Geum.ru

Интеллектуальные компьютерные технологии защиты информации

Методическое пособие - Компьютеры, программирование

Другие методички по предмету Компьютеры, программирование

?нешний аудит регулярно. Внутренний аудит представляет собой непрерывную деятельность, которая осуществляется на основании утвержденного плана и в соответствии с правилами изложенными, например в Положении о внутреннем аудите, подготовка которого осуществляется подразделением внутреннего аудита и утверждается руководством организации. Аудит безопасности информационных систем является одной из составляющих ИТ аудита. Целями проведения аудита безопасности являются:

  1. анализ рисков, связанных с возможностью осуществления угроз безопасности в отношении ресурсов КИС;
  2. оценка текущего уровня защищенности КИС;
  3. локализация узких мест в системе защиты КИС;
  4. оценка соответствия КИС существующим стандартам в области информационной безопасности;
  5. выработка рекомендаций по внедрению новых и повышению эффективности существующих механизмов безопасности КИС.

 

3.2.1 Определение и задачи аудита

Под термином аудит КИС понимается системный процесс получения и оценки объективных данных о текущем состоянии КИС, действиях и событиях, происходящих в ней, устанавливающий уровень их соответствия определенному критерию и предоставляющий результаты заказчику.

В настоящее время актуальность аудита резко возросла, это связано с увеличением зависимости организаций от информации и КИС. Рынок насыщен аппаратно-программным обеспечением, многие организации в силу ряда причин (наиболее нейтральная из которых - это моральное старение оборудования и программного обеспечения) видят неадекватность ранее вложенных средств в информационные системы и ищут пути решения этой проблемы. Их может быть два: с одной стороны - это полная замена КИС, что влечет за собой большие капиталовложения, с другой - модернизация КИС. Последний вариант решения этой проблемы - менее дорогостоящий, но открывающий новые проблемы, например, что оставить из имеющихся аппаратно-программных средств, как обеспечить совместимость старых и новых элементов КИС.

Более существенная причина проведения аудита состоит в том, что при модернизации и внедрении новых технологий их потенциал полностью не реализуется. Аудит КИС позволяет добиться максимальной отдачи от средств, инвестируемых в создание и обслуживание КИС.

Кроме того, возросла уязвимость КИС за счет повышения сложности их элементов, увеличения объемов программного обеспечения, появления новых технологий передачи и хранения данных.

Спектр угроз расширился. Это обусловлено следующими причинами:

  1. передача информации по сетям общего пользования;
  2. информационные войны конкурирующих организаций;
  3. высокая текучесть кадров с низким уровнем порядочности.

По данным некоторых западных аналитических агентств до 95% попыток несанкционированного доступа к конфиденциальной информации происходит по инициативе бывших сотрудников организации.

Аудит ИБ в информационной системе это процесс сбора сведений, позволяющих установить:

  1. обеспечивается ли безопасность ресурсов организации (включая данные);
  2. обеспечиваются ли необходимые параметры целостности и доступности данных;
  3. достигаются ли цели организации в части эффективности информационных технологий.

Проведение аудита позволит оценить текущую безопасность функционирования КИС, оценить риски, прогнозировать и управлять их влиянием на бизнес процессы организации, корректно и обоснованно подойти к вопросу обеспечения безопасности информационных активов организации, основные из которых:

  1. идеи;
  2. знания;
  3. проекты;
  4. результаты внутренних обследований.

В настоящее время многие системные интеграторы на телекоммуникационном рынке декларируют поставку полного, законченного решения. К сожалению, в лучшем случае все сводится к проектированию и поставке оборудования и программного обеспечения. Построение информационной инфраструктуры остается за кадром и к решению не прилагается. Оговоримся, что в данном случае под информационной инфраструктурой понимается отлаженная система, выполняющая функции обслуживания, контроля, учета, анализа, документирования всех процессов, происходящих в информационной системе.

Все чаще и чаще у клиентов возникают к системным интеграторам, проектным организациям, поставщикам оборудования вопросы следующего содержания:

  1. Что дальше? (Наличие стратегического плана развития организации, место и роль КИС в этом плане, прогнозирование проблемных ситуаций).
  2. Соответствует ли наша КИС целям и задачам бизнеса? Не превратился ли бизнес в придаток информационной системы?
  3. Как оптимизировать инвестиции в КИС?
  4. Что происходит внутри этого черного ящика - КИС организации? Сбои в работе КИС, как выявить и локализовать проблемы?
  5. Как решаются вопросы безопасности и контроля доступа?
  6. Подрядные организации провели поставку, монтаж, пусконаладку. Как оценить их работу? Есть ли недостатки, если есть, то какие?
  7. Когда необходимо провести модернизацию оборудования и ПО? Как обосновать необходимость модернизации?
  8. Как установить единую систему управления и мониторинга КИС? Какие выгоды она предоставит?
  9. Руководитель организации, руководитель IT подразделения должны иметь возможность получать достоверную информацию о текущем состоянии КИС в кратчайшие сроки. Возможно ли это?
  10. Почему все время производится закупка дополнительного оборудования?
  11. Сотрудн