Подход к выбору метода внутреннего аудита информационной безопасности на предприятии

Размещено на http://www.allbest.ru/

Размещено на http://www.allbest.ru/

Подход к выбору метода внутреннего аудита информационной безопасности на предприятии

В настоящее время основу работы любого современного предприятия, вне зависимости от формы собственности, составляет информация, представленная как в электронном виде, так и на бумажных носителях. При этом информация может быть как открытого доступа, так и ограниченного, включая различные формы конфиденциальной информации (коммерческая тайна, персональные данные и т.п.) и государственной тайны. Поэтому в соответствии с ФЗ №149 [1] различные категории информации ограниченного доступа подлежат защите. Кроме того для каждого типа информации существуют свои классы защищенности и наборы минимальных средств и механизмов которые необходимо применять в рамках своего класса. А эффективность и соответствие применяемых средств и механизмов защиты возможно оценить только посредством регулярного контроля за состоянием информационной безопасности на предприятии. Данный контроль осуществляется в рамках аудита информационной безопасности на предприятии, который, в соответствии с [2] определяется как: "…периодический и документированный процесс получения свидетельств аудита и объективной их оценки с целью установления степени выполнения в организациях установленных требований по обеспечению информационной безопасности».

В практике проведения аудита информационной безопасности (ИБ) различают внешний и внутренний аудит. Внешний аудит, как правило, разовое мероприятие, проводимое по инициативе руководства предприятия. В качестве внешних аудиторов выступают организации, аккредитованные ФСТЭК России для проведения таких работ. Внутренний аудит представляет собой непрерывную деятельность, которая осуществляется подразделениями службы безопасности и защиты информации предприятия или другим подразделением по указанию руководителя организации. При проведении аудита ИБ на предприятии необходимо учитывать тип предприятия, виды обрабатываемой информации, актуальные для предприятия угрозы, используемые средства защиты и требования регулирующих органов.

Анализ методов и средств проведения аудита ИБ на предприятии [3] позволил выделить следующие основные виды аудита: экспертный аудит безопасности; активный аудит; оценка соответствия рекомендациям международного стандарта ISO 17799, а также требованиям руководящих документов ФСТЭК; инструментальный анализ защищённости; комплексный аудит. Каждый из вышеперечисленных видов аудита может проводиться по отдельности или в комплексе в зависимости от тех задач, которые необходимо решить предприятию. В качестве объекта аудита может выступать как ИС предприятия в целом, так и её отдельные сегменты, в которых проводится обработка информации, подлежащей защите. Следовательно, актуальным является решение задачи выбора наиболее рационального для предприятия метода проведения внутреннего аудита ИБ.

Анализ показывает, что в общем случае аудит ИБ вне зависимости от формы его проведения состоит из четырёх основных последовательных этапов:

1. Разработка регламента проведения аудита.

2. Сбор исходных данных необходимых для проведения аудита ИБ.

3. Анализ полученных данных аудитором, в ручном режиме или с помощью специализированных инструментальных средств.

4. Разработка рекомендаций по повышению уровня защищеннности информации, обрабатываемой на предприятии.

На первом этапе аудита ИБ должен быть разработан и согласован регламент, который определяет состав и порядок проведения аудиторских работ. Основная задача регламента заключается в определении границ, в рамках которых будет проведено обследование состояния безопасности предприятия. Регламент должен быть тем документом, который позволяет избежать взаимных претензий по завершении аудита, поскольку чётко определяет обязанности сторон, что особенно важно при проведении внешнего аудита, когда предприятие выступает в качестве заказчика, а исполнителем является сторонняя организация.

На втором этапе аудита ИБ, на основании утвержденного и согласованного всеми сторонами регламента, осуществляется сбор исходной информации. Данные необходимые для аудита собираются несколькими способами, включая анкетирование и интервьюирование сотрудников предприятия, заполнение опросных листов, анализа политики безопасности и другой организационной и технической документации, мониторинга состояния различных компонентов и информационных процессов в ИС и т.п.

Третий этап работ по аудиту ИБ заключается в проведении анализа собранной информации с целью оценки текущего уровня защищённости ИС предприятия, с учетом типа обрабатываемой на предприятии информации и требований регуляторов.

На четвёртом этапе проводится разработка рекомендаций по повышению уровня защищённости ИС от актуальных для предприятия угроз ИБ.

Таким образом для того чтобы выбрать наиболее подходящий для конкретного предприятия метод проведения аудита, нужно решить следующие задачи:

1) выделить критерии оценки метода аудита, которые бы позволили отразить требования и специфику предприятия;

2) разработать и формализовать процедуру выбора рационального метода аудита, учитывающего специфику конкретного предприятия;

3) автоматизировать процедуру выбора метода аудита.

В рамках первой задачи авторами для оценки методов аудита и формирования требований предприятия предлагается использовать следующие качественно - количественные группы критериев, представленные в таблице 1.

аудит программа информационный безопасность

Таблица 1. Критерии оценки методов аудита

Формализовано процедуру выбора методов проведения аудита ИБ на предприятии можно представить в виде следующего картежа:

PEA={MA, TO, KO} (1)

где МА - множество методов аудита; РЕА - процедура выбора; ТО - требования организации; КО - критерии оценки.

Множество критериев оценки (формула 2) состоит из множеств групп критериев, то есть

KO={K_i}, i=1..7 (2)

где K_i - это количество групп критериев, K_i [0,1], где «1» - критерий выполняется, «0» - критерий не выполняется.

Чтобы выбрать наиболее рациональный метод аудита ИБ необходимо построить матрицу отношений между критериями оценки и методами аудита, представленную в виде таблицы 2

Таблица 2. Матрица отношений

где V₁₁, …, V₅₇ - экспертная оценка выполнения критерия для каждого метода аудита.

На основании требований организации составляется эталонный вектор предпочтений (формула 3)

TOP={TO_i}, i=1..7. (3)

Наиболее рациональный метод аудита выбирается на основании сопоставления эталонного вектора предпочтений TOP с векторами оценки методов аудита MA_j, сформированных на основании матрицы отношений. Вектор метода аудита, вектор оценки которого имеет наименьшее отклонение от эталонного вектора предпочтений, считается наиболее рациональным для данного предприятия (формула 4).

в качестве метрики оценки близости векторов используется Евклидовое расстояние (формула 5)

(5)

Таким образом, процедура выбора метода аудита выглядит следующим образом:

1. Определение требований организации к методу аудита;

2. Формирование вектора предпочтений предприятия на основании множества требований;

3. Выставление экспертных оценок для каждого метода по всем частным критериям из каждой группы;

4. Формирование матрицы оценки;

5. Расчет близости между векторами оценок каждого метода аудита и вектором предпочтений;

6. Выбор метода аудита c наименьшим отклонением от вектора предпочтений.

Данная процедура для удобства работы и возможно применения ее на практике была автоматизирована в виде программы с графическим пользовательским интерфейсом, архитектура представлена на рисунке 1.

Рисунок 1. Архитектура программы выбора методов аудита

Пользовательский интерфейс, в соответствии с разработанной архитектурой, имеет следующую форму (рисунок 2):

1) Надстройку для формирования требований организации.

2) Надстройку для формирования матрицы отношений на основе экспертных оценок.

3) Вывод выбранного метода аудита.

Рисунок 2. Пользовательский интерфейс

Разработанная программа позволяет автоматизировать процедуру выбора наиболее рационального метода аудита ИБ для предприятия, выполняет следующие функции:

1. Формирование списка требований организации к методу аудита;

2. Расчет эталонного вектора предпочтений к методам аудита;

3. Выставление экспертных оценок по показателям для каждого из пяти доступных методов аудита: экспертного, активного, оценки соответствия с рекомендациями, инструментального анализа защищённости АС и комплексного аудитов;

4. Формирование векторов оценок для каждого из векторов методов аудита;

5. Сопоставление эталонного вектора с вектором оценок каждого из методов аудита, построение гистограммы отклонений;

6. Нахождение вектора оценки метода аудита с минимальным отклонением;

7. Нахождение наиболее подходящего для данной организации метода аудита на основе анализа отклонения.

Может использоваться в рамках учебного процесса при подготовки студентов в области информационной безопасности в рамках лабораторного практикума и на практике предприятием с целью выбора метода внутреннего аудита ИБ.

Библиографический список

1. ФЗ РФ «Об информации, информационных технологиях и о защите информации» от 27.07.2006 г. №149-ФЗ [Электронный ресурс]/ Консультант Плюс - Режим доступа:

http://www.consultant.ru/document/cons_doc_LAW_165971/ (дата обращения 15.12.2014)

2. Макаренко И.С. Информационная безопасность: учеб. пособие. С. [Текст]: СФ МГГУ им. М.А. Шолохова, 2009. - 368 с. (стр. 62-109)

3. Виды аудита информационной безопасности [Электронный ресурс] / ISO27000.ru

Размещено на Allbest.ru