Как защитить ИТ-инфраструктуру: аудит информационной безопасности

Российские компании ежегодно теряют сотни тысяч долларов от таргетированных нападений злоумышленников и неправомерного использования сотрудниками ИТ-ресурсов. Избежать подобного ущерба можно, только выстраивая надежные системы информационной безопасности (СИБ) и своевременно проводя аудит информационной безопасности (ИБ). Рассказываем в материале, что это такое, из чего состоит и зачем нужно бизнесу.

Это набор мероприятий по оценке состояния СИБ и их соответствия определенным критериям, а также по выявлению потенциальных угроз. Аудит позволяет выяснить текущее состояние СИБ, обнаружить причины случившихся утечек, а также разработать рекомендации по повышению защищенности информационных систем и ИТ-инфраструктуры в целом.

Целью аудиторской проверки может быть сервер, локальная сеть, приложение, устройства, сайты и другие ресурсы.

По виду проверки аудит ИБ делят на внутренний и внешний.

Подразумевает регулярную (иногда даже ежедневную) оценку состояния информационных систем сотрудниками собственных ИТ-департаментов компании. Его задача — обнаружение уязвимостей, несоответствий регламентам компании и запрещенных активностей.

Например, внутренний аудит позволяет быстро обнаружить несанкционированное копирование файлов на носители или нецелевое использование корпоративных ресурсов, в том числе случаи подработки на рабочем месте.

Необходимо проверять все потенциально уязвимые места инфраструктуры, в том числе:

В качестве методов проверки можно использовать:

Дополнительно можно проверить, знают ли сотрудники регламенты ИБ компании. Человеческий фактор — одна из причин уязвимостей. Вредоносное ПО в 58 % случаев рассылается по электронной почте, а по результатам исследования Cisco Systems 37 % сотрудников открывают подозрительные письма, и даже могут скачать неизвестный файл или предоставить конфиденциальную информацию. То есть действия сотрудников могут на треть снизить эффективность даже самой надежной СИБ.

Преимущества

1. Проверку можно проводить в постоянном режиме, это не требует дополнительного финансирования — достаточно назначить штатного аудитора.

2. Специалисты ИТ-департамента компании проводят мониторинг глубже и подробнее, так как им известны слабые стороны инфраструктуры.

Недостатки

1. Внутренний аудит нельзя считать независимым и объективным: в некоторых ситуациях может возникать конфликт интересов.

2. Услуги компании-аудитора могут быть дешевле включения в штат внутреннего аудитора.

Текущий внутренний аудит ИБ, как правило, проводят непрерывно. Например, можно использовать программные решения или алгоритмы, фиксирующие действия пользователей и состояние системы — в случае сбоев или обнаружения уязвимостей они помогают быстро обнаружить источник проблем. А глобальный внутренний аудит оптимально проводить 4-6 раз в год.

Это проведение проверки независимыми экспертами — внешними аудиторами. Внешний аудит направлен на комплексный анализ состояния информационной системы и ИТ-инфраструктуры в целом, а также на оценку действий сотрудников разных департаментов компании, в том числе ИТ-специалистов. Нормативная база для подобного аудита — законодательные акты и международные стандарты.

Для большинства компаний проведение внешнего аудита — необязательная дополнительная мера контроля, а для акционерных обществ, финансовых организаций и ряда других компаний — обязательство, закрепленное законодательно, что связано с критической важностью данных и высоким риском атак.

Глубина и экспертность проверки зависит от проверяющего, поэтому эту задачу лучше доверять компетентным компаниям.

Выделяют несколько основных видов проверок:

Внешний аудит могут инициировать не только директор или акционеры, но и сторонние заказчики: например, контрагенты, сертифицирующие организации и регулирующие органы.

Преимущества

1. Позволяет получить независимое мнение экспертов и оценить корректность работы внутреннего аудитора.

2. Обращение к внешнему аудитору позволяет отказаться от штатного аудитора.

3. Внешний аудит позволяет проверить всю ИТ-систему и выявить даже неочевидные риски.

Недостатки

1. Сопряжено с большими затратами на оплату аудиторских услуг.

2. Результаты проверок могут быть частично искажены, так как аудитор не может знать все нюансы бизнес-процессов заказчика.

Периодичность плановой аудиторской проверки зависит от масштаба компании и используемой ИТ-системы, но проводить ее нужно не реже двух раз в год. Кроме того, обязателен внеочередной аудит, когда:

Регулярное и регламентируемое проведение аудита ИБ — один из методов раннего выявления уязвимостей в ИТ-системе и инфраструктуре компании, а также определения источника рисков. Подобные экспертизы позволяют бизнесу избежать финансовых и репутационных рисков, а также помогают:

Аудит ИБ нужен не только для исключения рисков, но и для получения возможности безопасного масштабирования ИТ-инфраструктуры, то есть развития бизнеса.

Безусловно, аудит — не единственный инструмент обеспечения безопасности интернет-ресурсов. Для дополнительной защиты вы можете перейти на виртуальную ИТ-инфраструктуру облачного провайдера.

Защищенное облако #CloudMTS развернуто на базе территориально распределенных дата-центров уровня Tier III. Все критически важные компоненты зарезервированы и продублированы. Мы полностью контролируем безопасность оборудования. #CloudMTS подписывает соглашение об уровне сервиса (SLA) и несет финансовую ответственность.

Кроме того, мы предлагаем следующие услуги.

В нашем портфеле есть эффективное решение для противодействия DDoS-атакам. Услуга реализована на промышленном оборудовании Radware и Genie Networks — мировых лидеров в области защиты и мониторинга. Помимо надежной DDoS-защиты сервис обеспечивает круглосуточный мониторинг производительности сети с широким спектром отчетов по сетевому трафику.

Большинство традиционных средств защиты не учитывают особенности виртуальной инфраструктуры. Мы предлагаем специализированное решение с использованием технологий Лаборатории Касперского. Антивирус в облаке защищает от вредоносного ПО и не перегружает виртуальные хосты. Гибко настраиваемые инструменты контроля позволяют управлять безопасностью множества виртуальных машин из единой консоли.