Audit keamanan informasi

Audit keamanan informasi adalah alat utama untuk memantau keadaan keamanan sistem informasi suatu perusahaan. Layanan ini dapat dilakukan baik dalam hubungannya dengan audit TI umum dan sebagai proyek independen.

Audit keamanan dilakukan untuk menjawab tantangan:

• Meningkatkan tingkat perlindungan sistem informasi ke tingkat yang dapat diterima;
• Optimalisasi dan perencanaan biaya untuk memastikan keamanan informasi dan mendapatkan hasil maksimal dari dana yang diinvestasikan;
• Konfirmasi bahwa pengendalian internal yang digunakan sesuai untuk tujuan organisasi dan bahwa pengendalian tersebut dapat memastikan efisiensi dan kelangsungan bisnis;
• Setelah insiden keamanan informasi (kasus terburuk).

Audit keamanan informasi adalah layanan yang dapat dan harus dipesan secara berkala. Melakukan audit semacam itu, misalnya, setahun sekali, memungkinkan Anda untuk memastikan bahwa tingkat sistem keamanan informasi tetap pada tingkat yang sama.

Audit keamanan informasi memungkinkan Anda untuk mendapatkan penilaian keamanan sistem informasi yang paling lengkap dan objektif, untuk melokalisasi masalah yang ada. Mengembangkan rekomendasi untuk mengubah sistem keamanan informasi organisasi menjadi yang terbaik.

Audit keamanan informasi dapat dilakukan baik oleh staf (audit internal) dan dengan melibatkan spesialis independen (audit eksternal). Manfaat audit eksternal keamanan informasi dari Qwerty Networks untuk klien:

• Audit adalah studi independen yang memungkinkan Anda mencapai hasil yang objektif.
• Pakar kami yang melakukan audit lebih berkualitas dan lebih berpengalaman dalam pekerjaan seperti itu daripada karyawan biasa organisasi.
• Lebih murah untuk mempercayakan pekerjaan audit ke organisasi khusus karena mengatur kinerja berkualitas tinggi mereka sendiri jauh lebih mahal.

Jenis audit keamanan informasi:

Audit keamanan sistem yang komprehensif - pengujian keamanan sistem informasi, yang mencakup inventarisasi sumber daya, pencarian kerentanan secara manual dan otomatis di semua tingkatan (jaringan, OS, DBMS, aplikasi), upaya untuk mengeksploitasi kerentanan, memeriksa kemungkinan penerapan berbagai serangan siber, dan sebagainya… Tujuan dari pengujian tersebut adalah untuk mengidentifikasi dan mendokumentasikan jumlah maksimum kerentanan yang dieksploitasi untuk penghapusan selanjutnya.

Audit manajemen sistem keamanan informasi - audit proses manajemen keamanan informasi untuk memenuhi persyaratan standar internasional ISO 27001: 2005 atau Rusia GOST R 27001: 2006.

Kami juga melakukan audit untuk kepatuhan dengan persyaratan undang-undang Rusia (Hukum Federal N 152-FZ ″Tentang Data Pribadi″, N 161-FZ ″Pada Sistem Pembayaran Nasional″, dll.)

Pengujian penetrasi adalah tes di mana seorang ahli ditugaskan untuk mendapatkan akses ke data tertentu dan dia praktis tidak terbatas dalam pilihan alat peretas untuk mencapai tujuan ini. Hasil audit adalah laporan yang menggambarkan skenario penetrasi yang berhasil dengan deskripsi kerentanan yang digunakan. Sebagai bagian dari pengujian, metode rekayasa sosial dapat digunakan, dengan bantuan yang menilai kemampuan karyawan perusahaan untuk menolak teknik menipu dan manipulatif yang bertujuan untuk memperoleh informasi rahasia.

Audit keamanan kode program - analisis kode sumber perangkat lunak untuk mengidentifikasi kerentanan yang terkait dengan kesalahan pengkodean, penyisipan bookmark perangkat lunak yang disengaja, keberadaan fitur tidak berdokumen, dll.

Audit keamanan web - pencarian dan penghapusan kerentanan dalam kode situs web, serta pengenalan tindakan pencegahan untuk melindungi dari serangan peretas.

Pengujian keamanan jaringan sedang berlangsung untuk semua jenis audit keamanan informasi.

Inti dari pengujian keamanan jaringan adalah bahwa dengan menggunakan perangkat lunak dan metode khusus (termasuk sistem analisis keamanan), informasi tentang keadaan sistem keamanan jaringan dikumpulkan. Keadaan sistem perlindungan jaringan hanya mengacu pada parameter dan pengaturan tersebut, yang penggunaannya membantu peretas menembus jaringan dan menyebabkan kerusakan pada perusahaan.

Saat melakukan audit jenis ini pada sistem perlindungan informasi, sebanyak mungkin serangan jaringan disimulasikan yang dapat dilakukan oleh peretas. Pada saat yang sama, auditor secara artifisial ditempatkan tepat dalam kondisi di mana peretas bekerja - ia diberikan informasi minimum, hanya yang dapat diperoleh dari sumber terbuka. Tentu saja serangan hanya disimulasikan dan tidak memiliki efek merusak pada sistem informasi. Variasinya tergantung pada sistem analisis keamanan yang digunakan dan kualifikasi auditor. Hasil pengujian keamanan jaringan adalah informasi tentang semua kerentanan jaringan, tingkat keparahannya dan metode penghapusannya, informasi tentang data yang tersedia secara luas (informasi yang tersedia untuk penyusup potensial) dari jaringan pelanggan.

Saat menguji keamanan jaringan selalu dilakukan:

• Penentuan alamat IP pelanggan yang tersedia dari jaringan eksternal;
• Pemindaian alamat IP untuk menentukan layanan dan layanan yang berjalan, menentukan tujuan dari host yang dipindai;
• Definisi versi layanan dan layanan host yang dipindai;
• Mempelajari rute lalu lintas ke host pelanggan;
• Pengumpulan informasi tentang IP pelanggan dari sumber terbuka;
• Analisis data yang diterima untuk mengidentifikasi kerentanan.

Pada akhir pengujian keamanan jaringan dikeluarkan rekomendasi untuk meningkatkan sistem perlindungan informasi. Itu dapat menghilangkan kerentanan berbahaya dan dengan demikian meningkatkan tingkat perlindungan sistem informasi dari tindakan penyerang ″eksternal″ dengan biaya minimal untuk keamanan informasi.

Layanan ini disediakan dalam kerangka arah Keamanan Informasi.

Pilihan kerjasama