Аудит ІТ

Шаблон або чек-лист для:
☑ проведення внутрішніх і зовнішніх аудитів;
☑ зміни постачальника ІТ-послуг;
☑ актуалізації даних.

Розповімо більше, ніж на сайті

Залиште телефон — ми перетелефонуємо.

Види аудиту (класифікація)

Не існує єдиної класифікації та методики. Різні інституції, локальні та міжнародні організації встановлюють власні стандарти, методології, фреймворки та рекомендації.

Варіанти розподілу по:

Типу: Внутрішній, Зовнішній;
Цілям: Технічний, Стратегічний;
Охопленням: Комплексний, Спрямований;
Графіку: Плановий, Позаплановий;
Ініціаторам: керівництво, ІТ-департамент, власники бізнесу;
Завданням: проходження сертифікації, управління IT-процесами, зміна обслуговуючої компанії, інформаційна безпека (ІБ), управління ризиками та інцидентами, розробка програмного забезпечення тощо.

Стандарти та практики:

Cobit 5 for Assurance - фреймворк управління ІТ-системами та процесами. Включає стандарти та рекомендації, описує бізнес-цілі, процеси, контрольні заходи, метрики;
ITIL (Information Technology Infrastructure Library) - набір найкращих практик для управління ІТ-сервісами.

Безпека:

ISO 27001 (ISMS) - стандарт для систем управління ІБ;
NIST SP 800-53 - рекомендації з ІБ;

Методологія

ISACA's IT Assurance Framework (ITAF) - методології та стандарти;
IT Audit Framework 2nd Edition (ITAF) - терміни, концепції, вимоги до навичок і знань аудиторів;
IIA's International Professional Practices Framework (IPPF) - фреймворк для внутрішніх аудиторів.

Послуги ІТ аудиту в Києві

Проводиться безкоштовно у всіх тарифах ІТ Аутсорсингу
(абонентського обслуговування)

Експрес

Оцінка стану IT сервісів. Для невеликих організацій. Стислі терміни.
___________________________

Включає:

Інвентаризація обладнання;
Сервера і зовнішні сервіси;
Мережі та СКС;
Робочі місця;
Програмне забезпечення;
Резервне копіювання;
Пошта та комунікація;
Робочі місця користувачів.

___________________________
Вартість: від 6000 грн

Комплексний

Деталізований звіт про поточний стан IT-систем і рекомендації.
___________________________

Включає:

Усе в "Експрес" і:

ІТ систем і процесів;
Регламентні роботи;
Критичні компоненти;
Документації, інструкції;
Відмовостійкість;
Засоби захисту;
Оцінювання безпеки.

___________________________
Вартість: від 12000 грн

Спрямований

Детальне дослідження обраного напряму або окремих елементів:
___________________________

Включає:

Проведення тестів;
Аналіз вразливостей;
Рекомендації;

Складається індивідуальний план проведення
___________________________
Вартість: Договірна

Аудит ІТ інфраструктури
Приклад звіту:

1. Вступ

Не слід приступати до аудиту, не розуміючи мети замовника.
У разі проблем із мережею замовника не цікавитиме захищеність серверів. Аналогічно, під час міграції інфраструктури в хмару, наявність внутрішніх інструкцій або функціонування локальних сервісів не є пріоритетним.
Залежно від ініціатора, типу, сфери діяльності можуть бути різні цілі.

Найпопулярніші сценарії проведення аудиту для малого бізнесу:

Інцидент, що стався: злом, втрата або витік даних, відмова обладнання або сервісів.
Зміна обслуговуючої ІТ компанії або штатного системного адміністратора;
Реорганізація, масштабування, зміна власника, відкриття філій, зміна (додавання) напрямків діяльності, значні зміни бізнес-процесів або ІТ інфраструктури;
Допомога ІТ відділу. Залучення вузькоспрямованих фахівців для реалізації специфічних завдань або при недостатньому рівні кваліфікації штатних системних адміністраторів;
Оцінка ефективності та кваліфікації персоналу, рекомендації щодо розвитку;
Планування IT бюджету, оптимізація витрат, оцінка раціональності витрат;
Впровадження нових або підвищення ефективності наявних, процесів, сервісів. Перехід у хмарне або гібридне середовище;
Захист і безпека. Аналіз короткострокових і потенційних загроз. Оцінка систем і процесів, що забезпечують ІБ;
Достатність наявних активів поточним і планованим завданням;
Відповідності внутрішньокорпоративним і міжнародним політикам, законодавчим вимогам, загальноприйнятим стандартам (ITIL, COBIT, ISACA, ITSM), відповідність рівня сервісу.

2. Організаційна структура

3. Обстеження, збір даних, інвентаризація

Загальний опис: маршрутизації, сегментація (VLAN), правила, обмеження, блокування, фільтрація трафіку;
VPN: протоколи, налаштування шифрування, реалізація апаратно/програмно;
Топологія (логічна і фізична): схема розміщення мережевих пристроїв, наявні та плановані робочі місця, лінії прокладання кабелів, стан кабелів, розеток і патч-панелей;
Точки комутації: вхід провайдерів, з'єднання між комутаторами, міжповерхові з'єднання, розміщення комутаційних вузлів, розеток, лінії прокладання кабелів;
Мережеві пристрої: розміщення, моделі, тип (керований/некерований), призначення, адреси, дані авторизації, налаштування, правила;
Інтернет: тип підключення (кабель, оптоволокно), мережеві параметри (IP адреса, статична/динамічна, прив'язка до MAC), вхід до білінгу, контакти провайдерів, № договору, тарифний план, додаткові умови;
Wi-Fi: використовувані контролери і Wi-Fi точки, гостьові мережі, безшовність, параметри шифрування, карта покриття, використовувані канали, зашумленість;
Загальні мережеві ресурси і пристрої, які користувачі або додатки використовують;
Політика санкціонування: права, розмежування, як реалізовано;
Відмовостійкість: можливі точки відмови (включно з електропостачанням), дублювання, резервні інтернет-канали, збережені конфігурації, наявність підмінних пристроїв;
Процедура в разі інцидентів, відповідальні, інструкції;
Безпека і моніторинг: управління мережею, актуальність прошивок, аналіз помилок і системних повідомлень, поточне і пікове завантаження каналів зв'язку, мережевого трафіку, відкриті порти. Хто контролює. Налаштування сповіщень.

Наведена інформація підходить для поверхневого дослідження питань ІБ.

Наявність політики інформаційної безпеки

ПОЛІТИКА ІБ (що може загрожувати) - ситуація в галузі потенційних загроз: джерела, наслідки;
КОНЦЕПЦІЯ ІБ Які інструменти та засоби застосовуватимуться для недопущення / запобігання.

РИЗИКИ:

Недоступність сервісів, деградація (повне або часткове знищення);
Компрометація, витік даних;
Порушення цілісності або спотворення (підміна).

Дотримання політик співробітниками і процесами: управління ризиками, процедури реєстрації, контроль доступу, паролі;
Відповідність стандартам: законодавчим, галузевим, нормативно-правовим, загальноприйнятим;
Фізична захищеність серверних кімнат, біометрична ідентифікація, відеоспостереження, контроль, охорона, СКД, зберігання серверів у дата-центрах;;
Управління ризиками: планування та реагування на інциденти, їх реєстрація та документування;
Захист даних: шифрування, рівні доступу, регулярні аудити;
Оновлення: актуальність версій, наявність патчів для програмного забезпечення та операційних систем;
Мережі: коректність налаштування фаєрволів, брандмауерів, мережевих пристроїв. Моніторинг і виявлення інцидентів, аналіз трафіку, контроль доступу;
Управління доступом: ефективність механізмів аутентифікації та авторизації (облікові записи, групові політики, одноразові паролі);
Захист даних: методи шифрування, контроль цілісності, запобігання витоку;
Додатки та програмне забезпечення: аудит коду, сканування на наявність вразливостей, аналіз архітектури додатків, актуальність версій;

Обробки інцидентів і моніторинг: процедури запобігання та реагування на інциденти, аналіз звітів, системи моніторингу.

Корисні матеріали та приклади:

COBIT: модель оцінки системи управління IT (окремий розділ з ІБ - COBIT for Information Security);
ISO 27001 - міжнародний стандарт ІБ: вимоги до системи менеджменту, захист інформаційних ресурсів;
CIS (Center for Internet Security) - збірник практик із захисту інформації;
OSSTM (The Open Source Security Testing Methodology Manual) - тестування бездротових мереж, фізична безпека, обробка даних, вплив людського фактора, регулятивні вимоги;
NIST (National Institute of Standarts and Technology) - уразливості мереж, соціальна інженерія, рекомендації щодо складання звітів;
PTES (The Penetration Testing Execution Standart) - збір інформації, структура звіту.

4. Результати та висновки

Етапи аудиту:

Організаційний (планування)

Зустріч із замовником:

Визначення мети, очікуваних результатів;
Затвердження аудійованих ресурсів, методології;
Перелік запитуваної інформації;
Формування вартості (бюджет).

Узгодження:

Запланована тривалість;
Графік доступу до об'єктів і проведення інтерв'ю;
Інтерв'ю: підрозділи (IT, керівництво, користувачі), можливі запитання;
Вибір відповідальних, їхні функції, ролі, графік спілкування;
Відповідальний за надання сприяння аудиторам;

Запит необхідних даних:

Внутрішні інструкції, документація;
Доступи, права.

Збір інформації та обстеження

Інвентаризація;
Візуальне обстеження;
Анкетування, проведення інтерв'ю;
Збір документації;
Перевірка наданих даних;
Проведення тестів;
Фізичне обстеження;
Віддалене тестування.

Аналіз, опрацювання, підготовка звіту

Обробка матеріалів;
Опис процесів;
Попереднє узгодження та доповнення звіту;
Можливий запит додаткових даних;

Звіт включає:

Інвентаризацію з розбивкою за категоріями (сервери, мережі, захист, відмовостійкість, документація тощо);
Опис поточного стану;
Виявлені проблеми та невідповідності;
Потенційні ризики та наслідки.

Надання та роз'яснення результатів

Зустріч із замовником;
Презентація результатів;
Обговорення та оцінка з представниками IT і керівництва;
Надання рекомендацій і плану дій;
Планування: пріоритетність завдань, оновлення дорожньої карти;
Підбиття підсумків.

Хочете дізнатися вартість ІТ аудиту?

Залиште номер телефону. Ми зв'яжемося найближчим часом

Натискаючи на кнопку, ви даєте згоду на обробку персональних даних і погоджуєтеся з політикою конфіденційності.