Совершенствование методики проведения внешнего аудита информационной безопасности на предприятии.

ВВЕДЕНИЕ 3
Глава 1. История и проблематика аудитов ИБ. 5
1.1 Определение аудита в законодательстве РФ и других стран. 5
1.2 Законодательные требования к соблюдению правил информационной информации в РФ. 7
1.3 Законодательные и отраслевые требования к аудиту кредитно-финансовых учреждений 15
1.4 Анализ статистики инцидентов ИБ у аудированных предприятий 17
Глава 2. Анализ методик проведения аудита ИБ на предприятие 19
2.1 Отраслевые методики проведения аудита 19
2.2 Сравнение отраслевых методик и требований отраслевого аудита 25
2.3 Ключевые проблемные аспекты отраслевых методик аудита 27
Глава 3. Предложения по совершенствованию проведения внешнего аудита информационной безопасности 35
3.1 Натурное моделирование нарушений безопасности (в виде деловой игры) в проблемных разделах отраслевых методик 35
1.2 Предложения по совершенствованию опросных листов 43
3.3 Предложения по совершенствованию проверок системы 44
3.4 Усовершенствованная методика внешнего аудита 47
ЗАКЛЮЧЕНИЕ 52
СПИСОК ИСПОЛЬЗОВАННЫХ ИСТОЧНИКОВ 53

Весь текст будет доступен после покупки

Информационная безопасность имеет важное значение, так как в современных информационных системах происходит сбор, хранение, обработка и отправка данных. Организации стремятся реализовать свои цели на основе использования этих данных. Для защиты от утечки данных из учреждения в банковской системе проводятся регулярные аудиты информационной безопасности.

Важное значение имеет аудит программных средств, которые являются частью информационных ресурсов компьютерных систем. Он необходим для защиты информации, хранящейся или обрабатывающейся в компьютерных системах, как в технических и программных средствах, так и в машинных носителях от несанкционированных воздействий на них.

Однако рассмотрение аудита компьютерных систем в качестве объектов защиты информации будет неполным, так как компьютерные системы представляют собой человеко-машинные ИС. Разработка, обслуживание и эксплуатация таких систем требует наличия специалистов, которые также могут быть носителями информации и имеют доступ к компьютерным системам. Поэтому в методиках аудита информационной безопасности включены проверки как программно-технических средств компьютерных систем, так и обслуживающего персонала и пользователей.

Аудит информационной безопасности - это независимая оценка текущего состояния системы информационной безопасности, которая определяет уровень ее соответствия определенным критериям. Результатом аудита являются рекомендации по обеспечению информационной безопасности в конкретной ситуации.

Весь текст будет доступен после покупки

Аудит в России - это независимая проверка финансовой отчетности аудируемого лица для оценки ее достоверности. Аудит информационной безопасности же - это системный процесс оценки состояния защиты информации автоматизированных систем, основанный на определенных критериях и нормах. Для внедрения подобной системы, на международном рынке используется стандарт ISO/IEC 27000, который также принят в России и зафиксирован в ГОСТ Р ИСО/МЭК 27000-2012.

Весь текст будет доступен после покупки

1. О национальной платёжной системе: Федер. Закон от 27.06.2011 №161-ФЗ: [Принят Государственной Думой 14 июня 2011 года: Одобрен Советом Федерации 22 июня 2011 года] // Собрание законодательства Российской Федерации. - 2012. – 4 июля. - № 27. – Ст. 3872.
2. Руководящий документ. Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации. : изд. офиц. : Утверждено решением председателя Государственной технической комиссии при Президенте Российской Федерации от 30 марта 1992 г. : Стандартинформ, 1992. – 29с.
3. ГОСТ Р 50922-2006. Защита информации. Термины и определения : изд. офиц. : Утвержден и введен в действие Приказом Федерального агентства по техническому регулированию и метрологии от 27 декабря 2006 г. № 373-ст -2006. / Разработан Федеральным государственным учреждением «Государственный научно-исследовательский испытательный институт проблем технической защиты информации Федеральной службы по техническому и экспортному контролю» (ФГУ «ГНИИИ ПТЗИ ФСТЭК России»). – Москва: Стандартинформ, 2006. - 9 с.
4. ГОСТ Р 51275 – 2006. Защита информации. Объект информатизации. Факторы воздействующие на информацию. : изд. офиц. : Утвержден и введен в действие Приказом Федерального агентства по техническому регулированию и метрологии от 27 декабря 2006 г. № 374-ст. / Разработан ФГУ «ГНИИИ ПТЗИ ФСТЭК России». - Госстандарт России. – 2006. – 7с.
5. ГОСТ Р ИСО/МЭК ТО 13335-5-2006. Информационная технология (ИТ). Методы и средства обеспечения безопасности. Часть 5. Руководство по менеджменту безопасности сети. : изд. офиц. : Утвержден и введен в действие Приказом Федерального агентства по техническому регулированию и метрологии от 19 декабря 2006 г. № 317-ст. / Подготовлен ФГУ «ГНИИИ ПТЗИ ФСТЭК России». - Москва: Стандартинформ, 2006 – 25с.
6. Базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных. : изд. офиц. : утв. ФСТЭК РФ 15.02.2008 – Москва: Стандартинформ, 2008 – 2008. -54с.
7. ГОСТ Р ИСО/МЭК 15504-1-2009. Информационные технологии. Оценка процессов. Часть 1. Концепция и словарь. : изд. офиц. : утв. и введен в действие Приказом Ростехрегулирования от 09.12.2009 № 635-ст. / Подготовлен ФГУП ГосНИИ "ТЕСТ" – 2009. – 23с.

Весь текст будет доступен после покупки