Аудит и консалтинг в сфере ИБ

Проведение качественного аудита системы информационной безопасности позволяет объективно оценить ее текущее состояние, возможные информационные риски, эффективность использования средств защиты и предложить варианты модификации. Кроме этого, при необходимости аудит позволяет дать оценку соответствия корпоративной системы информационной безопасности принятым отечественным и/или международным стандартам безопасности.

В рамках деятельности по аудиту и консалтингу информационной безопасности предприятий компания «Verysell Проекты» оказывает следующие виды услуг:

• анализ соответствия организационных процессов и информационной инфраструктуры компании требованиям законодательства РФ и нормативных документов;
• анализ организации доступа к информационным ресурсам компании;
• анализ критичности различных информационных систем и приложений для бизнеса;
• подготовка экспертного заключения по итогам проведенного анализа и разработка плана организационных, технических и технологических мероприятий, необходимых для достижения требуемого уровня информационной безопасности предприятия;
• планирование бюджета на реализацию предложенных рекомендаций.

Одним из вариантов проведения аудита является активный аудит (penetration test). Тестирование на проникновение моделирует действия взломщика, направленные на получение несанкционированного доступа в атакуемую информационную систему и контроля над ней.

Традиционный набор угроз информационной безопасности:

• вирусы и сетевые черви;
• рекламное и другие виды ПО, внедряющееся в рабочие станции;
• случайные внешние хакеры.

Как правило, «периметры» информационных систем от перечисленных выше угроз защищены достаточно хорошо, вероятность их реализации низка и хорошо контролируется. Самым узким местом в системе информационной безопасности остается человек, поэтому при осуществлении проникновения, взлома основной упор делается на исследование и максимальное использование человеческого фактора.

В результате аудита заказчик получает:

• реальную картину потенциальных угроз информационной безопасности со стороны внешней среды;
• рекомендации по устранению угроз;
• возможность проверить персонал компании, ответственный за обеспечение безопасности, на способность отслеживать инциденты целевого проникновения и грамотно, своевременно на них реагировать.

При этом, скрытая форма проведения аудита отвечает интересам заказчиков, не заинтересованных в распространении информации о проводимом аудите как внутри компании, так и во внешней среде.