24. Аудит ис. Оценка системы информационной защиты организации.

Аудит ИС направлен на выявление и предотвращении негативных явлений в деятельности ИС организации. В ходе аудита анализируется и прогнозируется состояния ИС, выявляются риски в деятельности организации, даются рекомендации по устранению выявленных угроз. Для аудита ИС могут использоваться как международные стандарты аудита (критерий оценки безопасности ИС), а также российские стандарты, гостехкомиссией РФ. Также вопросом аудита ИС посвящены стандарты аудита «аудит в условиях компьютерной обработки данных». Аудит ИС в настоящее время проводится во всех организациях в ходе контрольных аудиторских проверок. Для проведения аудита ИС рекомендуют приглашать специалистов по информационной безопасности. Для внутреннего аудита без привлечения сторонних специалистов рекомендуется использовать достаточно простую методику. Данная методика предлагается проведение аудита ИС по 3м направлениям.

1.проверка надежности (безопасности) технических средств и коммуникации. В ходе данной проверки выявляются достаточность технического обеспечения для решения задач организации. Проверяется способность технических средств работать без сбоев и остановок, надежность хранения компьютерных носителей, наличие средств, организация доступа к техническим средствам и т.д.

2.контроль(проверка) ПО наличие лицензии на используемое ПО, управление доступом к ПО, автоматич. контроль действий пользователя со стороны программы, наличие антивирусной защиты, регулярность обновления программного обеспечения, корректность настройки программного обеспечения, корректность ведения справочников, заполнения документов и т.д.

3.проверка технологий организаций компьютерной обработки данных. Наличие необходимых внутренних документов о безопасности ИС. В этих документах закрепляются принципы, правила, процедуры, методы и средства, кот использует организация для обеспечения безопасности своей ИС. К таким документам относят регламент информационной безопасности, стандарты информационной безопасности, политика ИБ. Политика ИБ – это один из важнейших внутренних документов организации. В ней закрепляются осн механизмы и правила информ защиты, оценка системы поддержки пользователей со стороны обслуживающего персонала (скорость устранения проблем, корректность действий обслуживающего персонала и т.д.), соответствие действий персонала политике ИБ, знание персонала о действиях в критической ситуации, наличие резервных копий баз данных, корректность в формировании отчетности.

По результатам аудита формируются рабочие документы, в которых указываются выявленные нарушения в деятельности ИС, выявленные риски, дается общая оценка безопасности ИС, делаются рекомендации по устранению выявленных угроз.

Для оценки систем информационной безопасности разрабатывается иерархия классов безопасности. Для каждого класса безопасности выделяются соответствующие показатели и функции.

По российским стандартам выделяют 9 классов информационной безопасности. Стандарт дает характеристику каждого из классов, предлагает рекомендации по проведению проверки каждого классов безопасности.

1.класс Д – система ненадежна и небезопасна.

В организации отсутствует система ИБ. Мероприятия по информационной защите носят разовый характер, применяются лишь отдельные методы и средства защиты. Отсутствует управление доступом. Не регистрируются проблемы в сфере ИБ, не проводится их анализ.

2.класс С – фрагментарная система информационной защиты.

Организация выявляет наиболее уязвимые компоненты ИС и обеспечивает их защиту на достаточно высоком уровне. Прочие угрозы либо игнорируются, либо устраняются в недостаточной степени. В таких организациях имеется политика по информационной безопасности, осуществляется управление доступом, ведется журнал безопасности. В организации могут действовать сотрудники, отвечающие за информационную защиту.

3.класс В – система надежна и безопасна.

Организация имеет полноценную систему ИБ, отвечающую российским или международным стандартам. Разработана и задокументирована политика ИБ, применяются все необходимые методы и средства защиты, регулярно проводится аудит безопасности ИС, регулярно действует группа специалистов по информационной безопасности.

4.класс А – безопасность и надежность системы гарантированны.

Система информационной защиты организации прошла проверку гос.тех. комиссии и имеет соответствующий сертификат, подтверждающий и гарантирующий безопасность ИС. Риски ИС застрахованы.