Аудит информационных систем, содержащих конфиденциальную информацию

Аудит информационных систем, содержащих конфиденциальную информацию, необходим для получения объективной, независимой оценки о текущем состоянии данных систем, а также о действиях и событиях, происходящих в них, с целью предотвращения угроз информационной безопасности.

Основными угрозами информационной безопасности могут стать:

• нарушение конфиденциальности информации;
• нарушение целостности информации;
• нарушение доступности информации.

Аудит информационных систем проводится на соответствие требованиям законодательства Российской Федерации и нормативных документов в области защиты информации:

• Федеральный закон «О персональных данных» от 27.07.2006 №152-ФЗ;
• Федеральный закон «Об информации, информационных технологиях и о защите информации» от 27.07.2006 №149-ФЗ;
• Приказ Федеральной службы по техническому и экспортному контролю Российской Федерации (ФСТЭК России) от 11.02.2013 №17 (ред. от 15.02.2017) «Об утверждении Требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах»;
• Приказ ФСТЭК России от 18.02.2013 №21 (ред. от 23.03.2017) «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных».

Когда следует проводить аудит информационных систем:

• при подготовке к аттестации объектов информатизации;
• при подготовке к проверкам регуляторов;
• при внедрении новых информационных систем;
• при модернизации существующих информационных систем;
• при значительных изменениях организационной структуры компании (в т. ч. руководящего состава);
• при подозрении на инцидент информационной безопасности.

Работы по аудиту информационных систем включают в себя:

• опрос (интервьюирование) сотрудников;
• непосредственный осмотр объектов информационной инфраструктуры;
• анализ всех заполненных опросных листов и иных полученных сведений;
• разработку проектов организационно-распорядительных документов;
• уточнение и актуализация имеющейся или разработка отсутствующей модели угроз безопасности информации.

Результатом работ по аудиту информационных систем является:

• отчет об аудите, включающий в себя актуальную информацию о текущем уровне безопасности информационных систем, информацию о выявленных угрозах безопасности информационных систем, а также (при необходимости) рекомендации по модернизации системы информационной безопасности;
• пакет актуальной внутренней организационно-распорядительной документации о порядке обработки и защиты конфиденциальной информации, и сопровождения процесса эксплуатации средств криптографической защиты информации;
• модели угроз и нарушителей безопасности.