Этапы проведения аудита информационной безопасности (ИБ)

Планирование и подготовка к аудиту ИБ

• Взаимодействие с руководством организации для определения возможных проблемных областей.
• Ознакомление с организационной структурой.
• Просмотр должностных инструкций сотрудников.
• Ознакомление с перечнями используемых операционных систем, приложений и оборудования.
• Ознакомление с политиками и процедурами организации.
• Оценка планов организации в части ИТ-бюджета в рамках ведущихся и планируемых проектах.
• Ознакомление с документацией по обработке инцидентов, а также по непрерывному функционированию и восстановлению после сбоев и аварий.

Определение вместе c заказчиком целей и направлений аудита информационной безопасности

• Кадровые процедуры и обязанности, поиск инсайдерской деятельности и возможностей её осуществления.
• Процессы управления изменениями (change management), конфигурациями (configuration management),  уязвимостями (vulnerability management) и др.
• Измерение запаса избыточности ресурсов для выполнения критических бизнес-процессов.
• Контроль физической, пожарной защиты, защиты от затоплений оборудования.

Очные мероприятия по аудиту и сбор информации

• Аудит процессов идентификации и управления доступом работников и клиентов к данным.
• Аудит состояния инфраструктуры, процессов её эксплуатации.
• Аудит наличия, полноты и адекватности политик, регламентов и процедур, руководств и инструкций.
• Аудит физической безопасности, противопожарных мер, запаса бесперебойности электропитания, и др.
• Аудит процедур резервного копирования и восстановления.