Выводы по проделанной работе
В ходе проведенного аудита удалось более детально рассмотреть аспекты безопасности и соотвествия требованиям ISO 27001 компании ООО «ПО «Зарница». На практике удалось провести наблюдение за физической безопасностью отдела ПО, узнать осведомленность сотрудников в различных аспектах ИБ. Хотелось бы проанализировать документы по безопасности, но почти все они отсутствуют в компании либо разработаны очень формально.
Для определения контекста компании и оценки рисков была рассмотрена организационная структура и основные виды деятельности организации. Оценка рисков позволила увидеть наиболее критичные области: разработка ПО, защита интеллектуальной собственности, взаимодействие с заказчиком.
Далее в соответствии с выявленными рисками и основными требованиями ИСО 27001 по управлению СМИБ был составлен план проведения аудита. Для его составления были предварительно определены сотрудники, которые предоставят необходимую информацию и будут интервьюироваться.
Для выполнения поставленных задач аудита был составлен чек-лист, который позволил оценить соответствие требованиям ИСО СМИБ компании «ПО «Зарница» путем ответа на вопросы.
Далее на основании полученных результатов были выявлены несоответствия и разработаны рекомендации по их устранению.
Список источников и литературы
ISO 27001-2013 “Information technology — Security techniques — Information security management systems —Requirements”, 2013 г.;
IS Audit and Assurance Standard 1201 Engagement Planning, ISACA, 2014 г.;
IS Audit and Assurance Guideline 2201 Engagement Planning, ISACA, 2014 г.;
IS Audit and Assurance Standard 1204 Materiality, ISACA, 2014 г.;
IS Audit and Assurance Guideline 2204 Materiality, ISACA, 2014 г.;
IS Audit and Assurance Standard 1205 Evidence, ISACA, 2014 г.;
В.В. Аксёнов, Аудит системы менеджмента информационной безопасности;
Н. Куканова, Практические аспекты применения международного стандарта безопасности информационных систем iso 27001:2005: Журнал «Защита информации. Инсайд», URL: http://www.inside-zi.ru/pages/1_2007/42.html, 2007 г.;
А. Захаров, Как оценить риски информационной безопасности: Jet Info №3, URL: http://www.jetinfo.ru/stati/risk-delo-popravimoe, 2015 г.
Приложение 1
