Аудит информационной безопасности

Что проверяем при аудите информационной безопасности

Аудит идёт по нескольким направлениям: смотрим не только настройки оборудования, но и регламенты, и то, как сотрудники работают с данными. Начинаем с простого вопроса: что именно вы хотите защитить и от каких угроз.

Периметр сети и удалённый доступ

Проверяем настройки межсетевого экрана, открытые порты и правила доступа к внутренним ресурсам. Периметр — первая линия обороны, и именно здесь чаще всего находится слабое звено: правило, которое когда-то открыли под одну задачу и забыли закрыть, или сервис, опубликованный в интернет без нужды.

Отдельно смотрим подключения снаружи: VPN для удалённых сотрудников, доступ подрядчиков и партнёров, каналы между офисами. Разбор показывает, сколько путей внутрь сети остаётся открытыми и кто ими пользуется. Если межсетевой экран нужно заменить или перенастроить, это отдельная работа — установка и настройка межсетевого экрана.

Учётные записи и права доступа

Проверяем политики доступа, находим избыточные права, устаревшие и неактивные учётные записи. Учётные записи бывших сотрудников с сохранённым доступом — один из самых частых путей утечки, поэтому их смотрим в первую очередь.

Разбираем и логику прав: разграничение по ролям, принцип минимальных привилегий, порядок выдачи и отзыва доступов. Отдельно обращаем внимание на общие учётные записи и на случаи, когда один сотрудник может изменить что угодно в любой системе. По итогам вы видите, у кого и к каким данным есть доступ, — это нужно и для работы с персональными данными, где круг допущенных лиц должен быть закреплён документально.

Серверы и рабочие места

Смотрим, обновляются ли операционные системы и программы, как настроен антивирус, шифруются ли диски ноутбуков. На серверах проверяем журналы, учётные записи администраторов и порядок восстановления после сбоя; если нужен постоянный присмотр за серверами — это обслуживание серверов.

Оцениваем и удалённые рабочие места. Подключение из дома или с ноутбука в кафе выглядит безобидно, но такие каналы чаще всего оказываются незащищёнными. Проверяем настройки подключения, шифрование и правила хранения локальных копий.

Резервное копирование и хранение данных

Проверяем, какие данные копируются, где хранятся копии и проверялось ли восстановление. Копия, которая лежит в той же сети, что и сервер, шифровальщик зашифрует вместе с ним, поэтому смотрим, есть ли копия вне основной сети.

Оцениваем, как хранятся и передаются конфиденциальные данные компании и её клиентов: шифрование, защита каналов, обмен файлами с подрядчиками и партнёрами. Смотрим, нет ли рабочих данных на личных устройствах и в личной переписке и понимают ли сотрудники, что можно отправлять, а что нельзя. Как обычно происходят утечки, мы разобрали в статье об утечках информации.

Wi-Fi и веб-сервисы

Смотрим настройки Wi-Fi, шифрование беспроводного доступа и отделение гостевой сети от рабочей. Проверяем сервисы, доступные из интернета: личные кабинеты, удалённые консоли администрирования, интеграции с внешними системами. Слабые пароли служебных учётных записей и открытые консоли выглядят мелочами, но вместе складываются в реальный путь к данным.

Работают ли установленные средства защиты

Антивирус, межсетевой экран и другие средства защиты у большинства компаний уже установлены. Проверяем, что они обновляются, политики настроены под реальные задачи, а журналы ведутся и пригодны для разбора инцидентов. Установленные решения без настройки остаются декорацией.

Если данные уходят за пределы компании через почту, мессенджеры или флешки, смотрим, есть ли контроль утечек и нужна ли DLP-система.

Если в сети нет средств, которые замечают атаку, — оцениваем, нужна ли система обнаружения вторжений.

Сотрудники и регламенты

Многие атаки начинаются с письма или звонка, а не со взлома. Смотрим, есть ли инструкции для сотрудников, проводилось ли обучение против фишинга и знает ли каждый, что делать при подозрительном письме или сбое. Если ответа нет — проверка уже нашла пробел, и он не зависит от настроек оборудования. Простые правила для сотрудников мы собрали в статье о защите от мошенников.

Персональные данные и 152-ФЗ

Если компания обрабатывает персональные данные клиентов или сотрудников, сверяем меры защиты с требованиями 152-ФЗ и отмечаем расхождения, которые могут привести к штрафам. Смотрим, какие данные обрабатываются и где, кто к ним допущен, как они передаются, как закрывается доступ при увольнении сотрудника и есть ли нужные документы. Проверяем фактическое положение дел, а не только наличие бумаг. Если найдены нарушения, вы получаете не только список, но и порядок их устранения. Типовые ошибки разобраны в статье о простых правилах защиты.

Анализ защищённости и анализ уязвимостей

Аудит ИБ отвечает на вопрос, правильно ли устроены процессы, настройки и доступы и выполняются ли требования. Анализ защищённости — его техническая часть: ищем уязвимости в сети, на серверах, рабочих местах и в сервисах, доступных из интернета. Анализ уязвимостей включает проверку версий программ и прошивок, открытых портов, настроек и паролей по умолчанию.

Каждая находка получает уровень риска: насколько она опасна, насколько легко ей воспользоваться и что произойдёт, если это случится. Высокий риск — это не просто недочёт, а понятный сценарий, который ведёт к потере данных или остановке работы.

Аудит не имитирует атаку: мы не взламываем ваши системы, а проверяем их устройство, настройки и процессы. Поэтому он проходит без остановки работы компании.

Аудит информационной безопасности не заменяет аудит ИТ-инфраструктуры: тот показывает общее состояние серверов, сети и рабочих мест, а аудит ИБ подробно разбирает защиту, доступы и требования.

Обзор всех направлений защиты — в разделе услуги информационной безопасности.

Экспресс-аудит и полный аудит

Экспресс-аудит идёт по ключевым направлениям: периметр, доступы, рабочие места, персональные данные. Он подходит, когда нужно быстро понять состояние защиты и решить, что делать дальше.

Полный аудит добавляет разбор процессов, документации, обучения сотрудников и повторную проверку после устранения находок. Его заказывают перед проверкой регулятора или партнёра, после инцидента, при смене подрядчика или ИТ-специалиста.

Внешний аудит полезен и компаниям со своими ИТ-специалистами: взгляд со стороны не зависит от внутренних договорённостей, а результаты проще показать руководству, партнёрам и проверяющим.

Как проходит аудит информационной безопасности

Подготовка и согласование границ

Определяем, какие системы, офисы и данные входят в аудит, согласуем время работ и контактных лиц. На этом же этапе подписываем соглашение о конфиденциальности: аудит означает доступ к чувствительным данным, и их использование ограничено рамками договора.

Сбор информации

Изучаем схему сети, документацию, регламенты, матрицу прав, договоры с подрядчиками. Сверяем заявленные меры с тем, как они работают на самом деле, и отмечаем участки, которые нигде не описаны.

Проверка и оценка рисков

Проверяем настройки, права и каналы передачи данных, проводим анализ защищённости. Каждой находке присваиваем уровень риска по трём параметрам: вероятность, возможный ущерб и сложность устранения.

Отчёт и план исправлений

Готовим отчёт с находками и планом устранения и обсуждаем его с вашими специалистами и руководством: часть вопросов закрывается изменением настроек, часть требует правки процессов, часть — вложений. Так план остаётся реалистичным, а не формальным списком. Через несколько месяцев можем повторить ключевые проверки и показать, как изменился уровень защищённости.

Что вы получаете по итогам аудита

По итогам аудита передаём отчёт, в котором есть:

• перечень найденных уязвимостей с описанием, уровнем риска и возможными последствиями;
• оценка уровня защищённости по каждому направлению и краткая сводка для руководства;
• план устранения с приоритетами, конкретными шагами и оценкой сроков;
• рекомендации по 152-ФЗ, если компания обрабатывает персональные данные;
• предложение по устранению: найденные проблемы может закрыть та же команда.

Отчёт остаётся рабочим документом и после проекта: по нему удобно планировать бюджет на защиту, обновлять регламенты и объяснять руководству, зачем нужны вложения. Через год по нему же видно, что изменилось.

Сроки и стоимость

Базовый аудит занимает 1–3 рабочих дня, срок полного зависит от размера инфраструктуры и числа офисов. Работы идут этапами, в согласованные часы и без остановки процессов: вы видите промежуточные итоги и можете скорректировать задачу.

Предварительный аудит — бесплатно: покажем главные уязвимости. Стоимость аудита информационной безопасности — от 90 000 ₽, она зависит от числа рабочих мест, серверов и офисов и от того, нужна ли проверка по 152-ФЗ. Стоимость и сроки фиксируем в договоре.

Почему АйТи-Сети

Работаем более 5 лет, опыт специалистов — более 10 лет, на обслуживании — более 100 компаний. Компания внесена в реестр аккредитованных ИТ-компаний. Работаем с организациями по договору и подписываем соглашение о конфиденциальности.

Наш подход простой: сначала аудит, потом устранение найденных проблем силами той же команды — не нужно искать второго подрядчика, чтобы разобраться с результатами. Если вопросы выходят за рамки безопасности, подключаем ИТ-директора на аутсорсинге.

Инфраструктуру целиком можно передать на ИТ-аутсорсинг. Аудит можно заказать отдельно или проводить ежегодно в рамках обслуживания.

Практические меры защиты собраны в статье о защите бизнеса от кибератак.

Как заказать аудит

Начните с экспресс-аудита, чтобы увидеть картину целиком. Дальше вы решаете, закрывать находки по плану с нашей помощью или своими силами. Оставьте заявку через раздел «Контакты» или напишите в мессенджер: покажем пример отчёта и рассчитаем объём работ под вашу инфраструктуру.