8. Аудит информационной безопасности

Современные методики управления рисками, проектирования и сопровождения корпоративных систем защиты информации должны позволять решить ряд задач перспектив-нош стратегического развития компании. Во-первых, количественно оценить текущий уровень информационной безопасности компании, что потребует выявления рисков на правовом, организационно-управленческом, технологическом, а также техническом уровнях обеспечения защиты информации. Во-вторых, разработать и реализовать комплексный план совершенствования корпоративной системы защиты информации для достижения приемлемого уровня защищенности информационных активов компании. Для этого необходимо:

• обосновать и произвести расчет финансовых вложений в обеспечение безопасности на основе технологий анализа рисков, соотнести расходы на обеспечение безопасности с потенциальным ущербом и вероятностью его возникновения;

• выявить и провести первоочередное блокирование наиболее опасных уязвимостей до осуществления атак на уязвимые ресурсы;

• определить функциональные отношения и зоны ответственности при взаимодействии подразделений и лиц по обеспечению информационной безопасности компании создать необходимый пакет организационно-распорядительной документации;

• разработать и согласовать со службами организации, надзорными органами проект внедрения необходимых комплексов защиты, учитывающий современный уровень и тенденции развития информационных технологий;

• обеспечить поддержание внедренного комплекса защиты в соответствии с изменяющимися условиями работы организации, регулярными доработками организационно-распорядительной документации, модификацией технологических процессов и модернизацией технических средств защиты.

Аналитические работы в области информационной безопасности могут проводиться по следующим направлениям:

1) «Комплексный анализ информационных систем компании и подсистемы информационной безопасности на правовом, методологическом, организационно-управленческом, технологическом и техническом уровнях. Анализ рисков».

2) «Разработка комплексных рекомендаций по методологическому, организационно-управленческому, технологическому, общетехническому и программно-аппаратному обеспечению режима ИС компании»,

3) «Организационно-технологический анализ ИС компании»;

4) «Экспертиза решений и проектов».

5) «Работы по анализу документооборота и поставке типовых комплектов организационно-распорядительной документации».

6) «Работы, поддерживающие практическую реализацию плана защиты».

7) «Повышение квалификации и переподготовка специалистов».

Задачи, решаемые при проведении комплексного обследования:

• сбор и анализ документированной информации;

• анализ и изучение существующей организационно - штатной структуры предприятия, а также структуры и порядка функционирования КИС;

• интервьюирование персонала;

• анализ конфигурации типовых рабочих мест, ключевых устройств и серверов.