10.3. Аудит інформаційних систем

Комп’ютерний аудит – це застосування інформаційних технологій як методу і інструменту аудитора в процесі перевірки та проведення ревізії інформації, сформованої в середовищі комп’ютерної інформаційної системи клієнта, на базі оцінки ризиків притаманних такому середовищу.

Для перевірки захищеності інформаційної системи використовують комп’ютерний аудит, тобто безпосередньо здійснюється оцінка поточного стану комп’ютерної системи на відповідність запропонованим вимогам або певному стандарту.

Виділяють різні напрями комп’ютерного аудиту інформаційної системи.

Аудит технічного стану інформаційної системи як напрям комп’ютерного аудиту інформаційної системи спрямований на зменшення втрат, які відбулися внаслідок певних системних збоїв.

З метою проведення оцінки сукупної вартості володіння інформаційною системою, оцінки повернення коштів, вкладених у цю інформаційну систему та розробки оптимальної схеми вкладень, а також порівняння показників досліджуваної інформаційної системи з лідером у цій галузі проводиться аудит ефективності інформаційної системи.

Для побудови ефективної корпоративної системи захисту інформації, адекватної завданням і меті бізнесу проводиться аудит інформаційної безпеки.

У випадку, якщо різного роду державні органи, а також партнери компанії чи підприємства можуть зажадати сертифікації інформаційної системи підприємства з метою відповідності послуг необхідному рівню якості проводиться оціночний аудит інформаційної системи.

Такі напрями комп’ютерного аудиту інформаційної системи сприяє виявленню відхилень інформаційної системи від наявних стандартів і забезпечує формування певних висновків та рекомендацій щодо усунення певних відхилень.

Аудит проектів впровадження та реінжинірингу дає змогу оцінити ризики впровадження реінжинірингу інформаційної системи, строки та плановані ресурси на розробку та впровадження рішень, правильність вибору методів технології, а також виявляє помилки та дає рекомендації щодо підвищення ефективності проекту;

Оціночний аудит програмного забезпечення визначає економічну ефективність від впровадження і експлуатації певного виду програм або комплексу програмних ресурсів.

Аудит безпеки – це процес збору і аналізу інформації про автоматизовані системи, необхідної для подальшого проведення якісної або кількісної оцінки рівня захисту від атак зловмисників.

На нашу думку для забезпечення захисту інформації підприємствам доцільно здійснювати контроль захисту інформаційної системи. Одним із різновидів такого контролю може бути незалежний аудит. Аудит безпеки інформаційної системи дає змогу керівництву підприємства бути впевненим у тому, що їх внутрішньогосподарська інформація буде надійно захищена від несанкціонованого використання її конкурентами та іншими зовнішніми користувачами.

Виділяють наступні види аудиту інформаційної безпеки:

експертний аудит безпеки, в процесі якого виявляються недоліки в системі засобів захисту інформації на основі наявного досвіду експертів, що беруть участь у процедурі обстеження;

інструментальний аналіз захищеності автоматизованої системи, спрямований на виявлення і усунення проблем програмно-апаратного забезпечення програми; оцінка відповідності рекомендаціям Міжнародного стандарту ISO 17799, а також керівних документів;

комплексний аудит, що включає всі вищеперелічені форми проведення перевірки.

При цьому, об’єктом аудиту може виступати як автоматизована система підприємства чи компанії в цілому, так і її окремі складові, в яких проводиться обробка інформації.

Отже, комп’ютерний аудит може виступати засобом оцінки інформаційної системи та захисту інформації на підприємстві. Його проведення відіграє важливе значення у системі контролю інформації сформованої в середовищі

комп’ютерної інформаційної системи клієнта та гарантуванні її безпеки.

Здебільшого, проведення комп’ютерного аудиту інформаційних систем використовується, якщо автоматизована система призначена для обробки конфіденційної чи секретної інформації підприємства. За умов використання підприємством автоматизованої системи збору і обробки інформації потрібно використовувати найкращі засоби захисту інформації, які може запропонувати аудиторська фірма після проведення аудиту.

10.4. Етичні аспекти використання ІС.

Поняття “інформаційна етика” пов’язане із питаннями доступу до інформації, інтелектуальної власності, невтручання у приватне життя громадян, пов’язаних із розвитком інформаційного суспільства.

Основними принципами інформаціної етики є:

prіvacy (таємниця приватного життя) — право людини на автономію й волю в приватному житті, право на захист від вторгнення в неї органів влади й інших людей;

accuracy (точність) — дотримання норм, пов'язаних з точним виконанням інструкцій для експлуатації систем і обробці інформації, чесним і соціально-відповідальним відношенням до своїх обов'язків;

property (приватна власність) — недоторканність приватної власності — основа майнового порядку в економіці. Проходження цьому принципу означає дотримання права власності на інформацію й норм авторського права;

accessіbіlіty (доступність) — право громадян на інформацію, її доступність у будь-який час і в будь-якому місці.

Принципи інформаційної етики можуть бути порушені різними способами – від недбалого використання методів опрацювання інформації, неуважного документування даних до серйозних правопорушень, таких як навмисна фальсифікація, обман, втручання у особисте життя шляхом використання Інтернет. Серед порушень інформаційної етики слід виділити такі, як фабрикація та фальсифікація даних, маніпуляція даними, порушення прав інтелектуальної власності (несанкціоноване використання і присвоєння повідомлень) та ін.

Інформаційна етика – це ціннісно-нормативна система особистості у відповідності з домінуючими функціями, які виконуються у інформаційно-комунікативній сфері соціальної практики.

Інформаційна поведінка особистості взаємопов’язана з інформаційною компетентністю. Компетентність будемо розуміти як здатність людини до розв’язання певного класу завдань і наявність необхідних особистісних якостей у поєднанні із запасом знань і умінь.

Інформаційна компетентність особистості значною мірою пов’язана із комп’ютерною компетентністю, отже йдеться про форму-вання інформаційно-технологічної компетентності особистості. Структура інформаційно-технологічної компетентності має такі компоненти:

1. Комп’ютерна грамотність – сформованість операціональних (функціональних) навичок опрацювання даних, яку можна визначити як здатність використовувати комп’ютерну техніку з метою зберігання, обробки й використання інформації. Комп’ютерна грамотність розуміють як початковий рівень освоєння комп’ютерної техніки, наявність умінь використовувати прості прикладні програми, окремі універсальні та спеціалізовані прикладні програмні засоби.

2. Комп’ютерна компетентність, яка значною мірою визначається сталою внутрішньою мотивацією до освоєння інформаційних технологій, передбачає цілісну систему знань в галузі інформатики, пізнання себе як активного суб’єкта інформаційного суспільства. На цьому рівні діяльність суб’єкта може бути охарактеризована як “комп’ютерна творчість” - розв’язання людиною творчих завдань за допомогою комп’ютера, реалізація творчих проектів у галузі комп’ютерних наук (програмування, системна інтеграція тощо). І в першому, і в другому випадку комп’ютер використовується як допоміжний засіб, здатний узяти на себе частку роботи людини – творця, відтворити модель результату її творчості, або виконати моделювання наслідків її творчої діяльності.

3. Інформаційна компетентність як інтелектуальна особистісна складова у освоєнні інформаційного простору, яка передбачає опанування вмінь сприймати й осмислювати різну інформацію спираючись на інформаційний підхід до дослідження і використання всіх інформаційних феноменів (систем інформаційних комунікацій, інформаційного аспекту стосунків особистості і суспільства, державної інформаційної політики та ін.), на системне уявлення про зміст, сутність і мету інформатизації, забезпечення інформаційної безпеки і екології інформаційного середовища.