АУДИТ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ КОМПЬЮТЕРНЫХ СИСТЕМ

8.1. Понятие аудита информационной безопасности

Аудит информационной безопасности (ИБ) представляет собой одно из наиболее актуальных и динамично развивающихся направлений стратегиче- ского и оперативного менеджмента в области безопасности КС и вызывает постоянный интерес специалистов. Его основная задача — объективно оце- нить текущее состояние ИБ организации, а также ее адекватность поставлен- ным целям и задачам бизнеса.

Под аудитом ИБ понимается системный процесс получения объектив- ных качественных и количественных оценок текущего состояния ИБ органи- зации в соответствии с определенными критериями и показателями на всех основных уровнях обеспечения безопасности: нормативно-методологическом, организационно-управленческом,  процедурном  и  программно-техническом [19].

Результаты квалифицированно выполненного аудита ИБ организации позволяют  построить оптимальную по  эффективности и  затратам  систему обеспечения информационной безопасности (СОИБ), представляющую собой комплекс  технических  средств,  а  также  процедурных, организационных и правовых мер, объединенных на основе модели управления ИБ.

В результате проведения аудита могут быть получены как качествен-

ные, так и количественные оценки. При качественном оценивании, например, может быть приведен перечень уязвимостей в программно-аппаратном обес- печении с их классификацией по трехуровневой шкале опасности: высокая, средняя и низкая. Количественные оценки чаще всего применяются при оцен- ке риска для активов организации, создаваемого угрозами безопасности. В ка- честве количественных оценок могут выступать, например, цена риска, веро- ятность риска, размер риска и т. п.

Объективность аудита обеспечивается, в частности, тем, что оценка со- стояния ИБ производится специалистами на основе определенной методики, позволяющей объективно проанализировать все составляющие СОИБ.

Аудит ИБ может представлять собой услугу, которую предлагают спе- циализированные фирмы, тем не менее в организации должен проводиться внутренний аудит ИБ, выполняемый, например, администраторами безопас-

ности.

Традиционно выделяют три типа аудита ИБ, которые различаются пе-

речнем анализируемых компонентов СОИБ и получаемыми результатами:

?    активный аудит;

?    экспертный аудит;

?    аудит на соответствие стандартам ИБ.

Источник: Андрончик А. Н., Богданов В. В., Домуховский Н. А., Коллеров А. С., Синадский Н. И., Хорьков Д. А., Щербаков М. Ю., Защита информации в компьютерных сетях. Практический курс

Похожие посты:

Вы можете оставить комментарий, или ссылку на Ваш сайт.

Оставить комментарий