Аудит информационной безопасности – это проверка уровня информационной безопасности в организации. Это независимая проверка и проверка системных записей, действий и сопутствующих документов. Эти аудиты предназначены для повышения уровня информационной безопасности, предотвращения неправильного проектирования информационной безопасности и оптимизации эффективности мер безопасности и процессов обеспечения безопасности. [1] В рамках широкого спектра аудита информационной безопасности существует множество типов аудита, множество целей для разных аудитов и т. д. Чаще всего проверяемые меры контроля можно разделить на технические , физические и административные . Аудит информационной безопасности охватывает темы от аудита физической безопасности центров обработки данных до аудита логической безопасности баз данных, а также выделяет ключевые компоненты, на которые следует обратить внимание, и различные методы аудита этих областей.
Когда основное внимание уделяется аспектам информационной безопасности, связанным с информационными технологиями (ИТ), его можно рассматривать как часть аудита информационных технологий . Его часто называют аудитом безопасности информационных технологий или аудитом компьютерной безопасности. Однако информационная безопасность включает в себя гораздо больше, чем просто ИТ.
Аудитор несет ответственность за оценку текущего уровня технологической зрелости компании на первом этапе аудита. Этот этап используется для оценки текущего состояния компании и помогает определить необходимое время, стоимость и объем аудита. Во-первых, вам необходимо определить минимальные требования безопасности: [2]
Аудитор должен спланировать аудит компании на основе информации, полученной на предыдущем этапе. Планирование аудита помогает аудитору получить достаточные и соответствующие доказательства для конкретных обстоятельств каждой компании. Это помогает спрогнозировать затраты на аудит на разумном уровне, выделить необходимую рабочую силу и сроки, а также избежать недопонимания с клиентами. [3]
Аудитор должен иметь достаточную информацию о компании и ее важнейших видах деятельности, прежде чем проводить проверку центра обработки данных. Цель центра обработки данных — привести деятельность центра обработки данных в соответствие с целями бизнеса, сохраняя при этом безопасность и целостность критически важной информации и процессов. Чтобы адекватно определить, достигается ли цель клиента, аудитор должен перед проведением проверки выполнить следующее:
На следующем этапе аудитор определяет цели аудита, после чего проводится проверка корпоративного центра обработки данных. Аудиторы учитывают множество факторов, связанных с процедурами и действиями центра обработки данных, которые потенциально выявляют аудиторские риски в операционной среде, и оценивают существующие средства контроля, которые снижают эти риски. После тщательного тестирования и анализа аудитор может адекватно определить, поддерживает ли центр обработки данных надлежащий контроль и работает ли он эффективно и результативно.
Ниже приводится список целей, которые аудитор должен рассмотреть:
Следующим шагом является сбор доказательств для достижения целей аудита центра обработки данных. Это включает в себя поездку к месту расположения центра обработки данных и наблюдение за процессами внутри центра обработки данных. Для достижения заранее определенных целей аудита следует провести следующие процедуры проверки:
После завершения аудиторской проверки выводы аудита и предложения по корректирующим действиям могут быть переданы ответственным заинтересованным сторонам на официальном собрании. Это обеспечивает лучшее понимание и поддержку рекомендаций аудита. Это также дает проверяемой организации возможность высказать свое мнение по поднятым вопросам.
Написание отчета после такой встречи и описание того, где были достигнуты соглашения по всем вопросам аудита, может значительно повысить эффективность аудита. Заключительные конференции также помогают доработать практические и выполнимые рекомендации. [4]
Отчет о проверке центра обработки данных должен обобщать выводы аудитора и быть аналогичен по формату стандартному отчету о проверке. Отчет о проверке должен быть датирован датой завершения аудиторского запроса и процедур. В нем должно быть указано, что повлекла за собой проверка, и объяснено, что проверка предоставляет третьим сторонам лишь «ограниченную гарантию».
Обычно в отчете о проверке центра обработки данных консолидируются все результаты аудита. Он также предлагает рекомендации по надлежащему осуществлению физических мер безопасности и консультирует клиента о соответствующих ролях и обязанностях его персонала. Его содержание может включать: [5]
Отчет может дополнительно включать рейтинг уязвимостей безопасности, выявленных в ходе аудита, и срочность задач, необходимых для их устранения. Такие рейтинги, как «высокий», «низкий» и «средний», можно использовать для описания важности задач. [6]
Как правило, аудит компьютерной безопасности проводится:
Сотрудник по информационной безопасности (ISO) — это относительно новая должность, которая возникла в организациях, занимающихся последствиями хаотического роста информационных технологий и сетевых коммуникаций. Роль ISO была очень туманной, поскольку проблема, для решения которой они были созданы, не была четко определена. Роль ISO стала заключаться в отслеживании динамики среды безопасности и поддержании баланса рисков для организации. [8]
Аудит информационных систем сочетает в себе усилия и навыки из области бухгалтерского учета и технологий. Профессионалы обеих областей полагаются друг на друга в обеспечении безопасности информации и данных. Доказано, что благодаря этому сотрудничеству безопасность информационной системы со временем возрастает. Что касается аудита информационных систем, роль аудитора заключается в проверке средств контроля компании над программой безопасности. Кроме того, аудитор раскрывает операционную эффективность этих средств контроля в аудиторском отчете. Ассоциация аудита и контроля информационных систем (ISACA) , профессиональная организация в области информационных технологий, способствует получению опыта посредством различных сертификатов. [9] Преимущества этих сертификатов применимы как к внешнему, так и к внутреннему персоналу системы. Примеры сертификатов, имеющих отношение к аудиту информационной безопасности, включают:
Аудитор должен задать определенные вопросы, чтобы лучше понять сеть и ее уязвимости. Аудитор должен сначала оценить масштаб сети и ее структуру. Сетевая диаграмма может помочь аудитору в этом процессе. Следующий вопрос, который должен задать аудитор, — какую важную информацию должна защищать эта сеть. Обычно в центре внимания находятся такие вещи, как корпоративные системы, почтовые серверы, веб-серверы и хост-приложения, к которым имеют доступ клиенты. Также важно знать, кто имеет доступ и к каким частям. Имеют ли клиенты и поставщики доступ к системам в сети? Могут ли сотрудники получить доступ к информации из дома? Наконец, аудитор должен оценить, как сеть связана с внешними сетями и насколько она защищена. Большинство сетей, по крайней мере, подключены к Интернету, что может быть уязвимой точкой. Это важнейшие вопросы в защите сетей.
Если у вас есть функция, которая занимается входящими или исходящими деньгами, очень важно убедиться, что обязанности разделены, чтобы свести к минимуму и, возможно, предотвратить мошенничество. Одним из ключевых способов обеспечения надлежащего разделения обязанностей (SoD) с точки зрения системы является проверка прав доступа отдельных лиц. Некоторые системы, такие как SAP, утверждают, что имеют возможность выполнять тесты SoD, но предоставляемая функциональность является элементарной, требует создания очень трудоемких запросов и ограничивается уровнем транзакции только с минимальным использованием объекта или поля или вообще без него. значения, присвоенные пользователю посредством транзакции, что часто приводит к вводящим в заблуждение результатам. Для сложных систем, таких как SAP, часто предпочитают использовать инструменты, разработанные специально для оценки и анализа конфликтов SoD и других типов системной активности. Для других систем или для нескольких системных форматов вам следует отслеживать, какие пользователи могут иметь доступ суперпользователя к системе, предоставляя им неограниченный доступ ко всем аспектам системы. Кроме того, разработка матрицы для всех функций с указанием точек, где было нарушено правильное разделение обязанностей, поможет выявить потенциальные существенные недостатки путем перекрестной проверки доступных доступов каждого сотрудника. Для функции разработки это так же важно, если не более, как и для производства. Обеспечение того, чтобы люди, разрабатывающие программы, не были уполномочены запускать их в производство, является ключом к предотвращению проникновения несанкционированных программ в производственную среду, где они могут быть использованы для совершения мошенничества.
Оценивая необходимость внедрения клиентом политики шифрования в своей организации, аудитор должен провести анализ риска клиента и ценности данных. Компании с несколькими внешними пользователями, приложениями электронной коммерции и конфиденциальной информацией о клиентах/сотрудниках должны поддерживать строгие политики шифрования, направленные на шифрование правильных данных на соответствующем этапе процесса сбора данных. [11]
Аудиторы должны постоянно оценивать политику и процедуры шифрования своих клиентов. Компании, которые в значительной степени зависят от систем электронной коммерции и беспроводных сетей , чрезвычайно уязвимы для кражи и потери важной информации при передаче. Политики и процедуры должны быть документированы и реализованы для обеспечения защиты всех передаваемых данных.
Аудитор должен убедиться, что руководство осуществляет контроль над процессом управления шифрованием данных. Доступ к ключам должен требовать двойного контроля, ключи должны состоять из двух отдельных компонентов и храниться на компьютере, недоступном для программистов или внешних пользователей. Кроме того, руководство должно подтвердить, что политика шифрования обеспечивает защиту данных на желаемом уровне, и убедиться, что стоимость шифрования данных не превышает ценность самой информации. Все данные, которые необходимо хранить в течение длительного периода времени, должны быть зашифрованы и перенесены в удаленное место. Должны быть предусмотрены процедуры, гарантирующие, что вся зашифрованная конфиденциальная информация будет доставлена туда и будет храниться должным образом. Наконец, аудитор должен получить от руководства подтверждение того, что система шифрования надежна, неуязвима для взлома и соответствует всем местным и международным законам и правилам.
Как бы это ни звучало, логический аудит безопасности следует формату и организованной процедуре. Первым шагом в аудите любой системы является попытка понять ее компоненты и структуру. При аудите логической безопасности аудитор должен выяснить, какие меры безопасности существуют и как они работают. В частности, ключевыми моментами аудита логической безопасности являются следующие области:
Сетевая безопасность достигается с помощью различных инструментов, включая брандмауэры и прокси-серверы , шифрование , логическую безопасность и контроль доступа , антивирусное программное обеспечение и системы аудита, такие как управление журналами.
Брандмауэры — это базовая часть сетевой безопасности. Они часто размещаются между частной локальной сетью и Интернетом. Брандмауэры обеспечивают сквозной поток трафика, в котором его можно аутентифицировать, отслеживать, регистрировать и сообщать о нем. Некоторые различные типы брандмауэров включают брандмауэры сетевого уровня, брандмауэры экранированной подсети, брандмауэры с фильтрацией пакетов, брандмауэры с динамической фильтрацией пакетов, гибридные брандмауэры, прозрачные брандмауэры и брандмауэры уровня приложений.
Процесс шифрования включает преобразование обычного текста в ряд нечитаемых символов, известный как зашифрованный текст . Если зашифрованный текст украден или получен во время передачи, контент станет нечитаемым для зрителя. Это гарантирует безопасную передачу и чрезвычайно полезно для компаний, отправляющих/получающих важную информацию. Как только зашифрованная информация поступает к предполагаемому получателю, запускается процесс расшифровки, чтобы восстановить зашифрованный текст обратно в открытый текст.
Прокси-серверы скрывают истинный адрес клиентской рабочей станции, а также могут выступать в качестве межсетевого экрана. Брандмауэры прокси-серверов имеют специальное программное обеспечение для обеспечения аутентификации. Брандмауэры прокси-серверов выступают в качестве посредников для запросов пользователей.
Антивирусные программы, такие как McAfee и Symantec, обнаруживают и удаляют вредоносный контент. Эти программы защиты от вирусов запускают постоянные обновления, чтобы гарантировать наличие самой последней информации об известных компьютерных вирусах.
Логическая безопасность включает в себя программные средства защиты систем организации, включая доступ к идентификатору пользователя и паролю, аутентификацию, права доступа и уровни полномочий. Эти меры призваны гарантировать, что только авторизованные пользователи смогут выполнять действия или получать доступ к информации в сети или на рабочей станции.
Уязвимости в ИТ-системах организации часто связаны не с техническими недостатками, а, скорее, с индивидуальным поведением сотрудников внутри организации. Простой пример: пользователи оставляют свои компьютеры незаблокированными или становятся уязвимыми для фишинговых атак. В результате тщательный аудит InfoSec часто включает в себя тест на проникновение , в ходе которого аудиторы пытаются получить доступ к как можно большей части системы, как с точки зрения обычного сотрудника, так и с точки зрения постороннего. [13] Поведенческий аудит обеспечивает принятие превентивных мер, таких как вебинар по фишингу, на котором сотрудники узнают, что такое фишинг и как его обнаружить.
Аудиты обеспечения систем и процессов объединяют элементы аудита ИТ-инфраструктуры и приложений/информационной безопасности и используют разнообразные средства контроля в таких категориях, как полнота, точность, достоверность (V) и ограниченный доступ (CAVR). [14]
Безопасность приложений сосредоточена на трех основных функциях:
Когда дело доходит до программирования, важно обеспечить надлежащую физическую защиту и защиту паролем серверов и мэйнфреймов для разработки и обновления ключевых систем. Наличие средств защиты физического доступа в центре обработки данных или офисе, таких как электронные бейджи и считыватели бейджей, охранники, узкие проходы и камеры видеонаблюдения, жизненно важно для обеспечения безопасности приложений и данных. Затем необходимо обеспечить безопасность изменений в системе. Обычно это связано с надлежащим безопасным доступом для внесения изменений и наличием надлежащих процедур авторизации для внесения изменений в программу от разработки через тестирование и, наконец, в производство.
При обработке важно, чтобы были в наличии процедуры и мониторинг нескольких различных аспектов, таких как ввод фальсифицированных или ошибочных данных, неполная обработка, дублирование транзакций и несвоевременная обработка. Одним из способов гарантировать это является обеспечение того, что входные данные проверяются случайным образом или что вся обработка имеет надлежащее одобрение. Важно уметь выявлять незавершенную обработку и обеспечивать наличие надлежащих процедур для ее завершения или удаления из системы, если она произошла по ошибке. Также должны быть процедуры выявления и исправления повторяющихся записей. Наконец, когда дело доходит до обработки, которая не выполняется своевременно, следует вернуться к отслеживанию связанных данных, чтобы увидеть, откуда происходит задержка, и определить, создает ли эта задержка какие-либо проблемы с контролем.
Наконец, что касается доступа, важно понимать, что поддержание сетевой безопасности от несанкционированного доступа является одним из основных направлений деятельности компаний, поскольку угрозы могут исходить из нескольких источников. Во-первых, у вас есть внутренний несанкционированный доступ. Очень важно иметь пароли доступа к системе, которые необходимо регулярно менять, и иметь возможность отслеживать доступ и изменения, чтобы можно было определить, кто какие изменения внес. Вся деятельность должна регистрироваться. Вторая область, о которой следует беспокоиться, — это удаленный доступ, когда люди получают доступ к вашей системе извне через Интернет. Настройка межсетевых экранов и защита паролем для изменения данных в режиме онлайн являются ключом к защите от несанкционированного удаленного доступа. Один из способов выявить слабые места в системе контроля доступа — привлечь хакера, который попытается взломать вашу систему, либо проникнув в здание и используя внутренний терминал, либо взломав систему снаружи через удаленный доступ.
Аудит информационной безопасности можно определить путем изучения различных аспектов информационной безопасности. Внешние и внутренние специалисты внутри учреждения несут ответственность за поддержание и проверку адекватности и эффективности информационной безопасности. Как и в любом учреждении, здесь необходимо внедрять и поддерживать различные меры контроля. Ожидается, что для защиты информации учреждение примет меры безопасности, чтобы избежать внешнего вмешательства. По большому счету, две концепции безопасности приложений и разделения обязанностей во многом связаны между собой и преследуют одну и ту же цель — защитить целостность данных компаний и предотвратить мошенничество. Что касается безопасности приложений, это связано с предотвращением несанкционированного доступа к оборудованию и программному обеспечению за счет принятия надлежащих мер безопасности, как физических, так и электронных. При разделении обязанностей это, прежде всего, физическая проверка доступа отдельных лиц к системам и обработке данных и обеспечение отсутствия дублирования, которое могло бы привести к мошенничеству. Тип аудита, который выполняет лицо, определяет конкретные процедуры и тесты, которые необходимо выполнять на протяжении всего процесса аудита.