Аудит информационной безопасности

Информационная безопасность — один из самых сложных компонентов для аудита. Прежде всего по той причине, что безопасность бывает только комплексной. Можно установить очень серьезную систему шифрования хранения и передачи данных, но при этом не обеспечить сохранность или ротацию паролей — и степень защищенности системы сразу снизиться на порядок. Кроме того, бывают ситуации, когда в самой организации не готовы определить, какие данные подвержены каким рискам. Потому как для одних данных основной риск в их уничтожении, для других — в передаче этих данных третьим лицам, для третьих — в возможной модификации данных изнутри организации.

По этой причине, аудит информационной безопасности начинается с проведения работ по анкетированию ответственных лиц, формированию правил передачи и хранения информации в организации, формированию списка рисков и их опасности.

Дальнейшие работы по аудиту информационной безопасности проводятся в сотрудничестве с ответственными лицами организации, которые проводят разъяснительную работу с персоналом.

Сами методы информационной защиты включают в себя формирование политик доступа к данным, шифрование данных, ограничение точек возможны утечек, использование средств антивирусной защиты и защиты сетевых ресурсов, контроль актуальности программного обеспечения и т.д. Иногда в работы включается аудит безопасности не только компьютерной, но и телефонной сети, проверка помещений на наличие «жучков» и т.д.

Как правило, такие работы требует глубокой предварительной оценки. Как правило, стоимость работ можно предварительно оценить исходя из оценки 1200 рублей за каждый компьютер (+/-70% в зависимости от специфики данных и потребностей организации).