Audit bezpečnosti informací

Audit informační bezpečnosti je hlavním nástrojem pro sledování stavu bezpečnosti informačních systémů společnosti. Službu lze provádět jak ve spojení s obecným IT auditem, tak jako samostatný projekt.

Bezpečnostní audit se provádí za účelem řešení problémů:

• Zvýšení úrovně ochrany informačního systému na přijatelnou úroveň;
• Optimalizace a plánování nákladů na zajištění informační bezpečnosti a dosažení maximálního výsledku z investovaných prostředků;
• Potvrzení, že použité vnitřní kontroly jsou vhodné pro cíle organizace a že mohou zajistit efektivitu a kontinuitu podnikání;
• Po incidentech informační bezpečnosti (nejhorší případ).

Audit bezpečnosti informací je služba, která může a měla by být pravidelně objednávána. Provedení takového auditu například jednou ročně umožňuje ujistit se, že úroveň systému informační bezpečnosti zůstane na stejné úrovni.

Audit informační bezpečnosti umožňuje získat nejúplnější a objektivní posouzení bezpečnosti informačního systému, lokalizovat existující problémy. Vypracujte doporučení pro změnu systému zabezpečení informací organizací na nejlepší.

Audit informační bezpečnosti mohou provádět jak zaměstnanci (interní audit), tak zapojení nezávislých specialistů (externí audit). Výhody externího auditu informační bezpečnosti od Qwerty Networks pro klienty:

• Audit je nezávislá studie, která umožňuje dosáhnout objektivních výsledků.
• Naši odborníci provádějící audit jsou v takové práci kvalifikovanější a zkušenější než kmenoví zaměstnanci organizace.
• Svěřit auditorskou práci specializované organizaci je levnější, protože vlastní organizace jejich kvalitního výkonu je mnohem dražší.

Typy auditu zabezpečení informací:

Komplexní audit bezpečnosti systémů - testování bezpečnosti informačních systémů, které zahrnuje inventarizaci zdrojů, ruční i automatické vyhledávání zranitelností na všech úrovních (síť, OS, DBMS, aplikace), pokusy o zneužití zranitelností, prověřování možností implementace různých kybernetických útoků a tak dále… Účelem takového testování je identifikovat a zdokumentovat maximální počet zneužitých zranitelností pro jejich následnou eliminaci.

Audit systému řízení informační bezpečnosti - audit procesů řízení bezpečnosti informací pro shodu s požadavky mezinárodní normy ISO 27001: 2005 nebo ruské GOST R 27001: 2006.

Provádíme také audity dodržování požadavků ruské legislativy (Federální zákony N 152-FZ „O osobních údajích“, N 161-FZ „O národním platebním systému“ atd.)

Penetrační testování je test, ve kterém má odborník za úkol získat přístup k určitým datům a ve výběru hackerských nástrojů k dosažení tohoto cíle je prakticky neomezený. Výsledkem auditu je zpráva popisující úspěšný scénář penetrace s popisem použitých zranitelností. V rámci testování lze využít metod sociálního inženýrství, s jejichž pomocí se posuzuje schopnost zaměstnanců firem odolávat klamavým a manipulativním technikám zaměřeným na získání důvěrných informací.

Bezpečnostní audit programového kódu - analýza zdrojových kódů softwaru s cílem identifikovat zranitelná místa spojená s chybami v kódování, záměrným vkládáním záložek softwaru, přítomností nezdokumentovaných funkcí atd.

Webový bezpečnostní audit - vyhledávání a odstraňování zranitelností v kódu webových stránek a také zavádění preventivních opatření na ochranu před útoky hackerů.

Testování bezpečnosti sítě probíhá u všech typů auditů bezpečnosti informací.

Podstatou testování síťové bezpečnosti je, že pomocí speciálního softwaru a metod (včetně systémů pro analýzu bezpečnosti) se shromažďují informace o stavu síťového bezpečnostního systému. Stav systému ochrany sítě se týká pouze těch parametrů a nastavení, jejichž použití pomáhá hackerovi proniknout do sítě a způsobit škodu společnosti.

Při provádění tohoto typu auditu v systému ochrany informací se simuluje co nejvíce síťových útoků, které může hacker provést. Auditor je přitom uměle umístěn přesně do podmínek, ve kterých hacker pracuje – je mu poskytnuto minimum informací, pouze ty, které lze získat z otevřených zdrojů. Útoky jsou samozřejmě pouze simulované a nemají žádný destruktivní účinek na informační systém. Jejich rozmanitost závisí na použitých systémech bezpečnostní analýzy a kvalifikaci auditora. Výsledkem testování bezpečnosti sítě jsou informace o všech zranitelnostech sítě, jejich stupni závažnosti a způsobech eliminace, informace o široce dostupných datech (informace dostupné každému potenciálnímu narušiteli) sítě zákazníků.

Při testování zabezpečení sítě vždy proveďte:

• Určení IP adres zákazníka dostupných z externích sítí;
• Skenování IP adres za účelem zjištění běžících služeb a služeb, určení účelu skenovaných hostitelů;
• Definice verzí služeb a služeb skenovaných hostitelů;
• Studium tras provozu k hostitelům zákazníka;
• Shromažďování informací o IP zákazníka z otevřených zdrojů;
• Analýzy přijatých dat za účelem identifikace zranitelností.

Na konci testování bezpečnosti sítě jsou vydána doporučení pro upgrade systému ochrany informací. Tím lze eliminovat nebezpečné zranitelnosti a tím zvýšit úroveň ochrany informačního systému před akcemi „externího“ útočníka s minimálními náklady na informační bezpečnost.

Služba je poskytována v rámci směru Informační bezpečnost.

Možnosti spolupráce