Введение
Экспертиза и аудит информационной безопасности представляют собой одно из наиболее динамично развивающихся направлений современной экспертной деятельности, что обусловлено стремительным ростом объёмов информации, обрабатываемой в цифровой среде, и, соответственно, возрастанием рисков её несанкционированного раскрытия, модификации или уничтожения. В условиях цифровой трансформации экономики, государственного управления и социальной сферы информационная безопасность перестаёт быть узкоспециальной технической задачей и превращается в комплексную проблему, решение которой требует применения междисциплинарных методов оценки и исследования. Экспертиза и аудит информационной безопасности в этом контексте выступают как инструменты независимой профессиональной оценки состояния защищённости информационных активов организации, позволяющие получить объективное представление о существующих угрозах, уязвимостях и рисках, а также о соответствии применяемых мер защиты установленным требованиям.
Настоящая монография посвящена комплексному исследованию теоретических оснований, методологических подходов и прикладных аспектов экспертизы и аудита информационной безопасности как самостоятельного направления экспертной деятельности. В работе последовательно рассматриваются понятийный аппарат и классификация видов экспертизы и аудита, раскрываются организационно-правовые основы их проведения, анализируется система методов и технологий, применяемых в процессе экспертного исследования, исследуются вопросы оценки рисков и управления инцидентами информационной безопасности, а также особенности формирования экспертного заключения как итогового документа экспертизы. Значительное внимание уделено практическим аспектам проведения экспертизы и аудита в различных организационных контекстах, что подтверждается развёрнутыми кейсами, включёнными в соответствующие разделы монографии.
Ключевая фраза настоящего исследования — экспертиза и аудит информационной безопасности — проходит через все разделы работы, обеспечивая смысловое единство изложения и акцентируя внимание читателя на центральной проблематике. Монография адресована специалистам в области информационной безопасности, экспертам, осуществляющим профессиональную оценку защищённости информационных систем, руководителям организаций, заинтересованным в повышении уровня защищённости своих информационных активов, а также исследователям, занимающимся проблематикой экспертной деятельности в сфере информационных технологий.
Раздел 1. Теоретические основы экспертизы и аудита информационной безопасности
1.1. Понятие и сущность экспертизы и аудита информационной безопасности
Экспертиза и аудит информационной безопасности представляют собой специализированное исследование, проводимое экспертами в области информационной безопасности с целью оценки состояния защиты информации в организации, выявления уязвимостей и рисков, а также проверки соответствия процессов и систем информационной безопасности требованиям законодательства и стандартам. Сущность экспертизы и аудита информационной безопасности раскрывается через понимание их места в системе обеспечения защищённости информационных активов и их роли в формировании объективной картины состояния информационной безопасности организации.
В процессе экспертизы и аудита анализируется организационная структура, политики и процедуры информационной безопасности, технические средства защиты, процессы управления доступом, защиты от вредоносного программного обеспечения, управления инцидентами, а также другие аспекты, влияющие на безопасность информационных активов. Целью экспертизы и аудита является предоставление объективного и обоснованного заключения, которое может быть использовано для повышения уровня информационной безопасности, выявления и устранения недостатков, а также для соответствия требованиям законодательства и стандартам.
Принципиальное значение имеет разграничение понятий экспертизы и аудита информационной безопасности, которые, будучи тесно связанными, тем не менее обладают собственной спецификой. Экспертиза информационной безопасности предполагает проведение исследования, направленного на установление определённых фактов, обстоятельств или свойств объекта экспертизы, и завершается формированием экспертного заключения, обладающего доказательственным или рекомендательным значением в зависимости от контекста применения. Аудит информационной безопасности, в свою очередь, представляет собой систематический процесс проверки и оценки состояния информационной безопасности организации на предмет соответствия установленным критериям, стандартам или требованиям, и завершается формированием аудиторского отчёта, содержащего выводы и рекомендации. При этом экспертиза и аудит информационной безопасности нередко проводятся в едином комплексе, взаимодополняя друг друга и обеспечивая всестороннюю оценку защищённости информационных активов.
Системный характер экспертизы и аудита информационной безопасности проявляется в том, что объектом исследования выступает не отдельный технический компонент, а информационная безопасность организации как целостная система, включающая организационные, правовые, технические и процедурные элементы. Такой подход позволяет выявлять не только локальные недостатки, но и системные проблемы, связанные с несогласованностью отдельных мер защиты, недостаточной проработанностью процессов управления информационной безопасностью или отсутствием необходимой организационной поддержки. Экспертиза и аудит информационной безопасности в этом смысле выступают как инструмент диагностики системы обеспечения информационной безопасности в целом, позволяющий определить направления её развития и приоритетные задачи по устранению выявленных недостатков.
1.2. Классификация видов экспертизы и аудита информационной безопасности
Многообразие задач, решаемых в рамках экспертизы и аудита информационной безопасности, обусловливает необходимость классификации видов экспертной и аудиторской деятельности по различным основаниям. Классификация позволяет систематизировать представления о содержании и особенностях отдельных видов экспертизы и аудита информационной безопасности, а также определить критерии выбора того или иного вида исследования в зависимости от целей и условий его проведения.
По характеру решаемых задач выделяются следующие виды экспертизы и аудита информационной безопасности:
• экспертиза состояния информационной безопасности организации, направленная на комплексную оценку текущего уровня защищённости информационных активов;
• экспертиза соответствия требованиям законодательства и стандартов, предполагающая проверку соблюдения установленных нормативных требований;
• экспертиза уязвимостей и рисков, ориентированная на выявление и оценку потенциальных угроз и слабых мест в системе защиты;
• экспертиза инцидентов информационной безопасности, проводимая в целях установления причин, обстоятельств и последствий произошедших инцидентов;
• аудит системы управления информационной безопасностью, направленный на оценку эффективности организационных процессов управления;
• аудит технической инфраструктуры, предполагающий оценку конфигурации и состояния технических средств защиты;
• аудит процессов управления доступом и идентификацией, ориентированный на проверку корректности реализации механизмов разграничения доступа;
• аудит соответствия, проводимый в целях подтверждения соответствия системы информационной безопасности установленным требованиям и стандартам.
По масштабу проводимого исследования экспертиза и аудит информационной безопасности подразделяются на комплексные, охватывающие все аспекты информационной безопасности организации, и локальные, ограничивающиеся исследованием отдельных компонентов или процессов. По степени глубины исследования выделяются поверхностные проверки, обеспечивающие общую оценку состояния информационной безопасности, и углублённые исследования, предполагающие детальный анализ отдельных аспектов защищённости. По субъекту проведения различаются внутренняя экспертиза и аудит, осуществляемые силами самой организации, и внешняя экспертиза и аудит, проводимые привлечёнными специалистами, что обеспечивает независимость и объективность получаемых результатов.
Экспертиза и аудит информационной безопасности могут проводиться как в плановом порядке, в соответствии с заранее утверждённым графиком, так и во внеплановом порядке, обусловленном возникновением необходимости оперативной оценки состояния защищённости информационных активов. Внеплановая экспертиза и аудит информационной безопасности особенно востребованы в случаях расследования инцидентов информационной безопасности, подготовки к сертификации системы управления информационной безопасностью или возникновения существенных изменений в информационной инфраструктуре организации.
1.3. Цели, задачи и принципы экспертизы и аудита информационной безопасности
Цели экспертизы и аудита информационной безопасности определяются потребностями организации в получении объективной и обоснованной оценки состояния защищённости информационных активов. К числу основных целей относятся оценка текущего уровня информационной безопасности, выявление уязвимостей и рисков, проверка соответствия требованиям законодательства и стандартам, а также формирование рекомендаций по повышению уровня защищённости информационных активов. Достижение указанных целей обеспечивается решением комплекса взаимосвязанных задач, включающих сбор и анализ документации, обследование системы информационной безопасности, тестирование средств защиты, анализ полученных данных и формирование экспертного заключения.
Принципы экспертизы и аудита информационной безопасности составляют основу методологии их проведения и обеспечивают надлежащее качество получаемых результатов. К числу ключевых принципов относятся:
• принцип объективности, предполагающий непредвзятость и беспристрастность эксперта при проведении исследования и формировании выводов;
• принцип независимости, обеспечивающий отсутствие влияния заинтересованных сторон на результаты экспертизы и аудита;
• принцип системности, требующий рассмотрения информационной безопасности организации как целостной системы взаимосвязанных элементов;
• принцип обоснованности, предполагающий опору выводов эксперта на достоверные данные и проверенные методы исследования;
• принцип полноты, требующий всестороннего охвата исследуемых аспектов информационной безопасности;
• принцип документирования, обеспечивающий фиксацию всех этапов проведения экспертизы и аудита;
• принцип конфиденциальности, предполагающий недопустимость раскрытия сведений, полученных в процессе экспертизы и аудита, третьим лицам без согласия заказчика.
Соблюдение указанных принципов является обязательным условием надлежащего проведения экспертизы и аудита информационной безопасности и обеспечивает доверие к результатам экспертной деятельности со стороны заказчиков и иных заинтересованных лиц. Нарушение принципов объективности и независимости ставит под сомнение достоверность экспертного заключения и может привести к негативным последствиям как для заказчика, так и для эксперта.
Раздел 2. Организационно-правовые основы экспертизы и аудита информационной безопасности
2.1. Нормативно-правовое регулирование экспертизы и аудита информационной безопасности
Нормативно-правовую основу экспертизы и аудита информационной безопасности составляют законодательные и подзаконные акты, регулирующие отношения в сфере защиты информации и организации экспертной деятельности. Ключевое значение имеют положения законодательства об информации, информационных технологиях и о защите информации, устанавливающие базовые требования к обеспечению защищённости информационных ресурсов, а также положения законодательства о персональных данных, определяющие требования к обработке и защите персональных данных. Экспертиза и аудит информационной безопасности в своей нормативной основе опираются также на требования, устанавливаемые в отношении отдельных категорий информационных систем, функционирующих в критически важных сферах.
Существенное значение для проведения экспертизы и аудита информационной безопасности имеют стандарты в области информационной безопасности, устанавливающие требования к системам управления информационной безопасностью, методам оценки рисков и практикам обеспечения защищённости информационных активов. Применение стандартов в процессе экспертизы и аудита информационной безопасности обеспечивает сопоставимость результатов исследования и позволяет оценить соответствие системы информационной безопасности организации общепризнанным требованиям и лучшим практикам.
Правовое регулирование экспертизы и аудита информационной безопасности включает также нормы, определяющие статус эксперта, его права и обязанности, требования к порядку проведения экспертного исследования и оформлению его результатов. Экспертиза и аудит информационной безопасности осуществляются в соответствии с требованиями, предъявляемыми к экспертным заключениям, что обеспечивает их доказательственное значение в случаях, когда результаты экспертизы используются в юридически значимых процедурах.
2.2. Субъекты экспертизы и аудита информационной безопасности
Субъектный состав экспертизы и аудита информационной безопасности включает заказчика, эксперта или экспертную организацию, а также иных участников, привлекаемых к проведению исследования. Заказчиком экспертизы и аудита информационной безопасности выступает организация, заинтересованная в получении объективной оценки состояния защищённости своих информационных активов. Экспертом является лицо, обладающее специальными знаниями в области информационной безопасности и привлекаемое для проведения экспертного исследования. Экспертная организация обеспечивает организационные условия проведения экспертизы и аудита информационной безопасности, включая привлечение квалифицированных специалистов, применение необходимых методов и инструментов, а также оформление результатов исследования.
Требования к эксперту в области информационной безопасности включают наличие профессиональных знаний и практических навыков в сфере защиты информации, понимание методологии экспертного исследования, а также соблюдение принципов объективности, независимости и конфиденциальности. Экспертиза и аудит информационной безопасности предполагают, что эксперт не только владеет техническими аспектами защиты информации, но и способен оценить организационные и правовые аспекты обеспечения информационной безопасности, что требует комплексного подхода к формированию профессиональных компетенций эксперта.
Взаимодействие участников экспертизы и аудита информационной безопасности строится на основе договорных отношений, определяющих цели, объём и порядок проведения исследования, а также порядок предоставления результатов. Экспертиза и аудит информационной безопасности предполагают активное взаимодействие эксперта с представителями заказчика, в том числе с руководителями подразделений, ответственными за обеспечение информационной безопасности, что необходимо для получения полной и достоверной информации об исследуемых процессах и системах.
2.3. Порядок организации и проведения экспертизы и аудита информационной безопасности
Порядок организации и проведения экспертизы и аудита информационной безопасности включает последовательность взаимосвязанных этапов, обеспечивающих достижение целей исследования и надлежащее оформление его результатов. Первоначальным этапом является предварительная консультация и определение целей экспертизы или аудита, в ходе которой уточняются задачи исследования, его объём, сроки и ожидаемые результаты. На данном этапе формируется представление о границах исследования и критериях оценки, что имеет принципиальное значение для последующей работы эксперта.
Следующим этапом выступает сбор и анализ документации, регламентирующей информационную безопасность, и технической информации. Экспертиза и аудит информационной безопасности на данном этапе предполагают изучение организационно-распорядительных документов, политик и процедур информационной безопасности, технической документации на информационные системы и средства защиты, а также иных материалов, характеризующих состояние защищённости информационных активов. Качество анализа документации во многом определяет полноту последующих выводов эксперта.
Далее проводится обследование системы информационной безопасности, включающее тестирование на проникновение и применение иных специализированных методов исследования. Экспертиза и аудит информационной безопасности на данном этапе позволяют получить фактические данные о состоянии технических средств защиты, корректности их конфигурации и эффективности применяемых мер. Полученные данные анализируются, выявляются недостатки и уязвимости, после чего формируется экспертное заключение или отчёт по результатам аудита.
Завершающим этапом является предоставление отчёта заказчику и разработка рекомендаций по улучшению системы информационной безопасности. Экспертиза и аудит информационной безопасности на данном этапе обеспечивают практическую ценность результатов исследования, поскольку сформированные рекомендации позволяют заказчику определить приоритетные направления повышения уровня защищённости информационных активов.
Кейс 1. Комплексная экспертиза и аудит информационной безопасности регионального оператора связи
В практике Союза «Федерация судебных экспертов» значительное место занимают обращения, связанные с необходимостью комплексной оценки состояния информационной безопасности организаций, осуществляющих деятельность в сфере телекоммуникаций. Одним из показательных примеров является обращение регионального оператора связи, предоставляющего услуги доступа к сети интернет и услуги связи юридическим и физическим лицам на территории нескольких субъектов Российской Федерации. Организация располагала развёрнутой информационной инфраструктурой, включающей центры обработки данных, системы биллинга, системы управления сетью и системы обслуживания абонентов, при этом руководство организации испытывало обоснованные опасения относительно актуальности применяемых мер защиты и их соответствия современным требованиям.
Поводом для обращения послужило несколько факторов одновременно. Во-первых, организация готовилась к прохождению проверки со стороны регулирующих органов, что требовало документального подтверждения соответствия применяемых мер защиты установленным требованиям. Во-вторых, в течение предшествующего года были зафиксированы отдельные инциденты информационной безопасности, не получившие исчерпывающего объяснения, что вызывало озабоченность руководства. В-третьих, организация планировала расширение спектра предоставляемых услуг, что предполагало обработку дополнительных категорий данных и требовало уверенности в надёжности существующей системы защиты.
Экспертиза и аудит информационной безопасности в данном случае были проведены в полном объёме, предусмотренном методологией Союза «Федерация судебных экспертов». На предварительном этапе были определены цели исследования, согласованы границы экспертизы, включающие основные информационные системы и процессы обработки информации, а также определены критерии оценки, в качестве которых выступили требования законодательства и положения применимых стандартов. Экспертная группа была сформирована из специалистов, обладающих познаниями как в технических, так и в организационно-правовых аспектах информационной безопасности, что позволило обеспечить комплексный характер исследования.
На этапе анализа документации были изучены политики и процедуры информационной безопасности, организационно-распорядительные документы, регламентирующие порядок управления доступом, обработки инцидентов и защиты информации, техническая документация на информационные системы и средства защиты. Анализ показал, что организация располагает достаточно развитой нормативной базой в сфере информационной безопасности, однако отдельные документы носили формальный характер и не отражали фактически применяемых практик. В частности, процедура управления инцидентами информационной безопасности была описана в общем виде и не содержала конкретных критериев классификации инцидентов и порядка реагирования на инциденты различных категорий.
На этапе обследования системы информационной безопасности были проведены работы по оценке конфигурации технических средств защиты, анализу процессов управления доступом и идентификацией, сканированию уязвимостей и тестированию на проникновение. Экспертиза и аудит информационной безопасности позволили выявить ряд существенных недостатков, в числе которых следует отметить недостаточную сегментацию сети, наличие устаревших версий программного обеспечения на отдельных серверах, а также случаи избыточного предоставления прав доступа сотрудникам, не нуждающимся в них для выполнения своих должностных обязанностей. Отдельное внимание было уделено анализу журналов событий и системных логов, что позволило восстановить картину отдельных инцидентов и установить их причины.
По результатам проведённой экспертизы и аудита информационной безопасности было сформировано экспертное заключение, содержащее систематизированное описание выявленных недостатков, оценку уровня рисков, связанных с каждым из них, а также рекомендации по устранению выявленных недостатков с указанием приоритетности их реализации. Рекомендации были структурированы по трём группам: первоочередные меры, требующие реализации в кратчайшие сроки, среднесрочные меры, реализуемые в течение нескольких месяцев, и долгосрочные меры, связанные с развитием системы управления информационной безопасностью. Заказчик высоко оценил результаты проведённой работы, отметив, что экспертиза и аудит информационной безопасности позволили получить объективную картину состояния защищённости информационных активов и определить конкретные направления дальнейшей работы. Представители организации были приглашены в офис Союза «Федерация судебных экспертов» в Центре Москвы на метро Павелецкая для обсуждения результатов и планирования дальнейших мероприятий.
Раздел 3. Методология экспертизы и аудита информационной безопасности
3.1. Система методов экспертизы и аудита информационной безопасности
Методологическую основу экспертизы и аудита информационной безопасности составляет совокупность методов, обеспечивающих получение достоверных данных о состоянии защищённости информационных активов и их последующую интерпретацию. Выбор конкретных методов определяется целями и задачами исследования, характером исследуемого объекта, а также доступными ресурсами и сроками проведения работ. Экспертиза и аудит информационной безопасности предполагают применение как общенаучных методов, таких как анализ, синтез, систематизация и обобщение, так и специальных методов, характерных для сферы информационной безопасности.
К числу основных методов экспертизы и аудита информационной безопасности относятся:
• анализ организационно-распорядительной документации, обеспечивающий получение сведений о регламентации процессов обеспечения информационной безопасности;
• проверка соответствия политикам и процедурам информационной безопасности, позволяющая оценить фактическое соблюдение установленных требований;
• оценка технической инфраструктуры и средств защиты, направленная на определение корректности их конфигурации и эффективности применения;
• анализ управления доступом и идентификацией, предполагающий проверку корректности реализации механизмов разграничения доступа;
• сканирование уязвимостей и тестирование на проникновение, обеспечивающие выявление слабых мест в системе защиты;
• анализ управления инцидентами информационной безопасности, направленный на оценку готовности организации к реагированию на инциденты;
• интервью с персоналом и представителями бизнеса, позволяющие получить сведения о фактических практиках обеспечения информационной безопасности;
• анализ журналов событий и системных логов, обеспечивающий получение данных о происходящих в системе событиях;
• иные специализированные методы и инструменты, применяемые в зависимости от особенностей исследуемого объекта.
Комплексное применение указанных методов обеспечивает всесторонний характер экспертизы и аудита информационной безопасности и позволяет получить разностороннее представление о состоянии защищённости информационных активов. При этом экспертиза и аудит информационной безопасности требуют не механического применения набора методов, а осмысленного их сочетания, определяемого логикой экспертного исследования и особенностями конкретной задачи.
3.2. Анализ документации и оценка организационных мер защиты
Анализ документации является одним из базовых методов экспертизы и аудита информационной безопасности, поскольку именно документация отражает систему формальных требований и процедур, определяющих порядок обеспечения защищённости информационных активов. В процессе анализа документации эксперт изучает организационно-распорядительные документы, политики и процедуры информационной безопасности, инструкции и регламенты, техническую документацию на информационные системы и средства защиты, а также иные материалы, характеризующие систему управления информационной безопасностью организации.
Экспертиза и аудит информационной безопасности в части анализа документации направлены на установление полноты и актуальности документационного обеспечения, его соответствия требованиям законодательства и стандартов, а также его практической применимости. Существенное значение имеет оценка того, насколько содержание документов отражает фактически применяемые практики, поскольку нередко формально утверждённые документы расходятся с реальным положением дел. Выявление такого расхождения является важным результатом экспертизы и аудита информационной безопасности, поскольку свидетельствует о наличии системных проблем в организации обеспечения информационной безопасности.
Оценка организационных мер защиты предполагает анализ структуры подразделений, ответственных за обеспечение информационной безопасности, распределения обязанностей и полномочий, порядка взаимодействия между подразделениями, а также практик управления персоналом в части информационной безопасности. Экспертиза и аудит информационной безопасности в данной части позволяют установить, обеспечена ли организационная поддержка применяемых мер защиты, имеются ли необходимые ресурсы и полномочия для их реализации, а также созданы ли условия для эффективного функционирования системы управления информационной безопасностью.
3.3. Оценка технической инфраструктуры и тестирование на проникновение
Оценка технической инфраструктуры и тестирование на проникновение представляют собой методы экспертизы и аудита информационной безопасности, направленные на получение фактических данных о состоянии технических средств защиты и их устойчивости к попыткам несанкционированного доступа. Оценка технической инфраструктуры включает анализ конфигурации серверного и сетевого оборудования, средств защиты информации, систем управления базами данных и прикладного программного обеспечения, а также анализ архитектуры информационных систем с точки зрения обеспечения их защищённости.
Тестирование на проникновение представляет собой метод экспертизы и аудита информационной безопасности, предполагающий имитацию действий потенциального нарушителя с целью выявления возможности несанкционированного доступа к информационным ресурсам. Тестирование на проникновение проводится в строго определённых границах, согласованных с заказчиком, и предполагает применение специализированных инструментов и методик, позволяющих выявить уязвимости в системе защиты. Экспертиза и аудит информационной безопасности с применением тестирования на проникновение позволяют получить наиболее достоверные данные о реальной устойчивости системы защиты к атакам, поскольку результаты такого тестирования отражают фактические возможности нарушителя по преодолению применяемых мер защиты.
Сканирование уязвимостей выступает как метод экспертизы и аудита информационной безопасности, обеспечивающий автоматизированное выявление известных уязвимостей в программном обеспечении и конфигурации информационных систем. Сканирование уязвимостей позволяет получить обширный перечень потенциальных слабых мест, которые в дальнейшем анализируются экспертом с точки зрения их реальной значимости и возможности эксплуатации. Экспертиза и аудит информационной безопасности предполагают не просто фиксацию выявленных уязвимостей, но и их оценку с точки зрения связанных с ними рисков, что позволяет заказчику определить приоритетные направления устранения недостатков.
3.4. Анализ процессов управления доступом и управления инцидентами
Анализ процессов управления доступом и идентификацией является важным направлением экспертизы и аудита информационной безопасности, поскольку корректность реализации механизмов разграничения доступа во многом определяет общий уровень защищённости информационных активов. В процессе анализа оценивается порядок предоставления, изменения и отзыва прав доступа, применяемые механизмы аутентификации, практики управления учётными записями, а также соответствие фактических прав доступа сотрудников их должностным обязанностям. Экспертиза и аудит информационной безопасности в данной части позволяют выявить случаи избыточного предоставления прав, наличие устаревших учётных записей, недостаточную строгость процедур аутентификации и иные недостатки, создающие предпосылки для несанкционированного доступа.
Анализ управления инцидентами информационной безопасности направлен на оценку готовности организации к выявлению, регистрации, реагированию на инциденты и анализу их последствий. Экспертиза и аудит информационной безопасности в данной части предполагают изучение применяемых процедур управления инцидентами, оценку их полноты и практической применимости, анализ фактических случаев инцидентов и действий, предпринятых в ответ на них. Существенное значение имеет оценка способности организации своевременно выявлять инциденты, что требует наличия эффективных механизмов мониторинга событий информационной безопасности.
Анализ журналов событий и системных логов представляет собой метод экспертизы и аудита информационной безопасности, обеспечивающий получение данных о фактически происходящих в системе событиях. Изучение журналов позволяет выявить признаки несанкционированной активности, установить обстоятельства произошедших инцидентов, а также оценить полноту и достаточность применяемых механизмов регистрации событий. Экспертиза и аудит информационной безопасности предполагают, что анализ журналов событий проводится не изолированно, а в сочетании с иными методами, что позволяет получить целостную картину состояния защищённости информационных активов.
Кейс 2. Экспертиза и аудит информационной безопасности медицинского учреждения
В практике Союза «Федерация судебных экспертов» значительное внимание уделяется вопросам обеспечения информационной безопасности в учреждениях здравоохранения, что обусловлено высокой чувствительностью обрабатываемых в данной сфере данных и серьёзностью последствий их несанкционированного раскрытия. Одним из характерных примеров является обращение крупного медицинского учреждения, располагающего разветвлённой информационной инфраструктурой, включающей медицинскую информационную систему, системы лабораторной диагностики, системы ведения электронных медицинских карт и системы управления финансово-хозяйственной деятельностью.
Обращение было обусловлено необходимостью получения объективной оценки состояния защищённости информационных активов учреждения в связи с планируемым внедрением новых информационных систем и расширением объёма обрабатываемых персональных данных. Руководство учреждения осознавало, что обработка сведений, составляющих врачебную тайну, требует применения повышенных мер защиты, и стремилось убедиться в том, что существующая система информационной безопасности обеспечивает надлежащий уровень защищённости.
Экспертиза и аудит информационной безопасности были проведены с учётом специфики деятельности медицинского учреждения, что потребовало от экспертов понимания особенностей обработки медицинских данных и требований, предъявляемых к их защите. На предварительном этапе были определены границы исследования, включающие медицинскую информационную систему, системы лабораторной диагностики и системы ведения электронных медицинских карт, а также согласованы критерии оценки, в качестве которых выступили требования законодательства о персональных данных и положения применимых стандартов.
Анализ документации показал, что учреждение располагает необходимыми организационно-распорядительными документами в сфере информационной безопасности, однако отдельные документы не были актуализированы с учётом изменений, произошедших в информационной инфраструктуре. В частности, процедуры управления доступом не учитывали особенностей разграничения доступа к медицинским данным различных категорий, а процедура управления инцидентами не содержала конкретных требований к действиям персонала при выявлении признаков несанкционированного доступа к медицинским данным.
Обследование системы информационной безопасности выявило ряд существенных недостатков. Было установлено, что доступ к медицинской информационной системе осуществляется с использованием общих учётных записей, что не позволяет обеспечить надлежащую персонализацию действий пользователей и затрудняет установление лица, совершившего то или иное действие. Отдельные рабочие станции, используемые для доступа к медицинским данным, не были оснащены средствами защиты от несанкционированного доступа, а на некоторых из них применялись устаревшие версии программного обеспечения, содержащие известные уязвимости.
Отдельное внимание в ходе экспертизы и аудита информационной безопасности было уделено анализу процессов управления инцидентами. Изучение журналов событий позволило выявить случаи обращения к медицинским данным, не обусловленные должностными обязанностями сотрудников, что свидетельствовало о недостаточном контроле за соблюдением установленных правил разграничения доступа. При этом процедура реагирования на подобные случаи не была отработана, и соответствующие события не становились предметом разбирательства.
По результатам проведённой экспертизы и аудита информационной безопасности было сформировано экспертное заключение, содержащее развёрнутое описание выявленных недостатков и рекомендации по их устранению. В числе первоочередных мер было предложено внедрение персонализированных учётных записей с многофакторной аутентификацией, усиление контроля за доступом к медицинским данным, а также разработка детализированной процедуры управления инцидентами. Среднесрочные меры включали обновление программного обеспечения и оснащение рабочих станций средствами защиты. Долгосрочные меры предполагали развитие системы управления информационной безопасностью с учётом специфики медицинской деятельности. Представители учреждения были приглашены в офис Союза «Федерация судебных экспертов» в Центре Москвы на метро Павелецкая для обсуждения результатов экспертизы и планирования мероприятий по устранению выявленных недостатков.
Раздел 4. Оценка рисков и управление инцидентами в рамках экспертизы и аудита информационной безопасности
4.1. Методологические подходы к оценке рисков информационной безопасности
Оценка рисков информационной безопасности представляет собой одно из центральных направлений экспертизы и аудита информационной безопасности, поскольку именно риски определяют приоритетность мер защиты и обоснованность распределения ресурсов на обеспечение защищённости информационных активов. Экспертиза и аудит информационной безопасности предполагают не просто выявление уязвимостей и угроз, но и их комплексную оценку с точки зрения вероятности реализации и тяжести возможных последствий.
Методологические подходы к оценке рисков информационной безопасности включают качественные, количественные и смешанные методы. Качественные методы оценки рисков предполагают определение уровня риска на основе экспертных суждений с использованием шкал, отражающих вероятность реализации угрозы и тяжесть её последствий. Экспертиза и аудит информационной безопасности с применением качественных методов позволяют получить обоснованные оценки рисков даже в условиях недостатка количественных данных, что делает их особенно востребованными в практической деятельности.
Количественные методы оценки рисков предполагают определение величины риска в числовом выражении, что позволяет проводить сравнение рисков между собой и оценивать эффективность мер по их снижению. Экспертиза и аудит информационной безопасности с применением количественных методов требуют наличия достоверных данных о вероятности реализации угроз и величине возможного ущерба, что не всегда достижимо в практических условиях. Смешанные методы сочетают элементы качественного и количественного анализа, обеспечивая баланс между точностью и практической применимостью получаемых оценок.
Экспертиза и аудит информационной безопасности в части оценки рисков предполагают построение модели угроз, отражающей возможные источники угроз, способы их реализации и потенциальные объекты воздействия. Модель угроз позволяет систематизировать представления о рисках и обеспечить полноту их оценки. При построении модели угроз учитываются как внешние, так и внутренние источники угроз, а также особенности информационной инфраструктуры и характера обрабатываемой информации.
4.2. Выявление и анализ инцидентов информационной безопасности
Выявление и анализ инцидентов информационной безопасности составляет важное направление экспертизы и аудита информационной безопасности, поскольку инциденты представляют собой фактическую реализацию рисков и их анализ позволяет получить ценные сведения о недостатках системы защиты. Экспертиза и аудит информационной безопасности в данной части предполагают изучение порядка выявления инцидентов, оценку эффективности применяемых механизмов мониторинга, анализ фактических случаев инцидентов и действий, предпринятых в ответ на них.
Анализ инцидентов информационной безопасности включает установление причин и обстоятельств инцидента, оценку его последствий, а также выявление недостатков системы защиты, способствовавших возникновению инцидента. Экспертиза и аудит информационной безопасности предполагают, что анализ инцидентов проводится систематически, а его результаты используются для совершенствования системы управления информационной безопасностью. При этом экспертиза и аудит информационной безопасности не ограничиваются анализом отдельных инцидентов, а направлены на выявление общих закономерностей и системных проблем, проявляющихся в возникновении инцидентов.
Существенное значение имеет оценка полноты и достоверности информации об инцидентах, фиксируемой в журналах событий и системных логах. Экспертиза и аудит информационной безопасности предполагают проверку достаточности применяемых механизмов регистрации событий для последующего анализа инцидентов, а также оценку сохранности соответствующих данных. Недостаточность регистрируемой информации существенно затрудняет анализ инцидентов и снижает ценность результатов экспертизы и аудита информационной безопасности.
4.3. Разработка рекомендаций по управлению рисками и инцидентами
Разработка рекомендаций по управлению рисками и инцидентами представляет собой завершающий этап экспертизы и аудита информационной безопасности, на котором результаты проведённого исследования преобразуются в практические предложения по повышению уровня защищённости информационных активов. Экспертиза и аудит информационной безопасности предполагают, что рекомендации должны быть конкретными, обоснованными и практически реализуемыми, а их приоритетность должна определяться с учётом оценённых рисков.
Рекомендации по управлению рисками информационной безопасности включают предложения по устранению выявленных уязвимостей, снижению вероятности реализации угроз и уменьшению тяжести возможных последствий. Экспертиза и аудит информационной безопасности предполагают, что рекомендации охватывают как технические, так и организационные меры, поскольку эффективное управление рисками требует комплексного подхода. При этом рекомендации должны учитывать ресурсные возможности организации и не создавать чрезмерной нагрузки на её деятельность.
Рекомендации по управлению инцидентами информационной безопасности включают предложения по совершенствованию процедур выявления, регистрации, реагирования на инциденты и анализа их последствий. Экспертиза и аудит информационной безопасности предполагают, что рекомендации в данной части направлены на обеспечение своевременного выявления инцидентов, адекватного реагирования на них и извлечения уроков из произошедших инцидентов. Существенное значение имеет разработка критериев классификации инцидентов и определение порядка действий персонала применительно к инцидентам различных категорий.
Кейс 3. Экспертиза и аудит информационной безопасности промышленного предприятия
В практике Союза «Федерация судебных экспертов» значительное место занимают обращения промышленных предприятий, информационная инфраструктура которых характеризуется сочетанием офисных информационных систем и систем управления технологическими процессами. Одним из показательных примеров является обращение крупного промышленного предприятия, осуществляющего производственную деятельность на нескольких площадках и располагающего развёрнутой информационной инфраструктурой, включающей системы управления производственными процессами, системы управления ресурсами предприятия, системы электронного документооборота и системы связи.
Поводом для обращения послужило возникновение нескольких инцидентов информационной безопасности, выразившихся в нарушении нормального функционирования отдельных информационных систем. Инциденты не привели к остановке производственной деятельности, однако вызвали обеспокоенность руководства предприятия относительно устойчивости информационной инфраструктуры и её способности противостоять угрозам. Руководство предприятия приняло решение о проведении экспертизы и аудита информационной безопасности с целью получения объективной оценки состояния защищённости информационных активов и определения направлений дальнейшей работы.
Экспертиза и аудит информационной безопасности были проведены с учётом особенностей промышленного предприятия, информационная инфраструктура которого включает как традиционные офисные системы, так и системы управления технологическими процессами, требующие особого подхода к обеспечению защищённости. На предварительном этапе были определены границы исследования, включающие основные информационные системы предприятия, а также согласованы критерии оценки, в качестве которых выступили требования законодательства и положения применимых стандартов.
Анализ документации показал, что предприятие располагает развитой нормативной базой в сфере информационной безопасности, однако документация в основном ориентирована на офисные информационные системы и не в полной мере учитывает особенности систем управления технологическими процессами. В частности, процедуры управления доступом не предусматривали специальных требований к доступу к системам управления технологическими процессами, а процедура управления инцидентами не содержала положений, касающихся инцидентов, затрагивающих функционирование производственных систем.
Обследование системы информационной безопасности выявило ряд существенных недостатков. Было установлено, что сегментация сети не обеспечивает надлежащей изоляции систем управления технологическими процессами от офисных информационных систем, что создаёт предпосылки для распространения угроз из офисного сегмента в производственный. Отдельные системы управления технологическими процессами функционировали на устаревших версиях программного обеспечения, обновление которых было затруднено в силу особенностей технологического процесса. Кроме того, были выявлены недостатки в организации мониторинга событий информационной безопасности, что затрудняло своевременное выявление инцидентов.
Анализ произошедших инцидентов позволил установить, что их причиной послужило сочетание технических и организационных факторов. В частности, один из инцидентов был обусловлен несанкционированным подключением к сети предприятия устройства, не прошедшего необходимых проверок, что привело к распространению вредоносного программного обеспечения в офисном сегменте сети. Другой инцидент был связан с ошибкой в конфигурации средства защиты, что привело к нарушению нормального функционирования отдельной информационной системы.
По результатам проведённой экспертизы и аудита информационной безопасности было сформировано экспертное заключение, содержащее описание выявленных недостатков и рекомендации по их устранению. В числе первоочередных мер было предложено усиление сегментации сети с обеспечением надлежащей изоляции систем управления технологическими процессами, совершенствование процедур контроля за подключением устройств к сети предприятия, а также усиление мониторинга событий информационной безопасности. Среднесрочные меры включали разработку плана обновления программного обеспечения систем управления технологическими процессами с учётом ограничений, накладываемых технологическим процессом, и совершенствование процедуры управления инцидентами с учётом специфики производственных систем. Представители предприятия были приглашены в офис Союза «Федерация судебных экспертов» в Центре Москвы на метро Павелецкая для обсуждения результатов экспертизы и планирования мероприятий по устранению выявленных недостатков.
Раздел 5. Экспертное заключение и отчётность по результатам экспертизы и аудита информационной безопасности
5.1. Структура и содержание экспертного заключения
Экспертное заключение представляет собой итоговый документ экспертизы и аудита информационной безопасности, в котором излагаются результаты проведённого исследования, формулируются выводы и даются рекомендации. Экспертиза и аудит информационной безопасности предполагают, что экспертное заключение должно обладать свойствами объективности, обоснованности, полноты и ясности, обеспечивающими возможность его использования заказчиком для принятия управленческих решений.
Структура экспертного заключения включает вводную часть, в которой указываются сведения о заказчике, эксперте, основаниях проведения экспертизы и аудита информационной безопасности, а также перечень поставленных вопросов; исследовательскую часть, в которой излагается последовательность и содержание проведённого исследования с указанием применённых методов и полученных результатов; и выводы, в которых формулируются ответы на поставленные вопросы и обобщаются результаты исследования. Экспертиза и аудит информационной безопасности предполагают, что выводы экспертного заключения должны быть логически связаны с содержанием исследовательской части и не содержать положений, не подтверждённых проведённым исследованием.
Содержание экспертного заключения определяется целями и задачами экспертизы и аудита информационной безопасности. В заключении отражаются сведения о состоянии защищённости информационных активов, выявленных уязвимостях и рисках, соответствии системы информационной безопасности установленным требованиям, а также рекомендации по устранению выявленных недостатков. Экспертиза и аудит информационной безопасности предполагают, что содержание заключения должно быть достаточным для понимания заказчиком полученных результатов и их использования в практической деятельности.
5.2. Требования к оформлению результатов экспертизы и аудита информационной безопасности
Оформление результатов экспертизы и аудита информационной безопасности подчиняется определённым требованиям, обеспечивающим надлежащее качество итоговых документов и возможность их использования в различных контекстах. Экспертиза и аудит информационной безопасности предполагают, что результаты исследования оформляются в виде экспертного заключения или отчёта, структура и содержание которых соответствуют целям и задачам проведённой работы.
К числу основных требований к оформлению результатов экспертизы и аудита информационной безопасности относятся ясность и однозначность изложения, исключающие возможность неоднозначного толкования выводов; полнота описания проведённого исследования, позволяющая оценить его обоснованность; документирование применённых методов и инструментов; а также соблюдение требований конфиденциальности в отношении сведений, полученных в процессе исследования. Экспертиза и аудит информационной безопасности предполагают, что оформление результатов должно обеспечивать возможность их последующей проверки и оценки независимыми специалистами.
Существенное значение имеет соблюдение требований к языку и стилю изложения результатов экспертизы и аудита информационной безопасности. Изложение должно быть профессиональным, точным и вместе с тем доступным для понимания заказчиком, который может не обладать специальными познаниями в области информационной безопасности. Экспертиза и аудит информационной безопасности предполагают, что результаты исследования должны быть представлены таким образом, чтобы заказчик мог понять существо выявленных проблем и определить направления их решения.
5.3. Использование результатов экспертизы и аудита информационной безопасности
Использование результатов экспертизы и аудита информационной безопасности составляет завершающую стадию экспертной деятельности, на которой полученные результаты находят практическое применение. Экспертиза и аудит информационной безопасности предполагают, что результаты исследования используются заказчиком для повышения уровня защищённости информационных активов, устранения выявленных недостатков, совершенствования системы управления информационной безопасностью, а также для подтверждения соответствия установленным требованиям.
Результаты экспертизы и аудита информационной безопасности могут использоваться в различных контекстах, включая планирование мероприятий по повышению уровня информационной безопасности, обоснование ресурсных затрат на обеспечение защищённости информационных активов, подготовку к сертификации системы управления информационной безопасностью, а также расследование инцидентов информационной безопасности. Экспертиза и аудит информационной безопасности предполагают, что результаты исследования должны быть представлены в форме, обеспечивающей возможность их непосредственного использования в практической деятельности заказчика.
Эффективность использования результатов экспертизы и аудита информационной безопасности во многом определяется качеством взаимодействия эксперта и заказчика на завершающем этапе исследования. Экспертиза и аудит информационной безопасности предполагают, что эксперт должен обеспечить разъяснение полученных результатов и предоставить заказчику необходимые консультации по вопросам их практического применения. Представители заказчика могут быть приглашены в офис Союза «Федерация судебных экспертов» в Центре Москвы на метро Павелецкая для обсуждения результатов экспертизы и планирования дальнейших мероприятий.
Кейс 4. Экспертиза и аудит информационной безопасности кредитной организации
В практике Союза «Федерация судебных экспертов» значительное внимание уделяется вопросам обеспечения информационной безопасности кредитных организаций, что обусловлено высокой чувствительностью обрабатываемых в данной сфере данных и серьёзностью последствий их несанкционированного раскрытия или модификации. Одним из характерных примеров является обращение кредитной организации, располагающей развёрнутой информационной инфраструктурой, включающей автоматизированную банковскую систему, системы дистанционного банковского обслуживания, системы обработки платежей и системы управления финансово-хозяйственной деятельностью.
Обращение было обусловлено необходимостью получения объективной оценки состояния защищённости информационных активов организации в связи с планируемым расширением спектра предоставляемых услуг и внедрением новых информационных систем. Руководство организации осознавало, что обработка сведений, составляющих банковскую тайну, требует применения повышенных мер защиты, и стремилось убедиться в том, что существующая система информационной безопасности обеспечивает надлежащий уровень защищённости.
Экспертиза и аудит информационной безопасности были проведены с учётом специфики деятельности кредитной организации, что потребовало от экспертов понимания особенностей обработки банковских данных и требований, предъявляемых к их защите. На предварительном этапе были определены границы исследования, включающие автоматизированную банковскую систему, системы дистанционного банковского обслуживания и системы обработки платежей, а также согласованы критерии оценки, в качестве которых выступили требования законодательства и положения применимых стандартов.
Анализ документации показал, что организация располагает развитой нормативной базой в сфере информационной безопасности, что в значительной степени обусловлено повышенными требованиями, предъявляемыми к кредитным организациям. Вместе с тем было установлено, что отдельные документы не были актуализированы с учётом изменений, произошедших в информационной инфраструктуре, а процедуры управления доступом не в полной мере учитывали особенности разграничения доступа к банковским данным различных категорий.
Обследование системы информационной безопасности выявило ряд существенных недостатков. Было установлено, что отдельные системы дистанционного банковского обслуживания функционируют на устаревших версиях программного обеспечения, содержащих известные уязвимости. Кроме того, были выявлены недостатки в организации мониторинга событий информационной безопасности, что затрудняло своевременное выявление подозрительной активности. Отдельное внимание в ходе экспертизы и аудита информационной безопасности было уделено анализу процессов управления доступом, что позволило выявить случаи избыточного предоставления прав доступа сотрудникам, не нуждающимся в них для выполнения своих должностных обязанностей.
Анализ журналов событий позволил выявить случаи обращения к банковским данным, не обусловленные должностными обязанностями сотрудников, что свидетельствовало о недостаточном контроле за соблюдением установленных правил разграничения доступа. При этом процедура реагирования на подобные случаи не была отработана, и соответствующие события не становились предметом разбирательства.
По результатам проведённой экспертизы и аудита информационной безопасности было сформировано экспертное заключение, содержащее развёрнутое описание выявленных недостатков и рекомендации по их устранению. В числе первоочередных мер было предложено обновление программного обеспечения систем дистанционного банковского обслуживания, усиление контроля за доступом к банковским данным, а также совершенствование процедуры реагирования на подозрительную активность. Среднесрочные меры включали развитие системы мониторинга событий информационной безопасности и совершенствование процедур управления доступом. Долгосрочные меры предполагали развитие системы управления информационной безопасностью с учётом перспектив расширения спектра предоставляемых услуг. Представители организации были приглашены в офис Союза «Федерация судебных экспертов» в Центре Москвы на метро Павелецкая для обсуждения результатов экспертизы и планирования мероприятий по устранению выявленных недостатков.
Раздел 6. Прикладные аспекты экспертизы и аудита информационной безопасности
6.1. Особенности экспертизы и аудита информационной безопасности в организациях различных сфер деятельности
Экспертиза и аудит информационной безопасности в организациях различных сфер деятельности обладают существенной спецификой, обусловленной различиями в характере обрабатываемой информации, особенностями информационной инфраструктуры и требованиями, предъявляемыми к защищённости информационных активов. Экспертиза и аудит информационной безопасности предполагают учёт указанной специфики, что обеспечивает адекватность применяемых методов и обоснованность формируемых выводов.
В организациях, осуществляющих деятельность в сфере финансов, экспертиза и аудит информационной безопасности проводятся с учётом повышенных требований к защищённости информации, обусловленных характером обрабатываемых данных. Экспертиза и аудит информационной безопасности в данной сфере предполагают углублённый анализ процессов управления доступом, поскольку несанкционированный доступ к финансовой информации может повлечь существенные последствия. Существенное внимание уделяется также анализу процессов управления инцидентами, поскольку своевременное выявление и реагирование на инциденты имеет критическое значение для предотвращения ущерба.
В организациях, осуществляющих деятельность в сфере здравоохранения, экспертиза и аудит информационной безопасности проводятся с учётом требований к защите сведений, составляющих врачебную тайну. Экспертиза и аудит информационной безопасности в данной сфере предполагают анализ процессов разграничения доступа к медицинским данным, а также оценку мер по обеспечению конфиденциальности информации о пациентах. Существенное значение имеет также анализ процессов управления инцидентами, поскольку несанкционированное раскрытие медицинских данных может повлечь серьёзные последствия для пациентов.
В организациях, осуществляющих деятельность в сфере промышленного производства, экспертиза и аудит информационной безопасности проводятся с учётом особенностей информационной инфраструктуры, включающей системы управления технологическими процессами. Экспертиза и аудит информационной безопасности в данной сфере предполагают анализ сегментации сети, обеспечивающей изоляцию производственных систем от офисных информационных систем, а также оценку мер по обеспечению устойчивости производственных систем к угрозам информационной безопасности.
6.2. Организация экспертизы и аудита информационной безопасности в условиях распределённой инфраструктуры
Организация экспертизы и аудита информационной безопасности в условиях распределённой инфраструктуры представляет собой задачу повышенной сложности, обусловленную необходимостью охвата информационных систем, размещённых на различных площадках и взаимодействующих между собой посредством сетевых каналов. Экспертиза и аудит информационной безопасности в таких условиях предполагают применение специальных подходов к планированию и проведению исследования, обеспечивающих полноту охвата и достоверность получаемых результатов.
Экспертиза и аудит информационной безопасности в условиях распределённой инфраструктуры предполагают предварительное изучение архитектуры информационных систем и схемы их взаимодействия, что позволяет определить границы исследования и распределить усилия экспертов. Существенное значение имеет координация работ на различных площадках, обеспечивающая единство методологического подхода и сопоставимость получаемых результатов. Экспертиза и аудит информационной безопасности в таких условиях требуют также учёта особенностей каналов связи между площадками, поскольку их защищённость оказывает существенное влияние на общий уровень защищённости информационных активов.
При проведении экспертизы и аудита информационной безопасности в условиях распределённой инфраструктуры существенное внимание уделяется анализу процессов централизованного управления информационной безопасностью, обеспечивающих единство применяемых мер защиты на всех площадках. Экспертиза и аудит информационной безопасности предполагают оценку того, насколько эффективно осуществляется такое управление и обеспечивается ли соблюдение установленных требований на каждой из площадок. Выявление расхождений в применяемых практиках между площадками является важным результатом экспертизы и аудита информационной безопасности, поскольку такие расхождения создают предпосылки для возникновения уязвимостей.
6.3. Экспертиза и аудит информационной безопасности при внедрении новых информационных систем
Экспертиза и аудит информационной безопасности при внедрении новых информационных систем представляет собой направление экспертной деятельности, приобретающее особую актуальность в условиях постоянного развития информационных технологий. Экспертиза и аудит информационной безопасности на этапе внедрения новых систем позволяют обеспечить закладку необходимых мер защиты с самого начала функционирования системы, что существенно эффективнее, чем последующее устранение недостатков.
Экспертиза и аудит информационной безопасности при внедрении новых информационных систем предполагают оценку проектных решений с точки зрения их соответствия требованиям информационной безопасности, анализ конфигурации системы и применяемых средств защиты, а также проверку соответствия системы установленным требованиям до начала её промышленной эксплуатации. Экспертиза и аудит информационной безопасности на данном этапе позволяют выявить недостатки, устранение которых на последующих этапах потребовало бы существенно больших затрат.
Существенное значение имеет экспертиза и аудит информационной безопасности при внедрении систем, обрабатывающих особо чувствительную информацию или обеспечивающих функционирование критически важных процессов. Экспертиза и аудит информационной безопасности в таких случаях предполагают углублённый анализ проектных решений и проведение всестороннего тестирования системы до начала её эксплуатации. При этом экспертиза и аудит информационной безопасности должны проводиться с учётом перспектив развития системы и возможных изменений в характере обрабатываемой информации.
Кейс 5. Экспертиза и аудит информационной безопасности образовательного учреждения
В практике Союза «Федерация судебных экспертов» значительное место занимают обращения образовательных учреждений, информационная инфраструктура которых характеризуется сочетанием административных информационных систем и систем, используемых в образовательном процессе. Одним из показательных примеров является обращение крупного образовательного учреждения, располагающего развёрнутой информационной инфраструктурой, включающей системы управления учебным процессом, электронные библиотечные системы, системы электронного документооборота и системы обеспечения доступа к сети интернет.
Обращение было обусловлено необходимостью получения объективной оценки состояния защищённости информационных активов учреждения в связи с планируемым расширением использования информационных технологий в образовательном процессе и увеличением объёма обрабатываемых персональных данных. Руководство учреждения осознавало, что обработка персональных данных обучающихся и сотрудников требует применения надлежащих мер защиты, и стремилось убедиться в том, что существующая система информационной безопасности обеспечивает необходимый уровень защищённости.
Экспертиза и аудит информационной безопасности были проведены с учётом специфики деятельности образовательного учреждения, что потребовало от экспертов понимания особенностей организации образовательного процесса и характера обрабатываемой информации. На предварительном этапе были определены границы исследования, включающие основные информационные системы учреждения, а также согласованы критерии оценки, в качестве которых выступили требования законодательства о персональных данных и положения применимых стандартов.
Анализ документации показал, что учреждение располагает необходимыми организационно-распорядительными документами в сфере информационной безопасности, однако отдельные документы не были актуализированы с учётом изменений, произошедших в информационной инфраструктуре. В частности, процедуры управления доступом не учитывали особенностей разграничения доступа к персональным данным различных категорий, а процедура управления инцидентами не содержала конкретных требований к действиям персонала при выявлении признаков несанкционированного доступа.
Обследование системы информационной безопасности выявило ряд существенных недостатков. Было установлено, что доступ к отдельным информационным системам осуществляется с использованием общих учётных записей, что не позволяет обеспечить надлежащую персонализацию действий пользователей. Отдельные рабочие станции, используемые в образовательном процессе, не были оснащены средствами защиты от несанкционированного доступа, а на некоторых из них применялись устаревшие версии программного обеспечения, содержащие известные уязвимости.
Отдельное внимание в ходе экспертизы и аудита информационной безопасности было уделено анализу процессов управления инцидентами. Изучение журналов событий позволило выявить случаи обращения к персональным данным, не обусловленные должностными обязанностями сотрудников, что свидетельствовало о недостаточном контроле за соблюдением установленных правил разграничения доступа. При этом процедура реагирования на подобные случаи не была отработана, и соответствующие события не становились предметом разбирательства.
По результатам проведённой экспертизы и аудита информационной безопасности было сформировано экспертное заключение, содержащее развёрнутое описание выявленных недостатков и рекомендации по их устранению. В числе первоочередных мер было предложено внедрение персонализированных учётных записей, усиление контроля за доступом к персональным данным, а также разработка детализированной процедуры управления инцидентами. Среднесрочные меры включали обновление программного обеспечения и оснащение рабочих станций средствами защиты. Долгосрочные меры предполагали развитие системы управления информационной безопасностью с учётом перспектив расширения использования информационных технологий в образовательном процессе. Представители учреждения были приглашены в офис Союза «Федерация судебных экспертов» в Центре Москвы на метро Павелецкая для обсуждения результатов экспертизы и планирования мероприятий по устранению выявленных недостатков.
Раздел 7. Организационные аспекты взаимодействия эксперта и заказчика при проведении экспертизы и аудита информационной безопасности
7.1. Планирование и подготовка экспертизы и аудита информационной безопасности
Планирование и подготовка составляют важнейший этап экспертизы и аудита информационной безопасности, от качества которого во многом зависит успешность всего исследования. Экспертиза и аудит информационной безопасности предполагают тщательную проработку целей, задач, границ и сроков исследования, а также определение необходимых ресурсов и порядка взаимодействия эксперта и заказчика.
На этапе планирования экспертизы и аудита информационной безопасности определяется объём исследования, включающий перечень информационных систем и процессов, подлежащих изучению, а также критерии оценки, в соответствии с которыми будут формулироваться выводы. Экспертиза и аудит информационной безопасности предполагают, что границы исследования должны быть чётко определены и согласованы с заказчиком, поскольку неопределённость границ может привести к неполноте исследования или к необоснованному расширению его объёма.
Подготовка к проведению экспертизы и аудита информационной безопасности включает сбор необходимой документации, определение состава экспертной группы, подготовку инструментов и методик исследования, а также согласование порядка доступа экспертов к информационным системам и ресурсам заказчика. Экспертиза и аудит информационной безопасности предполагают, что порядок доступа должен обеспечивать возможность проведения необходимых исследований без создания чрезмерных помех для деятельности организации.
7.2. Взаимодействие эксперта и заказчика в процессе проведения экспертизы и аудита информационной безопасности
Взаимодействие эксперта и заказчика в процессе проведения экспертизы и аудита информационной безопасности строится на основе сотрудничества и взаимного информирования. Экспертиза и аудит информационной безопасности предполагают, что заказчик обеспечивает эксперту доступ к необходимой информации и ресурсам, а эксперт, в свою очередь, информирует заказчика о ходе исследования и возникающих вопросах.
Существенное значение имеет организация взаимодействия эксперта с представителями различных подразделений заказчика, поскольку полнота и достоверность информации об исследуемых процессах и системах во многом зависит от готовности персонала к сотрудничеству. Экспертиза и аудит информационной безопасности предполагают, что эксперт должен обеспечить ясность целей и задач исследования для представителей заказчика, что способствует формированию доверительных отношений и повышению качества получаемой информации.
В процессе проведения экспертизы и аудита информационной безопасности могут возникать ситуации, требующие оперативного согласования действий эксперта и заказчика. Экспертиза и аудит информационной безопасности предполагают наличие порядка разрешения таких ситуаций, обеспечивающего своевременность и обоснованность принимаемых решений. Существенное значение имеет также информирование заказчика о выявленных в ходе исследования существенных недостатках, требующих незамедлительного реагирования.
7.3. Представление и обсуждение результатов экспертизы и аудита информационной безопасности
Представление и обсуждение результатов составляют завершающий этап взаимодействия эксперта и заказчика при проведении экспертизы и аудита информационной безопасности. Экспертиза и аудит информационной безопасности предполагают, что результаты исследования должны быть представлены заказчику в форме, обеспечивающей их понимание и возможность практического использования.
Представление результатов экспертизы и аудита информационной безопасности включает передачу заказчику экспертного заключения или отчёта, а также разъяснение содержащихся в нём выводов и рекомендаций. Экспертиза и аудит информационной безопасности предполагают, что эксперт должен быть готов ответить на вопросы заказчика и предоставить необходимые пояснения по существу проведённого исследования. Представители заказчика могут быть приглашены в офис Союза «Федерация судебных экспертов» в Центре Москвы на метро Павелецкая для обсуждения результатов экспертизы и планирования дальнейших мероприятий.
Обсуждение результатов экспертизы и аудита информационной безопасности позволяет заказчику получить более полное представление о выявленных недостатках и определить приоритетные направления работы по повышению уровня защищённости информационных активов. Экспертиза и аудит информационной безопасности предполагают, что обсуждение должно носить конструктивный характер и способствовать формированию у заказчика ясного понимания дальнейших действий. По результатам обсуждения могут быть определены дополнительные направления исследования или скорректированы рекомендации с учётом особенностей деятельности заказчика.
Кейс 6. Экспертиза и аудит информационной безопасности организации, осуществляющей электронную торговлю
В практике Союза «Федерация судебных экспертов» значительное место занимают обращения организаций, осуществляющих деятельность в сфере электронной торговли, информационная инфраструктура которых характеризуется высокой динамичностью и интенсивным взаимодействием с внешними пользователями. Одним из показательных примеров является обращение организации, осуществляющей электронную торговлю товарами широкого потребления и располагающей развёрнутой информационной инфраструктурой, включающей веб-портал, системы обработки заказов, системы управления платежами и системы взаимодействия с поставщиками.
Поводом для обращения послужило возникновение инцидента информационной безопасности, выразившегося в компрометации учётных записей отдельных пользователей. Инцидент не привёл к существенному ущербу, однако вызвал обеспокоенность руководства организации относительно устойчивости информационной инфраструктуры и её способности противостоять угрозам. Руководство организации приняло решение о проведении экспертизы и аудита информационной безопасности с целью получения объективной оценки состояния защищённости информационных активов и определения направлений дальнейшей работы.
Экспертиза и аудит информационной безопасности были проведены с учётом специфики деятельности организации, что потребовало от экспертов понимания особенностей функционирования систем электронной торговли и характера обрабатываемой информации. На предварительном этапе были определены границы исследования, включающие веб-портал, системы обработки заказов и системы управления платежами, а также согласованы критерии оценки, в качестве которых выступили требования законодательства о персональных данных, требования к защите платёжной информации и положения применимых стандартов.
Анализ документации показал, что организация располагает необходимыми организационно-распорядительными документами в сфере информационной безопасности, однако отдельные документы не были актуализированы с учётом изменений, произошедших в информационной инфраструктуре. В частности, процедуры управления доступом не учитывали особенностей разграничения доступа к платёжной информации, а процедура управления инцидентами не содержала конкретных требований к действиям персонала при выявлении признаков компрометации учётных записей.
Обследование системы информационной безопасности выявило ряд существенных недостатков. Было установлено, что механизмы аутентификации пользователей веб-портала не обеспечивают достаточной стойкости к попыткам подбора учётных данных, а процедура восстановления доступа не содержит достаточных мер защиты от несанкционированного использования. Отдельные компоненты инфраструктуры функционировали на устаревших версиях программного обеспечения, содержащих известные уязвимости.
Анализ журналов событий позволил установить, что компрометация учётных записей стала возможной вследствие сочетания недостаточной стойкости механизмов аутентификации и отсутствия эффективных механизмов выявления подозрительной активности. При этом процедура реагирования на подобные инциденты не была отработана, что затруднило своевременное принятие необходимых мер.
По результатам проведённой экспертизы и аудита информационной безопасности было сформировано экспертное заключение, содержащее развёрнутое описание выявленных недостатков и рекомендации по их устранению. В числе первоочередных мер было предложено усиление механизмов аутентификации пользователей, совершенствование процедуры восстановления доступа, а также внедрение механизмов выявления подозрительной активности. Среднесрочные меры включали обновление программного обеспечения и совершенствование процедуры управления инцидентами. Долгосрочные меры предполагали развитие системы управления информационной безопасностью с учётом перспектив расширения деятельности организации. Представители организации были приглашены в офис Союза «Федерация судебных экспертов» в Центре Москвы на метро Павелецкая для обсуждения результатов экспертизы и планирования мероприятий по устранению выявленных недостатков.
Раздел 8. Документационное обеспечение экспертизы и аудита информационной безопасности
8.1. Состав и содержание документации, исследуемой в процессе экспертизы и аудита информационной безопасности
Документационное обеспечение экспертизы и аудита информационной безопасности включает совокупность документов, исследуемых экспертом в процессе проведения исследования, а также документов, формируемых по его результатам. Экспертиза и аудит информационной безопасности предполагают изучение широкого круга документов, характеризующих различные аспекты обеспечения защищённости информационных активов организации.
К числу документов, исследуемых в процессе экспертизы и аудита информационной безопасности, относятся:
• организационно-распорядительные документы, определяющие порядок обеспечения информационной безопасности в организации;
• политики и процедуры информационной безопасности, регламентирующие процессы защиты информации;
• инструкции и регламенты, определяющие действия персонала при выполнении отдельных операций;
• техническая документация на информационные системы и средства защиты;
• документы, отражающие результаты ранее проведённых оценок и проверок;
• журналы событий и системные логи, содержащие данные о происходящих в системе событиях;
• договоры и соглашения, определяющие порядок взаимодействия с внешними сторонами в части обеспечения информационной безопасности;
• иные документы, характеризующие состояние защищённости информационных активов.
Экспертиза и аудит информационной безопасности предполагают, что состав исследуемой документации определяется целями и границами исследования, а также характером исследуемых информационных систем и процессов. При этом экспертиза и аудит информационной безопасности должны обеспечивать достаточность исследуемой документации для формирования обоснованных выводов.
8.2. Формирование документов по результатам экспертизы и аудита информационной безопасности
Формирование документов по результатам экспертизы и аудита информационной безопасности представляет собой завершающий этап документационного обеспечения экспертной деятельности. Экспертиза и аудит информационной безопасности предполагают, что документы, формируемые по результатам исследования, должны обладать свойствами полноты, обоснованности и ясности, обеспечивающими возможность их использования заказчиком для принятия управленческих решений.
Основным документом, формируемым по результатам экспертизы и аудита информационной безопасности, является экспертное заключение, структура и содержание которого рассмотрены в предыдущих разделах настоящей монографии. Экспертиза и аудит информационной безопасности предполагают, что экспертное заключение должно содержать описание проведённого исследования, его результаты, выводы и рекомендации, а также сведения о применённых методах и инструментах.
Помимо экспертного заключения, по результатам экспертизы и аудита информационной безопасности могут формироваться иные документы, включая отчёты о результатах аудита, аналитические записки, рекомендации по устранению выявленных недостатков и планы мероприятий. Экспертиза и аудит информационной безопасности предполагают, что состав формируемых документов определяется целями исследования и потребностями заказчика. При этом все формируемые документы должны соответствовать требованиям, предъявляемым к экспертным документам, и обеспечивать возможность их последующей проверки и оценки.
8.3. Обеспечение сохранности и конфиденциальности документов экспертизы и аудита информационной безопасности
Обеспечение сохранности и конфиденциальности документов экспертизы и аудита информационной безопасности составляет важное направление организации экспертной деятельности. Экспертиза и аудит информационной безопасности предполагают, что документы, содержащие сведения о состоянии защищённости информационных активов, должны быть защищены от несанкционированного доступа, модификации и уничтожения.
Экспертиза и аудит информационной безопасности предполагают установление порядка хранения документов, обеспечивающего их сохранность в течение установленного срока. Существенное значение имеет защита документов от несанкционированного доступа, поскольку содержащиеся в них сведения могут быть использованы во вред заказчику. Экспертиза и аудит информационной безопасности предполагают, что доступ к документам должен предоставляться только лицам, имеющим соответствующие полномочия.
Конфиденциальность документов экспертизы и аудита информационной безопасности обеспечивается соблюдением требований, исключающих раскрытие содержащихся в них сведений третьим лицам без согласия заказчика. Экспертиза и аудит информационной безопасности предполагают, что эксперт несёт ответственность за соблюдение конфиденциальности полученных в процессе исследования сведений. При этом экспертиза и аудит информационной безопасности должны обеспечивать баланс между требованиями конфиденциальности и необходимостью представления результатов исследования заказчику в форме, обеспечивающей их понимание и практическое использование.
Кейс 7. Экспертиза и аудит информационной безопасности органа государственной власти
В практике Союза «Федерация судебных экспертов» значительное внимание уделяется вопросам обеспечения информационной безопасности в органах государственной власти, что обусловлено высокой значимостью обрабатываемой в данной сфере информации и серьёзностью последствий её несанкционированного раскрытия или модификации. Одним из характерных примеров является обращение органа исполнительной власти субъекта Российской Федерации, располагающего развёрнутой информационной инфраструктурой, включающей информационные системы, обеспечивающие предоставление государственных услуг, системы электронного документооборота и системы взаимодействия с гражданами и организациями.
Обращение было обусловлено необходимостью получения объективной оценки состояния защищённости информационных активов органа власти в связи с планируемым расширением спектра предоставляемых государственных услуг в электронной форме и внедрением новых информационных систем. Руководство органа власти осознавало, что обработка сведений, относящихся к категории служебной информации и персональных данных граждан, требует применения повышенных мер защиты, и стремилось убедиться в том, что существующая система информационной безопасности обеспечивает надлежащий уровень защищённости.
Экспертиза и аудит информационной безопасности были проведены с учётом специфики деятельности органа государственной власти, что потребовало от экспертов понимания особенностей организации предоставления государственных услуг и характера обрабатываемой информации. На предварительном этапе были определены границы исследования, включающие информационные системы, обеспечивающие предоставление государственных услуг, а также согласованы критерии оценки, в качестве которых выступили требования законодательства о персональных данных, требования к защите служебной информации и положения применимых стандартов.
Анализ документации показал, что орган власти располагает развитой нормативной базой в сфере информационной безопасности, что в значительной степени обусловлено повышенными требованиями, предъявляемыми к органам государственной власти. Вместе с тем было установлено, что отдельные документы не были актуализированы с учётом изменений, произошедших в информационной инфраструктуре, а процедуры управления доступом не в полной мере учитывали особенности разграничения доступа к информации различных категорий.
Обследование системы информационной безопасности выявило ряд существенных недостатков. Было установлено, что отдельные информационные системы, обеспечивающие предоставление государственных услуг, функционируют на устаревших версиях программного обеспечения, содержащих известные уязвимости. Кроме того, были выявлены недостатки в организации мониторинга событий информационной безопасности, что затрудняло своевременное выявление подозрительной активности. Отдельное внимание в ходе экспертизы и аудита информационной безопасности было уделено анализу процессов управления доступом, что позволило выявить случаи избыточного предоставления прав доступа сотрудникам, не нуждающимся в них для выполнения своих должностных обязанностей.
Анализ журналов событий позволил выявить случаи обращения к информации, не обусловленные должностными обязанностями сотрудников, что свидетельствовало о недостаточном контроле за соблюдением установленных правил разграничения доступа. При этом процедура реагирования на подобные случаи не была отработана, и соответствующие события не становились предметом разбирательства.
По результатам проведённой экспертизы и аудита информационной безопасности было сформировано экспертное заключение, содержащее развёрнутое описание выявленных недостатков и рекомендации по их устранению. В числе первоочередных мер было предложено обновление программного обеспечения информационных систем, усиление контроля за доступом к информации, а также совершенствование процедуры реагирования на подозрительную активность. Среднесрочные меры включали развитие системы мониторинга событий информационной безопасности и совершенствование процедур управления доступом. Долгосрочные меры предполагали развитие системы управления информационной безопасностью с учётом перспектив расширения спектра предоставляемых государственных услуг в электронной форме. Представители органа власти были приглашены в офис Союза «Федерация судебных экспертов» в Центре Москвы на метро Павелецкая для обсуждения результатов экспертизы и планирования мероприятий по устранению выявленных недостатков.
Раздел 9. Инструментальные средства экспертизы и аудита информационной безопасности
9.1. Классификация инструментальных средств экспертизы и аудита информационной безопасности
Инструментальные средства экспертизы и аудита информационной безопасности представляют собой совокупность программных и аппаратных средств, применяемых экспертом для получения данных о состоянии защищённости информационных активов. Экспертиза и аудит информационной безопасности предполагают осмысленный выбор инструментальных средств, обеспечивающих получение достоверных данных применительно к конкретным условиям исследования.
Классификация инструментальных средств экспертизы и аудита информационной безопасности может проводиться по различным основаниям. По функциональному назначению выделяются средства сканирования уязвимостей, средства тестирования на проникновение, средства анализа конфигурации, средства анализа журналов событий, средства оценки соответствия и иные категории средств. Экспертиза и аудит информационной безопасности предполагают, что выбор инструментальных средств определяется целями и задачами исследования, а также характером исследуемых информационных систем.
По способу применения выделяются автоматизированные средства, обеспечивающие выполнение отдельных операций без непосредственного участия эксперта, и средства, применяемые экспертом в интерактивном режиме. Экспертиза и аудит информационной безопасности предполагают, что автоматизированные средства позволяют повысить эффективность исследования, однако не заменяют экспертного суждения при интерпретации получаемых результатов. Существенное значение имеет также классификация инструментальных средств по степени воздействия на исследуемые системы, поскольку применение отдельных средств может создавать риски нарушения нормального функционирования информационных систем.
9.2. Применение инструментальных средств при проведении экспертизы и аудита информационной безопасности
Применение инструментальных средств при проведении экспертизы и аудита информационной безопасности подчиняется определённым правилам, обеспечивающим достоверность получаемых результатов и безопасность исследуемых систем. Экспертиза и аудит информационной безопасности предполагают, что применение инструментальных средств должно осуществляться в строго определённых границах, согласованных с заказчиком, и не создавать необоснованных рисков для функционирования информационных систем.
При проведении сканирования уязвимостей экспертиза и аудит информационной безопасности предполагают выбор режима сканирования, обеспечивающего выявление уязвимостей без создания чрезмерной нагрузки на исследуемые системы. Существенное значение имеет настройка средств сканирования с учётом особенностей исследуемой инфраструктуры, что позволяет повысить точность получаемых результатов и снизить количество ложных срабатываний. Экспертиза и аудит информационной безопасности предполагают, что результаты сканирования должны анализироваться экспертом с учётом контекста, поскольку не все выявленные уязвимости представляют реальную угрозу.
При проведении тестирования на проникновение экспертиза и аудит информационной безопасности предполагают строгое соблюдение согласованных с заказчиком границ исследования, исключающее воздействие на системы, не входящие в объём исследования. Существенное значение имеет документирование всех действий, выполняемых в процессе тестирования, что обеспечивает возможность последующей проверки и оценки полученных результатов. Экспертиза и аудит информационной безопасности предполагают, что тестирование на проникновение должно проводиться с соблюдением мер, исключающих нарушение нормального функционирования исследуемых систем.
9.3. Интерпретация результатов применения инструментальных средств
Интерпретация результатов применения инструментальных средств составляет важный этап экспертизы и аудита информационной безопасности, на котором полученные данные преобразуются в выводы о состоянии защищённости информационных активов. Экспертиза и аудит информационной безопасности предполагают, что интерпретация результатов должна осуществляться экспертом с учётом контекста исследования и особенностей исследуемой инфраструктуры.
Результаты сканирования уязвимостей требуют экспертной оценки с точки зрения реальной значимости выявленных уязвимостей и возможности их эксплуатации. Экспертиза и аудит информационной безопасности предполагают, что не все выявленные уязвимости представляют одинаковую опасность, и их приоритизация должна осуществляться с учётом характера исследуемых систем и обрабатываемой информации. Существенное значение имеет также оценка возможности устранения выявленных уязвимостей с учётом ограничений, накладываемых особенностями функционирования информационных систем.
Результаты тестирования на проникновение требуют экспертной интерпретации с точки зрения оценки реальной устойчивости системы защиты к атакам. Экспертиза и аудит информационной безопасности предполагают, что успешная эксплуатация уязвимости в ходе тестирования свидетельствует о наличии существенных недостатков в системе защиты, требующих первоочередного устранения. При этом экспертиза и аудит информационной безопасности должны учитывать, что отсутствие успешных атак в ходе тестирования не гарантирует абсолютной защищённости, поскольку тестирование охватывает лишь определённый набор сценариев.
Кейс 8. Экспертиза и аудит информационной безопасности страховой организации
В практике Союза «Федерация судебных экспертов» значительное место занимают обращения страховых организаций, информационная инфраструктура которых характеризуется обработкой значительных объёмов персональных данных и сведений, составляющих страховую тайну. Одним из показательных примеров является обращение страховой организации, располагающей развёрнутой информационной инфраструктурой, включающей системы управления страховыми договорами, системы обработки страховых случаев, системы взаимодействия с агентами и системы управления финансово-хозяйственной деятельностью.
Обращение было обусловлено необходимостью получения объективной оценки состояния защищённости информационных активов организации в связи с планируемым внедрением новых информационных систем и расширением объёма обрабатываемых данных. Руководство организации осознавало, что обработка сведений, составляющих страховую тайну, требует применения повышенных мер защиты, и стремилось убедиться в том, что существующая система информационной безопасности обеспечивает надлежащий уровень защищённости.
Экспертиза и аудит информационной безопасности были проведены с учётом специфики деятельности страховой организации, что потребовало от экспертов понимания особенностей обработки страховых данных и требований, предъявляемых к их защите. На предварительном этапе были определены границы исследования, включающие системы управления страховыми договорами и системы обработки страховых случаев, а также согласованы критерии оценки, в качестве которых выступили требования законодательства о персональных данных и положения применимых стандартов.
Анализ документации показал, что организация располагает развитой нормативной базой в сфере информационной безопасности, однако отдельные документы не были актуализированы с учётом изменений, произошедших в информационной инфраструктуре. В частности, процедуры управления доступом не в полной мере учитывали особенности разграничения доступа к страховым данным различных категорий, а процедура управления инцидентами не содержала конкретных требований к действиям персонала при выявлении признаков несанкционированного доступа.
Обследование системы информационной безопасности выявило ряд существенных недостатков. Было установлено, что отдельные информационные системы функционируют на устаревших версиях программного обеспечения, содержащих известные уязвимости. Кроме того, были выявлены недостатки в организации мониторинга событий информационной безопасности, что затрудняло своевременное выявление подозрительной активности. Отдельное внимание в ходе экспертизы и аудита информационной безопасности было уделено анализу процессов управления доступом, что позволило выявить случаи избыточного предоставления прав доступа сотрудникам, не нуждающимся в них для выполнения своих должностных обязанностей.
Анализ журналов событий позволил выявить случаи обращения к страховым данным, не обусловленные должностными обязанностями сотрудников, что свидетельствовало о недостаточном контроле за соблюдением установленных правил разграничения доступа. При этом процедура реагирования на подобные случаи не была отработана, и соответствующие события не становились предметом разбирательства.
По результатам проведённой экспертизы и аудита информационной безопасности было сформировано экспертное заключение, содержащее развёрнутое описание выявленных недостатков и рекомендации по их устранению. В числе первоочередных мер было предложено обновление программного обеспечения информационных систем, усиление контроля за доступом к страховым данным, а также совершенствование процедуры реагирования на подозрительную активность. Среднесрочные меры включали развитие системы мониторинга событий информационной безопасности и совершенствование процедур управления доступом. Долгосрочные меры предполагали развитие системы управления информационной безопасностью с учётом перспектив расширения деятельности организации. Представители организации были приглашены в офис Союза «Федерация судебных экспертов» в Центре Москвы на метро Павелецкая для обсуждения результатов экспертизы и планирования мероприятий по устранению выявленных недостатков.
Раздел 10. Оценка эффективности системы управления информационной безопасностью в рамках экспертизы и аудита информационной безопасности
10.1. Критерии оценки эффективности системы управления информационной безопасностью
Оценка эффективности системы управления информационной безопасностью составляет важное направление экспертизы и аудита информационной безопасности, поскольку позволяет определить, насколько применяемые меры и процессы обеспечивают достижение целей обеспечения защищённости информационных активов. Экспертиза и аудит информационной безопасности предполагают формирование системы критериев, позволяющих оценить эффективность управления информационной безопасностью с учётом особенностей деятельности организации.
К числу критериев оценки эффективности системы управления информационной безопасностью, применяемых в рамках экспертизы и аудита информационной безопасности, относятся:
• полнота охвата информационных активов мерами защиты;
• актуальность применяемых мер защиты с учётом evolving характера угроз;
• результативность процессов выявления и реагирования на инциденты;
• эффективность процессов управления доступом и идентификацией;
• достаточность ресурсного обеспечения деятельности по обеспечению информационной безопасности;
• качество документационного обеспечения процессов управления информационной безопасностью;
• результативность процессов обучения и повышения осведомлённости персонала;
• эффективность механизмов мониторинга и контроля состояния информационной безопасности.
Экспертиза и аудит информационной безопасности предполагают, что оценка эффективности должна осуществляться комплексно, с учётом взаимосвязи различных элементов системы управления информационной безопасностью. При этом экспертиза и аудит информационной безопасности должны обеспечивать обоснованность формируемых оценок, опираясь на достоверные данные о фактическом состоянии системы управления информационной безопасностью.
10.2. Методы оценки эффективности системы управления информационной безопасностью
Методы оценки эффективности системы управления информационной безопасностью, применяемые в рамках экспертизы и аудита информационной безопасности, включают анализ документации, интервью с персоналом, анализ фактических данных о функционировании системы управления информационной безопасностью, а также сравнение с общепризнанными практиками и стандартами. Экспертиза и аудит информационной безопасности предполагают комплексное применение указанных методов, обеспечивающее всесторонность оценки.
Анализ документации позволяет оценить полноту и качество документационного обеспечения процессов управления информационной безопасностью, а также соответствие документации установленным требованиям. Экспертиза и аудит информационной безопасности предполагают, что анализ документации должен дополняться проверкой фактического соблюдения установленных требований, поскольку документация не всегда отражает реальное положение дел.
Интервью с персоналом позволяют получить сведения о фактических практиках обеспечения информационной безопасности и оценке персоналом эффективности применяемых мер. Экспертиза и аудит информационной безопасности предполагают, что интервью должны проводиться с представителями различных подразделений и уровней управления, что обеспечивает полноту получаемой информации. Существенное значение имеет также анализ фактических данных о функционировании системы управления информационной безопасностью, включая данные о выявленных инцидентах и принятых мерах.
10.3. Формирование выводов об эффективности системы управления информационной безопасностью
Формирование выводов об эффективности системы управления информационной безопасностью представляет собой завершающий этап оценки, на котором полученные данные обобщаются и преобразуются в обоснованные суждения о состоянии системы управления информационной безопасностью. Экспертиза и аудит информационной безопасности предполагают, что выводы должны быть конкретными, обоснованными и практически значимыми для заказчика.
Выводы об эффективности системы управления информационной безопасностью включают оценку соответствия системы установленным требованиям, оценку способности системы противостоять угрозам, а также оценку способности системы адаптироваться к изменяющимся условиям. Экспертиза и аудит информационной безопасности предполагают, что выводы должны сопровождаться указанием на выявленные недостатки и рекомендациями по их устранению. При этом экспертиза и аудит информационной безопасности должны обеспечивать баланс между критичностью выводов и их конструктивностью, способствуя повышению уровня защищённости информационных активов.
Кейс 9. Экспертиза и аудит информационной безопасности организации, осуществляющей деятельность в сфере жилищно-коммунального хозяйства
В практике Союза «Федерация судебных экспертов» значительное место занимают обращения организаций, осуществляющих деятельность в сфере жилищно-коммунального хозяйства, информационная инфраструктура которых характеризуется обработкой значительных объёмов персональных данных и сведений о платежах. Одним из показательных примеров является обращение организации, осуществляющей деятельность по управлению многоквартирными домами и располагающей развёрнутой информационной инфраструктурой, включающей системы расчёта платежей, системы обработки обращений граждан и системы взаимодействия с поставщиками коммунальных ресурсов.
Обращение было обусловлено необходимостью получения объективной оценки состояния защищённости информационных активов организации в связи с планируемым внедрением новых информационных систем и расширением объёма обрабатываемых данных. Руководство организации осознавало, что обработка персональных данных граждан и сведений о платежах требует применения надлежащих мер защиты, и стремилось убедиться в том, что существующая система информационной безопасности обеспечивает необходимый уровень защищённости.
Экспертиза и аудит информационной безопасности были проведены с учётом специфики деятельности организации, что потребовало от экспертов понимания особенностей обработки данных в сфере жилищно-коммунального хозяйства. На предварительном этапе были определены границы исследования, включающие системы расчёта платежей и системы обработки обращений граждан, а также согласованы критерии оценки, в качестве которых выступили требования законодательства о персональных данных и положения применимых стандартов.
Анализ документации показал, что организация располагает необходимыми организационно-распорядительными документами в сфере информационной безопасности, однако отдельные документы не были актуализированы с учётом изменений, произошедших в информационной инфраструктуре. В частности, процедуры управления доступом не в полной мере учитывали особенности разграничения доступа к персональным данным граждан, а процедура управления инцидентами не содержала конкретных требований к действиям персонала при выявлении признаков несанкционированного доступа.
Обследование системы информационной безопасности выявило ряд существенных недостатков. Было установлено, что доступ к отдельным информационным системам осуществляется с использованием общих учётных записей, что не позволяет обеспечить надлежащую персонализацию действий пользователей. Отдельные рабочие станции не были оснащены средствами защиты от несанкционированного доступа, а на некоторых из них применялись устаревшие версии программного обеспечения, содержащие известные уязвимости.
Отдельное внимание в ходе экспертизы и аудита информационной безопасности было уделено анализу процессов управления инцидентами. Изучение журналов событий позволило выявить случаи обращения к персональным данным, не обусловленные должностными обязанностями сотрудников, что свидетельствовало о недостаточном контроле за соблюдением установленных правил разграничения доступа. При этом процедура реагирования на подобные случаи не была отработана, и соответствующие события не становились предметом разбирательства.
По результатам проведённой экспертизы и аудита информационной безопасности было сформировано экспертное заключение, содержащее развёрнутое описание выявленных недостатков и рекомендации по их устранению. В числе первоочередных мер было предложено внедрение персонализированных учётных записей, усиление контроля за доступом к персональным данным, а также разработка детализированной процедуры управления инцидентами. Среднесрочные меры включали обновление программного обеспечения и оснащение рабочих станций средствами защиты. Долгосрочные меры предполагали развитие системы управления информационной безопасностью с учётом перспектив расширения деятельности организации. Представители организации были приглашены в офис Союза «Федерация судебных экспертов» в Центре Москвы на метро Павелецкая для обсуждения результатов экспертизы и планирования мероприятий по устранению выявленных недостатков.
Раздел 11. Особенности экспертизы и аудита информационной безопасности при обработке персональных данных
11.1. Требования к защите персональных данных и их учёт в экспертизе и аудите информационной безопасности
Защита персональных данных составляет одно из приоритетных направлений обеспечения информационной безопасности, что обусловлено повышенными требованиями, предъявляемыми законодательством к обработке персональных данных. Экспертиза и аудит информационной безопасности при обработке персональных данных предполагают оценку соответствия применяемых мер защиты требованиям законодательства, а также оценку достаточности этих мер для обеспечения защищённости персональных данных от несанкционированного доступа, модификации и уничтожения.
Экспертиза и аудит информационной безопасности предполагают анализ процессов обработки персональных данных с точки зрения соответствия требованиям, предъявляемым к обработке персональных данных. Существенное значение имеет оценка правовых оснований обработки персональных данных, порядка получения согласия субъектов персональных данных, а также порядка обеспечения прав субъектов персональных данных. Экспертиза и аудит информационной безопасности должны обеспечивать комплексную оценку соответствия процессов обработки персональных данных установленным требованиям.
Особое внимание в рамках экспертизы и аудита информационной безопасности уделяется оценке мер по обеспечению безопасности персональных данных при их обработке. Экспертиза и аудит информационной безопасности предполагают анализ применяемых организационных и технических мер защиты, оценку их достаточности с учётом характера обрабатываемых персональных данных и угроз безопасности. При этом экспертиза и аудит информационной безопасности должны учитывать требования, предъявляемые к защите персональных данных различных категорий, поскольку характер требуемых мер защиты зависит от чувствительности обрабатываемых данных.
11.2. Оценка соответствия процессов обработки персональных данных требованиям законодательства
Оценка соответствия процессов обработки персональных данных требованиям законодательства составляет важное направление экспертизы и аудита информационной безопасности. Экспертиза и аудит информационной безопасности предполагают анализ документов, регламентирующих обработку персональных данных, оценку порядка получения согласия субъектов персональных данных, а также оценку порядка обеспечения прав субъектов персональных данных.
Экспертиза и аудит информационной безопасности предполагают проверку наличия и содержания документов, определяющих политику оператора в отношении обработки персональных данных, а также документов, устанавливающих порядок обработки персональных данных. Существенное значение имеет оценка соответствия содержания указанных документов требованиям законодательства, а также их практической применимости. Экспертиза и аудит информационной безопасности должны обеспечивать выявление недостатков в документационном обеспечении обработки персональных данных и формирование рекомендаций по их устранению.
Оценка порядка обеспечения прав субъектов персональных данных предполагает анализ процедур рассмотрения обращений субъектов персональных данных, а также оценку полноты и своевременности реализации прав субъектов персональных данных. Экспертиза и аудит информационной безопасности предполагают, что порядок обеспечения прав субъектов персональных данных должен обеспечивать возможность реализации всех предусмотренных законодательством прав, включая право на доступ к своим персональным данным, право на их уточнение, блокирование или уничтожение.
11.3. Оценка мер по обеспечению безопасности персональных данных
Оценка мер по обеспечению безопасности персональных данных составляет центральное направление экспертизы и аудита информационной безопасности при обработке персональных данных. Экспертиза и аудит информационной безопасности предполагают анализ применяемых организационных и технических мер защиты, оценку их достаточности и эффективности с учётом характера обрабатываемых персональных данных и существующих угроз.
К числу организационных мер по обеспечению безопасности персональных данных, оцениваемых в рамках экспертизы и аудита информационной безопасности, относятся:
• назначение лиц, ответственных за организацию обработки персональных данных;
• разработка и утверждение документов, определяющих политику оператора в отношении обработки персональных данных;
• установление порядка доступа к персональным данным;
• организация учёта носителей персональных данных;
• организация обучения персонала, осуществляющего обработку персональных данных;
• организация внутреннего контроля за соблюдением требований к обработке персональных данных.
К числу технических мер по обеспечению безопасности персональных данных, оцениваемых в рамках экспертизы и аудита информационной безопасности, относятся меры по обеспечению защиты от несанкционированного доступа, меры по обеспечению целостности персональных данных, меры по обеспечению доступности персональных данных, а также меры по контролю за эффективностью применяемых средств защиты. Экспертиза и аудит информационной безопасности предполагают оценку соответствия применяемых мер требованиям, установленным законодательством, а также оценку их достаточности с учётом характера обрабатываемых персональных данных.
Кейс 10. Экспертиза и аудит информационной безопасности организации, осуществляющей деятельность в сфере транспортной логистики
В практике Союза «Федерация судебных экспертов» значительное место занимают обращения организаций, осуществляющих деятельность в сфере транспортной логистики, информационная инфраструктура которых характеризуется интенсивным взаимодействием с внешними контрагентами и обработкой значительных объёмов оперативных данных. Одним из показательных примеров является обращение крупной транспортно-логистической организации, располагающей развёрнутой информационной инфраструктурой, включающей системы управления перевозками, системы отслеживания грузов, системы взаимодействия с контрагентами и системы управления финансово-хозяйственной деятельностью.
Поводом для обращения послужило возникновение инцидента информационной безопасности, выразившегося в нарушении нормального функционирования системы управления перевозками. Инцидент привёл к задержке в обработке заказов и вызвал обеспокоенность руководства организации относительно устойчивости информационной инфраструктуры и её способности противостоять угрозам. Руководство организации приняло решение о проведении экспертизы и аудита информационной безопасности с целью получения объективной оценки состояния защищённости информационных активов и определения направлений дальнейшей работы.
Экспертиза и аудит информационной безопасности были проведены с учётом специфики деятельности организации, что потребовало от экспертов понимания особенностей организации транспортно-логистических процессов и характера обрабатываемой информации. На предварительном этапе были определены границы исследования, включающие системы управления перевозками и системы отслеживания грузов, а также согласованы критерии оценки, в качестве которых выступили требования законодательства и положения применимых стандартов.
Анализ документации показал, что организация располагает необходимыми организационно-распорядительными документами в сфере информационной безопасности, однако отдельные документы не были актуализированы с учётом изменений, произошедших в информационной инфраструктуре. В частности, процедуры управления доступом не в полной мере учитывали особенности разграничения доступа к оперативным данным, а процедура управления инцидентами не содержала конкретных требований к действиям персонала при выявлении признаков нарушения нормального функционирования систем.
Обследование системы информационной безопасности выявило ряд существенных недостатков. Было установлено, что отдельные компоненты инфраструктуры функционируют на устаревших версиях программного обеспечения, содержащих известные уязвимости. Кроме того, были выявлены недостатки в организации мониторинга событий информационной безопасности, что затрудняло своевременное выявление подозрительной активности. Отдельное внимание в ходе экспертизы и аудита информационной безопасности было уделено анализу процессов управления доступом, что позволило выявить случаи избыточного предоставления прав доступа сотрудникам, не нуждающимся в них для выполнения своих должностных обязанностей.
Анализ журналов событий позволил установить, что нарушение нормального функционирования системы управления перевозками стало возможным вследствие сочетания недостаточной защищённости отдельных компонентов инфраструктуры и отсутствия эффективных механизмов выявления подозрительной активности. При этом процедура реагирования на подобные инциденты не была отработана, что затруднило своевременное принятие необходимых мер.
По результатам проведённой экспертизы и аудита информационной безопасности было сформировано экспертное заключение, содержащее развёрнутое описание выявленных недостатков и рекомендации по их устранению. В числе первоочередных мер было предложено обновление программного обеспечения информационных систем, усиление контроля за доступом к оперативным данным, а также внедрение механизмов выявления подозрительной активности. Среднесрочные меры включали развитие системы мониторинга событий информационной безопасности и совершенствование процедуры управления инцидентами. Долгосрочные меры предполагали развитие системы управления информационной безопасностью с учётом перспектив расширения деятельности организации. Представители организации были приглашены в офис Союза «Федерация судебных экспертов» в Центре Москвы на метро Павелецкая для обсуждения результатов экспертизы и планирования мероприятий по устранению выявленных недостатков.
Заключение
Проведённое исследование теоретических, методологических и прикладных аспектов экспертизы и аудита информационной безопасности позволяет сформулировать ряд обобщающих выводов, отражающих основные результаты настоящей монографии.
Экспертиза и аудит информационной безопасности представляют собой самостоятельное направление экспертной деятельности, обладающее собственной теоретической основой, методологией и практикой применения. Сущность экспертизы и аудита информационной безопасности раскрывается через понимание их как инструментов независимой профессиональной оценки состояния защищённости информационных активов, обеспечивающих получение объективного представления о существующих угрозах, уязвимостях и рисках, а также о соответствии применяемых мер защиты установленным требованиям.
Методологическую основу экспертизы и аудита информационной безопасности составляет совокупность методов, включающих анализ документации, оценку организационных мер защиты, оценку технической инфраструктуры, тестирование на проникновение, сканирование уязвимостей, анализ процессов управления доступом и управлением инцидентами. Комплексное применение указанных методов обеспечивает всесторонний характер исследования и достоверность формируемых выводов.
Существенное значение для эффективного проведения экспертизы и аудита информационной безопасности имеет оценка рисков, позволяющая определить приоритетность мер защиты и обоснованность распределения ресурсов на обеспечение защищённости информационных активов. Экспертиза и аудит информационной безопасности предполагают построение модели угроз и оценку рисков с учётом особенностей информационной инфраструктуры и характера обрабатываемой информации.
Результаты экспертизы и аудита информационной безопасности оформляются в виде экспертного заключения или отчёта, структура и содержание которых должны обеспечивать объективность, обоснованность, полноту и ясность изложения. Использование результатов экспертизы и аудита информационной безопасности позволяет заказчику повысить уровень защищённости информационных активов, устранить выявленные недостатки и усовершенствовать систему управления информационной безопасностью.
Практика проведения экспертизы и аудита информационной безопасности в организациях различных сфер деятельности свидетельствует о наличии существенной специфики, обусловленной различиями в характере обрабатываемой информации и особенностях информационной инфраструктуры. Учёт указанной специфики является обязательным условием надлежащего проведения экспертизы и аудита информационной безопасности и обеспечивает адекватность применяемых методов и обоснованность формируемых выводов.
Таким образом, экспертиза и аудит информационной безопасности представляют собой востребованное и динамично развивающееся направление экспертной деятельности, значение которого в условиях цифровой трансформации экономики и общества неуклонно возрастает. Дальнейшее развитие экспертизы и аудита информационной безопасности связано с совершенствованием методологии исследования, расширением спектра применяемых методов и инструментов, а также повышением квалификации экспертов, обеспечивающих проведение экспертного исследования на высоком профессиональном уровне.
Союз «Федерация судебных экспертов» приглашает заинтересованных лиц в наш офис в Центре Москвы на метро Павелецкая для обсуждения вопросов проведения экспертизы и аудита информационной безопасности. Мы готовы провести экспертизу и аудит информационной безопасности с учётом особенностей вашей организации и предоставить объективное экспертное заключение по результатам исследования.
Телефоны для связи: 8(495) 666-5-666, 8-(800) 555-04-53
Электронная почта: info@fse.ms
Союз «Федерация судебных экспертов»
Задавайте любые вопросы
[dwqa-submit-question-form]