План ответа на вопрос 15.

1. Аудит корпоративной ит-инфраструктуры

IT-аудит – это независимая экспертная оценка текущего состояния корпоративной IT инфраструктуры на предмет ее адекватности, безопасности и отказоустойчивости, и рекомендации по усовершенствованию ИТ-инфраструктуры.

Цели IT-аудита:

1. Минимизация рисков

2. Выяснить все располагаемые ресурсы

3. Выяснить адекватность сотрудников IT отдела (фактическая аттестация сотрудников IT отдела)

При аудите IT-инфраструктуры применяются следующие методы исследования:

• проведение инвентаризации компонентов IT-инфраструктуры;

• анкетирование сотрудников организации, проводящееся по опросным листам;

• анализ программного обеспечения, файлов и системных событий серверов и рабочих станций, входящих в IT-инфраструктуру организации;

• проверка сетевой безопасности серверов и рабочих станций с целью исключения возможного несанкционированных проникновений через сеть Интернет и/или по другим каналам связи;

• мониторинг состояния активного сетевого оборудования;

• диагностика системы электроснабжения, кабельных сетей и пассивных компонентов IT-инфраструктуры предприятия.

2. Стандарт CobiT

CobiT (Control Objectives for Information and Related Technologies, задачи управления для информационных и смежных технологий) — сбор стандартов и руководств в области управления ИТ-аудита и безопасности; руководство и сборник практик по управлению ИТ-процессами. Связанный с ITIL инструмент, который непрерывно обновляется и предназначен для того, чтобы между руководством компании, ИТ-специалистами и аудиторами (внешними и внутренними) царили мир и взаимопонимание. Проще говоря, управляющий менеджер должен понимать все ИТ-риски, в том числе связанные с бездействием в ситуациях, требующих коррекции, а также потенциальные риски, связанные с использованием того или иного элемента ИТ-инфраструктуры компании. 

Задача CobiT заключается в ликвидации разрыва между руководством компании с их видением бизнес - целей и IT-департаментом, осуществляющим поддержку информационной инфраструктуры, которая должна способствовать достижению этих целей.

В CobiT детально описаны цели и принципы управления, объекты управления, чётко определены все IT-процессы (задачи), протекающие в компании, и требования к ним, описан возможный инструментарий (практики) для их реализации. В описании IT-процессов также приведены практические рекомендации по управлению IT-безопасностью.

15. Аудит корпоративной ИТ-инфраструктуры. Стандарт CobiT. 

CobiT — это сохранение единого подхода к сбору, анализу информации, подготовке выводов и заключений на всех этапах управления, контроля и аудита ИТ, возможность сравнения существующих ИТ-процессов с "лучшими" практиками, в том числе отраслевыми.

В основу стандарта CobiT положено следующее утверждение: для предоставления информации, необходимой организации для достижения ее целей, ресурсы ИТ должны управляться набором естественно сгруппированных процессов.

4 уровня COBiT (важность сверху вниз; четвертый взаимодействует с третьим и вторым):

1. стратегия (Strategies) (выстраивание ИТ – процесса по бизнес целям, постановка задачи, цели и создание концепции ИТ-процесса; ответственные: руководство бизнес - подразделений)

2. локальные политики (Policies – мера) (методы достижения целей в рамках стратегий, например, «длина пароля регламентируется»; ответственные: руководство ИТ-подразделений)

3. процедура (Procedures) (реализация каждой меры) (регламенты работ для применения политик-методов с использованием стандартов-метрик, рабочие инструкции для исполнителей; ответственные: руководство ИТ-подразделений)

4. стандарт (Standards) (метрики для политик-методов, например: «длина пароля должна составлять не менее 8 символов»; ответственные: руководство ИТ-подразделений)

Критерии оценки информации:

• продуктивность — обеспечение доступности информации с помощью максимально экономичного и продуктивного использования ресурсов

• эффективность — актуальность и своевременность информации

• конфиденциальность — обеспечение защиты информации от несанкционированного доступа

• целостность — достоверность, полнота и точность информации

• согласованность — соответствие законодательству, подзаконным нормативно-правовым актам и локальным нормам (указам, договорам, уставу и т.д.)

• пригодность и простота доступа — возможность получения и использования информации для управления бизнес-процессами

• надёжность — свойство информации отражать реальное положение дел, необходимое для принятия управленческих (в т.ч. финансовых) решений.

Возможности COBiT:

1. окончательное определение всех ИТ – сценариев (перечислены все практики)

2. определение метрик (оценка) и параметров эффективности каждого ИТ – мероприятия

3. предоставление площадки для обретения понимания между ИТ – отделом и руководством

4. ИТ – аудит по COBiT – это рутинный стандартизированный процесс с четкой инструкцией и своими показателями эффективности (раньше была проверка раз в год, а теперь она постоянно и это рутина)

5. ИТ – безопасность (тоже рутинный процесс)