Аудит информационных систем, содержащих конфиденциальную информацию

Аудит информационных систем, содержащих конфиденциальную информацию, необходим для получения объективной, независимой оценки о текущем состоянии данных систем, а также о действиях и событиях, происходящих в них, с целью предотвращения угроз информационной безопасности.

Основными угрозами информационной безопасности могут стать:

нарушение конфиденциальности информации;
нарушение целостности информации;
нарушение доступности информации.

Аудит информационных систем проводится на соответствие требованиям законодательства Российской Федерации и нормативных документов в области защиты информации:

Федеральный закон «О персональных данных» от 27.07.2006 №152-ФЗ;
Федеральный закон «Об информации, информационных технологиях и о защите информации» от 27.07.2006 №149-ФЗ;
Приказ Федеральной службы по техническому и экспортному контролю Российской Федерации (ФСТЭК России) от 11.02.2013 №17 (ред. от 15.02.2017) «Об утверждении Требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах»;
Приказ ФСТЭК России от 18.02.2013 №21 (ред. от 23.03.2017) «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных».

Когда следует проводить аудит информационных систем:

при подготовке к аттестации объектов информатизации;
при подготовке к проверкам регуляторов;
при внедрении новых информационных систем;
при модернизации существующих информационных систем;
при значительных изменениях организационной структуры компании (в т. ч. руководящего состава);
при подозрении на инцидент информационной безопасности.

Работы по аудиту информационных систем включают в себя:

опрос (интервьюирование) сотрудников;
непосредственный осмотр объектов информационной инфраструктуры;
анализ всех заполненных опросных листов и иных полученных сведений;
разработку проектов организационно-распорядительных документов;
уточнение и актуализация имеющейся или разработка отсутствующей модели угроз безопасности информации.

Результатом работ по аудиту информационных систем является:

отчет об аудите, включающий в себя актуальную информацию о текущем уровне безопасности информационных систем, информацию о выявленных угрозах безопасности информационных систем, а также (при необходимости) рекомендации по модернизации системы информационной безопасности;
пакет актуальной внутренней организационно-распорядительной документации о порядке обработки и защиты конфиденциальной информации, и сопровождения процесса эксплуатации средств криптографической защиты информации;
модели угроз и нарушителей безопасности.