Модель формалізованого аудиту інформаційної безпеки організації на предмет виконанням вимог стандартів

Abstract

В науковій статті авторами привернуто увагу на аудит інформаційної безпеки організації як системної дії, спрямований на контроль та перевірку стану та оцінку адекватності засобів і методів захисту інформації, що обрані адміністратором, відповідно до відомих загроз. Ефективність захисту підприємства є своєчасна налаштована робота системи захисту та періодична робота відповідальних осіб задіяних до аудиту інформаційної безпеки. Робота аудитора дуже скрупульозна і за часту дуже рутинна, яку логічно потрібно спростити. У зв'язку з цим виникає необхідність науково-обґрунтованого визначення та формалізації сукупності критеріїв, що відображають рівень захищеності об'єкта та виявлення показників, за якими можливо провести об'єктивні процедури перевірки. Аналіз останніх досліджень і публікацій дозволив виявити, що неможливо дати універсальні формалізовані показники та критерії проведення аудиту, застосовні у всіх завданнях та видах аудиту. Отже, метою наукової статті є апробація процесу формування формалізованої аудиторської методики та практико-орієнтованої інструкції при проведенні аудиту інформаційної безпеки на предмет відповідності стандартам та нормативним вимогам інформаційної безпеки. В результаті дослідження встановлено, що переважна більшість базових стандартів у сфері забезпечення інформаційної безпеки об'єктів захисту на підприємствах має явно виражений описовий характер та не містять конкретних вказівок до практичних дій. Основна труднощі у проведенні аудиту інформаційної безпеки щодо відповідності вимогам стандартів полягає у відсутності чіткої і послідовної методики аудиту. Враховуючи вище зазначене в роботі запропоновано авторське бачення щодо методики аудиту інформаційної безпеки організації. Розроблена авторська модель аудиторського контролю охоплює 10 ключових напрямів інформаційної безпеки. Наведено, як зразок, змісту чек-листа для аудиторської перевірки за напрямом «Політика інформаційної безпеки». Застосований адаптивний і гнучкий підходи у розробці чек-листа, що дозволяє розширення можливостей аудитором під конкретні завдання.