Аудит информационной безопасности в Екатеринбурге

Задача часто шире, чем только настройки. Если аудит покажет, что проблема в архитектуре, оборудовании или порядке обслуживания, мы предложим отдельный маршрут. Начать можно с оценки ИТ-инфраструктуры: аудит информационных систем дает базовую картину по серверам и сервисам, а аудит информационной безопасности добавляет к ней контроль, права и требования.

Что входит в проверку информационной безопасности

Аудит идет по нескольким направлениям, а не только по настройкам оборудования: регламенты и обучение персонала тоже смотрят. Начинаем с простого вопроса: что именно вы хотите защитить и от какой угрозы.

Периметр сети: что смотрим

Смотрим настройки межсетевых экранов, открытые порты, правила доступа к внутренним ресурсам. Периметр считается первой линией обороны, и именно здесь чаще всего находится слабое звено. Отдельно оцениваем сетевую безопасность офиса, удаленных подключений и служебных каналов.

Оцениваем, есть ли правила по умолчанию для новых сервисов, кто и как быстро их пересматривает. Открытая точка входа или информационная система с правилом, написанным под конкретную задачу и с тех пор не пересмотренным, быстро превращается в риск для всей компании.

Здесь же оцениваем подключения снаружи: офисные каналы, доступ партнеров, удаленные терминалы. Разбор каналов связи показывает, сколько путей внутрь остается открытым. Разбор информационных активов и безопасность каналов идут в одном контуре: без первого непонятно, что охранять, без второго непонятно, откуда ждать угрозы. Отдельно смотрим, как в организации устроено обслуживание узлов: кто отвечает за обновления, кто за доступы и кто за реакцию на инцидент.

Отдельно смотрим информационные активы: перечень носителей и архивов, с которыми работает компания. Анализ информационной инфраструктуры дает картину по ним.

Анализ информационных активов показывает, какие из них действительно нужны, а какие давно не используются. Без такой карты безопасность оценивается на глаз, а разбор информационной среды превращается в перечисление находок без данных для решений. Отдельный блок посвящен безопасности каналов и помещений: аудит информационных систем тут дает только техническую картину, а не картину работы с рисками.

Учетные записи и права доступа

Проверяем политики доступа, находим избыточные права, устаревшие и неактивные учетные записи. Учетные записи бывших сотрудников с сохраненным доступом остаются одним из самых частых путей утечки сведений, поэтому их смотрят в первую очередь.

Разбираем и логику прав: разграничение по ролям, принцип минимальных привилегий, порядок выдачи и отзыва доступов. Отдельно обращаем внимание на общие учетные записи и на ситуации, когда один специалист может внести изменения в любую информационную систему.

Разбор прав доступа дает компании понятную картину: кто и к каким сведениям имеет отношение. Эту картину используют и при работе с персональными данными, где круг допущенных лиц должен быть подтвержден документально.

Рабочие станции и серверы

Смотрим на актуальность обновлений операционных систем и программ, настройку антивирусных решений, политики шифрования дисков. Отдельно оцениваем обслуживание серверов: состояние узла, качество журналов и порядок восстановления.

Оцениваем и удаленные рабочие места. Подключение из дома, с ноутбука в кафе или через мобильный телефон выглядит безобидно, но такие каналы чаще всего оказываются открытыми. Технический осмотр включает настройки подключения, шифрование и правила хранения локальных копий.

Отдельно смотрим, как устроено обслуживание: есть ли единая процедура обновления, кто отвечает на сбой и ведутся ли журналы в понятном виде. Эти вопросы редко относятся к железу, но именно они чаще всего определяют уровень защищенности узла. Сюда же относится оценка нагрузки на каналы: сколько устройств, как они обновляются и есть ли запас по производительности.

Хранение и передача сведений

Оцениваем, как хранятся и передаются конфиденциальные сведения компании и ее клиентов: шифрование, резервное копирование, защита каналов. Смотрим, есть ли копии на личных устройствах и в личной переписке, и понятно ли сотрудникам, что можно отправлять, а что нельзя.

Отдельный блок разбора: обмен сведениями с внешними поставщиками и подрядчиками. Соглашения о конфиденциальности, маршруты передачи и требования к их собственной безопасности часто остаются вне зоны нашей проверки, хотя именно через них уходит значимая часть информации. Отдельно смотрим на процессы отбора и обучения персонала.

Меры против разных угроз требуют разного подхода. То, что спасает от случайной ошибки, обычно не помогает от целенаправленного доступа, поэтому аудит разделяет эти сценарии. Отдельно оцениваем обработку данных в учетных программах: кто входит, что видит и куда выгружает. Отдельно смотрим информационные системы учета и их права: именно в них чаще всего лежат персональные данные и сведения о клиентах. Информационные активы распределяются по уровням доступа, и эту картину мы тоже показываем в отчете. Отдельно смотрим информационные системы резервного копирования: там сведения лежат в открытом виде чаще, чем кажется. Информационные системы в цехе, на складе и в филиале оцениваем по тем же критериям, что и офисные. Анализ информационной инфраструктуры и безопасность этих узлов идут в одном отчете, чтобы клиенту не нужно было собирать картину из нескольких документов.

Работоспособность установленных решений

Антивирус, межсетевой экран и другие средства защиты у большинства фирм уже установлены. Смотрим, что они обновляются, что политики в них настроены под реальные задачи, а журналы не переполняются и доступны для разбора инцидентов.

Установленные решения без настроек остаются декорацией. Стоит оценить, отключены ли неиспользуемые правила, разрешены ли по умолчанию сомнительные сценарии и есть ли понятная процедура разбора сработавшей сигнализации. Отдельно смотрим на DLP-системы и защиту данных при отправке сведений за пределы компании.

Аудит также показывает, где системы защиты работают вхолостую: установлены, обновляются, но не настроены под реальные процессы компании. Такой разбор занимает меньше времени, чем внедрение новых решений.

Беспроводная сеть и веб-приложения

Смотрим настройки Wi-Fi, шифрование беспроводного доступа и гостевые сети в офисе. Отдельно тестируем веб-приложения и личные кабинеты: права на сервере, ошибки в настройке, доступ к административным функциям и наличие возможности отката.

Такое тестирование дает много находок, а результаты мы сразу сводим в одну таблицу рисков. Слабые пароли в служебных учетных записях, отсутствие ограничений на загрузку файлов и открытые консоли администрирования выглядят мелочами, но вместе они складываются в реальный путь к сведениям.

Сюда же относится диагностика веб-приложений, которыми компания пользуется снаружи: личные кабинеты, интеграции с внешними системами, обмен сведениями с партнерами. Информация, которая уходит через такой канал, часто не попадает ни в один регламент организации.

Оценка соответствия 152-ФЗ

Если компания обрабатывает персональные данные клиентов или сотрудников, сверяем меры с требованиями закона и отмечаем расхождения, которые могут привести к штрафам. Смотрим круг лиц с доступом, порядок передачи и наличие документов.

Разбор требований и типовых ошибок мы собрали в статье про простые правила защиты. Если аудит показал нарушения, вы получаете не только список, но и понятный порядок их закрытия.

Отдельно смотрим, как в компании ведется учет персональных данных, какие сведения обрабатываются, как закрыт доступ к носителям данных и кто отвечает за их защиту. Эти пункты чаще всего отсутствуют, хотя именно они первыми попадают в поле зрения проверяющих.

Виды проверки информационной безопасности

Формат аудита зависит от задачи и от состояния компании. Ниже три основных сценария, которые чаще всего заказывают фирмы разного размера.

Внутренняя и внешняя оценка

Внутреннюю оценку проводят свои специалисты по ИБ, внешнюю привлекает подрядчик. Внешний аудит ИБ полезен, когда своих компетенций не хватает или нужен взгляд со стороны без оглядки на внутренние регламенты.

Внутренний формат дешевле и не требует передачи чувствительной информации внешнему исполнителю, но нагружает штат и может незаметно сузить охват. Внешний аудит дает независимые результаты, которые проще показать руководству, партнерам и проверяющим.

Экспресс-оценка и полная оценка

Экспресс-аудит занимает меньше времени и идет по ключевым направлениям: периметр, доступ, рабочие станции, требования 152-ФЗ. Такой формат подходит, когда нужно быстро понять состояние систем и регламентов и принять решение о дальнейших шагах.

Полная оценка добавляет разбор процессов, документации, обучения персонала и повторные замеры после устранения находок. Отдельно смотрим, как в компании устроена деятельность по сопровождению систем: кто отвечает за обновления, кто за доступы и кто за реакцию на инцидент.

Тестирование на проникновение

Пентест отвечает на вопрос, дойдет ли нарушитель до цели при реальном сценарии. Он дополняет общий разбор: аудит дает широкую картину, а тестирование на проникновение показывает конкретный путь и время, которое понадобилось.

Важно заранее согласовать границы и правила проведения. Тестирование на проникновение выполняется в согласованное время и по согласованным правилам, чтобы аудит не затронул процессы компании. Различия форматов мы разобрали в материале про утечки информации.

Отдельно про аудит ИБ с фокусом на периметр: его часто заказывают компаниям с большим числом внешних сервисов и подключений. Здесь важна глубина проверки каналов и четкая граница ответственности.

Как проходит аудит: этапы проведения

Работа идет последовательно, каждый этап опирается на итог предыдущего. Это позволяет не распылять усилия и не начинать аудит с неверных границ.

Подготовка и согласование границ

Определяем, какие системы, офисы и информационные активы входят в аудит. Фиксируем согласованные часы, правила и список лиц, к которым можно обращаться во время проведения. Аудит начинается с договоренностей, а не с проверок.

На этом же этапе оформляем соглашение о конфиденциальности: аудит по своей сути означает доступ к чувствительным сведениям, и их использование должно быть ограничено рамками договора. Заказчик заранее определяет, кто видит отчет и кто утверждает план.

Сбор информации и разбор

Изучаем документацию, регламенты, матрицу прав, договоры с подрядчиками. Сверяем заявленные меры с тем, как они действуют на самом деле, и отмечаем участки, которые нигде не описаны.

Полезный вопрос на этом этапе: откуда специалист узнает, что делать при инциденте и какой процесс запускать. Если ответа нет, проверка уже нашла пробел, и он не зависит от настроек оборудования. В этом смысле анализ проверяет и порядок обслуживания.

Отдельно изучаем информационные активы: перечень носителей и архивов, с которыми работает компания. Аудит без такого списка превращается в формальную проверку.

Проверка рисков и оценка

Выполняем технические мероприятия, оцениваем настройки, права и каналы передачи информации. Каждая находка получает уровень риска: насколько она опасна, как ее можно использовать и что произойдет при эксплуатации.

Наша проверка рисков строится по трем параметрам: вероятность, возможный ущерб и сложность повторения. Высокий риск означает не просто наличие недочета, а понятный сценарий, который приведет к потере информации или остановке процессов.

Аудит на этом этапе оценивает не только настройки, но и саму методику: насколько риски посчитаны честно и можно ли по ним принять решение. Отдельно смотрим, как информационные активы разделены по уровням доступа.

Отчет и дорожная карта

Готовим документ с результатами, перечнем находок и планом устранения. Отдельно описываем требуемые изменения в регламентах и документации.

Перед защитой проекта обсуждаем находки с вашими специалистами: аудит показал, что часть вопросов закрывается изменением настроек, часть требует правки процессов, часть стоит денег. Так дорожная карта остается реалистичной, а не формальным списком.

Отчет содержит и результаты в понятной для руководства форме: сколько критичных находок, сколько времени займет устранение и какие средства понадобятся. Эти цифры помогают бизнесу принять решение о бюджете и спланировать следующий аудит через год.

Аудит не заканчивается на отчете: через несколько месяцев мы повторяем ключевые замеры и показываем, как изменился уровень защищенности.

Что вы получаете по итогам аудита

По окончании проведения аудита мы передаем отчет, который содержит:

• Перечень обнаруженных уязвимостей с описанием, уровнем риска и примерами последствий
• Оценку уровня защищенности по ключевым направлениям и сводку для руководства
• Дорожную карту устранения с приоритетами, конкретными шагами и оценкой сроков
• Рекомендации по соответствию 152-ФЗ, если применимо
• Предложение по реализации: мы можем не только найти, но и устранить все обозначенные проблемы

Материалы можно взять сразу. Перечень находок подходит для планирования бюджета, а рекомендации по регламентам пригодятся для обновления документации. По вопросам, которые выходят за рамки безопасности, мы подключаем ИТ-консалтинг и управление ИТ-инфраструктурой, чтобы решения не разошлись с архитектурой организации.

Отчет остается рабочим документом и после проекта. По нему удобно принимать решения о закупке средств, обучать сотрудников и объяснять руководству, зачем нужны вложения. Результаты аудита становятся основой для плана развития на год вперед и для проверки бизнес-процессов, связанных с обработкой информации.

Отдельный разбор мы посвящаем процессам работы с персональными данными в компании и оценке того, кто к ним имеет отношение.

Аудит может стать повторной процедурой: раз в год мы сверяем состояние с предыдущим отчетом и видим динамику по каждому направлению.

Соответствие требованиям информационной безопасности

Работа всегда идет от требований, которые применимы к вашей организации. Ниже основные рамки, на которые мы опираемся при оценке соответствия.

152-ФЗ и персональные данные

Закон задает минимальные условия обработки персональных данных: их нужно охранять, ограничивать доступ и обезличивать там, где это возможно. Аудит показывает, выполнены ли эти условия фактически, а не только в документах.

Обработка данных в учетных системах и на бумаге регулируется по-разному, поэтому аудит смотрит оба канала. Отдельно оцениваем, есть ли в организации порядок, при котором обработка персональных данных прекращается вместе с увольнением сотрудника.

Приказы ФСТЭК 17 и 21

Эти документы задают набор мер для государственных информационных систем и базовый перечень мер защиты. Смотрим, какие требования к вам относятся, и сравниваем фактическое состояние со стандартами и нормативами.

Смежные задачи по защите от вторжений и защите периметра разбираем отдельно, когда речь идет о целенаправленном противодействии угрозам. Аудит в этом случае становится частью более широкой программы.

Уровень защищенности и стандарты

Регуляторы и клиенты все чаще смотрят не на формальное наличие мер, а на то, действуют ли они. Поэтому аудит включает оценку общего состояния и проверку соответствия внутренним стандартам компании.

Понятная оценка полезна и сама по себе: она превращает разговор о безопасности из абстрактного в конкретный. Практические советы по этой теме собраны в статье о том, как снизить риски кибератак. Отдельная оценка помогает и тогда, когда требования заданы в общих словах, а смотреть нужно факты.

Стандарты и внутренние политики проверяем отдельным блоком, чтобы увидеть полную картину. Стандарты компании при этом не должны противоречить друг другу, а сам аудит показывает, где именно возникает расхождение. Если часть требований задана стандартами отрасли, приводим документы к общему виду и сверяем с ними наши выводы.

Отдельно смотрим информационную инфраструктуру: ее состояние, актуальность и то, насколько она готова к расширению. Модель безопасности и распределение информационных активов между подразделениями обсуждаются на старте вместе с планом работ. Анализ информационных активов помогает отделить реальные угрозы от формальных нарушений и лишних средств защиты, а разбор регламентов показывает, кто за них отвечает. Вопросы безопасности и предотвращение инцидентов обсуждаются отдельно, там же оцениваем объем накопленных данных и качество их хранения. Безопасность офисной инфраструктуры и информационных систем оценивается по единому чек-листу, чтобы результат был сравнимым. Аудит в этой части опирается на сведения о составе оборудования и на регламенты обслуживания.

Сроки и формат работы

Сроки зависят от объема и согласуются до начала проведения. Мы не называем одну цифру для всех: объем аудита зависит от инфраструктуры, и экспресс-оценка отличается от полной в несколько раз.

Мероприятия идут этапами, вы видите промежуточный итог и можете корректировать задачу. Аудит информационной безопасности проводится без остановки процессов: проверка идет в согласованные часы, нагрузка на пользователей остается незаметной. Стоимость и сроки фиксируются в договоре и не меняются по ходу проекта.

Отдельно предлагаем услугу технического аудита информационной безопасности по отдельным направлениям. Такую проверку можно провести в рамках действующего договора на обслуживание.

Почему стоит выбрать АйТи-Сети

Более 15 лет мы занимаемся информационной безопасностью компаний Екатеринбурга. Государственная аккредитация, сертифицированные специалисты по ИБ, соглашение о конфиденциальности и договор с фиксированной стоимостью и сроками.

Наш подход простой: сначала аудит информационной безопасности, потом устранение найденных проблем силами той же команды. Не нужно искать второго подрядчика, чтобы разобраться с результатами. Если вопросы выходят за рамки безопасности, подключаем ИТ-директора и аутсорсинг ИТ, чтобы инфраструктура продолжала работать без сбоев. Как уберечь компанию от мошенников, мы писали в отдельном материале.

Отдельная наша услуга: техническая поддержка и обслуживание оборудования. После аудита информационной безопасности устранение часто требует именно технических работ, и удобнее получить их в одном договоре, чем искать второго исполнителя. Эту услугу можно заказать и отдельно, если задача уже понятна.

Аудит информационной безопасности от нашей команды подходит компаниям, которым важно и понимание рисков, и готовая инфраструктура для их закрытия. Мы предлагаем аудит ИБ как самостоятельную услугу и как часть ежегодного обслуживания.

Заключение

Аудит информационной безопасности дает ответ на главный вопрос: насколько организация готова к реальной угрозе и где находятся ее слабые места. Он не останавливает деятельность компании и не требует перестройки инфраструктуры.

Мы предлагаем начать с короткой экспресс-оценки, чтобы увидеть картину целиком. Дальше вы решаете, идти ли по дорожной карте устранения с нашей помощью или закрывать задачи своими силами. Оставьте заявку через раздел Контакты или напишите в мессенджер: покажем пример отчета и рассчитаем объем работ под вашу инфраструктуру.