Специалисты по аудиту информационных систем в россии нужны как никогда. Аудит информационных систем. Угрозы информационной безопасности. Информационные технологии

У вас на предприятии уже внедрена информационная система, которая, казалось бы, должна облегчить рутинные операции, оптимизировать работу, но на деле оказывается, что процессы стали ещё запутаннее, а управление и постоянные настройки ИС требуют всё больше и больше ресурсов. В чём причина? Что сделано не так? Нужна ли вообще ИС вашему предприятию, а если нужна, то какая? Какие задачи должна решать ваша информационная система? На эти и другие вопросы может дать ответ только грамотный всесторонний аудит, исследование действующих систем и специфики вашего бизнеса.

До разработки корпоративной информационной системы, осуществляется аудит систем управления, планирования, учёта, отчётности, документооборота, и т.п. Цель - поиск точек роста и оптимизация бизнеса заказчика. Учитывая данные анализа, специалисты разрабатывают КИС (корпоративную информационную систему) для каждого конкретного предприятия. Подвергаются анализу и уже действующие на предприятии информационные системы, степень их эффективности и целесообразность использования именно этих решений..

Современная ИС (информационная система) представляет сложный набор взаимосвязанных схем и алгоритмов, при этом от грамотности ее построения напрямую зависит эффективность работы всего предприятия. Проведение аудита информационной системы позволяет дать ответы на такие важные вопросы, как:

• соответствие ИС преследуемым целям и специфике деятельности компании;
• уровень защищенности данных от внутренних и внешних негативных факторов;
• степень интеграции информационных технологий в бизнес-процессы предприятия.

Аудит ИС – это в том числе и анализ эффективности работы IT-службы, степени автоматизации осуществляемых на предприятии процессов, оценка качества документооборота и журнализации. Его проведение предоставляет возможность получить максимально полную информацию о возможных рисках, о положении IT-инфраструктуры компании.

Аудит эффективности ИС предполагает выполнение следующих мероприятий:

• инвентаризация IT-инфраструктуры (осуществляется проверка используемого в компании оборудования и ПО);
• определение показателей нагрузки на IT-объекты;
• оценка статистических данных, а также информации, полученной в ходе инвентаризации;
• установление степени соответствия функциональных возможностей ИС требованиям бизнеса;
• написание отчета по результатам аудита;
• разработка рекомендаций, направленных на оптимизацию ИС;
• формализация фонда НСИ.

Результаты проведения аудита информационных систем:

• выявление истинных причин низкой эффективности используемой ИС;
• возможность принять обоснованное решение по повышению ее продуктивности, будь то закупка более современного оборудования, совершенствование ранее используемой ИС или ее замена на новую;
• составление прогнозов относительно того, как поведет себя ИС в случае изменения потоков информации (увеличение общего числа проводимых операций, пользователей и т. п.);
• получение доступных и обоснованных рекомендаций, касающихся улучшения работы IT-подразделений, оптимизации затрат на информационные технологии, а также обозначения мероприятий, призванных улучшить качество IT-сервиса.

Универсальных информационных систем, которые подходят всем без исключения предприятиям не бывает. Взяв за основу платформу 1С или Oracle, как базис, необходимо выполнить целый ряд настроек, дополнить нужный функционал, отключить лишнее - выполнить идеальную подгонку всех информационных механизмов по ваш бизнес. Первым шагом к поиску оптимальных решений может быть аудит информационной системы предприятия или, как её принято называть, корпоративной информационной системы.

Основным содержанием аудиторской деятельности, особенно про­ведения аудита, является работа с большими информационными массивами, имеющими форму как бумажных документов, так и элек­тронных баз данных. Поэтому использование персональных компь­ютеров (ПК) в этой деятельности является естественным ходом прогресса в области информационных технологий.

Применению ПК и современных информационных технологий в аудиторской деятельности посвящены не только научные публи­кации, но и стандарты аудиторской деятельности.

В системе российски правил (стандартов) эти вопросы нашли отражение в трех стандартах: «Аудит в условиях компьютерной об­работки данных», Проведе ие аудита с помощью компьютеров», «Оценка риска и внутренний контроль; характеристика и учет сре­ды компьютерной и информационной систем». Из приведенного списка российских стандартов видно, что для российских аудиторов разработаны наиболее существенные из стандартов, имеющих от­ношение к компьютеризации аудита. Российские правила (стандарты) ориентированы на прогрессивные компьютерные информационные системы, они учитывают специфику российского бухгалтерского учета и аудита. Эти стандарты до сих пор дополняют такие феде- р@ льные прав ила (стандарты) аудиторской деятельности (ФПСАД), как «Планирование аудита», «Документирование аудита», «Понима­ние деятельности аудируемого лица, среды, в которой она осущест­вляется, и оценка рисков существенного искажения аудируемой финансовой (бухгалтерской) отчетности».

в действующих в настоящее время ФПСАД, приш дших на смену российским, отдельных стандартов, посвященных примене­нию ПК в аудите, нет, поэтому основные положения упомянутых

российских стандартов не потеряли своей актуальности и сейчас. Поскольку применение компьютеров в аудите - объективно сущест­вующая реальность, в федеральных стандартах также в том или ином контексте упоминаются и компьютерные информационные системы бухгалтерского учета, и методы аудита с помощью компьютеров.

И российские и федеральные стандарты ориентиров.ты та бо­лее эффективное достижение цели аудита и описание особенностей реализации основных принципов и методов аудита в современных условиях.

Использование компьютеров и информационных технологий характерно как для аудируемых лиц, так и для аудиторских органи­заций и индивидуальных аудиторов.

Общие положения о компонентах компьютерного аудита, ос­новных понятиях и подходах к его организации раскрыты в первом и втором правилах (стандартах) из перечисленных выше. Эти два стандарта тесно взаимосвязаны. При этом первый имеет большее отношение к аудируемым лицам, а второй - непосредственно к аудиторам и аудиторским организациям.

В настоящее время сложились благоприятные условия, когда и аудируемое лицо, и аудитор располагают и используют ПК. Од­нако само по себе наличие персональных компьютеров в бухгалте­рии аудируемого лица или у аудитора еще не является достаточным поводом считать, что бухгалтерский учет или аудит ведутся в усло­виях системы компьютерной оь, аботки данных (КОД). Важно, что­бы у экономического субъекта были автоматизированы работы по внутреннему контролю, бухгалтерскому учету и другим процессам управления, т.е чтобы в процессе учета большие объемы учетной информации обрабатывались с использованием ПК. Компьютерная обработка имеет место в случаях, когда с помощью компьютерной техники осуществляется обработка значительных объемов учетной информации неза исимо от следующих факторов:

1) компьютер используется экономическим субъектом самостоя­тельно или п о дот о ору с третьей стороной;

2) компьютер используется экономическим субъектом для обра­ботки экономической информации во всех аспектах хозяйственной деятельности и ее учета или только для автоматизации обработки информации по отдельным видам фактов хозяйственной жизни, отдельным участкам учета.

Аналогична и оценка степени компьютеризации аудиторской д ятельности. В аудиторских организациях и у индивидуальных @уди- торов ПК могут использоваться не только для автоматизации управленческих работ, но и для проведения аудита у экономических субъектов. При этом понятие «использование ПК в аудите» весьма общее и может включать следующие направления использования (табл. 12.1).

В федеральном стандарте аудиторской деятельности № 8 отме­чено, что аудиторы особое внимание уделяют анализу надежности автоматизированных систем бухгалтерского учета и внутреннего контроля и оценке риска существенных искажений бухгалтерской (финансовой) отчетности, источниками которого являются недостат­ки этих систем. При планировании и проведении аудита с приме­нением ПК выявление и оценка риска существенных искажений и его составляющих, присущих автоматизированным информаци­онным системам, используемым в учете, имеют большое значение.

Аудитор "кая деятельность представляет собой информационную систему, т@к к@ " ь лючает три ее основных компонента:

1) информацию как предмет и продукт труда;

2) средства, методы и способы переработки информации;

3) персонал, который реализует информационный процесс.

Автоматизация аудиторской деятельности стала возможной бла­годаря сложившимся предпосылкам.

1. Высокий уровень развитил средств вычислительной техники, средс "в коммуникации и информационных технологий. Прим енение персональных компьютеров и информационных технологий позво­ляет не только выполнять рутинные операции по формированию аудиторской документации, по поиску и использованию положений законодательных и нормативных актов, но и решать более сложные задачи, связанные с анализом систем бухгалтерского учета и внутрен­него контроля, расчетами экономических показателей, реализацией различных запросов к базе данных, создаваемой в автоматизирован­ной системе бухгалтерского учета (АСБУ), выработать рекомендации по стратегии улучшения финансово-хозяйственной деятельности.

2. Автоматизация бухгалтерского учета. В процессе работы АСБУ формируется информация о хозяйственной деятельности экономи­ческого субъекта в форме электронной базы данных, анализ кото­рой возможен с применением компьютера.

3. Математические методы экономического ана ‘за. Сущест­вующий математический аппарат анализа финансово-хозяйствен­ного состояния экономического субъекта позволяет разработать и реа­лизовать автоматизированные системы анализа.

4. Высокоразвитые информационно-справочные системы. Компью­тер позволяет получить любые необходимые справки в области за­конодательства, нормативных актов и использовать их содержание при обосновании аудиторских выводов и формировании аудитор­ской документации.

5. Удобные системы для работы с различными редактируемыми текстами. Применение этих систем помогает аудитору в фор­мировании документации с использованием информации, получае­мой одновременно из разных баз данных.

В настоящее время на рынке информационных технологий уже появились пакеты прикладных программ, позволяющие использо­вать компьютеры в работе аудиторов и создавать комплексные сис­темы автоматизации аудиторской деятельности (СААД).

Задачи аудитор ской дея -льности отражаются в функциональ­ной структуре СААД, а факторами или условиями ее работы, вы­полнения предусмотренных задач являются информационное, техни­ческое, математическое, программное, технологическое, организаци­онное, правовое и эргономическое обеспечение. Информационное обеспечение представляет собой совокупность данных, размещенных на бумажных и машинных носителях в соответствии с определен­ными правилами хранения. Оно также включает методы и средства построения информационного фонда системы, организацию его функционирования и использования. Особенностью информацион­ного обеспечения СААД является наличие двух составляющих: ин­формации, получаемой от аудируемого лица в форме документации и копий баз данных, с одной стороны, и информационно-спра­вочной системы, библиотеки аудиторской документации, специфи­ческих справочников, используемых аудиторскими организациями и индивидуальными аудиторами в управлении и при выполнении аудита и услуг, связанных и сопутствующих аудиту, - с другой.

Техническое обеспечение предполагает комплекс вычислительной и орга­низационной техники, средства обработки, передачи и вывода ин­формации. В практике аудита возможно использование аудиторами как ПК, предоставляемых аудируемым лицом, так и собственных ПК аудиторской организации. Математическое обеспечение пред­ставляет совокупность алгоритмов, обеспечивающих ввод, кон­троль, хранение, корректировку информации, формирование ре­зультативной информации, обеспечение ее защиты. Кроме того, математическое обеспечение включает различные алгоритмы расче­та учетных и отчетных показателей. Состав алгоритмов определяет­ся функциональной структурой СААД. Программное обеспечение включает операционную систему и пакеты прикладных программ, реализующих алгоритмы обработки информации в СААД. Техноло­гическое обеспечение представляет описание те «.нологии обработки информации (ввода, преобразования, вывода, хранения, защиты информации). Организационное обе^печ, ние - . то комплекс мето­дов и средств, регламентирующих работу специалистов, выпол­няющих всю работу по обработке информации. Оно также опреде­ляет взаимосвязь специалистов разных подразделений. Правовое обеспечение - комплекс документ,в, оп ределяющих права и обя­занности специалистов, участвующих в процессе работы системы. Эргономическое обеспечение - комплекс мероприятий по организа­ции удобных рабочих мест, обеспечивающих эффективность и ком­форт в работе специалистов.

Основу для разработки любой информационной системы со­ставляет ее функциональная структура, которая представляет собой декомпозицию цел й систе1 ы до уровня решаемых задач. Функ­циональная структура СААД должна отражать задачи управления аудиторской организацией как хозяйствующим субъектом (эти за­дачи в данном курсе не рассматриваются, так как они практически не отличаются от описанных в теории управления) и два основных направления аудиторской деятельности: собственно аудит и услуги, сопутствующие и связанные с аудитом.

Собственно аудит состоит из последовательного выполнения комплексов работ, осуществляемых в несколько этапов:

Предварительное ознакомление с особенностями экономиче­ского субъекта, заключение договора о проведении аудита;

Анализ организации бухгалтерского учета и системы внутреннего контроля, оценка риска существенных искажений и его состав­ляющих, расчет общего и частных уровней существенности;

Составление общего плана и программы аудита, составление заданий исполнителям;

Тестирование надежности систем бухгалтерского учета и внут­реннего контроля, выполнение аудиторских процедур по су­ществу и аналитических аудиторских процедур;

В статье обобщается практика проведения аудита безопасности информационных систем (ИС), дается понятие аудита безопасности, рассматриваются цели его проведения, применяемые методы и этапы выполнения работ, методы анализа и управления рисками, используемые аудиторами, и средства их реализации, действующие стандарты и системы сертификации ИС, в рамках которых проводится аудит безопасности.

Александр Астахов, CISA, 2002

Эпиграф

• Содействовать приведению информационных систем в соответствие с принятыми стандартами и руководствами;
• Осуществлять свою деятельность в соответствии со стандартами в области аудита информационных систем, принятыми ISACA;
• Действовать в интересах работодателей, акционеров, клиентов и общества в старательной, лояльной и честной манере;
• Сознательно не принимать участия в незаконной, либо недобросовестной деятельности;
• Соблюдать конфиденциальность информации, полученной при выполнении своих должностных обязанностей;
• Не использовать конфиденциальную информацию для получения личной выгоды и не передавать ее третьим лицам без разрешения ее владельца;
• Выполнять свои должностные обязанности, оставаясь независимым и объективным;
• Избегать деятельности, которая ставит по угрозу независимость аудитора;
• Поддерживать на должном уровне свою компетентность в областях знаний, связанных с проведением аудита информационных систем, принимая участие в профессиональных мероприятиях;
• Проявлять старательность при получении и документировании фактографических материалов, на которых базируются выводы и рекомендации аудитора;
• Информировать все заинтересованные стороны о результатах проведения аудита;
• Способствовать повышению осведомленности руководства организаций, клиентов и общества в вопросах, связанных с проведением аудита информационных систем;
• Соответствовать высоким этическим стандартам в профессиональной и личной деятельности;
• Совершенствовать свои личностные качества.

Этический кодекс аудитора информационных систем
(ISACA Code of Professional Ethics)

Понятие аудита безопасности и цели его проведения

Аудит представляет собой независимую экспертизу отдельных областей функционирования организации. Различают внешний и внутренний аудит. Внешний аудит – это, как правило, разовое мероприятие, проводимое по инициативе руководства организации или акционеров. Рекомендуется проводить внешний аудит регулярно, а, например, для многих финансовых организаций и акционерных обществ это является обязательным требованием. Внутренний аудит представляет собой непрерывную деятельность, которая осуществляется на основании «Положения о внутреннем аудите» и в соответствии с планом, подготовка которого осуществляется подразделением внутреннего аудита и утверждается руководством организации. Аудит безопасности информационных систем является одной из составляющих ИТ аудита. Целями проведения аудита безопасности являются:

анализ рисков, связанных с возможностью осуществления угроз безопасности в отношении ресурсов ИС

Примечание:

Пожалуй, этим и исчерпывается набор целей проведения аудита безопасности, но только в том случае, если речь идет о внешнем аудите. В число дополнительных задач, стоящих перед внутренним аудитором, помимо оказания помощи внешним аудиторам, могут также входить:

• разработка политик безопасности и других организационно-распорядительных документом по защите информации и участие в их внедрении в работу организации;
• постановка задач для ИТ персонала, касающихся обеспечения защиты информации;
• участие в обучении пользователей и обслуживающего персонала ИС вопросам обеспечения информационной безопасности;
• участие в разборе инцидентов, связанных с нарушением информационной безопасности;
• и другие.

Необходимо отметить, что все перечисленные выше «дополнительные» задачи, стоящие перед внутренним аудитором, за исключением участия в обучении, по существу аудитом не являются. Аудитор по определению должен осуществлять независимую экспертизу реализации механизмов безопасности в организации, что является одним из основных принципов аудиторской деятельности. Если аудитор принимает деятельное участие в реализации механизмов безопасности, то независимость аудитора утрачивается, а вместе с ней утрачивается и объективность его суждений, т. к. аудитор не может осуществлять независимый и объективных контроль своей собственной деятельности. Однако, на практике, внутренний аудитор, порой, являясь наиболее компетентным специалистом в организации в вопросах обеспечения информационной безопасности, не может оставаться в стороне от реализации механизмов защиты. (А если он таким специалистам не является, то какая от него может быть практическая польза?) К тому же почти всегда существует дефицит квалифицированных кадров именно в этой области.

По крайней мере, деятельное участие во внедрении той же подсистемы аудита безопасности, которая смогла бы предоставлять аудитору исходные данные для анализа текущей ситуации, он принять может и должен. Конечно, в этом случае, аудитор уже не сможет объективно оценить реализацию этот подсистемы и она естественным образом выпадает из плана проведения аудита. Точно также, внутренний аудитор может принять деятельное участие в разработке политик безопасности, предоставив возможность оценивать качество этих документов внешним аудиторам.

Этапность работ по проведению аудита безопасности информационных систем

Работы по аудиту безопасности ИС включают в себя ряд последовательных этапов, которые в целом соответствуют этапам проведения комплексного ИТ аудита АС, который включает в себя следующее:

• Сбор информации аудита
• Анализ данных аудита
• Выработка рекомендаций
• Подготовка аудиторского отчета

Инициирование процедуры аудита

Аудит проводится не по инициативе аудитора, а по инициативе руководства компании, которое в данном вопросе является основной заинтересованной стороной. Поддержка руководства компании является необходимым условием для проведения аудита.

Аудит представляет собой комплекс мероприятий, в которых помимо самого аудитора, оказываются задействованными представители большинства структурных подразделений компании. Действия всех участников этого процесса должны быть скоординированы. Поэтому на этапе инициирования процедуры аудита должны быть решены следующие организационные вопросы:

• права и обязанности аудитора должны быть четко определены и документально закреплены в его должностных инструкциях, а также в положении о внутреннем (внешнем) аудите;
• аудитором должен быть подготовлен и согласован с руководством план проведения аудита;
• в положении о внутреннем аудите должно быть закреплено, в частности, что сотрудники компании обязаны оказывать содействие аудитору и предоставлять всю необходимую для проведения аудита информацию.

На этапе инициирования процедуры аудита должны быть определены границы проведения обследования. Одни информационные подсистемы компании не являются достаточно критичными и их можно исключить из границ проведения обследования. Другие подсистемы могут оказаться недоступными для аудита из-за соображений конфиденциальности.

Границы проведения обследования определяются в следующих терминах:

• Список обследуемых физических, программных и информационных ресурсов;
• Площадки (помещения), попадающие в границы обследования;
• Основные виды угроз безопасности, рассматриваемые при проведении аудита;
• Организационные (законодательные, административные и процедурные), физические, программно-технические и прочие аспекты обеспечения безопасности, которые необходимо учесть в ходе проведения обследования, и их приоритеты (в каком объеме они должны быть учтены).

План и границы проведения аудита обсуждается на рабочем собрании, в котором участвуют аудиторы, руководство компании и руководители структурных подразделений.

Сбор информации аудита

Этап сбора информации аудита, является наиболее сложным и длительным. Это связано с отсутствием необходимой документации на информационную систему и с необходимостью плотного взаимодействия аудитора со многими должностными лицами организации.

Компетентные выводы относительно положения дел в компании с информационной безопасностью могут быть сделаны аудитором только при условии наличия всех необходимых исходных данных для анализа. Получение информации об организации, функционировании и текущем состоянии ИС осуществляется аудитором в ходе специально организованных интервью с ответственными лицами компании, путем изучения технической и организационно-распорядительной документации, а также исследования ИС с использованием специализированного программного инструментария. Остановимся на том, какая информация необходима аудитору для анализа.

Обеспечение информационной безопасности организации – это комплексный процесс, требующий четкой организации и дисциплины. Он должен начинаться с определения ролей и распределения ответственности среди должностных лиц, занимающихся информационной безопасностью. Поэтому первый пункт аудиторского обследования начинается с получения информации об организационной структуре пользователей ИС и обслуживающих подразделений. В связи с этим аудитору требуется следующая документация:

• Схема организационной структуры пользователей;
• Схема организационной структуры обслуживающих подразделений.

Обычно, в ходе интервью аудитор задает опрашиваемым следующие вопросы:

• Кто является владельцем информации?
• Кто является пользователем (потребителем) информации?
• Кто является провайдером услуг?

Назначение и принципы функционирования ИС во многом определяют существующие риски и требования безопасности, предъявляемые к системе. Поэтому на следующем этапе аудитора интересует информация о назначении и функционировании ИС. Аудитор задает опрашиваемым примерно следующие вопросы:

• Какие услуги и каким образом предоставляются конечным пользователям?
• Какие основные виды приложений, функционирует в ИС?
• Количество и виды пользователей, использующих эти приложения?

Ему понадобиться также следующая документация, конечно, если таковая вообще имеется в наличие (что, вообще говоря, случается нечасто):

• Функциональные схемы;
• Описание автоматизированных функций;
• Описание основных технических решений;
• Другая проектная и рабочая документация на информационную систему.

Далее, аудитору требуется более детальная информация о структуре ИС. Это позволит уяснить, каким образом осуществляется распределение механизмов безопасности по структурным элементам и уровням функционирования ИС. Типовые вопросы, которые обсуждаются в связи с этим во время интервью, включают в себя:

• Из каких компонентов (подсистем) состоит ИС?
• Функциональность отдельных компонент?
• Где проходят границы системы?
• Какие точки входа имеются?
• Как ИС взаимодействует с другими системами?
• Какие каналы связи используются для взаимодействия с другими ИС?
• Какие каналы связи используются для взаимодействия между компонентами системы?
• По каким протоколам осуществляется взаимодействие?
• Какие программно-технические платформы используются при построении системы?

На этом этапе аудитору необходимо запастись следующей документацией:

• Структурная схема ИС;
• Схема информационных потоков;
• Описание структуры комплекса технических средств информационной системы;
• Описание структуры программного обеспечения;
• Описание структуры информационного обеспечения;
• Размещение компонентов информационной системы.

Подготовка значительной части документации на ИС, обычно, осуществляется уже в процессе проведения аудита. Когда все необходимые данные по ИС, включая документацию, подготовлены, можно переходить к их анализу.

Анализ данных аудита

Используемые аудиторами методы анализа данных определяются выбранными подходами к проведению аудита, которые могут существенно различаться.

Первый подход, самый сложный, базируется на анализе рисков. Опираясь на методы анализа рисков, аудитор определяет для обследуемой ИС индивидуальный набор требований безопасности, в наибольшей степени учитывающий особенности данной ИС, среды ее функционирования и существующие в данной среде угрозы безопасности. Данный подход является наиболее трудоемким и требует наивысшей квалификации аудитора. На качество результатов аудита, в этом случае, сильно влияет используемая методология анализа и управления рисками и ее применимость к данному типу ИС.

Второй подход, самый практичный, опирается на использование стандартов информационной безопасности. Стандарты определяют базовый набор требований безопасности для широкого класса ИС, который формируется в результате обобщения мировой практики. Стандарты могут определять разные наборы требований безопасности, в зависимости от уровня защищенности ИС, который требуется обеспечить, ее принадлежности (коммерческая организация, либо государственное учреждение), а также назначения (финансы, промышленности, связь и т.п.). От аудитора в данном случае требуется правильно определить набор требований стандарта, соответствие которым требуется обеспечить для данной ИС. Необходима также методика, позволяющая оценить это соответствие. Из-за своей простоты (стандартный набор требований для проведения аудита уже заранее определен стандартом) и надежности (стандарт - есть стандарт и его требования никто не попытается оспорить), описанный подход наиболее распространен на практике (особенно при проведении внешнего аудита). Он позволяет при минимальных затратах ресурсов делать обоснованные выводы о состоянии ИС.

Третий подход, наиболее эффективный, предполагает комбинирование первых двух. Базовый набор требований безопасности, предъявляемых к ИС, определяется стандартом. Дополнительные требования, в максимальной степени учитывающие особенности функционирования данной ИС, формируются на основе анализа рисков. Этот подход является намного проще первого, т.к. большая часть требований безопасности уже определена стандартом, и, в то же время, он лишен недостатка второго подхода, заключающего в том, что требования стандарта могут не учитывать специфики обследуемой ИС.

В чем заключается анализ рисков и управление рисками?

Анализ рисков - это то, с чего должно начинаться построение любой системы информационной безопасности. Он включает в себя мероприятия по обследованию безопасности ИС, с целью определения того какие ресурсы и от каких угроз надо защищать, а также в какой степени те или иные ресурсы нуждаются в защите. Определение набора адекватных контрмер осуществляется в ходе управления рисками. Риск определяется вероятностью причинения ущерба и величиной ущерба, наносимого ресурсам ИС, в случае осуществления угрозы безопасности.

Анализ рисков состоит в том, чтобы выявить существующие риски и оценить их величину (дать им качественную, либо количественную оценку). Процесс анализа рисков можно разделить на несколько последовательных этапов:

• Идентификация ключевых ресурсов ИС;
• Определение важности тех или иных ресурсов для организации;
• Идентификация существующих угроз безопасности и уязвимостей, делающих возможным осуществление угроз;
• Вычисление рисков, связанных с осуществлением угроз безопасности.

Ресурсы ИС можно разделить на следующие категории:

• Информационные ресурсы;
• Программное обеспечение;
• Технические средства (серверы, рабочие станции, активное сетевое оборудование и т. п.);
• Людские ресурсы.

В каждой категории ресурсы делятся на классы и подклассы. Необходимо идентифицировать только те ресурсы, которые определяют функциональность ИС и существенны с точки зрения обеспечения безопасности.

Важность (или стоимость) ресурса определяется величиной ущерба, наносимого в случае нарушения конфиденциальности, целостности или доступности этого ресурса. Обычно рассматриваются следующие виды ущерба:

• Данные были раскрыты, изменены, удалены или стали недоступны;
• Аппаратура была повреждена или разрушена;
• Нарушена целостность программного обеспечения.

Ущерб может быть нанесен организации в результате успешного осуществления следующих видов угроз безопасности:

• локальные и удаленные атаки на ресурсы ИС;
• стихийные бедствия;
• ошибки, либо умышленные действия персонала ИС;
• сбои в работе ИС, вызванные ошибками в программном обеспечении или неисправностями аппаратуры.

Под уязвимостями обычно понимают свойства ИС, делающие возможным успешное осуществление угроз безопасности.

Величина риска определяется на основе стоимости ресурса, вероятности осуществления угрозы и величины уязвимости по следующей формуле:

Риск = (стоимость ресурса * вероятность угрозы) / величина уязвимости

Задача управления рисками заключается в выборе обоснованного набора контрмер, позволяющих снизить уровни рисков до приемлемой величины. Стоимость реализации контрмер должна быть меньше величины возможного ущерба. Разница между стоимостью реализации контрмер и величиной возможного ущерба должна быть обратно пропорциональна вероятности причинения ущерба.

Использование методов анализа рисков

Если для проведения аудита безопасности выбран подход, базирующийся на анализе рисков, то на этапе анализа данных аудита обычно выполняются следующие группы задач:

• Анализ ресурсов ИС, включая информационные ресурсы, программные и технические средства, а также людские ресурсы
• Анализ групп задач, решаемых системой, и бизнес процессов
• Построение (неформальной) модели ресурсов ИС, определяющей взаимосвязи между информационными, программными, техническими и людскими ресурсами, их взаимное расположение и способы взаимодействия
• Оценка критичности информационных ресурсов, а также программных и технических средств
• Определение критичности ресурсов с учетом их взаимозависимостей
• Определение наиболее вероятных угроз безопасности в отношении ресурсов ИС и уязвимостей защиты, делающих возможным осуществление этих угроз
• Оценка вероятности осуществления угроз, величины уязвимостей и ущерба, наносимого организации в случае успешного осуществления угроз
• Определение величины рисков для каждой тройки: угроза – группа ресурсов – уязвимость
• Перечисленный набор задач, является достаточно общим. Для их решения могут использоваться различные формальные и неформальные, количественные и качественные, ручные и автоматизированные методики анализа рисков. Суть подхода от этого не меняется.

Оценка рисков может даваться с использованием различных как качественных, так и количественных шкал. Главное, чтобы существующие риски были правильно идентифицированы и проранжированы в соответствии со степенью их критичности для организации. На основе такого анализа может быть разработана система первоочередных мероприятий по уменьшению величины рисков до приемлемого уровня.

Оценка соответствия требованиям стандарта

В случае проведения аудита безопасности на соответствие требованиям стандарта, аудитор, полагаясь на свой опыт, оценивает применимость требований стандарта к обследуемой ИС и ее соответствие этим требованиям. Данные о соответствии различных областей функционирования ИС требованиям стандарта, обычно, представляются в табличной форме. Из таблицы видно, какие требования безопасности в системе не реализованы. Исходя из этого, делаются выводы о соответствии обследуемой ИС требованиям стандарта и даются рекомендации по реализации в системе механизмов безопасности, позволяющих обеспечить такое соответствие.

Рекомендации, выдаваемые аудитором по результатам анализа состояния ИС, определяются используемым подходом, особенностями обследуемой ИС, состоянием дел с информационной безопасностью и степенью детализации, используемой при проведении аудита.

В любом случае, рекомендации аудитора должны быть конкретными и применимыми к данной ИС, экономически обоснованными, аргументированными (подкрепленными результатами анализа) и отсортированными по степени важности. При этом мероприятия по обеспечению защиты организационного уровня практически всегда имеют приоритет над конкретными программно-техническими методами защиты.

В то же время, наивно ожидать от аудитора, в качестве результата проведения аудита, выдачи технического проекта подсистемы информационной безопасности, либо детальных рекомендаций по внедрению конкретных программно технических средств защиты информации. Это требует более детальной проработки конкретных вопросов организации защиты, хотя, внутренние аудиторы могут принимать в этих работах самое активное участие.

Подготовка отчетных документов

Аудиторский отчет является основным результатом проведения аудита. Его качество характеризует качество работы аудитора. Структура отчета может существенно различаться в зависимости от характера и целей проводимого аудита. Однако определенные разделы должны обязательно присутствовать в аудиторском отчете. Он должен, по крайней мере, содержать описание целей проведения аудита, характеристику обследуемой ИС, указание границ проведения аудита и используемых методов, результаты анализа данных аудита, выводы, обобщающие эти результаты и содержащие оценку уровня защищенности АС или соответствие ее требованиям стандартов, и, конечно, рекомендации аудитора по устранению существующих недостатков и совершенствованию системы защиты.

Для примера, приведем образец структуры аудиторского отчета по результатам анализа рисков, связанных с осуществлением угроз безопасности в отношении обследуемой ИС.

Структура отчета по результатам аудита безопасности ИС и анализу рисков

1. Вводная часть

• 1.1 Введение
• 1.2 Цели и задачи проведения аудита
• 1.3 Описание ИС
• 1.3.1 Назначение и основные функции системы
• 1.3.2 Группы задач, решаемых в системе
• 1.3.3 Классификация пользователей ИС
• 1.3.4 Организационная структура обслуживающего персонала ИС
• 1.3.5 Структура и состав комплекса программно-технических средств ИС
• 1.3.6 Виды информационных ресурсов, хранимых и обрабатываемых в системе
• 1.3.7 Структура информационных потоков
• 1.3.8 Характеристика каналов взаимодействия с другими системами и точек входа
• 1.4 Границы проведения аудита
• 1.4.1 Компоненты и подсистемы ИС, попадающие в границы проведения аудита
• 1.4.2 Размещение комплекса программно-технических средств ИС по площадкам (помещениям)
• 1.4.3 Основные классы угроз безопасности, рассматриваемых в ходе проведения аудита
• 1.5 Методика проведения аудита
• 1.5.1 Методика анализа рисков
• 1.5.2 Исходные данные
• 1.5.3 Этапность работ
• 1.6 Структура документ

2. Оценка критичности ресурсов ИС

• 2.1 Критерии оценки величины возможного ущерба, связанного с осуществлением угроз безопасности
• 2.2 Оценка критичности информационных ресурсов
• 2.2.1 Классификация информационных ресурсов
• 2.2.2 Оценка критичности по группам информационных ресурсов
• 2.3 Оценка критичности технических средств
• 2.4 Оценка критичности программных средств
• 2.5 Модель ресурсов ИС, описывающая распределение ресурсов по группам задач

3. Анализ рисков, связанных с осуществлением угроз безопасности в отношении ресурсов ИС

• 3.1 Модель нарушителя информационной безопасности
• 3.1.1 Модель внутреннего нарушителя
• 3.1.2 Модель внешнего нарушителя
• 3.2 Модель угроз безопасности и уязвимостей информационных ресурсов
• 3.2.1 Угрозы безопасности, направленные против информационных ресурсов
• 3.2.1.1 Угрозы несанкционированного доступа к информации при помощи программных средств
• 3.2.1.2 Угрозы, осуществляемые с использованием штатных технических средств
• 3.2.1.3 Угрозы, связанные с утечкой информации по техническим каналам
• 3.2.2 Угрозы безопасности, направленные против программных средств
• 3.2.3 Угрозы безопасности направленные против технических средств
• 3.3 Оценка серьезности угроз безопасности и величины уязвимостей
• 3.3.1 Критерии оценки серьезности угроз безопасности и величины уязвимостей
• 3.3.2 Оценка серьезности угроз
• 3.3.3 Оценка величины уязвимостей
• 3.4 Оценка рисков для каждого класса угроз и группы ресурсов

4. Выводы по результатам обследования

• 5.1 Рекомендуемые контрмеры организационного уровня
• 5.2 Рекомендуемые контрмеры программно-технического уровня

Обзор программных продуктов, предназначенных для анализа и управления рисками

В настоящее время имеется большое разнообразие как методов анализа и управления рисками, так и реализующих их программных средств. Приведем примеры некоторых, по мнению автора, наиболее распространенных.

CRAMM

Метод CRAMM (the UK Goverment Risk Analysis and Managment Method) был разработан Службой Безопасности Великобритании (UK Security Service) по заданию Британского правительства и взят на вооружение в качестве государственного стандарта. Он используется, начиная с 1985 г. правительственными и коммерческими организациями Великобритании. За это время CRAMM приобрел популярность во всем мире. Фирма Insight Consulting Limited занимается разработкой и сопровождением одноименного программного продукта, реализующего метод CRAMM.

Метод CRAMM выбран нами для более детального рассмотрения и это не случайно. В настоящее время CRAMM – это довольно мощный и универсальный инструмент, позволяющий, помимо анализа рисков, решать также и ряд других аудиторских задач, включая:

• Проведение обследования ИС и выпуск сопроводительной документации на всех этапах его проведения;

В основе метода CRAMM лежит комплексный подход к оценке рисков, сочетая количественные и качественные методы анализа. Метод является универсальным и подходит как для больших, так и для мелких организаций, как правительственного, так и коммерческого сектора. Версии программного обеспечения CRAMM, ориентированные на разные типы организаций, отличаются друг от друга своими базами знаний (profiles). Для коммерческих организаций имеется Коммерческий профиль (Commercial Profile), для правительственных организаций – Правительственный профиль (Government profile). Правительственный вариант профиля, также позволяет проводить аудит на соответствие требованиям американского стандарта ITSEC («Оранжевая книга»).

Грамотное использование метода CRAMM позволяет получать очень хорошие результаты, наиболее важным из которых, пожалуй, является возможность экономического обоснования расходов организации на обеспечение информационной безопасности и непрерывности бизнеса. Экономически обоснованная стратегия управления рисками позволяет, в конечном итоге, экономить средства, избегая неоправданных расходов.

CRAMM предполагает разделение всей процедуры на три последовательных этапа. Задачей первого этапа является ответ на вопрос: «Достаточно ли для защиты системы применения средств базового уровня, реализующих традиционные функции безопасности, или необходимо проведение более детального анализа?» На втором этапе производится идентификация рисков и оценивается их величина. На третьем этапе решается вопрос о выборе адекватных контрмер.

Методика CRAMM для каждого этапа определяет набор исходных данных, последовательность мероприятий, анкеты для проведения интервью, списки проверки и набор отчетных документов.

Если по результатам проведения первого этапа, установлено, что уровень критичности ресурсов является очень низким и существующие риски заведомо не превысят некоторого базового уровня, то к системе предъявляются минимальный набор требований безопасности. В этом случае большая часть мероприятий второго этапа не выполняется, а осуществляется переход к третьему этапу, на котором генерируется стандартный список контрмер для обеспечения соответствия базовому набору требований безопасности.

На втором этапе производится анализ угроз безопасности и уязвимостей. Исходные данные для оценки угроз и уязвимостей аудитор получает от уполномоченных представителей организации в ходе соответствующих интервью. Для проведения интервью используются специализированные опросники.

На третьем этапе решается задача управления рисками, состоящая в выборе адекватных контрмер.

Решение о внедрении в систему новых механизмов безопасности и модификация старых принимает руководство организации, учитывая связанные с этим расходы, их приемлемость и конечную выгоду для бизнеса. Задачей аудитора является обоснование рекомендуемых контрмер для руководства организации.

В случае принятия решения о внедрении новых контрмер и модификации старых, на аудитора может быть возложена задача подготовки плана внедрения новых контрмер и оценки эффективности их использования. Решение этих задач выходит за рамки метода CRAMM.

Концептуальная схема проведения обследования по методу CRAMM показана на рисунке.

Процесс анализа и управления рисками по методу CRAMM

Процедура аудита в методе CRAMM является формализованной. На каждом этапе генерируется довольно большое количество промежуточных и результирующих отчетов.

Так, на первом этапе создаются следующие виды отчетов:

• Модель ресурсов, содержащая описание ресурсов, попадающих в границы исследования, и взаимосвязей между ними;
• Оценка критичности ресурсов;
• Результирующий отчет по первому этапу анализа рисков, в котором суммируются результаты, полученные в ходе обследования.

На втором этапе проведения обследования создаются следующие виды отчетов:

• Результаты оценки уровня угроз и уязвимостей;
• Результаты оценки величины рисков;
• Результирующий отчет по второму этапу анализа рисков.

По результатам третьего этапа обследования создаются следующие виды отчетов:

• Рекомендуемые контрмеры;
• Детальная спецификация безопасности;
• Оценка стоимости рекомендуемых контрмер;
• Список контрмер, отсортированный в соответствии с их приоритетами;
• Результирующий отчет по третьему этапу обследования;
• Политика безопасности, включающая в себя описание требований безопасности, стратегий и принципов защиты ИС;
• Список мероприятий по обеспечению безопасности.

Грамотно применять метод CRAMM в состоянии только высококвалифицированный аудитор, прошедший обучение. Если организация не может себе позволить содержать в штате такого специалиста, тогда самым правильным решением будет приглашение аудиторской фирмы, располагающей штатом специалистов, имеющих практический опыт применения метода CRAMM.

Обобщая практический опыт использования метода CRAMM при проведении аудита безопасности, можно сделать следующие выводы, относительно сильных и слабых сторон этого метода:

К сильным сторонам метода CRAMM относится следующее:

• CRAMM является хорошо структурированным и широко опробованным методом анализа рисков, позволяющим получать реальные практические результаты;
• Программный инструментарий CRAMM может использоваться на всех стадиях проведения аудита безопасности ИС;
• В основе программного продукта лежит достаточно объемная база знаний по контрмерам в области информационной безопасности, базирующаяся на рекомендациях стандарта BS 7799;
• Гибкость и универсальность метода CRAMM позволяет использовать его для аудита ИС любого уровня сложности и назначения;
• CRAMM можно использовать в качестве инструмента для разработки плана непрерывности бизнеса и политик информационной безопасности организации;
• CRAMM может использоваться в качестве средства документирования механизмов безопасности ИС.

К недостаткам метода CRAMM можно отнести следующее:

• Использование метода CRAMM требует специальной подготовки и высокой квалификации аудитора;
• CRAMM в гораздо большей степени подходит для аудита уже существующих ИС, находящихся на стадии эксплуатации, нежели чем для ИС, находящихся на стадии разработки;
• Аудит по методу CRAMM – процесс достаточно трудоемкий и может потребовать месяцев непрерывной работы аудитора;
• Программный инструментарий CRAMM генерирует большое количество бумажной документации, которая не всегда оказывается полезной на практике;
• CRAMM не позволяет создавать собственные шаблоны отчетов или модифицировать имеющиеся;
• Возможность внесения дополнений в базу знаний CRAMM не доступна пользователям, что вызывает определенные трудности при адаптации этого метода к потребностям конкретной организации.

RiskWatch

Программное обеспечение RiskWatch, разрабатываемое американской компанией RiskWatch, Inc., является мощным средством анализа и управления рисками. В семейство RiskWatch входят программные продукты для проведения различных видов аудита безопасности. Оно включает в себя следующие средства аудита и анализа рисков:

• RiskWatch for Physical Security –для физических методов защиты ИС;
• RiskWatch for Information Systems – для информационных рисков;
• HIPAA-WATCH for Healthcare Industry – для оценки соответствия требованиям стандарта HIPAA;
• RiskWatch RW17799 for ISO17799 – для оценки требованиям стандарта ISO17799.

В методе RiskWatch в качестве критериев для оценки и управления рисками используются «предсказание годовых потерь» (Annual Loss Expectancy – ALE) и оценка «возврата от инвестиций» (Return on Investment – ROI). Семейство программных продуктов RiskWatch, имеет массу достоинств. К недостаткам данного продукта можно отнести его относительно высокую стоимость.

COBRA

Система COBRA (Consultative Objective and Bi-Functional Risk Analysis), разрабатываемая компанией Risk Associates, является средством анализа рисков и оценки соответствия ИС стандарту ISO17799. COBRA реализует методы количественной оценки рисков, а также инструменты для консалтинга и проведения обзоров безопасности. При разработке инструментария COBRA были использованы принципы построения экспертных систем, обширная база знаний по угрозам и уязвимостям, а также большое количество вопросников, с успехом применяющихся на практике. В семейство программных продуктов COBRA входят COBRA ISO17799 Security Consultant, COBRA Policy Compliance Analyst и COBRA Data Protection Consultant.

Buddy System

Программный продукт Buddy System, разрабатываемый компанией Countermeasures Corporation, является еще одним программным продуктом, позволяющим осуществлять как количественный, так и качественный анализ рисков. Он содержит развитые средства генерации отчетов. Основной акцент при использовании Buddy System делается на информационные риски, связанные с нарушением физической безопасности и управление проектами.

Стандарты, используемые при проведении аудита безопасности информационных систем

В настоящем разделе дается обзор стандартов информационной безопасности, являющихся наиболее значимыми и перспективными с точки зрения их использования для проведения аудита безопасности ИС.

Результатом проведения аудита, в последнее время, все чаще становится сертификат, удостоверяющих соответствие обследуемой ИС требованиям признанного международного стандарта. Наличие такого сертификата позволяет организации получать конкурентные преимущества, связанные с большим доверием со стороны клиентов и партнеров.

Значение международных стандартов ISO17799 и ISO15408 трудно переоценить. Эти стандарты служат основой для проведения любых работ в области информационной безопасности, в том числе и аудита. ISO17799 сосредоточен на вопросах организации и управления безопасностью, в то время как ISO15408 определяет детальные требования, предъявляемые к программно-техническим механизмам защиты информации.

Спецификация SysTrust выбрана для рассмотрения, т.к. она в настоящее время достаточно широко используется аудиторскими компаниями, традиционно выполняющими финансовый аудит для своих клиентов и предлагающих услугу ИТ аудита в качестве дополнения к финансовому аудиту.

Немецкий стандарт «BSI\IT Baseline Protection Manual» содержит, пожалуй, наиболее содержательное руководство по обеспечению безопасности ИТ и представляет несомненную практическую ценность для всех специалистов, занимающихся вопросами информационной безопасности.

Практические стандарты и руководства по обеспечению информационной безопасности, разрабатываемые в рамках проекта SCORE, ориентированны на технических специалистов и являются в техническом плане наиболее совершенными в настоящее время.

Программа сертификации Интернет сайтов по требованиям информационной безопасности и соответствующая спецификация «SANS/GIAC Site Certification», предложенная институтом SANS, заслуживает рассмотрения в связи с неизменно возрастающей актуальностью вопросов защиты ИС организаций от атак со стороны сети Интернет и увеличением доли соответствующих работ при проведении аудита безопасности.

ISO 17799: Code of Practice for Information Security Management

Наиболее полно критерии для оценки механизмов безопасности организационного уровня представлены в международном стандарте ISO 17799: Code of Practice for Information Security Management (Практические правила управления информационной безопасностью), принятом в 2000 году. ISO 17799 был разработан на основе британского стандарта BS 7799.

ISO 17799 может использоваться в качестве критериев для оценки механизмов безопасности организационного уровня, включая административные, процедурные и физические меры защиты.

Практические правила разбиты на следующие 10 разделов:

• Политика безопасности
• Организация защиты
• Классификация ресурсов и их контроль
• Безопасность персонала
• Физическая безопасность
• Администрирование компьютерных систем и вычислительных сетей
• Управление доступом
• Разработка и сопровождение информационных систем
• Планирование бесперебойной работы организации
• Контроль выполнения требований политики безопасности

Десять средств контроля, предлагаемых в ISO 17799 (они обозначены как ключевые), считаются особенно важными. Под средствами контроля в данном контексте понимаются механизмы управления информационной безопасностью организации.

При использовании некоторых из средств контроля, например, шифрования данных, могут потребоваться советы специалистов по безопасности и оценка рисков, чтобы определить, нужны ли они и каким образом их следует реализовывать. Для обеспечения более высокого уровня защиты особенно ценных ресурсов или оказания противодействия особенно серьезным угрозам безопасности, в ряде случаев могут потребоваться более сильные средства контроля, которые выходят за рамки ISO 17799.

Десять ключевых средств контроля, перечисленные ниже, представляют собой либо обязательные требования, например, требования действующего законодательства, либо считаются основными структурными элементами информационной безопасности, например, обучение правилам безопасности. Эти средства контроля актуальны для всех организаций и сред функционирования АС и составляют основу системы управления информационной безопасностью.

Ключевыми являются следующие средства контроля:

• документ о политике информационной безопасности;
• распределение обязанностей по обеспечению информационной безопасности;
• обучение и подготовка персонала к поддержанию режима информационной безопасности;
• уведомление о случаях нарушения защиты;
• средства защиты от вирусов;
• планирование бесперебойной работы организации;
• контроль над копированием программного обеспечения, защищенного законом об авторском праве;
• защита документации организации;
• защита данных;
• контроль соответствия политике безопасности.

Процедура аудита безопасности ИС включает в себя проверку наличия перечисленных ключевых средств контроля, оценку полноты и правильности их реализации, а также анализ их адекватности рискам, существующим в данной среде функционирования. Составной частью работ по аудиту безопасности ИС также является анализ и управление рисками.

ISO 15408: Common Criteria for Information Technology Security Evaluation

Наиболее полно критерии для оценки механизмов безопасности программно-технического уровня представлены в международном стандарте ISO 15408: Common Criteria for Information Technology Security Evaluation (Общие критерии оценки безопасности информационных технологий), принятом в 1999 году.

Общие критерии оценки безопасности информационных технологий (далее «Общие критерии») определяют функциональные требования безопасности (security functional requirements) и требования к адекватности реализации функций безопасности (security assurance requirements).

При проведении работ по анализу защищенности ИС, «Общие критерии» целесообразно использовать в качестве основных критериев, позволяющих оценить уровень защищенности АС с точки зрения полноты реализованных в ней функций безопасности и надежности реализации этих функций.

Хотя применимость «Общих критериев» ограничивается механизмами безопасности программно-технического уровня, в них содержится определенный набор требований к механизмам безопасности организационного уровня и требований по физической защите, которые непосредственно связаны с описываемыми функциями безопасности.

Первая часть «Общих критериев» содержит определение общих понятий, концепции, описание модели и методики проведения оценки безопасности ИТ. В ней вводится понятийный аппарат, и определяются принципы формализации предметной области.

Требования к функциональности средств защиты приводятся во второй части «Общих критериев» и могут быть непосредственно использованы при анализе защищенности для оценки полноты реализованных в ИС функций безопасности.

Третья часть «Общих критериев», наряду с другими требованиями к адекватности реализации функций безопасности, содержит класс требований по анализу уязвимостей средств и механизмов защиты под названием AVA: Vulnerability Assessment. Данный класс требований определяет методы, которые должны использоваться для предупреждения, выявления и ликвидации следующих типов уязвимостей:

• Наличие побочных каналов утечки информации;
• Ошибки в конфигурации, либо неправильное использование системы, приводящее к переходу системы в небезопасное состояние;
• Недостаточная надежность (стойкость) механизмов безопасности, реализующих соответствующие функции безопасности;
• Наличие уязвимостей («дыр») в средствах защиты информации, позволяющих пользователям получать НСД к информации в обход существующих механизмов защиты.

При проведении работ по аудиту безопасности, данные требования могут использоваться в качестве руководства и критериев для анализа уязвимостей ИС.

SysTrust

По существу, аудит в области информационных технологий, хотя и не имеет никакого отношения к финансовому аудиту, часто является дополнением к нему в качестве коммерческой услуги, предлагаемой аудиторскими фирмами своим клиентам, в связи с повышением зависимости бизнеса клиентов от ИТ. Идея заключается в том, что использование надежных и безопасных ИТ систем до определенной степени гарантирует надежность финансовой отчетности организации. Хорошие результаты ИТ аудита в некоторых случаях позволяют проводить финансовый аудит в сокращенном варианте, экономя время и деньги клиентов.

Отвечая потребностям бизнеса, Американским Институтом Сертифицированных Публичных Бухгалтеров (American Institute of Certified Public Accountants (AICPA)) и Канадским Институтом Общественных Бухгалтеров (Canadian Institute of Chartered Accountants (CICA)) разработали стандарт SysTrust для проведения ИТ аудита, который является дополнением к финансовому аудиту. SysTrust позволяет финансовым аудиторам расширить область своей деятельности, путем использования простого и понятного набора требований для оценки надежности и безопасности ИС.

В стандарте SysTrust ИС оценивается в терминах ее доступности (Availability), безопасности (Security), целостности (Integrity) и эксплуатационной надежности (Maintainability).

Под доступностью традиционно понимается возможность ИС предоставлять информационные сервисы в любых режимах функционирования и при любых нагрузках, предусмотренных условиями ее эксплуатация, с задержками, не превышающими установленные требования.

Под безопасностью понимается защищенность ИС от физического и логического несанкционированного доступа. В качестве средств обеспечения безопасности в основном рассматриваются средства разграничения физического и логического доступа к ресурсам ИС.

Под целостностью понимается возможность ИС обеспечить сохранение таких свойств обрабатываемой в системе информации как полнота, точность, актуальность, своевременность и аутентичность.

Эксплуатационная надежность ИС определяется возможностью изменения конфигурации и обновления системы для обеспечения таких ее свойств как доступность, безопасность и целостность.

Критерии для оценки описанных четырех свойств ИС определены в документе «AICPA/CICA SysTrust Principles and Criteria for Systems Reliability, Version 2.0» (Принципы и критерии для оценки надежности систем).

В ходе сертификации по требованиям стандарта SysTrust (SysTrust engagement) аудитор оценивает соответствие ИС критериям доступности, безопасности, целостности и эксплуатационной надежности (SysTrust Principles and Criteria), проверяя наличие в системе необходимых механизмов контроля. Затем аудитор производит тестирование механизмов контроля с целью определения их работоспособности и эффективности. Если в результате тестирования подтверждается соответствие ИС критериям SysTrust, аудитор выпускает отчет по аттестации (unqualified attestation report). В отчете формулируется выводы относительно полноты и эффективности реализации руководством организации механизмов контроля в аттестуемой ИС. В дополнение к отчету по аттестации, аудитор готовит общее описание обследуемой ИС. Во многих случаях также готовится утверждение руководства организации (management"s assertion) относительно эффективности механизмов контроля, позволяющих обеспечить соответствие ИС критериям SysTrust. Обследование ИС и оценка ее соответствия критериям SysTrust производится в соответствии с «Руководством по Проведению Аттестации» (“Statement on Standards for Attestation Engagements (SSAE) No. 10, Attestation Standards, AT sec. 101"Attest Engagements"”.)

BSI\IT Baseline Protection Manual

Немецкий стандарт "Руководство по обеспечению безопасности ИТ базового уровня" (IT Baseline Protection Manual) разрабатывается Агенством Информационной Безопасность Германии (BSI - Bundesamt für Sicherheit in der Informationstechnik (German Information Security Agency).

Этот документ является пожалуй самым содержательным руководством по информационной безопасности и по многим параметрам превосходит все остальные стандарты. Приятен также тот факт, что этот ценнейший для аудитора источник информации имеется в свободном доступе в сети Интернет. В нем содержаться подробные руководства по обеспечению информационной безопасности применительно к различным аспектам функционирования ИС и различным областям ИТ.

Стандарт в настоящее время занимает три тома и содержит около 1600 страниц текста.

«BSI\IT Baseline Protection Manual» постоянно совершенствуется с целью обеспечения его соответствия текущему состоянию дел в области безопасности ИТ. К настоящему времени накоплена уникальная база знаний, содержащая информацию по угрозам и контрмерам в хорошо структурированном виде.

Практические стандарты SCORE и программа сертификации SANS/GIAC Site Certification

SCORE (Security Consensus Operational Readiness Evaluation) является совместным проектом института SANS и Центра безопасности Интернет (Center for Internet Security(CIS)). Профессионалы-практики в области информационной безопасности из различных организаций объединились в рамках проекта SCORE с целью разработки базового (минимально необходимого) набора практических стандартов и руководств по обеспечению безопасности для различных операционных платформ. Требования и рекомендации, предлагаемые для включения в стандарты, широко обсуждаются и проверяются участниками проекта SCORE, и только после их одобрения всеми участниками, передаются в CIS, который занимается их формализацией и оформлением, а также разрабатывает программные средства (minimum standards benchmarks) для оценки соответствия операционных платформ предложенным стандартам.

Разработанные базовые стандарты вместе с руководствами по обеспечению соответствия этим стандартам и средствами тестирования публикуются на Интернет сайте CIS.

Программа сертификации Интернет сайтов (GIAC Site Certification program), предложенная институтом SANS, позволяет организациям проводить аудит безопасности сегментов компьютерной сети, непосредственно подключенных к сети Интернет, в соответствии со стандартами SCORE.

Программа сертификации «GIAC Site Certification» определяет три уровня защищенности Интернет сайтов. На практике, в настоящее время, используются только первые два из них.

Сертификация сайта на первом уровне предполагает проверку внешних сетевых адресов организации, видимых из сети Интернет, на предмет уязвимости соответствующих хостов в отношении сетевых атак. На этом уровне должна быть обеспечена защита сайта от наиболее распространенных атак. Требуется отсутствие наиболее серьезных и часто встречающихся уязвимостей защиты. Предъявляются также определенные требования к уровню квалификации специалистов, отвечающих за обеспечение безопасности сайта.

На втором уровне требуется проведение всех проверок и соблюдение всех требований первого уровня, а кроме того требуется осуществлять периодический пересмотр политики и процедур обеспечения сетевой безопасности. Также на втором уровне производится проверка защищенности сайта от сетевых атак путем осуществления попыток проникновения и взлома систем, подключенных к сети Интернет.

На третьим уровне, помимо обеспечения соответствия всем требованиям второго уровня, требуется также регулярно проводить сканирование сети изнутри с целью защиты от угроз со стороны внутренних нарушителей, а также внешних злоумышленников, пытающихся преодолеть механизмы защиты внешнего периметра сети путем использования продвинутых методов, включая методы социального инженеринга.

От уровня к уровню ужесточаются требования, предъявляемые к квалификации специалистов, организационной структуре подразделений, занимающихся вопросами защиты, наличию формальных политик и процедур, а также строгости и глубине тестов, используемых для проверки механизмов защиты Интернет-сайта организации.

Выводы

Аудит представляет собой независимую экспертизу отдельных областей функционирования организации, проводимую по инициативе ее руководства или акционеров, либо в соответствии с планом проведения внутреннего аудита. Основными целями проведения аудита безопасности являются:

• анализ рисков, связанных с возможностью осуществления угроз безопасности в отношении ресурсов ИС;
• оценка текущего уровня защищенности ИС;
• локализация узких мест в системе защиты ИС;
• оценка соответствия ИС существующим стандартам в области информационной безопасности;
• выработка рекомендаций по внедрению новых и повышению эффективности существующих механизмов безопасности ИС.

Работы по аудиту безопасности ИС включают в себя ряд последовательных этапов:

• Инициирование обследования
• Сбор информации
• Анализ полученных данных
• Выработка рекомендаций
• Подготовка отчета по результатам обследования
• Подходы к проведению аудита безопасности могут базироваться на анализе рисков, опираться на использование стандартов информационной безопасности, либо объединять оба эти подхода.

В настоящее время имеется большое разнообразие как методов анализа и управления рисками, так и реализующих их программных средств. Некоторые из них были рассмотрены в настоящей статье.

Одним из наиболее мощных и универсальных инструментов, анализа рисков является метод CRAMM. Программное обеспечение CRAMM, помимо анализа и управления рисками, позволяет решать также и ряд других аудиторских задач, включая:

• Проведение обследования ИС и выпуск сопроводительной документации на всех этапах проведения обследования;
• Проведение аудита в соответствии с требованиями Британского правительства, а также стандарта BS 7799:1995 - Code of Practice for Information Security Management BS7799;
• Разработка политики безопасности и плана обеспечения непрерывности бизнеса.

Грамотное использование метода CRAMM позволяет получать хорошие результаты, наиболее важным из которых, пожалуй, является возможность экономического обоснования расходов организации на обеспечение информационной безопасности и непрерывности бизнеса.

Результатом проведения аудита, в последнее время, все чаще становится сертификат, удостоверяющих соответствие обследуемой ИС требованиям признанного международного стандарта. В настоящей статье рассмотрено несколько стандартов и программ сертификации, имеющих практическое значение.

Международные стандарты ISO17799 и ISO15408 служат основой для проведения любых работ в области информационной безопасности, в том числе и аудита. ISO17799 сосредоточен на вопросах организации и управления безопасностью, в то время как ISO15408 определяет детальные требования, предъявляемые к программно-техническим механизмам защиты информации.

Спецификация SysTrust в настоящее время достаточно широко используется аудиторскими компаниями, традиционно выполняющими финансовый аудит для своих клиентов и предлагающих услугу ИТ аудита в качестве дополнения к финансовому аудиту.

Немецкий стандарт «BSI\IT Baseline Protection Manual» является наиболее содержательным руководством по обеспечению безопасности ИТ и представляет несомненную практическую ценность для всех специалистов, занимающихся вопросами информационной безопасности.

Практические стандарты и руководства по обеспечению информационной безопасности, разрабатываемые в рамках проекта SCORE, ориентированны на технических специалистов и являются в техническом плане наиболее совершенными.

Программа сертификации Интернет сайтов по требованиям информационной безопасности и соответствующая спецификация «SANS/GIAC Site Certification», совсем недавно предложенная институтом SANS, безусловно, заслуживает внимания в связи с неизменно возрастающей актуальностью вопросов защиты ИС организаций от атак со стороны сети Интернет и увеличением доли соответствующих работ при проведении аудита безопасности.

Литература и ссылки

• ISACA Russia Chapter. CISA Exam Preparation Course. April-May 2001.
• CRAMM v.4.0 User’s Guide.
• What is CRAMM? http://www.gammassl.co.uk/topics/hot5.html
• SANS/GIAC Site Certification Program, http://www.sans.org/SCORE
• SysTrust Services, http://www.aicpa.org/assurance/systrust/index.htm
• Ernst&Young (CIS) Limited, Independent Accountant"s Report, https://processcertify.ey.com/vimpelcom2/vimpelcom_opinion.html
• BSI/IT Baseline Protection Manual, http://www.bsi.bund.de/gshb/english/menue.htm
• Александр Астахов. Анализ защищенности автоматизированных систем, GLOBALTRUST.RU, 2002 г.,

Аудит информационных систем дает актуальные и точные данные о том, как работает ИС. На базе полученных данных можно планировать мероприятия для повышения эффективности предприятия. Практика проведения аудита информационной системы - в сравнении эталона, реальной обстановки. Изучают нормативы, стандарты, регламенты и практики, применимые в других фирмах. При проведении аудита предприниматель получает представление о том, как его фирма отличается от нормальной успешной компании в аналогичной сфере.

Общее представление

Информационные технологии в современном мире развиты исключительно сильно. Сложно представить себе предприятие, не имеющее на вооружении информационные системы:

• глобальные;
• локальные.

Именно за счет ИС компания может нормально функционировать и идти в ногу со временем. Такие методологии необходимы для быстрого и полного обмена информацией с окружающей средой, что позволяет компании подстраиваться под изменения инфраструктуры и требований рынка. Информационные системы должны удовлетворять ряду требований, меняющихся по прошествии времени (внедряются новые разработки, стандарты, применяют обновленные алгоритмы). В любом случае информационные технологии позволяют сделать доступ к ресурсам быстрым, и эта задача решается через ИС. Кроме того, современные системы:

• масштабируемые;
• гибкие;
• надёжные;
• безопасные.

Основные задачи аудита информационных систем - выявление, соответствует ли внедренная ИС указанным параметрам.

Аудит: виды

Очень часто применяется так называемый процессный аудит информационной системы. Пример: внешние специалисты анализируют внедренные системы на предмет отличия от эталонов, изучая в том числе и производственный процесс, на выходе которого - программное обеспечение.

Может проводиться аудит, направленный на выявление того, насколько правильно применяется в работе информационная система. Практику предприятия сравнивают со стандартами производителя и известными примерами корпораций международного масштаба.

Аудит системы информационной безопасности предприятия затрагивает организационную структуру. Цель такого мероприятия - найти тонкие места в кадрах ИТ-отдела и обозначить проблемы, а также сформировать рекомендации по их решению.

Наконец, аудит системы обеспечения информационной безопасности направлен на качественный контроль. Тогда приглашенные эксперты оценивают, в каком состоянии процессы внутри предприятия, тестируют внедренную информационную систему и делают некоторые выводы по полученной информации. Обычно применяется модель TMMI.

Задачи аудита

Стратегический аудит состояния информационных систем позволяет определить слабые места во внедренной ИС и выявить, где применение технологий оказалось неэффективными. На выходе такого процесса у заказчика будут рекомендации, позволяющие устранить недочеты.

Аудит позволяет оценить, как дорого обойдётся внесение изменений в действующую структуру и сколько времени это займет. Специалисты, изучающие действующую информационную структуру компании, помогут подобрать инструментарий для реализации программы улучшений, учитывая особенности компании. По итогам можно также выдать точную оценку, в каком объеме ресурсов нуждается фирма. Проанализированы будут интеллектуальные, денежные, производственные.

Мероприятия

Внутренний аудит информационных систем включает в себя проведение таких мероприятий, как:

• инвентаризация ИТ;
• выявление нагрузки на информационные структуры;
• оценка статистики, данных, полученных при инвентаризации;
• определение, соответствуют ли требования бизнеса и возможности внедренной ИС;
• формирование отчета;
• разработка рекомендаций;
• формализация фонда НСИ.

Результат аудита

Стратегический аудит состояния информационных систем - это процедура, которая: позволяет выявить причины недостаточной эффективности внедрённой информационной системы; провести прогнозирование поведения ИС при корректировке информационных потоков (числа пользователей, объема данных); предоставить обоснованные решения, помогающие повысить продуктивность (приобретение оборудования, совершенствование внедренной системы, замена); дать рекомендации, направленные на повышение продуктивности отделов компании, оптимизацию вложений в технологии. А также разработать мероприятия, улучшающий качественный уровень сервиса информационных систем.

Это важно!

Нет такой универсальной ИС, которая подошла бы любому предприятию. Есть две распространенных базы, на основе которых можно создавать уникальную систему под требования конкретного предприятия:

• Oracle.

Но помните, что это лишь основа, не более. Все усовершенствования, позволяющие сделать бизнес эффективным, нужно программировать, учитывая особенности конкретного предприятия. Наверняка придется вводить ранее отсутствовавшие функции и отключать те, которые предусмотрены базовой сборкой. Современная технология аудита банковских информационных систем помогает понять, какие именно особенности должна иметь ИС, а что нужно исключить, чтобы корпоративная система была оптимальной, эффективной, но не слишком «тяжелой».

Аудит информационной безопасности

Анализ, позволяющий выявить угрозы информационной безопасности, бывает двух видов:

• внешний;
• внутренний.

Первый предполагает единовременную процедуру. Организует ее руководитель компании. Рекомендовано регулярно практиковать такую меру, чтобы держать ситуацию под контролем. Ряд АО, финансовых организаций ввели требование внешнего аудита ИТ-безопасности обязательным к выполнению.

Внутренний - это регулярно проводимые мероприятия, регламентированные локальным нормативным актом «Положение о внутреннем аудите». Для проведения формируют годовой план (его готовит отдел, ответственный за аудит), утверждает генеральный директор, другой руководитель. ИТ-аудит - несколько категорий мероприятий, аудит безопасности занимает не последнее место по значимости.

Цели

Главная цель аудита информационных систем в аспекте безопасности - это выявление касающихся ИС рисков, сопряженных с угрозами безопасности. Кроме того, мероприятия помогают выявить:

• слабые места действующей системы;
• соответствие системы стандартам информационной безопасности;
• уровень защищенности на текущий момент времени.

При аудите безопасности в результате будут сформулированы рекомендации, позволяющие улучшить текущие решения и внедрить новые, сделав тем самым действующую ИС безопаснее и защищённые от различных угроз.

Если проводится внутренний аудит, призванный определить угрозы информационной безопасности, тогда дополнительно рассматривается:

• политика безопасности, возможность разработки новой, а также иных документов, позволяющих защитить данные и упростить их применение в производственном процессе корпорации;
• формирование задач обеспечения безопасности работникам ИТ-отдела;
• разбор ситуаций, сопряженных с нарушениями;
• обучение пользователей корпоративной системы, обслуживающего персонала общим аспектам безопасности.

Внутренний аудит: особенности

Перечисленные задачи, которые ставят перед сотрудниками, когда проводится внутренний аудит информационных систем, по своей сути, не аудит. Теоретически проводящий мероприятия лишь в качестве эксперта оценивает механизмы, благодаря которым система обезопасена. Привлеченное к задаче лицо становится активным участником процесса и теряет независимость, уже не может объективно оценивать ситуацию и контролировать ее.

С другой стороны, на практике при внутреннем аудите остаться в стороне практически невозможно. Дело в том, что для проведения работ привлекают специалиста компании, в прочее время занятого другими задачами в сходной области. Это значит, что аудитор - это тот самый сотрудник, который обладает компетенцией для решения упомянутых ранее заданий. Поэтому приходится идти на компромисс: в ущерб объективности привлекать работника к практике, чтобы получить достойный итог.

Аудит безопасности: этапы

Таковые во многом сходны с шагами общего ИТ-аудита. Выделяют:

• старт мероприятий;
• сбор базы для анализирования;
• анализ;
• формирование выводов;
• отчетность.

Инициирование процедуры

Аудит информационных систем в аспекте безопасности начинается, когда на это дает отмашку руководитель компании, так как именно начальники - те персоны, которые более прочих заинтересованы в эффективной проверке предприятия. Проведение аудита невозможно, если руководство не поддерживает процедуру.

Аудит информационных систем обычно комплексный. В нем принимает участие аудитор и несколько лиц, представляющих разные отделы компании. Важна совместная работа всех участников проверки. При инициации аудита важно уделить внимание следующим моментам:

• документальная фиксация обязанностей, прав аудитора;
• подготовка, согласование плана аудита;
• документальное закрепление того факта, что сотрудники обязаны оказывать аудитору посильную помощь и предоставлять все запрашиваемые им данные.

Уже в момент инициации проверки важно установить, в каких границах проводится аудит информационных систем. В то время как некоторые подсистемы ИС критичны и требуют особенного внимания, другие таковыми не являются и достаточно маловажны, поэтому допускается их исключение. Наверняка найдутся и такие подсистемы, проверка которых будет невозможна, так как вся информация, хранимая там, конфиденциальна.

План и границы

Перед началом работ формируется список ресурсов, которые предполагается проверить. Это могут быть:

• информационные;
• программные;
• технические.

Выделяют, на каких площадках проводят аудит, на какие угрозы проверяют систему. Существуют организационные границы мероприятия, аспекты обеспечения безопасности, обязательные к учету при проверке. Формируется рейтинг приоритетности с указанием объема проверки. Такие границы, а также план мероприятия утверждаются генеральным директором, но предварительно выносятся темой общего рабочего собрания, где присутствуют начальники отделов, аудитор и руководители компании.

Получение данных

При проведении проверки безопасности стандарты аудита информационных систем таковы, что этап сбора информации оказывается наиболее продолжительным, трудоемким. Как правило, ИС не имеет документации к ней, а аудитор вынужден плотно работать с многочисленными коллегами.

Чтобы сделанные выводы оказались компетентными, аудитор должен получить максимум данных. О том, как организована информационная система, как она функционирует и в каком состоянии находится, аудитор узнает из организационной, распорядительной, технической документации, в ходе самостоятельного исследования и применения специализированного ПО.

Документы, необходимые в работе аудитора:

• организационная структура отделов, обслуживающих ИС;
• организационная структура всех пользователей.

Аудитор интервьюирует работников, выявляя:

• провайдера;
• владельца данных;
• пользователя данных.

Для этого нужно знать:

• основные виды приложений ИС;
• число, виды пользователей;
• услуги, предоставляемые пользователям.

Если в фирме есть документы на ИС из перечисленного ниже списка, обязательно нужно предоставить их аудитору:

• описание технических методологий;
• описание методик автоматизации функций;
• функциональные схемы;
• рабочие, проектные документы.

Выявление структуры ИС

Для корректных выводов аудитор должен располагать максимально полным представлением об особенностях внедренной на предприятии информационной системы. Нужно знать, каковы механизмы безопасности, как они распределены в системе по уровням. Для этого выясняют:

• наличие и особенности компонентов используемой системы;
• функции компонентов;
• графичность;
• входы;
• взаимодействие с различными объектами (внешнее, внутреннее) и протоколы, каналы для этого;
• платформы, примененные для системы.

Пользу принесут схемы:

• структурная;
• потоков данных.

Структуры:

• технических средств;
• информационного обеспечения;
• структурных компонентов.

На практике многие из документов готовят непосредственно при проведении проверки. Анализировать информацию можно лишь при сборе максимального объема информации.

Аудит безопасности ИС: анализ

Есть несколько методик, применяемых для анализа полученных данных. Выбор в пользу конкретной основывается на личных предпочтениях аудитора и специфике конкретной задачи.

Наиболее сложный подход предполагает анализировать риски. Для информационной системы формируются требования к безопасности. Они базируются на особенностях конкретной системы и среды ее работы, а также угроз, свойственных этой среде. Аналитики сходятся во мнении, что такой подход требует наибольших трудозатрат и максимальной квалификации аудитора. Насколько хорош будет результат, определяется методологией анализа информации и применимостью выбранных вариантов к типу ИС.

Более практичный вариант предполагает обращение к стандартам безопасности для данных. Таковыми определяется набор требований. Это подходит для различных ИС, так как методика выработана на основе крупнейших фирм из разных стран.

Из стандартов следует, каковы требования безопасности, зависящие от уровня защиты системы и принадлежности ее тому или иному учреждению. Многое зависит от предназначения ИС. Главная задача аудитора - определить корректно, какой набор требований по безопасности актуален в заданном случае. Выбирают методику, по которой оценивают, соответствуют ли стандартам имеющиеся параметры системы. Технология довольно простая, надежная, поэтому распространена широко. При небольших вложениях в результате можно получить точные выводы.

Пренебрегать недопустимо!

Практика показывает, что многие руководители, особенно небольших фирм, а также те, чьи компании работают уже достаточно давно и не стремятся осваивать все новейшие технологии, относятся к аудиту информационных систем довольно халатно, так как просто не осознают важности этой меры. Обычно лишь ущерб бизнесу провоцирует начальство принимать меры по проверке, выявлению рисков и защите предприятия. Иные сталкиваются с тем, что у них крадут данные о клиентуре, у других утечки происходят из баз данных контрагентов или уходит информация о ключевых преимуществах некоего субъекта. Потребители перестают доверять компании, как только случай подвергается огласке, и компания терпит еще больший урон, нежели просто от потери данных.

Если есть вероятность утечки информации, невозможно построить эффективный бизнес, имеющий хорошие возможности сейчас и в будущем. У любой компании есть данные, представляющие ценность для третьих лиц, и их нужно беречь. Чтобы защита была на высочайшем уровне, необходим аудит, выявляющий слабые стороны. В нем нужно учитывать международные стандарты, методики, новейшие наработки.

При аудите:

• оценивают уровень защиты;
• анализируют применяемые технологии;
• корректируют документы по безопасности;
• моделируют рисковые ситуации, при которых возможна утечка данных;
• рекомендуют внедрение решений для устранения уязвимостей.

Проводят эти мероприятия одним из трех образов:

• активный;
• экспертный;
• выявляющий соответствие стандартам.

Формы аудита

Активный аудит предполагает оценку системы, на которую смотрит потенциальный хакер. Именно его точку зрения «примеряют» на себя аудиторы - изучают сетевую защиту, для чего применяют специализированное ПО и уникальные методики. Обязателен и внутренний аудит, проводимый также с точки зрения предполагаемого преступника, желающего украсть данные или нарушить работу системы.

При экспертном аудите проверяют, насколько соответствует внедренная система идеальной. При выявлении соответствия стандартам за основу берут абстрактное описание стандартов, с которыми сравнивают имеющийся объект.

Заключение

Корректно и качественно проведенный аудит позволяет получить следующие итоги:

• минимизация вероятности успешной хакерской атаки, ущерба от нее;
• исключение атаки, основанной на изменении архитектуры системы и информационных потоков;
• страхование как средство уменьшения рисков;
• минимизация риска до уровня, когда таковой вовсе можно не учитывать.

Обобщены и систематизированы взгляды на аудит информационных систем. В результате проведенного исследования автор обозначил свою точку зрения на возможности применения указанного направления аудита при перманентном влиянии внешнего окружения на экономические субъекты, раскрыл его существенные преимущества для системы управления этими субъектами.

Введение

Современный этап формирования и развития мировой рыночной системы характеризуется высокой неопределенностью и все возрастающей динамикой постоянных изменений в бизнес-среде экономических субъектов. Глобальные изменения структуры указанной системы в XXI в. обусловлены изменением роли высокотехнологического сектора экономики и ее переходом к информационному обществу. Экономические субъекты в этих условиях становятся более сложными и динамичными бизнес-системами. При этом усложняется как сама структура управления ими, так и обработка и передача надлежащей информации, которая становится существенной частью их бизнес-процессов.

Аудит информационных систем на современном этапе

Исследования зарубежных и российских ученых показывают, что в современных условиях конкурентными преимуществами обладают те бизнес-системы, которые могут быстро создавать и доставлять результаты своего бизнеса (продукцию, товары, работы или услуги), соответствующие определенной потребности каждого уникального потребителя, а не абстрактным требованиям обобщенного рынка. Способность производителей совмещать индивидуальные потребительские предпочтения с производством соответствующих результатов их бизнеса и адекватной системой управления является решающим фактором эффективного развития этих систем.
В настоящее время информационные технологии становятся одним из основных инструментов обеспечения адаптивности и конкурентоспособности экономических субъектов. По мере изменения требований бизнес-среды изменяются требования, предъявляемые к аппаратным средствам, программным продуктам и ИТ-сервисам (ИТ-услугам), что приводит к добавлению в их поддерживающую информационную инфраструктуру все новых и новых программно-аппаратных платформ. При этом их возрастающие сложность и разнородность оказывают влияние на управляемость всей информационной системой субъектов, стабильность и эффективность ее работы .
В то же время потребность в уверенности относительно полезности, которой обладают информационные системы, управление связанными с ними рисками и растущие требования к контролю над информацией в настоящее время считаются ключевыми элементами корпоративного управления. Ценность, риск и контроль определяют суть корпоративного управления не только бизнес-системой в целом, но и ее информационной системой в частности, при этом не только в текущем временном периоде, но и в долгосрочной перспективе.
В свою очередь, исследования показывают, что наиболее совершенным, многофункциональным и высокопрофессиональным инструментарием исследования существующих и вероятных рисков, а также разносторонних проблемных ситуаций, возникающих в ходе функционирования той или иной бизнес-системы, является аудит. Аудит в современных условиях становится практически незаменимым при осуществлении разностороннего исследования и оценки информации, принятии управленческих решений, прогнозировании развития всей бизнес-системы и ее информационной системы в частности, а также инструментом поддержки управления этими системами. При этом следует учитывать, что информационная система, являясь по своей сути моделью бизнес-системы, в которой она функционирует, - весьма сложное и многофункциональное образование, требующее особого, кропотливого и комплексного, подхода к ее исследованию. Поэтому аудит в этих условиях должен быть не аудитом в традиционном смысле (аудит бухгалтерской (финансовой) отчетности), а аудитом бизнеса, в частности его информационной модели (информационной системы).
Действительно, нетрудно понять, что в этом случае аудит не должен быть только констатирующим и подтверждающим уже свершившиеся события и факты, он должен быть направлен на выработку управленческих рекомендаций по оптимизации развития бизнес-системы в целом и ее информационной системы в частности.
Информационные технологии, как уже отмечалось, с каждым годом все более усложняются. Они поглощают огромные финансовые и временные ресурсы и при этом не всегда предоставляют адекватный затратам эффект. Однако информационные технологии в современных условиях жизненно необходимы экономическим субъектам, а информационная система, объединяющая все информационные технологии, персонал, ответственный за их развитие, их обслуживание, является неотъемлемой и важнейшей частью любой бизнес-системы, стремящейся конкурировать в современном мире. В то же время все позитивные аспекты, связанные с информационными системами, сопровождаются абсолютно новыми рисками для экономических субъектов, что требует дополнительного контроля со стороны высшего звена системы управления этими субъектами. В связи с этим возрастает роль аудита информационных систем на всех уровнях и этапах их развития. Аудит позволяет не только оперативно получать систематизированную и достоверную информацию для оценки текущего состояния информационных систем, но и принимать адекватные решения по управлению этими системами и их развитию.
Аудит информационных систем является более сложным направлением аудиторского исследования по сравнению с традиционным аудитом бухгалтерской (финансовой) отчетности. Для его осуществления требуется приложить значительные усилия по созданию соответствующих условий. При этом первостепенной задачей является формирование в современном обществе соответствующего понимания важности и необходимости его регулярного применения для повышения эффективности деятельности любого экономического субъекта независимо от формы его собственности.

Методические подходы к аудиту информационных систем

Согласно требованиям Международного стандарта "Контрольные объекты для информационных и смежных технологий" (Control Objectives for Information and Related Technology - Cobit) процедуры аудита информационных систем включают в себя четыре последовательных этапа:
- идентификация и документирование;
- оценка механизмов управления;
- тест соответствия;
- детальное тестирование.
На этапе идентификации и документирования осуществляются документирование и идентификация существующих механизмов управления посредством интервьюирования руководящего звена системы управления экономическим субъектом, отдельных компетентных ИТ-специалистов, специалистов по управлению рисками и основных пользователей ИТ-сервисов с целью получения или уточнения знаний относительно:
- требований бизнес-системы и связанных с ней рисков;
- организационной структуры;
- существующей системы внутреннего контроля;
- распределения ролей и ответственности;
- политик и процедур, имеющих отношение к оценке рисков, страхования остаточных рисков (риск-аппетита) и пр.;
- требований нормативной базы;
- существующих механизмов управления;
- существующей отчетности.
Аудиторские процедуры для получения указанных знаний, как правило, относятся к процедурам оценки значимых для аудируемого субъекта бизнес-рисков, так как часть этой информации может быть использована аудитором в качестве аудиторских доказательств оценки рисков принятия неадекватных управленческих решений. Кроме того, при выполнении процедур оценки бизнес-рисков аудитор может получить аудиторские доказательства в отношении соответствующих утверждений относительно эффективности средств контроля функционирования информационной системы аудируемого субъекта, даже если эти процедуры не были заранее спланированы как процедуры исследования по существу или как тесты средств контроля. Аудитор может использовать процедуры исследования по существу или тесты средств контроля одновременно с процедурами по оценке бизнес-рисков, поскольку такое сочетание является наиболее эффективным.
Мировая практика допускает выполнение не всех перечисленных процедур одновременно, однако все процедуры по оценке бизнес-рисков выполняются аудитором при получении надлежащего количества и качества требуемых знаний.
При выполнении аналитических процедур оценки бизнес-рисков аудитору необходимо разрабатывать прогнозы о вероятных взаимосвязях, существование которых ожидается.
В свою очередь, наблюдение и инспектирование могут дополнить опросы лиц, наделенных руководящими полномочиями, и ИТ-персонала, а также предоставить релевантную информацию о бизнес-системе, ее внутреннем потенциале и ее бизнес-среде.
Если аудитор собирается использовать информацию о бизнес-системе и ее бизнес-среде, полученную при предыдущих аудиторских исследованиях и проверках, то он должен определить, имели ли место изменения, которые могут повлиять на релевантность и надлежащий характер такой информации и существенным образом повлиять на текущие аудиторские исследования.
В современных условиях система внутреннего контроля разрабатывается и функционирует с целью выявления бизнес- и ИТ-рисков, препятствующих достижению любой из целей функционирующей бизнес-системы.
При аудиторском исследовании информационной системы как компонента системы внутреннего контроля особое место занимает анализ средств контроля, связанных с надежностью защиты активов.
Получение аудитором представления о системе внутреннего контроля предполагает осуществление оценки организации средств контроля и определение их фактического применения. Деятельность по контролю, организованная ненадлежащим образом, может представлять собой существенный недостаток системы внутреннего контроля аудируемого субъекта. В этом случае аудитору следует рассмотреть вопрос о необходимости подготовки и передачи сообщения об этом лицам, наделенным руководящими полномочиями этого субъекта.
Процедуры по оценке бизнес- и ИТ-рисков с целью получения аудиторских доказательств в отношении организации и применения надлежащих средств контроля могут включать:
- опросы ИТ-сотрудников субъекта;
- наблюдение за применением определенных средств контроля;
- инспектирование документации и отчетов;
- отслеживание операций в информационной системе.
Однако следует помнить, что получения аудитором представления о средствах контроля недостаточно, чтобы заменить собой тестирование их эффективности, если только не существует автоматизированный процесс, который обеспечивает последовательное применение этих средств.
Выполнение аудитором процедур, направленных на выявление применения аудируемым субъектом последовательного автоматизированного контроля, может являться тестом эффективности такого средства контроля.
Несмотря на то что современным информационным системам присущи автоматизированные информационные технологии, даже при их всеобъемлющем использовании в них всегда применяются ручные элементы. Баланс между ручными и автоматизированными элементами изменчив. Поэтому аудитор должен учитывать и оценивать указанные обстоятельства при оценке бизнес- и ИТ-рисков, а также применении аудиторских процедур, основанных на такой оценке.
Сами средства контроля в современной информационной системе обычно представляют собой сочетание (некий синтез) автоматизированных (например, средств контроля, встроенных в программные продукты) и ручных средств. Сочетание ручных и автоматизированных средств контроля зависит, как правило, от характера и сложности использования субъектом информационных технологий .
Как уже отмечалось, современные информационные технологии накладывают определенные риски на всю систему внутреннего контроля любого экономического субъекта. К ним следует отнести:
- неточность обработки данных применяемыми программными продуктами;
- несанкционированный доступ к данным, что может привести к их уничтожению или ненадлежащему изменению, включая отражение несанкционированных или неточных операций;
- вероятность приобретения ИТ-сотрудниками прав доступа, превышающих их полномочия, необходимые для выполнения их обязанностей, что тем самым нарушает распределение этих обязанностей;
- несанкционированные изменения в данных основного файла;
- несанкционированные изменения в системах или программных продуктах;
- ненадлежащее ручное вмешательство;
- потенциальные потери данных или невозможность доступа к ним.
В то же время ручные элементы системы внутреннего контроля являются наиболее приемлемыми в случаях, если требуются суждение и некая доля осторожности, как, например, в случаях, когда возникают:
- крупные, необычные или единичные операции;
- обстоятельства, при которых трудно определить, обнаружить или предсказать вероятность ошибок;
- ситуации, требующие незамедлительной реакции со стороны системы внутреннего контроля, которые выходят за рамки возможностей существующих автоматизированных средств контроля.
Аудитору следует помнить, что ручные средства контроля менее надежны, чем автоматизированные, так как их легче обойти, проигнорировать и они более подвержены элементарным ошибкам, сопряженным с человеческим фактором.
Система внутреннего контроля независимо от того, насколько хорошо она организована и функционирует, предоставляет только разумную уверенность в достижении целей экономического субъекта. На вероятность достижения такой уверенности влияет целый ряд ограничений, присущих системе внутреннего контроля.
В свою очередь, при исследовании существующих механизмов управления аудитор прежде всего должен оценить контрольную среду системы внутреннего контроля, которая включает в себя не только функции по управлению, но и осведомленность и действия лиц, наделенных руководящими полномочиями, и руководства аудируемого субъекта в отношении внутреннего контроля и его важности для этого субъекта. Контрольная среда формирует общую атмосферу в экономическом субъекте, влияющую на осознание бизнес- и ИТ-сотрудниками необходимости внутреннего контроля.
При оценке организации контрольной среды и определении надлежащего ее внедрения аудитор должен исследовать, как руководящее звено системы управления аудируемым субъектом создало и поддерживает корпоративную культуру этого субъекта и установило надлежащие средства контроля.
Особое место при аудите информационных систем занимает исследование того, как система управления аудируемым субъектом реагирует на риски, сопряженные с информационной системой этого субъекта и применяемыми в ней информационными технологиями.
Как уже отмечалось, использование различных информационных технологий (ручных, автоматизированных) обусловливает способ осуществления действий по контролю. Аудитор должен всесторонне изучить, адекватно ли аудируемый субъект реагирует на ИТ-риски посредством установления эффективных средств контроля в информационных технологиях и прикладных программных продуктах.
Аудитор может признать средства контроля информационной системы эффективными, если они поддерживают целостность информации и безопасность данных, которые эта система обрабатывает.
Общие средства контроля в информационных системах представляют собой политику и процедуры, связанные с прикладными программными продуктами и поддерживающие эффективное функционирование средств контроля над ними, содействуя надлежащей работе этих систем.
Стандарт Cobit предполагает, что, для того чтобы модель управления работала надлежащим образом, необходимо четко распределить ответственность за бизнес- и ИТ-процессы, установив при этом строгую подотчетность каждого должностного лица. В противном случае не будет осуществляться обмен управляющей информацией и, как следствие, не последуют корректирующие действия. Кроме того, стандарт Cobit требует оценки соблюдения базовых информационных критериев, так как эффективность управляющей информации (ее актуальность, своевременность и пригодность, а также ее целостность) служит основой функционирования системы управления ИТ-процессами. И наконец, аудитору следует учитывать разнообразие стандартов оценки эффективности ИТ-процессов (от высокоуровневых планов и стратегий до индикаторов производительности и ключевых факторов успеха) .
С этой целью используются методы экспертных оценок, которые позволяют определить, для каких механизмов управления на следующем этапе аудита по существу необходимо провести тестирование их соответствия установленным процедурам.
Для получения гарантий пригодности существующих у аудируемого субъекта механизмов управления для решения задач управления аудитор должен провести тесты соответствия. Тестирование осуществляется посредством получения прямых и косвенных свидетельств надлежащего выполнения установленных процедур управления за исследуемый период. После завершения указанных этапов аудитор формулирует выводы и управленческие рекомендации.

Заключение

Подводя итог, следует отметить, что сложный и многогранный характер предметной области аудита информационных систем обусловливает необходимость применения различных предметных технологий и интегрирования в аудиторскую деятельность элементов многих наук, в том числе и фундаментальных. Причиной этого прежде всего является непрерывное развитие различных экономических процессов, протекающих в бизнесе современных экономических субъектов, требующих применения более совершенных научных подходов к их изучению и оценке.
Если учесть, что информационная система, по своей сути являясь моделью бизнес-системы, в которой она функционирует, - весьма сложное и многофункциональное образование, требующее комплексного подхода к ее исследованию, то, как следствие, аудит в этих условиях должен быть не аудитом в традиционном смысле (аудит финансовой отчетности), а аудитом бизнеса, в частности аудитом его (бизнеса) модели - информационной системы. Поэтому от аудиторов и научного сообщества в этой области знаний в настоящее время требуется кропотливая и разносторонняя исследовательская работа, направленная на формирование методологического аппарата и методического инструментария для практически нового в российской действительности направления аудиторской деятельности.

Литература

1. Андерсен Бьерн. Бизнес-процессы. Инструменты совершенствования. 2-е изд. М.: РИА "Стандарты и качество", 2004. 272 с.
2. Берн Р.Дж. Эффективное использование результатов маркетинговых исследований: Как принимать и осуществлять на практике наиболее оптимальные решения / Пер. с англ. Днепропетровск: Баланс Бизнес Букс, 2005. 272 с.
3. Булыга Р.П., Мельник М.В. Аудит бизнеса. Практика и проблемы развития: Монография / Под ред. Р.П. Булыги. М.: ЮНИТИ-ДАНА, 2013. 263 с.
4. Джордж С., Ваймарскирх А. Всеобщее управление качеством: стратегии и технологии, применяемые сегодня в самых успешных компаниях (TQM). СПб.: Виктория-плюс, 2002. 256 с.
5. Ситнов А.А. Особенности аудита информационных инфраструктур // Аудитор. 2011. N 11 (201). С. 26 - 38.
6. Ситнов А.А. Стандарт Cobit: новые возможности российского аудита // Аудиторские ведомости. 2012. N 6. С. 44 - 56.
7. Ситнов А.А. Аудит состояния информационной инфраструктуры // Аудитор. 2012. N 12 (214). С. 16 - 21.
8. Ситнов А.А., Уринцов А.И. Аудит информационных систем: Монография для магистров. М.: ЮНИТИ-ДАНА, 2014. 239 с.