Аудит информационной безопасности (ИБ) позволяет оценить, как в организации реализованы меры защиты информации. Если уязвимости в защите своевременно не устраняются, организация рискует столкнуться с финансовыми убытками, репутационными потерями и штрафами.
Что такое аудит информационной безопасности
Аудит информационной безопасности — это оценка реализованных в организации организационных и технических меры защиты. Проверяет соответствие требованиям законодательства и регуляторов, отраслевым и международным стандартам, а также внутренним документам компании.
Выявление недостатков помогает компании уменьшить риск убытков и репутационных потерь. Своевременное выполнение обязательных требований ИБ снижает вероятность претензий со стороны регуляторов и штрафов.
По умолчанию аудит ограничивается выявлением и оценкой недостатков. Если нужно что-то исправить, стороны отдельно закрепляют эти работы в договоре с указанием цен и сроков.
По итогам аудита готовится отчет. Он объединяет сведения о найденных уязвимостях, недостатках процессов и рисках.
В ходе аудита ИБ может применяться пентест в качестве одного из методов проверки — как отдельная услуга.
Зачем нужен аудит информационной безопасности
Цель аудита — понять, насколько организация защищена, и выявить слабые места до того, как они приведут к инциденту, простою или утечке информации. От цели зависит состав работ, применяемые методы и глубина анализа.
С учетом деятельности компании аудит может решать одну или несколько задач:
- Проверка защиты персональных данных по № 152-ФЗ.
- Оценка защиты ГИС по № 149-ФЗ и приказу ФСТЭК № 117.
- Проверка безопасности КИИ (критической информационной инфраструктуры) по № 187-ФЗ.
- Проверка защиты коммерческой тайны по № 98-ФЗ.
- Подготовка ГИС к аттестации по приказу ФСТЭК № 77 или проверить готовность системы менеджмента информационной безопасности к сертификации ISO/IEC 27001.
Также аудит ИБ проводят в следующих ситуациях:
- перед вводом новой информационной системы в эксплуатацию, чтобы проверить реализованные меры защиты, настройки и права доступа и устранить недостатки до запуска;
- после крупного инцидента — чтобы оценить его последствия, выявить недостатки в системе защиты и определить меры, снижающие вероятность повторения аналогичного события;
- когда нужна независимая оценка состояния защиты и соответствия требованиям;
- при существенных изменениях инфраструктуры или процессов ИБ.
Для отдельных категорий организаций обязателен контроль защищенности, оценка соответствия и эффективности принятых мер:
- для ГИС контроль уровня защищенности проводят с интервалом до 3 лет или после компьютерного инцидента. Основания — приказ ФСТЭК № 117 (п. 66–67);
- для аттестованных объектов периодический контроль уровня защищенности с направлением протоколов во ФСТЭК обязателен как минимум 1 раз в 3 года. Основания — приказ ФСТЭК № 77;
- для кредитных организаций контроль уровня защищенности проводят с интервалом до 2 лет. Основания — ГОСТ Р 57580.2-2018 с учетом требований ГОСТ Р 57580.1-2017 и Положения Банка России № 851-П. Каждый год дополнительно требуется проводить пентест и анализ уязвимостей.
Виды аудита информационной безопасности
Виды аудита можно условно разделить по границам работ и предмету проверки.
По границам работ: внутренний или внешний.
По предмету: комплексным, техническим, организационным или нормативным.
В рамках одного проекта эти направления могут сочетаться. Ниже разберем более подробно перечисленные виды аудита.
1. Внешний аудит информационной безопасности
Внешний аудит поручают внешнему исполнителю. К нему обращаются за дополнительной экспертизой и независимыми выводами: насколько надежна защита и выполняет ли организация установленные для нее требования.
Внешние эксперты оценивают инфраструктуру и процессы со стороны и могут выявить недостатки, которые сложно заметить сотрудникам, постоянно работающим с одной и той же системой.
2. Внутренний аудит информационной безопасности
Внутренний аудит проводит собственная служба организации по утвержденной программе. Периодичность определяют внутренние документы, результаты оценки рисков и применимые обязательные требования.
При внутреннем аудите необходимо обеспечить независимость проверяющих от процессов и систем, которые они оценивают. Этот формат подходит для регулярного контроля и проверки выполнения корректирующих мероприятий между внешними аудитами.
При отсутствии нормативного срока эксперты «УИБ» советуют повторять проверку ежегодно или чаще.
3. Комплексный аудит информационной безопасности
Комплексный аудит объединяет несколько направлений. В его границы могут входить:
- состояние ИТ-инфраструктуры, используемых информационных систем;
- применяемое ПО и средства защиты информации;
- порядок управления доступом;
- организация процессов ИБ;
- содержание организационно-распорядительной документации (ОРД);
- соблюдение требований законодательства;
- знания сотрудников в области ИБ и то, как они соблюдают требования на практике.
Комплексный аудит нужен перед передачей инфраструктуры другому подрядчику или после инцидента. Его также заказывают, чтобы проверить выполнение требований государственного заказчика.
4. Технический аудит информационной безопасности
Технический аудит показывает, как настроена и работает защита в ИТ-инфраструктуре. Эксперты изучают серверные и сетевые конфигурации, ищут уязвимости, проверяют разграничение доступа и работу защитных механизмов.
Для технической проверки необходимы актуальные сведения о сетях, информационных системах (ИС) и средствах защиты, которые в них используются. Подробно разбирать ОРД при этом необязательно, если такой анализ не включен в согласованные границы аудита.
Какие требования проверяют при аудите ИБ
Перечень требований для аудита определяют с учетом вида обрабатываемой информации, назначения и статуса информационных систем, отрасли и особенностей деятельности организации.
В зависимости от задачи критериями проверки могут быть федеральные законы, постановления Правительства РФ, нормативные акты ФСТЭК России и других регуляторов, национальные и международные стандарты, а также внутренние и договорные требования.
Ниже приведены основные документы и требования, которые могут использоваться при проведении аудита ИБ.
| № | Документ | Что проверяют при аудите | Смежная услуга |
|---|---|---|---|
| 1 | № 152-ФЗ «О персональных данных» | Проверяют выполнение организационных и технических мер, соответствие ИСПДн установленному уровню защищенности, актуальность модели угроз, организационно-распорядительных документов и фактических настроек системы защиты. | Защита персональных данных |
| 2 | № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации» | Проверяют, относится ли организация к субъектам КИИ, полноту перечня объектов, правильность категорирования и направления сведений во ФСТЭК России, а для значимых объектов — выполнение требований по защите и взаимодействию с ГосСОПКА. | Защита КИИ |
| 3 | № 149-ФЗ «Об информации, информационных технологиях и о защите информации» | Проверяют как организация предупреждает о неправомерном доступе, сохраняет конфиденциальность, реализует необходимые технические и организационные меры. | Защита конфиденциальной информации |
| 4 | № 98-ФЗ «О коммерческой тайне» | Проверяют, какие сведения компания отнесла к коммерческой тайне и как организовала доступ к ним: контроль допущенных лиц, отношения с персоналом и контрагентами. Отдельно смотрят, как маркируют носители. | Защита конфиденциальной информации |
| 5 | Приказ ФСТЭК № 117 |
Проверяют класс защищенности, актуальность модели угроз и реализованные меры защиты. Оценивают организацию процессов ИБ, работу с уязвимостями и результаты расчетов КЗИ (защищенности) и УЗИ (зрелости). Учитывают вступившие с 01.09.26 изменения приказа ФСТЭК № 137. |
Аттестация ГИС |
| 6 | Приказ ФСТЭК № 21 |
Проверяют, соответствует ли состав реализованных организационных и технических мер установленному уровню защищенности персональных данных, актуальным угрозам и используемым технологиям. Одна информационная система может одновременно подпадать под требования приказов ФСТЭК России № 117 и № 21. |
Аттестация ИСПДн |
| 7 | Приказ ФСТЭК № 239 | Проверяют выполнение требований к системе безопасности значимого объекта КИИ, соответствие реализованных мер категории значимости и актуальным угрозам, а также выполнение требований на этапах эксплуатации объекта. | Защита КИИ |
| 8 | Приказ ФСТЭК № 77 |
Проверяют объект на соответствие его текущего состояния с техническим паспортом и условиями, при которых он прошел аттестацию. Проверяют учтены ли изменения объекта и выполняется ли установленный периодический контроль. |
Аттестация объектов информатизации |
| 9 | Положение Банка России от 30.01.2025 № 851-П |
Проверяют защиту при соответствующей банковской деятельности. Для оценки соответствия применяют ГОСТ Р 57580.2-2018; интервал между оценками – максимум 2 года. Анализ уязвимостей и пентест обязательны каждый год. |
Услуги информационной безопасности |
| 10 | ISO/IEC 27001:2022 |
Проверяют менеджмент информационной безопасности по ISO/IEC 27001: охват целей и ответственности, управления рисками, внутренний контроль и совершенствование процессов. Версию для сертификации согласуют заранее: ГОСТ Р ИСО/МЭК 27001-2021 основан на ISO/IEC 27001:2013. |
Тестирование на проникновение |
| 11 | PCI DSS |
Проверяют, как защищены данные платежных карт и среда, в которой их обрабатывают: PCI DSS содержит организационные и технические требования. |
Тестирование на проникновение |
Что входит в аудит: предварительный список работ
Состав работ зависит от того, какой результат нужен заказчику и насколько подробно предстоит проверять защиту. При планировании учитывают границы аудита, размеры и архитектуру инфраструктуры и требования применимых норм.
1. Техническое направление
В технической части аудита эксперты проверяют состояние инфраструктуры и реализованные в ней механизмы защиты. Перечень может включать работы:
- инвентаризацию ИТ-активов с учетом установленного ПО, серверов, рабочих станций и сетевого оборудования;
- проверку того, как построена и сегментирована сеть;
- разбор настроек на серверах и рабочих станциях;
- поиск и анализ уязвимостей снаружи и изнутри инфраструктуры;
- проверку конфигураций антивирусов, межсетевых экранов, систем DLP и SIEM;
- оценку порядка предоставления доступа, включая использование привилегированных учетных записей;
- изучение событий в журналах и проверку настроенных систем мониторинга;
- проверку того, как устанавливают обновления и управляют изменениями;
- проверку защиты периферийных устройств и беспроводных сетей;
- оценку процесса резервного копирования и возможности восстановить данные из копий.
2. Организационное направление
Организационное направление оценивает, как в компании распределена ответственность за ИБ и как установленные процессы защиты выполняются на практике. Для этого проверяют:
- что закреплено в ОРД: политике информационной безопасности, регламентах и инструкциях;
- кого назначили ответственным за защиту информации и как оформили его полномочия;
- как регистрируют инциденты, расследуют их и устраняют последствия;
- по каким программам обучают сотрудников и насколько они осведомлены о ИБ;
- как взаимодействуют ИБ-служба, ИТ-отдел и бизнес-подразделения;
- как меняют права доступа при найме и увольнении работников.
3. Нормативное направление
Нормативная часть аудита показывает, выполняет ли компания обязательные требования и выбранные стандарты. Набор критериев определяют по статусу организации, ее ИС и составу обрабатываемых сведений. Возможны следующие задачи:
- проверить, как оператор ПДн выполняет требования 152-ФЗ;
- оценить соблюдение субъектом КИИ положений 187-ФЗ;
- сопоставить фактические меры с применимыми приказами ФСТЭК № 117, № 21, № 239;
- для финансовой организации выявить расхождения между текущей защитой и требованиями ГОСТ Р 57580;
- определить, готова ли система менеджмента ИБ к сертификации ISO/IEC 27001;
- проверить соблюдение PCI DSS при работе организации с данными платежных карт.
Этапы проведения аудита информационной безопасности
Организация аудита информационной безопасности зависит от цели, границ и согласованных методов. Обычно работы включают 5 этапов; отдельные этапы могут выполняться параллельно, если это предусмотрено согласованным планом аудиторских работ.
Этап 1. Подготовка и планирование
Перед началом аудита определяют его цель и границы проверки. Фиксируют подразделения, системы, сегменты сети и процессы, которые войдут в аудит. Затем устанавливают критерии оценки: применимые требования законодательства и регуляторов, отраслевых и международных стандартов, а также внутренних документов организации.
Стороны согласовывают допустимые методы аудита: анализ документов и конфигураций, интервью, автоматизированное сканирование, ручную проверку, тестирование на проникновение и иные методы, предусмотренные программой. Также определяют уровни доступа аудиторов, правила передачи данных и состав рабочей группы. Результатом этапа являются согласованная программа и календарный план аудита.
Этап 2. Сбор информации
Эксперты собирают исходные данные: перечень активов, схемы сети, внутренние документы, журналы событий, состав средств защиты. При необходимости проводят интервью с администраторами и сотрудниками организации. Это позволяет сопоставить установленные процедуры с их фактическим выполнением.
Этап 3. Анализ и тестирование
Эксперты проверяют, как установленные требования реализованы в ИТ-инфраструктуре, средствах защиты, процессах и действиях сотрудников. Проверяют права доступа и механизмы защиты; уязвимости ищут вручную и с помощью автоматизированных средств.
При согласовании с заказчиком моделируют действия внешнего или внутреннего нарушителя и оценивают реализуемость угроз.
Этап 4. Формирование отчета и рекомендаций
В отчете фиксируют уязвимости, недостатки процессов и риски.
Существенные замечания сопровождают обоснованием: что может произойти и как устранить проблему.
Для рекомендаций определяют критичность, необходимые ресурсы и сроки. С заказчиком отдельно согласовывают очередность корректирующих мероприятий.
Этап 5. Контрольный аудит
После выполнения рекомендаций может потребоваться контрольный аудит. Его проводят по условиям договора либо для подтверждения исправлений перед аттестацией, сертификацией или проверкой регулятора.
Эксперты оценивают, устранили ли замечания и уязвимости, не появились ли после изменений новые риски.
Результат аудита: что получает заказчик
Перечень документов, которые передают заказчику, закрепляют в техническом задании (ТЗ). Как правило, основной результат аудита информационной безопасности компании – итоговый отчет.
Отчет описывает инфраструктуру и средства защиты в состоянии на дату проверки. Аудиторы указывают найденные уязвимости и недостатки процессов, объясняют связанные с ними риски. Выводы сопровождают основаниями и рекомендациями, как исправить замечания.
Если проводилось тестирование на проникновение, приводят подтвержденные сценарии атак и достигнутый уровень доступа без раскрытия сведений, которые могут создать дополнительные риски.
Если это предусмотрено ТЗ, к отчету прилагают дорожную карту: перечень мероприятий, приоритеты, сроки и ответственных. Документ используют для планирования бюджета и контроля выполнения корректирующих мероприятий.
Подготовку материалов для регуляторов согласуют отдельно в составе работ и закрепляют в ТЗ до начала проверки. В этот перечень могут войти протоколы контроля защищенности или заключение по конкретному нормативному акту. При необходимости включают акт классификации и актуализацию модели угроз.
Составление акта классификации и обновление модели угроз имеют собственный объем работ. Их выполняют, если такие задачи включены в заказ.
Аудит информационной безопасности: цена и сроки
На стоимость аудита информационной безопасности влияют цели и границы аудита, количество систем и площадок, состав ИТ-инфраструктуры, применимые нормативные требования, объем документации, необходимость технического тестирования и скорость предоставления доступов и исходных данных заказчиком. Ниже приведены стартовые значения по основным работам.
| № | Услуга | Стоимость (от) | Сроки (от) |
|---|---|---|---|
| 1 | Консультация специалиста | Бесплатно | – |
| 2 | Базовый аудит ИБ (до 50 АРМ) | от 150 000 ₽ | от 3 недель |
| 3 | Комплексный аудит ИБ (50–200 АРМ) | от 350 000 ₽ | от 6 недель |
| 4 | Аудит ИБ для крупных предприятий (200+ АРМ) | от 500 000 ₽ | от 8 недель |
| 5 | Аудит ИСПДн на соответствие 152-ФЗ | от 80 000 ₽ | от 3 недель |
| 6 | Аудит соответствия требованиям ФСТЭК (приказы № 21, № 117, № 239) | от 150 000 ₽ | от 4 недель |
| 7 | Аудит соответствия 187-ФЗ (КИИ) | от 100 000 ₽ | от 4 недель |
| 8 | Аудит по ГОСТ Р 57580 (финансовый сектор) | от 300 000 ₽ | от 6 недель |
| 9 | Тестирование на проникновение (пентест) | от 100 000 ₽ | от 5 рабочих дней |
| 10 | Пентест сайта или веб-приложения | от 100 000 ₽ | от 5 рабочих дней |
| 11 | Аудит программного кода | от 150 000 ₽ | от 2 недель |
| 12 | Подготовка к аттестации и сопровождение | от 100 000 ₽ | от 3 недель |
Для точного расчета цены специалистам нужны сведения о системах и площадках, применимых требованиях и документации. Сначала они уточняют задачу заказчика. На бесплатной консультации обсуждают цель проверки и предварительно определяют, какие работы потребуются.
Преимущества аудита в «УИБ»
Аудит информационной безопасности как услуга требует опыта применения нормативных требований. Для лицензируемых работ исполнитель должен иметь соответствующие разрешения.
«Управление информационной безопасности» с 2019 года выполняет проекты для бизнеса и государственных структур. Компания аккредитована как ИТ-организация; лицензии выдали ФСБ России и ФСТЭК России.
Что это дает заказчику:
специалисты проверяют выполнение требований отраслевых регуляторов, Роскомнадзора и ФСТЭК России; каждое отмеченное несоответствие подкрепляют основанием;
отчет содержит технические выводы для ИТ-службы и управленческое резюме с рисками и приоритетами;
дополнительные работы оформляем отдельным договором: помогаем внедрить средства защиты информации, дорабатываем документы и обучаем сотрудников. Если заказчику требуется лицензирование, сопровождаем получение лицензий ФСБ и ФСТЭК России;
офисы в Казани, Москве, Краснодаре и Челябинске, выездные работы – по всей России.
Чтобы определить подходящий формат, объем и срок аудита, направьте специалистам «УИБ» сведения об инфраструктуре и цели проверки. Оставьте заявку на сайте, позвоните по номеру 8 (843) 207-17-17 или напишите на sales@uibcom.ru. Консультация специалиста бесплатна.