Аудиты безопасности

Аудит безопасности — это систематическая оценка того, насколько хорошо организация соблюдает меры безопасности и политики. Он сопоставляет фактическое состояние с определённым стандартом и документирует несоответствия.

Аудиты оценивают меры контроля; сами по себе они не устраняют проблемы.

Эти понятия пересекаются, но имеют разные значения:

• Аудит: проверяет меры контроля на соответствие стандарту с помощью доказательств.
• Тестирование на проникновение: активно использует уязвимости, чтобы подтвердить последствия.
• Оценка рисков: оценивает вероятность и последствия угроз.

Аудиты проводятся из двух источников:

• Внутренние: проводятся вашей командой для постоянного подтверждения соответствия и подготовки.
• Внешние: проводятся независимыми аудиторами; они необходимы для сертификации и укрепляют доверие заинтересованных сторон.

Обычно аудит проходит по понятным этапам:

• Планирование: определение области охвата и целей.
• Полевой этап: сбор и тестирование доказательств.
• Отчётность: документирование результатов и их критичности.
• Устранение несоответствий: исправление недостатков и проверка результата.

Область охвата помогает сохранить направленность и границы аудита. Укажите, какие системы, местоположения, процессы и периоды времени включены.

Чёткие цели (например, проверка мер контроля из приложения A ISO 27001) подсказывают аудиторам, какие доказательства собирать и каким должно быть соответствие требованиям.

Аудиторы собирают подтверждения того, что меры контроля существуют и работают:

• Выгрузки конфигурации и снимки экрана.
• Журналы и проверки access.
• Политики и подписанные согласования.
• Интервью с ответственными за меры контроля.

Аудиторы проводят тестирование двумя способами:

• Проектирование: способна ли мера контроля достичь своей цели?
• Эффективность работы: действительно ли она работала в течение определённого периода?

Обычно используют выборку: проверяют репрезентативную часть записей, а не все записи.

Каждое несоответствие оформляется как замечание, которому присваивается уровень риска. Единая шкала помогает расставить приоритеты.

• Критическое / высокое: требует срочного устранения, может быть использовано или блокирует соответствие требованиям.
• Среднее: следует устранить в ближайшее время.
• Низкое / наблюдение: незначительная проблема или рекомендация по усилению защиты.

Замечания должны приводить к действиям. Вносите каждое из них в реестр устранения несоответствий, указывая ответственного, план и крайний срок.

• Назначайте ответственных.
• Устанавливайте реалистичные сроки с учётом критичности.
• Проверяйте исправление (повторное тестирование) перед закрытием.

Аудитор не должен оценивать работу, которую он выполнял сам, чтобы избежать конфликта интересов. Независимость, особенно при внешних аудитах, делает результат убедительным для заказчиков и регулирующих органов.

Современные программы дополняют периодические аудиты непрерывным мониторингом: автоматизированными проверками, которые почти в реальном времени выявляют отклонения от безопасного базового уровня, уменьшая число неожиданностей во время формального аудита.

Научитесь различать аудит и тестирование на проникновение.

Аудиты безопасности оценивают, насколько меры контроля соответствуют стандарту:

• Аудиты отличаются от тестирования на проникновение и оценки рисков.
• Следуйте жизненному циклу: планируйте, проводите полевую проверку, составляйте отчёт, устраняйте несоответствия.
• Собирайте доказательства, тестируйте проектирование и работу мер контроля, оценивайте замечания.
• Отслеживайте устранение несоответствий и сохраняйте независимость аудиторов.