Организация проведения аудита информационной безопасности. взаимодействие с аудиторской организацией.

Целью данной курсовой работы является изучение процесса организации проведения аудита информационной безопасности, а так же взаимодействие с аудиторской организацией.

Поставщик услуг по аудиту информационной безопасности должен вызывать у клиента, прежде всего, доверие, которое можно заслужить только своим профессионализмом. Иногда такое доверие вызывается известностью имени компании. В этом случае нужно помнить, что, в конечном счете, аудит будет проводить все же не компания, а конкретные специалисты. Поэтому очень важным критерием выбора является квалификация исполнителей, например подтвержденная такими сертификатами, как CISSP, CISA или CEH. Заказчику услуг желательно еще до подписания контракта выяснить, какие именно специалисты будут осуществлять проект, познакомиться с ними, если это возможно, и включить соответствующие требования к участникам в контракт.
Независимый аудит может быть проведен только тем поставщиком услуг, который не был вовлечен во внедрение мер по защите информации в данной компании.
Коммерческому банку «Южный» необходимо провести аудит на соответствие стандарту СТО БР ИББС 1.0-2014. Для этого он подбирает и рассматривает подходящие аудиторские организации, рассылает им коммерческие предложения на проведение аудита.
Для проведения аудита информационной безопасности КБ «Южный» оптимальным вариантом исполнителя является ОАО ЛИНС-М.
Контракт банка с аудитором содержит четкое описание границ проекта (офисы, бизнес-процессы, бизнес-подразделения, информационные системы, IP-адреса сетевых узлов) и перечень проводимых аудиторских проверок.
Требованиями проверки является:
описание выявленных недостатков, рисков информационной безопасности;
рекомендации по их минимизации;
отчет должен содержать перечень проведенных проверок, сопоставленный с обнаруженными недостатками;
при проверке аудита защищенности ИТ-инфраструктуры обязательны отчеты использованных утилит.
В процессе организации аудита информационной безопасности банком создается план проведения мероприятий по аудиту ИБ (рисунок 2.1).

С целью защиты информационных систем от атак, которые могут стать причиной материальных и финансовых потерь, организации используют аудит информационной безопасности.
Аудит информационной безопасности – это процесс получения объективных качественных и количественных оценок о текущем состоянии информационной безопасности организации в соответствии с определенными критериями, стандартами и показателями.
Благодаря аудиту можно решить следующие задачи:
получить оценку защищенности информации на предприятии;
определить угрозы, которые потенциально могут возникнуть в ближайшее время;
разработать план действий, который усилит безопасность организации с помощью предложений аудиторов и более оптимальных средств защиты информации.
Для банка актуальным является аудит информационной безопасности на соответствие стандарту СТО БР ИББС 1.0-2014.
Для проведения аудита информационной безопасности КБ «Южный» оптимальным вариантом исполнителя является ОАО ЛИНС-М.
Контракт банка с аудитором содержит четкое описание границ проекта (офисы, бизнес-процессы, бизнес-подразделения, информационные системы, IP-адреса сетевых узлов) и перечень проводимых аудиторских проверок.
Требованиями проверки является:
описание обнаруженных недостатков, рисков информационной безопасности;
рекомендации по их минимизации;
отчет должен содержать перечень проведенных проверок, сопоставленный с обнаруженными недостатками;
при проверке аудита защищенности ИТ-инфраструктуры обязательны отчеты использованных утилит.
В процессе организации аудита информационной безопасности банком создается план проведения мероприятий по аудиту ИБ.
В процессе проведения аудита аудиторы выполняют ряд следующих действий:
разрабатывают, внедряют, контролируют, анализируют и совершенствуют программу аудита ИБ;
определяют потребность программы аудита ИБ в ресурсах (банк в свою очередь реализовывает эти потребности);
способствуют принятию решений об обеспечении программы аудита ИБ необходимыми ресурсами.
В результате проведения оценки безопасности банка в сфере информации компанией был оформлен комплект документов, в котором присутствует отчет о нынешнем положении системы защиты информации, рекомендационное письмо по устранению обнаруженных проблем и план развития информационной безопасности с учетом требований законодательства Российской Федерации в области защиты информации.
Результаты аудита послужили основой для формирования стратегии развития информационной безопасности банка.
Итогом является то, что информационная безопасность является на данный момент одним из основных причин организации аудиторских проверок предприятиями, потому что материальная и финансовая стабильность на сегодняшний момент зависит во многом именно от информационной безопасности на предприятии.