В настоящее время количество сетевых атак увеличивается, постоянно появляются новые, ранее неизвестные вирусы, наносящие огромный ущерб. Поневоле руководители организаций, в том числе банковских, задаются вопросом: в какой степени защищена информационная система компании? Безусловно, оценить степень защищенности информационной системы непросто. И здесь на помощь может прийти независимый аудит.

Аудит информационной системы (ИС) -это процесс получения и оценки объективных качественных и количественных данных о текущем состоянии ИС. Аудит устанавливает уровень соответствия ИС определенным критериям и показателям безопасности с последующей оценкой рисков сбоев в ее функционировании. Все полученные результаты предоставляются заказчику.

В задачу аудита входят: анализ информационных рисков (по методикам и критериям, соответствующим российским и международным стандартам), выдача рекомендаций по совершенствованию системы защиты информации, расчет затрат по ее созданию или модернизации, определение объема необходимых работ. В ходе аудита вырабатывается согласованная с заказчиком система критериев для оценки системы защиты информации, а также методика тестовых испытаний.

Сегодня существует целый ряд в основном качественных методов оценки уровня защищенности информационных систем. В России сложилась практика применения экспертных оценок, когда аудитор ограничивается оценкой теку-
щего уровня защищенности и выработкой рекомендаций по повышению этого уровня в соответствии с результатами экспертизы и собственными критериями.

ЗАЧЕМ НУЖЕН АУДИТ

Современный рынок насыщен аппаратно-программным обеспечением, многие компании в силу ряда причин, например морального старения оборудования, видят неадекватность ранее вложенных средств в информационные системы и ищут пути решения этой проблемы. С одной стороны, можно полностью заменить ИС, что, конечно, повлечет за собой серьезные расходы. С другой -можно модернизировать ИС. Этот вариант не требует дорогостоящих вложений, однако ставит новые вопросы -например, что оставить из имеющихся аппаратно-программных средств, как обеспечить совместимость старых и новых элементов ИС и т.д. Здесь может помочь аудит.

Существует еще одна, более существенная причина проведения аудита, которая заключается в том, что при модернизации и внедрении новых технологий их потенциал в полной мере не реализуется. Аудит ИС позволяет добиться максимальной отдачи от средств, инвестируемых в создание и обслуживание ИС.

Спектр угроз для ИС расширился. Это обусловлено передачей информации по сетям общего пользования, «информационными войнами» конкурирующих организаций, высокой «текучкой» кадров. По данным некоторых западных аналитических агентств, до 95% попыток несанкционированного доступа к закрытой информации происходит по инициативе бывших сотрудников организации. Проведение аудита позволяет оценить текущее состояние безопасности функционирования ИС, «выделить» риски, прогнозировать и управлять их влиянием на бизнес-процессы банка, корректно подойти к вопросу обеспечения безопасности информационных активов организации.

После проведения аудита информационная система кредитной организации становится прозрачнее для менеджмента, выявляются основные угрозы безопасности для бизнес-процессов, вырабатываются рекомендации по повышению текущего уровня защищенности и т. д. В результате банку предлагается комплексный план внесения изменений в систему управления информационной безопасностью как для повышения реального уровня защищенности, так и для соответствия принятым стандартам.

ОБЪЕКТЫ И РЕЗУЛЬТАТЫ АУДИТА

Как правило, в ходе аудита производится обследование всех или некоторых компонент ИТ-инфраструктуры: серверного оборудования и параметров операционных систем, средств обеспечения информационной безопасности, системы хранения и резервного копирования данных, системы управления базами данных, доменной инфраструктуры, почтовой системы, шлюзов доступа в Интернет и системы удаленного доступа, комплекта существующей технической и регламентирующей документации.

Результатом аудита является отчет, содержащий подробное описание текущего состояния и развернутые рекомендации по оптимизации и развитию ИТ-инфраструктуры в контексте каждого отдельно взятого компонента ИС, а также оценка стоимости реализации указанных рекомендаций.

Выполнение приводимых в отчете рекомендаций как силами собственных специалистов заказчика, так и силами сторонних исполнителей позволяет добиться оптимальной загрузки оборудования, рационального использования программного обеспечения, надежности и управляемости ИТ-инфраструктуры, высокой отказоустойчивости ИС, расширения функциональных возможностей имеющихся активов.

АКТИВНЫЙ И ЭКСПЕРТНЫЙ АУДИТ

Одним из самых распространенных видов аудита является активный аудит, представляющий собой исследование состояния защищенности информационной системы с точки зрения условного злоумышленника, который обладает высокой квалификацией в области информационных технологий. Нередко компании-поставщики услуг активного аудита именуют его инструментальным анализом защищенности, чтобы отделить данный вид аудита от других.

При осуществлении активного аудита на систему сетевой защиты моделируется как можно большее количество сетевых атак, которые может выполнить хакер. При этом аудитор искусственно ставится именно в те условия, в которых работает хакер. Ему предоставляется минимум информации - только та, которую можно раздобыть в открытых источниках.

В результате активного аудита собирается информация обо всех уязви-мостях, степени их критичности и методах устранения, сведения о широкодоступной информации сети заказчика.

Активный аудит должен проводиться с определенной периодичностью. Выполнение активного аудита, например раз в год, позволяет удостовериться, что система сетевой безопасности остается на должном уровне.

Активный аудит условно можно разделить на два вида - «внешний» и «внутренний».

При «внешнем» активном аудите специалисты моделируют действия «внешнего» злоумышленника. «Внутренний» активный аудит по составу работ аналогичен «внешнему», однако при его проведении с помощью специальных программных средств моделируются действия «внутреннего» злоумышленника.

Условно экспертный аудит можно представить как сравнение состояния информационной безопасности с неким «идеальным» описанием, которое базируется на требованиях, предъявленных руководством в процессе проведения аудита и на описании «идеальной» системы безопасности.

Один из самых объемных видов работ, которые проводятся при экспертном аудите, - сбор данных об информационной системе путем интервьюирования представителей заказчика и заполнения ими специальных анкет. Основная цель этого - сбор информации о функционировании сети, а также выяснение требований, которые предъявляются к системе информационной безопасности руководством.

ISACA

Подход к проведению аудита ИС как отдельной самостоятельной услуги с течением времени стал более упорядоченным и стандартизированным. Средние и крупные аудиторские компании образовали ассоциации - союзы профессионалов в области аудита ИС, которые занимаются созданием и сопровождением стандартов аудиторской деятельности в сфере ИТ. Как правило, это закрытые стандарты, тщательно охраняемое «ноу-хау».

Однако существует международная ассоциация ISACA (Ассоциация аудита и контроля информационных систем), которая занимается открытой стандартизацией аудита ИС. Ассоциация ISACA, основанная в 1969 году, в настоящее время объединяет около 20 тыс. членов из более чем 100 стран, в число которых входит и Россия. Ассоциация координирует деятельность более чем 12 тыс. аудиторов информационных систем.

Основная цель, которую декларирует ISACA, - исследование, разработка, публикация и продвижение стандартизованного набора документации по управлению информационными технологиями для повседневного использования администраторами и аудиторами ИС.