Аудит информационной безопасности: оценка рисков и уровня защиты информации.

Когда нужно проводить аудит информационной безопасности?

Необходимо снизить риск утечки конфиденциальной информации.
Аудит поможет узнать текущий уровень обеспечения ИБ, а выполнение наших рекомендаций позволит повысить защищенность данных и снизить риски.
Необходимо повысить контроль за закрепленным ИТ и ИБ подразделением.
Аудит позволит менеджменту компании обеспечить дополнительный контроль за ИТ и ИБ подразделениями.
Планируется модернизация или построение бизнес-процессов.
Аудит поможет выстроить или оценить ИБ и ИТ-процессы и обеспечить необходимый уровень защиты чувствительной информации компании.

Какие задачи позволит решить аудит информационной безопасности:

Повысить уровень защищённости информационных активов компании.

Привести процессы управления информационной безопасностью в соответствие с требованиями стандартов в области защиты информации.

Дать объективную и независимую экспертную оценку состоянию информационной безопасности в организации.

Проанализировать уровень защищённости внедряемых информационных систем.

Провести сертификацию системы менеджмента ИБ в соответствии с ISO/IEC 27001.

Обеспечить соответствие требованиям действующего законодательства.

В ходе аудита производится оценка следующих защитных мер:

Наличие политики информационной безопасности.
Текущий уровень организации информационной безопасности.
Обеспечение ИБ при приеме, увольнении сотрудников, а также во время работы.
Уровень управления активами, связанными с информацией и средствами обработки информации.
Управление доступами.
Криптографические методы.

Физическая безопасность.
Сетевая безопасность.
Приобретение, разработка и сопровождение информационных систем.
Информационная безопасность в отношениях с поставщиками.
Управление инцидентами в сфере информационной безопасности.
Аспекты ИБ при управлении непрерывностью бизнеса.
Соответствие законодательным и договорным требованиям.

Регламент проведения аудита:

Разработка и согласование регламента проведения аудита:

Определение рабочих групп от исполнителя и заказчика для проведения аудита. Определение списка и местоположения объектов заказчика, подлежащих аудиту. Определение перечня информации, которая будет передана исполнителю. Определение перечня ресурсов, которые рассматриваются в качестве объектов защиты: информационные, программные, физические ресурсы и пр.
Сбор исходных данных:

Интервьюирование сотрудников заказчика. Заполнение опросных листов. Анализ предоставленной организационно-распорядительной и технической документации и бизнес процессов заказчика с целью проведения организационно-процессного аудита в соответствии с требованиями ISO/IEC 27001:2013.
Анализ собранной информации с определением рисков информационной безопасности, которым подвержена организация-заказчик.
Формирование отчёта и рекомендаций по оптимизации обеспечения ИБ:

Описание уровня защищённости заказчика в области ИБ с детализацией по всем доменам стандарта ISO/IEC 27001:2013. Описание выявленных уязвимостей и недостатков, включая уровень их риска. Рекомендации по совершенствованию комплексной системы обеспечения ИБ. Проект плана реализации первоочередных мер, направленных на минимизацию выявленных рисков и оптимизацию системы менеджмента информационной безопасности.
Проведение обучающего семинара для заинтересованных сотрудников заказчика: обзор требований и доменов стандарта ISO/IEC 27001:2013, представление результатов аудита.

Каких результатов ожидать

В результате аудита информационной безопасности безопасности клиент Вы:

Получите оценку текущего уровня обеспечения информационной безопасности.
Получите оценку и прогноз рисков, управление их влиянием на бизнес-процессы.
Повысите уровень защищённости информационной системы.
Получите инструменты для достижения максимальной отдачи от средств, инвестируемых в создание и обслуживание систем безопасности компании.

Связаться с нами