Аудит информационных систем и систем безопасности - это независимая оценка текущего состояния как локальной сети, так и системы информационной безопасности, устанавливающий уровень соответствия определенным критериям, и предоставляющий результаты в виде рекомендаций. Частным видом аудита информационных систем и аудита информационной безопасности является экспертиза готовых решений.

Выгоды проведения аудита
Когда необходимо проводить аудит информационных систем
Кто должен проводить аудит информационной безопасности
Предлагаемые услуги в области аудита

Проведение аудита информационных систем позволяет:

1. получить систематизированную и достоверную информацию о состоянии ИТ-инфраструктуры и системы информационной безопасности компании-заказчика;
2. на основе достоверной информации о состоянии ИТ-инфраструктуры и системы информационной безопасности:




• оценить реальное состояние ИТ-инфраструктуры и системы информационной безопасности и принять решение о направлениях их дальнейшего совершенствования;
• получить квалифицированные рекомендации по использованию технологий и оборудованию, настройкам серверов и рабочих станций, учитывающие последние рекомендации производителей ПО;
• с высокой точностью оценить затраты, объемы и сроки работ необходимые для модернизации имеющихся систем;
• принять обоснованные решения о необходимые мерах по оптимизации использования существующий инфраструктуры;
• провести необходимые мероприятия по модернизации ИТ-инфраструктуры в сжатые сроки.


3. повысить эффективность использования имеющихся ИТ-ресурсов и снизить затраты за счет исключения использования ненужных элементов бизнес-процессов;
4. минимизировать риски, связанные с использованием информационных технологий, включая риски использования нелицензионного программного обеспечения;
5. повысить предсказуемость этапов бизнес-процедур и реализуемых решений за счет получения необходимой для принятия решений достоверной информации в сжатые сроки;
6. увеличить эффективность работы ИТ-служб предприятия за счет сокращения времени простоя и количества нештатных ситуаций.

Провести аудит информационной безопасности и аудит информационных систем необходимо, если:

1. Руководство компании не располагает информацией о:


• имеющемся программном и аппаратном обеспечении, его лицензионной чистоте, необходимой для принятия различных решений;
• возможности успешного внедрения новых бизнес-приложений и систем;
• возможности увеличения скорости работы программного обеспечения путем оптимизации бизнес-процедур и замены аппаратного обеспечения;
• степени уязвимости сети и возможности потери либо утечки конфиденциальных данных;
• оптимальности использования выделяемых средств и имеющегося ПО;
• возможности и местах возникновения сбоев в работе программного и аппаратного обеспечения.


2. В компании используется большое количество самого разнообразного программного обеспечения, причем его функционал зачастую превышает потребности сотрудников. Имеются конфликтующие между собой программы и системы;
3. ИТ-инфраструктура либо система информационной безопасности работает неудовлетворительно, а предпринимавшиеся ранее попытки решения проблем не привели к ожидаемым результатам;
4. В штате компании-заказчика отсутствуют необходимые для модернизации локальной сети специалисты либо затраты на их найм превышают имеющийся бюджет;
5. Планируется модернизация ИТ-инфраструктуры предприятия и необходимо оптимизировать либо обосновать затраты на данную модернизацию, выработать стратегию развития на основе достоверных знаний;
6. Была проведена модернизация сети и необходимо убедиться, что все поставленные требования были выполнены и сеть функционирует в соответствии с ними;
7. Существует конфликт мнений о причинах возникновения имеющихся проблем;
8. Необходимо оценить уровень предоставления услуг внешним и внутренним пользователям - например, если часть услуг была отдана на аутсорсинг;
9. Увеличение затрат на IT-подразделения не приводит к улучшению обслуживания внешних и внутренних потребителей IT-услуг;
10. Приобретение бизнеса, либо объединение предприятий (формальное или неформальное) в холдинговою структуру поставило задачу интеграции ИТ-инфраструктур;
11. Обслуживание сервисов передается другому лицу и необходимо убедиться, что все сервисы на момент передачи функционируют в соответствии с предъявляемыми к ним требованиями.

Аудит информационной безопасности необходимо проводить:

• Когда нет уверенности, что корпоративная сеть защищена от проникновения извне;
• При смене технического персонала, эксплуатировавшего сетевую инфраструктуру - проведение аудита даст уверенность в полной подконтрольности сети и отсутствии черных входов в систему;
• При наличии подозрений в фактах несанкционированного проникновения в сеть;
• Если запросы бизнеса превосходят возможности средств обеспечения безопасности - проведенный аудит позволит выбрать оптимальную стратегию защиты в рамках заданного бюджета.

Кто должен проводить аудит:

Аудит может проводиться как силами штатного персонала (внутренний аудит), так и путем привлечения независимых специалистов (внешний аудит). Использование внешнего аудита имеет следующие преимущества:

1. Внешний аудит представляет собой независимое исследование, что повышает степень объективности результатов;
2. Внешний аудит проводится силами специалистов, не связанных ранее с предприятием-заказчиком и поэтому имеющих свежий взгляд на все имеющиеся проблемы, что автоматически повышает достоверность результатов;
3. Привлечение собственных специалистов отвлекает их от основной деятельности. Это сказывается как на качестве их текущей работы, так и на качестве результатов аудита. Использование внешнего аудита позволяет не отвлекать имеющихся специалистов компании от текущих работ и не снижать на время аудита степень обработки запросов сотрудников компании;
4. Использование отработанных методик позволит провести аудит и быстрее и качественнее, что в свою очередь позволит сократить затраты на аудит и позволит быстрее повысить уровень защищенности ИТ-инфраструктуры по сравнению с внутренним аудитом;
5. Проведение аудита требует наличия специалистов высокой квалификации, имеющих не только опыт работы с самым разнообразным программным и аппаратным обеспечением, но и опыт проведения аудита. В большинстве случаев дешевле и быстрее поручить аудит специализированной компании, чем:


• найти и нанять необходимых сотрудников;
• обучить имеющихся сотрудников;
• наработать необходимый для проведения аудита опыт.

Компания Azone- IT предлагает следующие виды аудита:

• Экспресс обследование;
• Комплексный аудит ИТ инфраструктуры и/или систем безопасности;
• Экспертиза решений по построению ИТ инфраструктуры и/или систем безопасности.

Различие между этими видами проведения аудита заключается в количестве реализуемых проверок, степени описания бизнес-процессов и, главное, в разном уровне представляемой отчетной документации.

При проведении процедур аудита компания Azone IT учитывает нужды и пожелания заказчиков. В связи с этим и экспресс-обследование, и комплексный аудит могут проводиться применительно как к локальным сетям в целом, так и к их отдельным частям. Например, аудит ИТ-инфраструктуры может включать только анализ сетевого и серверного оборудования, инвентаризацию используемого программного обеспечения, а аудит информационной безопасности проводиться в виде аудита безопасности внешнего периметра.

Результатом аудита является создание пакета документов, содержащего детализированные данные о состоянии сети и ряд рекомендаций по улучшению качества работы, повышения надежности, производительности, защищенности и эффективности предоставления услуг. Содержание предоставляемой документации в значительной степени зависит от пожеланий заказчика, имеющейся ИТ-инфраструктуры и также организационной структуры компании-заказчика.

Аналитический отчет является основным отчетным документом об аудите. Его назначение и структура согласуются одновременно с определением целей аудита.

Более подробную информацию вы можете получить, связавшись со специалистами нашей компании.

Экспресс-обследование
Комплексный аудит IT-Инфраструктуры
Комплексный аудит системы информационной безопасности
Экспертиза решений