Что такое аудит информационной безопасности

Что проверяет аудит информационной безопасности

Аудит информационной безопасности проверяет пять групп объектов и сопоставляет каждую с критерием оценки. Аудит безопасности информационных систем охватывает как технику, так и людей с процессами.

Объекты проверки в аудите ИБ:

• Внешний периметр включает сайты, почтовые серверы, VPN и другие сервисы, открытые в интернет.
• Внутренняя сеть проверяется на сегментацию, учётные записи и права доступа.
• Веб-приложения и мобильные приложения проверяются на бизнес-логику, аутентификацию и API.
• Процессы и документы охватывают политики, регламенты и распределение ролей.
• Сотрудники проверяются на устойчивость к фишингу и социальной инженерии.

Критерий аудита задаёт то, с чем сравнивается состояние объекта. Для обработки персональных данных критерием служит 152-ФЗ. Для значимых объектов критической информационной инфраструктуры (КИИ) критерием служат 187-ФЗ и документы ФСТЭК. Для банков критерий задают требования Банка России, для остальных компаний чаще применяют модель угроз.

Независимость отличает внешний аудит от самопроверки. Внешний проверяющий не отвечает за проверяемые системы, поэтому регулятор и инвестор принимают его выводы.

Технический и организационный аудит

Технический аудит информационной безопасности проверяет системы на практике, организационный аудит проверяет документы и процессы. Два класса отвечают на разные вопросы и часто проводятся вместе.

Технический аудит использует сканеры уязвимостей, ручную проверку и тестирование на проникновение. Результат технического аудита: список подтверждённых уязвимостей с оценкой CVSS. Организационный аудит использует интервью, анализ документов и проверку прав доступа. Результат организационного аудита: перечень расхождений с требованиями.

Аудит полного цикла

Аудит полного цикла объединяет технический и организационный слой в одном проекте. Аудит полного цикла подходит для первой проверки компании и для подготовки к проверке регулятора. Такой проект длится дольше, зато показывает связь между уязвимостью в системе и пробелом в процессе.

Аудит, тестирование на проникновение, Red Teaming и сканирование уязвимостей

Аудит ИБ, тестирование на проникновение, Red Teaming и сканирование уязвимостей решают разные задачи. Таблица показывает различия по цели, осведомлённости службы ИБ и результату.

Тестирование на проникновение проходит в одной из трёх моделей. Black Box означает старт без сведений о системе. Grey Box даёт проверяющему часть сведений или учётную запись. Assumed Breach начинается изнутри сети с правами рядового сотрудника.

Red Teaming проверяет не отдельные уязвимости, а способность службы ИБ заметить атаку и отреагировать. Цель Red Teaming согласуется с руководством заказчика заранее, например доступ к критичной базе данных. Сканирование уязвимостей работает быстро, но не находит ошибки бизнес-логики приложения.

Чем аудит не является: аттестация и оценка соответствия

Аудит информационной безопасности даёт оценку и рекомендации, а аттестация и оценка соответствия заканчиваются документом о соответствии. Три процедуры часто путают, хотя порядок и результат у них разные.

Аттестация объекта информатизации подтверждает соответствие системы требованиям по установленному регулятором порядку. Оценка соответствия проверяет выполнение конкретного стандарта по методике этого стандарта. Аудит не выдаёт такой документ, зато показывает реальные слабые места и пути их устранения.

Кому и когда нужен аудит

Аудит кибербезопасности нужен компании, когда меняются риски, требования или инфраструктура. На практике проверку запускают шесть ситуаций:

• 152-ФЗ или требования Банка России обязывают компанию защищать данные.
• Компания эксплуатирует значимый объект КИИ.
• Компания выпускает новый продукт или крупную версию.
• Инвестор или партнёр ставит аудит условием сделки.
• В компании произошёл инцидент информационной безопасности.
• Компания переносит инфраструктуру или меняет ключевые системы.

Методика оценки угроз ФСТЭК 2021 года прямо требует анализ уязвимостей или тестирование на проникновение при эксплуатации значимых объектов КИИ. Для компаний вне КИИ регулярность аудита задают отраслевые требования и собственная модель угроз.

Что аудит не делает и что дальше

Аудит информационной безопасности не устраняет уязвимости. Оценка аудита отражает состояние систем на дату проверки. Новая версия приложения или смена инфраструктуры требует повторной проверки.

Устранение уязвимостей выполняет заказчик или отдельный подрядчик по плану из отчёта. Повторная проверка (ретест) подтверждает, что исправления сработали. Какой вид проверки выбрать под задачу, разобрано на странице виды аудита безопасности.

Частые вопросы