т.д. При этом рекомендации должны быть не только объективными, но и четко привязанными к реалиям специфики предприятия. Иными словами, советы по апгрейду конфигурации компьютеров или программного обеспечения не принимаются. В равной степени это относится и к советам по увольнению «ненадежных» сотрудников, установке новых систем слежения без конкретного указания их назначения, места установки и целесообразности.
Исходя из проведенного анализа, как правило, различают несколько групп рисков. При этом для составления сводного отчета используется два основных показателя: вероятность проведения атаки и ущерб, нанесенный компании в результате (потеря активов, снижение репутации, потеря имиджа и пр.). Однако показатели по группам не совпадают. Так, например, показатель низкого уровня для вероятности атаки является лучшим. Для ущерба - наоборот.
Только после этого составляется отчет, в котором детально расписываются все этапы, методы и средства проведенных исследований. Он согласовывается с руководством и подписывается двумя сторонами - предприятием и аудитором. Если аудит внутренний, составляет такой отчет глава соответствующего структурного подразделения, после чего он, опять же, подписывается руководителем.
Аудит информационной безопасности: пример
Наконец, рассмотрим самый простой пример ситуации, которая уже случалась. Многим, кстати, она может показаться очень знакомой.
Так, например, некий сотрудник компании, занимающейся закупками в США, установил на компьютер мессенджер ICQ (имя сотрудника и название фирмы не называется по понятным соображениям). Переговоры велись именно посредством этой программы. Но «аська» является достаточно уязвимой в плане безопасности. Сам сотрудник при регистрации номера на тот момент либо не имел адреса электронной почты, либо просто не захотел его давать. Вместо этого он указал что-то похожее на e-mail, причем даже с несуществующим доменом.
Что бы сделал злоумышленник? Как показал аудит информационной безопасности, он бы зарегистрировал точно такой же домен и создал бы в нем другой регистрационный терминал, после чего мог отослать сообщение в компанию Mirabilis, которая владеет сервисом ICQ, с просьбой восстановления пароля по причине его утери (что и было бы сделано). Поскольку сервер получателя не являлся почтовым, на нем был включен редирект - перенаправление на существующую почту злоумышленника.
Как результат, он получает доступ к переписке с указанным номером ICQ и сообщает поставщику об изменении адреса получателя товара в определенной стране. Таким образом, груз отправляется неизвестно куда. И это самый безобидный пример. Так, мелкое хулиганство. А что говорить о более серьезных хакерах, которые способны куда на большее…
Заключение
Вот вкратце и все, что касается аудита безопасности ИС. Конечно, здесь затронуты далеко не все его аспекты. Причина состоит только в том, что на постановку задач и методы его проведения влияет очень много факторов, поэтому подход в каждом конкретном случае строго индивидуален. К тому же методы и средства аудита информационной безопасности могут быть разными для различных ИС. Однако, думается, общие принципы таких проверок для многих станут понятными хотя бы на начальном уровне.