Аудит ИТ-безопасности

Аудит информационных систем и систем безопасности - это независимая оценка текущего состояния, как локальной сети, так и системы информационной безопасности, устанавливающий уровень соответствия определенным критериям, и предоставляющий результаты в виде рекомендаций. Аудит информационной безопасности, проводимый внешними специалистами, позволяет вам получить наиболее полную и объективную оценку защищенности вашей информационной системы. Частным видом аудита информационных систем и аудита информационной безопасности является экспертиза готовых решений.

Перечень работ включает в себя:

Экспертную оценку текущего состояния системы защиты информации (СЗИ).
Оценку информационных рисков на основе российских и международных стандартов.
Разработку рекомендаций по совершенствованию системы защиты информации.

Аудит информационной безопасности рекомендуется компаниям:

с повышенными требованиями к конфиденциальности и доступности к данным хранящимся и обрабатывающимся в Информационных системах ;
с сильной зависимостью бизнеса от информационных технологий (операторы связи, банки, страховые компании),
активно использующим распределенные ИТ-системы.

Использование услуги аудита информационной безопасности позволяет получить максимальную отдачу от средств, вложенных в систему защиты информации, получить оценку перспективных затрат, связанных с созданием или модернизацией системы защиты информации, оценить степень необходимых работ по проекту, повысить уровень защиты, на основе результатов аудита.
"ITS - Системная интеграция" предлагает комплексный аудит системы защиты информации заказчика, а также аудит информационной безопасности отдельных ИТ-систем (сетей передачи данных, вычислительных систем и систем хранения данных, и др.).
Для обеспечения информационной безопасности компания "ITS - Системная интеграция" применяет комплексный подход, основанный на методике оценки рисков и угроз.

Подход сочетает оценку следующих мер и средств:

организационных мер в области информационной безопасности (ИБ),
обеспечения физической безопасности,
программно-технических средств защиты информации.

Данный подход позволяет учитывать все возможные угрозы информационным ресурсам и поддерживать ИТ-инфраструктуру от случайных или преднамеренных воздействий естественного или искусственного характера.

Аудит информационной безопасности проводится в четыре этапа.

Этап 1. Анализ текущего положения
На данном этапе проводятся сбор исходных данных от заказчика, их предварительный анализ, а также организационные мероприятия по подготовке проведения аудита. Работы этапа ведутся при активном участии заказчика и включают:

анализ требований заказчика,
получение данных от заказчика: параметры функционирования ИТ-инфраструктуры в отношении системы информационной безопасности, класс защищенности информационной системы в соответствии с руководящими документами Гостехкомиссии России,
оценка соответствия внедренных ранее решений проектной документации,
изучение организационно-штатной структуры и нормативно-распорядительных документов заказчика в области информационных технологий и защиты информации.

Этап 2. Согласование методики аудита
На базе данных предыдущего этапа проводятся разработка и согласование с заказчиком скорректированных целей, а также методики и плана проведения аудита. Работы этапа включают:

формирование и согласование ТЗ на аудит,
разработку системы критериев для оценки системы защиты информации,
разработку и согласование методики проводимых в ходе аудита испытаний.

Этап 3. Обследование
На данном этапе проходят тестовые испытания системы защиты информации по методике, разработанной на предыдущем этапе. Работы этапа включают:

классификацию информационных ресурсов,
анализ уязвимостей активного сетевого оборудования, серверов, рабочих станций, межсетевых экранов с помощью специальных средств анализа защищенности.
определение угроз безопасности информации и разработку модели вероятного нарушителя применительно к конкретным условиям функционирования.

Этап 4. Обработка результатов и подготовка отчета
На основании исходных данных и результатов тестовых испытаний специалисты "Системной интеграции" выполняют:

анализ угроз и оценку информационных рисков,
разработку системы контрмер, снижающих риски до допустимых уровней,
выработку рекомендаций по совершенствованию системы защиты информации с приложением списка конкретных уязвимостей оборудования,
подготовку итогового отчета, содержащего оценку текущего уровня информационной безопасности, информацию об обнаруженных проблемах и рекомендации по их устранению.

"ITS - Системная интеграция" предлагает полный комплекс услуг в области информационной безопасности: от комплексного обследования информационных систем заказчика и проектирования систем защиты информации до аутсорсинга информационной безопасности.

Услуги