12.3.1 Мероприятия по обеспечению информационной безопасности при проведении аудита систем

Требования и действия аудита, включающие проверку операционных систем, необходимо тщательно планировать и согласовывать, чтобы свести к минимуму риск для бизнес-процессов. Необходимо учитывать следующее:

- требования аудита необходимо согласовать с соответствующим руководством;

- объем работ по проверкам следует согласовывать и контролировать;

- при проведении проверок необходимо использовать доступ только для чтения к программному обеспечению и данным;

- другие виды доступа могут быть разрешены только в отношении изолированных копий файлов системы, которые необходимо удалять по завершению аудита;

- необходимо четко идентифицировать и обеспечивать доступность необходимых ресурсов информационных систем для выполнения проверок;

- требования в отношении специальной или дополнительной обработки данных следует идентифицировать и согласовывать;

- весь доступ должен подвергаться мониторингу и регистрироваться с целью обеспечения протоколирования для последующих ссылок;

- все процедуры, требования и обязанности аудита следует документировать.

12.3.2 Защита инструментальных средств аудита систем

Доступ к инструментальным средствам аудита систем, то есть программному обеспечению или файлам данных, необходимо защищать, чтобы предотвратить любое возможное их неправильное использование или компрометацию. Такие инструментальные средства необходимо отделять от систем разработки и систем операционной среды, а также не хранить эти средства в библиотеках магнитных лент или пользовательских областях, если не обеспечен соответствующий уровень дополнительной защиты.

Ключевые слова: информационная технология, информационная безопасность, риски, активы, охраняемая зона, контроль доступа, аудит.