Аудит информационной безопасности по стандарту ISO 27001

Комплексный аудит информационной безопасности позволяет получить наиболее полную и объективную оценку защищенности информационной сети, локализовать имеющиеся проблемы и разработать эффективную программу построения системы обеспечения информационной безопасности организации.
Комплексный аудит безопасности ИС включает в себя анализ механизмов безопасности организационного уровня, политики безопасности организации и организационно-распорядительной документации по обеспечению режима информационной безопасности, оценку их соответствия требованиям нормативных документов и адекватности существующим рискам.

При комплексном аудите производится также анализ защищенности ИС «изнутри», включая:

• анализ конфигурационных файлов маршрутизаторов, межсетевых экранов и прокси-серверов, осуществляющих управление межсетевыми взаимодействиями, почтовых и DNS серверов, а также других критических элементов сетевой инфраструктуры;

• сканирование ресурсов ЛВС «изнутри»;

• анализ конфигурации серверов и рабочих станций ЛВС при помощи специализированных программных средств.

Перечисленные методы исследования предполагают использование как активного, так и пассивного тестирования системы защиты, реализуемых при помощи многочисленных средств анализа защищенности, включающих: сетевые сканеры, анализаторы параметров защиты, взломщики паролей и специализированные программные агенты.

Удаленное тестирование интернет-сайтов и внешних параметров сети
Наряду с проведением комплексного аудита информационной безопасности Центр защиты информации предлагает заказчикам также услугу по удаленному тестированию интернет-сайтов и внешних параметров сети.
Целью удаленного тестирования Интернет-сайтов является проверка их защищенности от атак со стороны сети Интернет. Тестирование производится методом эмуляции действий потенциального злоумышленника по осуществлению удаленных атак (Penetration test).
Для выполнения тестирования используется большой арсенал современных средств сканирования, поиска уязвимостей и преодоления защиты компьютерных сетей. По согласованию с клиентом может осуществляться проверка устойчивости Интернет-сайтов к атакам на отказ в обслуживании (DoS атаки).
Тестирование может производиться удаленно без выезда к Заказчику. По результатам тестирования создается аудиторский отчет, содержащий общую оценку уровня защищенности Интернет-сайтов и внешнего периметра сети от внешних атак, подробное описание обнаруженных уязвимостей и рекомендации по совершенствованию защиты.

Анализ рисков информационной безопасности
Анализ рисков информационной безопасности позволяет идентифицировать имеющиеся угрозы, оценить вероятность их успешного осуществления, возможные последствия для организации и правильно расставить приоритеты при реализации контрольных мер.

Процесс анализа рисков включает в себя выполнение следующих групп задач:

• анализ ресурсов ИТ-инфраструктуры, включая информационные ресурсы, программные и технические средства, людские ресурсы, и построение модели ресурсов, учитывающей их взаимозависимости;

• анализ бизнес-процессов и групп задач, решаемых информационной системой, позволяющий оценить критичность ИТ-ресурсов, с учетом их взаимозависимостей;

• идентификация угроз безопасности в отношении ресурсов информационной системы и уязвимостей защиты, делающих возможным осуществление этих угроз;

• оценка вероятности осуществления угроз, величины уязвимостей и ущерба, наносимого организации;

• определение величины рисков для каждой тройки: угроза – группа ресурсов – уязвимость;

• ранжирование существующих рисков.

На основе проводимого анализа рисков разрабатывается система первоочередных мероприятий по уменьшению величины рисков до приемлемого уровня.

Звоните и узнайте:
+380 44 205-58-85