20. Методы проведения аудита. Средства автоматизации аудита.
Понятие аудита безопасности и цели его проведения
Аудит представляет собой независимую экспертизу отдельных областей функционирования организации. Различают внешний и внутренний аудит. Внешний аудит – это, как правило, разовое мероприятие, проводимое по инициативе руководства организации или акционеров. Рекомендуется проводить внешний аудит регулярно, а, например, для многих финансовых организаций и акционерных обществ это является обязательным требованием. Внутренний аудит представляет собой непрерывную деятельность, которая осуществляется на основании «Положения о внутреннем аудите» и в соответствии с планом, подготовка которого осуществляется подразделением внутреннего аудита и утверждается руководством организации. Аудит безопасности информационных систем является одной из составляющих ИТ аудита. Целями проведения аудита безопасности являются:
анализ рисков, связанных с возможностью осуществления угроз безопасности в отношении ресурсов ИС
оценка текущего уровня защищенности ИС;
локализация узких мест в системе защиты ИС;
оценка соответствия ИС существующим стандартам в области информационной безопасности;
выработка рекомендаций по внедрению новых и повышению эффективности существующих механизмов безопасности ИС.
Виды аудита информационной безопасности
Можно выделить следующие основные виды аудита информационной безопасности:
Инструментальный анализ защищенности автоматизированной системы. Данный вид аудита направлен на выявление и устранение уязвимостей программного и аппаратного обеспечения системы.
Инструментальный анализ заключается в проведении специалистами по информационной безопасности атак на исследуемую автоматизированную систему. При этом могут применяться любые программные и аппаратные средства, доступные злоумышленникам. Основное назначение инструментального анализа – периодические проверки с целью выявления новых уязвимостей. Кроме того, данный вид аудита может применяться при обнаружении факта утечки информации ограниченного доступа с целью недопущения повторных утечек.
В общем случае инструментальный анализ состоит из двух частей:
1) исследование защищенности автоматизированной системы от удаленных атак – сканируются доступные хосты из сети заказчика, проводятся сетевые атаки с целью получения несанкционированного доступа к защищаемой информации или административным ресурсам.
2) выявление угроз информационной безопасности, исходящих от сотрудников компании или проникших в офис злоумышленников – проводится анализ способов аутентификации сотрудников компании, механизмов разделения прав доступа, определяется защищенность информации при передаче по локальной сети.
В ходе проведения инструментального анализа в основном выявляются уязвимости, связанные с устаревшими версиями программных продуктов и некорректной их настройкой, хотя и могут быть выявлены существенные недочеты в корпоративной политике безопасности.
Оценка автоматизированных систем на предмет соответствия рекомендациям международных стандартов и требованиям руководящих документов ФСТЭК, ГОСТов, отраслевых стандартов.
Данный вид аудита является исследованием системы защиты информации на предмет соответствия требованиям официальных документов, например российских - «Специальные требования и рекомендации по технической защите конфиденциальной информации» (СТР-К), "Безопасность информационных технологий. Критерии оценки безопасности информационных технологий" (ГОСТ Р ИСО/МЭК 15408-2002) или зарубежных - "Информационные технологии. Управление информационной безопасностью" - ISO/IEC 17799, WebTrust и других.
Особенностью аудита на соответствие стандартам является его связь с другой услугой - сертификацией. В случае успешного прохождения аудита компания получит сертификат соответствия своей системы защиты информации. А это - серьезный плюс к имиджу любой публичной организации, особенно работающей с зарубежными партнерами. Следует отметить, что в государственных организациях, работающих с информацией, составляющей государственную тайну, сертификация системы защиты информации обязательна. Другой особенностью аудита на предмет соответствия стандартам является то, что право выдавать сертификаты имеют только организации, имеющие необходимые лицензии на право осуществления подобных видов деятельности или являющиеся специализированными аттестационными центрами.
Отчет о проведении такого вида аудита в общем случае содержит следующую информацию: степень соответствия проверяемой автоматизированной системы выбранным стандартам, количество и категории полученных несоответствий и замечаний, рекомендации по построению или модификации системы обеспечения информационной безопасности, которые позволят привести ее в соответствие с рассматриваемыми стандартами. К результатам может добавиться также степень соответствия системы защиты информации внутренним требованиям руководства организации-заказчика.
Экспертный аудит защищенности автоматизированной системы. В процессе проведения данного вида аудита должны быть выявлены недостатки в системе защиты информации на основе имеющегося опыта экспертов, участвующих в процедуре обследования.
Экспертный аудит заключается в подробном исследовании системы защиты автоматизированной системы заказчика и в ее сравнении с некоторой идеальной моделью обеспечения информационной безопасности. Причем идеальная модель в каждом конкретном случае может меняться в зависимости от требований заказчика и собственного опыта компании-аудитора.
Результатом экспертного исследования является подготовка и предоставление клиентам отчета, в котором содержится информация о найденных уязвимостях системе защиты и недочетах в пакете организационно-распорядительных документов, а также предложения по их устранению. Кроме того, эксперты могут дать рекомендации по выбору и применению систем защиты информации и других дополнительных специальных технических средств.
Каждый из вышеперечисленных видов аудита может проводиться отдельно или в комплексе в зависимости от тех задач, которые необходимо решить в организации. В качестве объекта аудита может выступать как автоматизированная система компании в целом, так и её отдельные сегменты, в которых проводится обработка информации ограниченного доступа.
Состав работ по аудиту информационной безопасности
В общем случае аудит безопасности вне зависимости от формы его проведения состоит из четырёх основных этапов:
Разработка регламента проведения аудита
Сбор исходных данных
Анализ полученных данных
Разработка рекомендаций по повышению уровня защиты автоматизированной системы
На первом этапе совместно с заказчиком разрабатывается регламент, устанавливающий состав и порядок проведения работ. Основная задача регламента заключается в определении границ, в рамках которых будет проведено обследование. Регламент является тем документом, который позволяет избежать взаимных претензий по завершении аудита, поскольку чётко определяет обязанности сторон.
На втором этапе в соответствии с согласованным регламентом осуществляется сбор исходной информации. Методы сбора информации включают интервьюирование сотрудников заказчика, анализ предоставленной организационно-распорядительной и технической документации, использование специализированных инструментальных средств. На данном этапе собирается информация следующих типов:
Организационно-распорядительная документация по вопросам информационной безопасности (политика информационной безопасности компании, руководящие документы, регламенты работы пользователей с информационными ресурсами)
Информация об аппаратном обеспечении хостов (перечень серверов, рабочих станций, коммутационного оборудования автоматизированной системы; информация об аппаратной конфигурации серверов, данные о периферийном оборудовании)
Информация об общесистемном ПО (информация об операционных системах и СУБД, используемых в исследуемой системе)
Информация о прикладном ПО (перечень прикладного ПО общего и специального назначения; описание функциональных задач, решаемых с помощью прикладного ПО)
Информация о средствах защиты, установленных в автоматизированной системе (информация о производителе средства защиты, сведения о конфигурации средств защиты, схема установки средств защиты)
Информация о топологии автоматизированной системы (топология локальной сети, сведения о типах каналов связи и используемых в автоматизированной системе сетевых протоколах, схема информационных потоков)
Третий этап работ предполагает проведение анализа собранной информации с целью оценки текущего уровня защищённости автоматизированной системы заказчика.
В процессе анализа определяются риски информационной безопасности, которым может быть подвержена компания. Фактически риск представляет собой интегральную оценку того, насколько эффективно существующие средства защиты способны противостоять атакам с использованием информационных технологий.
В зависимости от вида аудита используются две основные группы методов расчёта рисков безопасности. Первая группа методов позволяет установить уровень риска путём оценки степени соответствия определённому набору требований по обеспечению информационной безопасности. В качестве источников таких требований могут выступать:
Нормативно-правовые документы предприятия, касающиеся вопросов информационной безопасности;
Требования действующего российского законодательства – руководящие документы ФСТЭК (Гостехкомиссии), СТР-К, требования ФСБ РФ, ГОСТы и др.;
Рекомендации международных стандартов – ISO 17799, OCTAVE, CoBIT и др.;
Рекомендации компаний-производителей программного и аппаратного обеспечения – Microsoft, Oracle, Cisco и др.
Данная группа методов используется при проведении оценки автоматизированных систем на предмет соответствия стандартам и руководящим документам.
Вторая группа методов оценки рисков информационной безопасности используется при проведении инструментального анализа защищенности и базируется на определении вероятности реализации атак, а также уровней их ущерба. В данном случае значение риска вычисляется отдельно для каждой атаки и в общем случае представляется как произведение вероятности проведения атаки на величину возможного ущерба от этой атаки. Значение ущерба определяется собственником информационного ресурса, а вероятность атаки вычисляется группой экспертов, проводящих процедуру аудита.
Методы первой и второй группы могут использовать количественные или качественные шкалы для определения величины риска информационной безопасности. В первом случае риск и все его параметры выражаются в числовых значениях. Так, например, при использовании количественных шкал вероятность проведения атаки может выражаться числом в определенном интервале, а ущерб атаки может задаваться в виде денежного эквивалента материальных потерь, которые может понести организация в случае успешного проведения атаки. При использовании качественных шкал числовые значения заменяются на эквивалентные им понятийные уровни. Каждому понятийному уровню в этом случае будет соответствовать определённый интервал количественной шкалы оценки.
При расчете значений вероятности проведения атаки, а также уровня возможного ущерба могут использоваться статистические методы, методы экспертных оценок или элементы теории принятия решений.
По результатам проведённого анализа на четвёртом этапе проводится разработка рекомендаций по повышению уровня защищённости автоматизированной системы от угроз информационной безопасности.
Такие рекомендации могут включать в себя следующие типы действий, направленных на минимизацию выявленных рисков:
уменьшение риска за счёт использования дополнительных организационных и технических средств защиты, позволяющих снизить вероятность проведения атаки или уменьшить возможный ущерб от неё. Так, например, установка межсетевых экранов в точке подключения автоматизированной системы к сети Интернет позволяет существенно снизить вероятность проведения успешной атаки на общедоступные информационные ресурсы системы, такие как Web-серверы, почтовые серверы и т.д.;
уклонение от риска путём изменения архитектуры или схемы информационных потоков автоматизированной системы, что позволяет исключить возможность проведения той или иной атаки. Так, например, физическое отключение от сети Интернет сегмента автоматизированной системы, в котором обрабатывается конфиденциальная информация, позволяет исключить атаки на конфиденциальную информацию из этой сети;
изменение характера риска в результате принятия мер по страхованию. В качестве примеров такого изменения характера риска можно привести страхование оборудования автоматизированной системы от пожара или страхование информационных ресурсов от возможного нарушения их конфиденциальности, целостности или доступности;
принятие риска в том случае, если он уменьшен до того уровня, на котором он не представляет опасности для автоматизированной системы.
Как правило, разработанные рекомендации направлены не на полное устранение всех выявленных рисков, а лишь на их уменьшение до приемлемого остаточного уровня. При выборе мер по повышению уровня защиты автоматизированной системы учитывается одно принципиальное ограничение – стоимость их реализации не должна превышать стоимость защищаемых информационных ресурсов.
В завершении процедуры аудита его результаты оформляются в виде отчётного документа, который предоставляется заказчику. В общем случае этот документ состоит из следующих основных разделов:
описание границ, в рамках которых был проведён аудит безопасности;
описание структуры автоматизированной системы заказчика;
методы и средства, которые использовались в процессе проведения аудита;
описание выявленных уязвимостей и недостатков, включая уровень их риска;
рекомендации по совершенствованию комплексной системы обеспечения информационной безопасности;
предложения по плану реализации первоочередных мер, направленных на минимизацию выявленных рисков.
Заключение
Аудит информационной безопасности является сегодня одним из наиболее эффективных инструментов для получения независимой и объективной оценки текущего уровня защищённости предприятия от угроз информационной безопасности. Кроме того, результаты аудита используются для формирования стратегии развития системы защиты информации в организации. Необходимо помнить, что аудит безопасности не является однократной процедурой, а должен проводиться на регулярной основе. Только в этом случае аудит будет приносить реальную пользу и способствовать повышению уровня информационной безопасности компании.