Аудит ИТ

Шаблон или чек-лист для:
☑ проведения внутренних и внешних аудитов;
☑ смене поставщика ИТ-услуг;
☑ актуализации данных.

Расскажем больше, чем на сайте

Оставьте телефон — мы перезвоним.

Виды аудита (классификация)

Не существует единой классификации и методики. Различные институты, локальные и международные организации устанавливают собственные стандарты, методологии, фреймворки и рекомендации.

Варианты разделения по:

Типу: Внутренний, Внешний;
Целям: Технический, Стратегический;
Охвату: Комплексный, Направленный;
Графику: Плановый, Внеплановый;
Инициаторам: руководство, ИТ-департамент, владельцы бизнеса;
Задачам: прохождение сертификации, управления IT-процессами, смена обслуживающей компании, информационной безопасности (ИБ), управления рисками и инцидентами, разработка программного обеспечения и т.д.

Стандарты и практики:

Cobit 5 for Assurance — фреймворк управления ИТ-системами и процессами. Включает стандарты и рекомендации, описывает бизнес-цели, процессы, контрольные меры, метрики;
ITIL (Information Technology Infrastructure Library) — набор лучших практик для управления ИТ-сервисами.

Безопасность:

ISO 27001 (ISMS) — стандарт для систем управления ИБ;
NIST SP 800-53 — рекомендации по ИБ;

Методология

ISACA's IT Assurance Framework (ITAF) — методологии и стандарты;
IT Audit Framework 2nd Edition (ITAF) — термины, концепции требования к навыкам и знаниям аудиторов;
IIA's International Professional Practices Framework (IPPF) - фреймворк для внутренних аудиторов.

Услуги ИТ аудита в Киеве.

Производится бесплатно во всех тарифах ИТ Аутсорсинга
(абонентского обслуживания)

Экспресс

Оценка состояния IT сервисов. Для небольших организаций. Сжатые сроки.
___________________________

Включает:

Инвентаризация оборудования;
Сервера и внешние сервисы;
Сети и СКС;
Рабочие места;
Программное обеспечение;
Резервное копирование;
Почта и коммуникация;
Рабочие места пользователей.

___________________________
Стоимость: от 6000 грн

Комплексный

Детализированный отчет о текущем состоянии IT-систем и рекомендации.
___________________________

Включает:

Все в "Экспресс" и:
ИТ систем и процессов;
Регламентные работы;
Критические компоненты;
Документации, инструкции;
Отказоустойчивость;
Средства защиты;
Оценка безопасности.

___________________________
Стоимость: от 12000 грн

Направленный

Детальное исследование выбранного направления или отдельных элементов:
___________________________

Включает:

Проведение тестов;
Анализ уязвимостей;
Рекомендации;

Составляется индивидуальный план проведения
___________________________
Стоимость: Договорная

Аудит ИТ инфраструктуры
Пример отчета:

1. Введение

Не следует приступать к аудиту, не понимая целей заказчика.
При проблемах с сетью заказчика не будет интересовать защищенность серверов. Аналогично, при миграции инфраструктуры в облако, наличие внутренних инструкций или функционирование локальных сервисов не является приоритетным.
В зависимости от инициатора, типа, сферы деятельности могут быть разные цели.

Наиболее популярные сценарии проведения аудита для малого бизнеса:

Произошедший инцидент: взлом, потеря или утечка данных, отказ оборудования или сервисов.
Смена обслуживающей ИТ компании или штатного системного администратора;
Реорганизация, масштабирование, смена владельца, открытие филиалов, изменение (добавление) направлений деятельности, значительные изменения бизнес-процессов или ИТ инфраструктуры;
Помощь ИТ отделу. Привлечение узконаправленных специалистов для реализации специфических задач или при недостаточном уровне квалификации штатных системных администраторов;
Оценка эффективности и квалификации персонала, рекомендации по развитию;
Планирование IT бюджета, оптимизация затрат, оценка рациональности расходов;
Внедрение новых или повышение эффективности существующих, процессов, сервисов. Переход в облачную или гибридную среду;
Защита и безопасность. Анализ краткосрочных и потенциальных угроз. Оценка систем и процессов, обеспечивающих ИБ;
Достаточность имеющихся активов текущим и планируемым задачам;
Соответствия внутрикорпоративным и международным политикам, законодательным требованиям, общепринятым стандартам (ITIL, COBIT, ISACA, ITSM), соответствие уровня сервиса.

2. Организационная структура

3. Обследование, сбор данных, инвентаризация

Общее описание: маршрутизации, сегментация (VLAN), правила, ограничения, блокировки, фильтрация трафика;
VPN: протоколы, настройки шифрования, реализация аппаратно / программно;
Топология (логическая и физическая): схема размещения сетевых устройств, существующие и планируемые рабочие места, линии прокладки кабелей, состояние кабелей, розеток и патч-панелей;
Точки коммутации: вход провайдеров, соединения между коммутаторами, межэтажные соединения, размещение коммутационных узлов, розеток, линии прокладки кабелей;
Сетевые устройства: размещение, модели, тип (управляемое/неуправляемое), назначение, адреса, данные авторизации, настройки, правила;
Интернет: тип подключения (кабель, оптоволокно), сетевые параметры (IP адрес, статический/динамический, привязка к MAC), вход в биллинг, контакты провайдеров, № договора, тарифный план, дополнительные условия;
Wi-Fi: используемые контроллеры и Wi-Fi точки, гостевые сети, бесшовность, параметры шифрования, карта покрытия, используемы каналы, зашумленность;
Общие сетевые ресурсы и устройства, какие пользователи или приложения используют;
Политика санкционирования: права, разграничения, как реализовано;
Отказоустойчивость: возможные точки отказа (включая электроснабжение), дублирование, резервные интернет-каналы, сохраненные конфигурации, наличие подменных устройств;
Процедура при инцидентах, ответственные, инструкции;
Безопасность и мониторинг: управление сетью, актуальность прошивок, анализ ошибок и системных сообщений, текущая и пиковая загрузка каналов связи, сетевого трафика, открытые порты. Кто контролирует. Настройка оповещений.

Приведенная информация подходит для поверхностного исследования вопросов ИБ.

Наличие политики информационной безопасности

ПОЛИТИКА ИБ (что может угрожать) - ситуация в области потенциальных угроз: источники, последствия;
КОНЦЕПЦИЯ ИБ Какие инструменты и средства будут применяться для недопущения / предотвращени.

РИСКИ:

Недоступность сервисов, деградация (полное или частичное уничтожение);
Компрометация, утечка данных;
Нарушение целостности или искажение (подмена).

Соблюдения политик сотрудниками и процессами: управления рисками, процедуры регистрации, контроль доступа, пароли;
Соответствие стандартам: законодательным, отраслевым, нормативно-правовым, общепринятым;
Физическая защищенность серверных комнат, биометрическая идентификация, видеонаблюдение, контроль доступа;
Управления рисками: планирование и реагирование на инциденты, их регистрация и документирование;
Защита данных: шифрование, уровни доступа, регулярные аудиты;
Обновления: актуальность версий, наличие патчей для программного обеспечения и операционных систем;
Сети: корректность настройки фаерволов, брандмауэров, сетевых устройств. Мониторинг и обнаружение инцидентов, анализ трафика, контроль доступа;
Управления доступом: эффективность механизмов аутентификации и авторизации (учетные записи, групповые политики, одноразовые пароли);
Защиты данных: методы шифрования, контроль целостности, предотвращение утечки;
Приложения и программное обеспечение: аудит кода, сканирование на наличие уязвимостей, анализ архитектуры приложений, актуальность версий;
Физическая защищенность: охрана, СКД, видеонаблюдение, хранение серверов в дата-центры;
Обработки инцидентов и мониторинг: процедуры предотвращения и реагирования на инциденты, анализ отчетов, системы мониторинга.

Полезные материалы и примеры:

COBIT: модель оценки системы управления IT (отдельный раздел по ИБ - COBIT for Information Security);
ISO 27001 — международный стандарт ИБ: требования к системе менеджмента, защита информационных ресурсов;
CIS (Center for Internet Security) - сборник практик по защите информации;
OSSTM (The Open Source Security Testing Methodology Manual) - тестирование беспроводных сетей, физическая безопасность, обработка данных, влияние человеческого фактора, регулятивные требования;
NIST (National Institute of Standarts and Technology) - уязвимости сетей, социальная инженерия, рекомендации по составлению отчетов;
PTES (The Penetration Testing Execution Standart) - сбор информации, структура отчета.

Средства защиты информации

4. Результаты и заключения

Этапы аудита:

Организационный (планирование)

Встреча с заказчиком:

Определение цели, ожидаемых результатов;
Утверждение аудируемых ресурсов, методологии;
Перечень запрашиваемой информации;
Формирование стоимости (бюджет).

Согласование:

Планируемая длительность;
График доступа к объектам и проведения интервью;
Интервью: подразделения (IT, руководство, пользователи), возможные вопросы;
Выбор ответственных, их функции, роли, график общения;
Ответственный за оказание содействие аудиторам;

Запрос необходимых данных:

Внутренние инструкции, документация;
Доступы, права.

Сбор информации и обследование

Инвентаризация;
Визуальное обследование;
Анкетирование, проведение интервью;
Сбор документации;
Проверка предоставленных данных;
Проведение тестов;
Физическое обследование;
Удаленное тестирование.

Анализ, обработка, подготовка отчета

Обработка материалов;
Описание процессов;
Предварительное согласование и дополнение отчета;
Возможен запрос дополнительных данных;

Отчет включает:

Инвентаризацию с разбивкой по категориям (сервера, сети, защита, отказоустойчивость, документация и т.п.);
Описание текущего состояния;
Обнаруженные проблемы и несоответствия;
Потенциальные риски и последствия.

Предоставление и разъяснение результатов

Встреча с заказчиком;
Презентация результатов;
Обсуждение и оценка с представителями IT и руководства;
Предоставление рекомендаций и плана действий;
Планирование: приоритетность задач, обновление дорожной карты;
Подведение итогов.

Хотите узнать стоимость ИТ аудита?

Оставьте номер телефона. Мы свяжемся в ближайшее время

Нажимая на кнопку, вы даете согласие на обработку персональных данных и соглашаетесь с политикой конфиденциальности