Введение

В настоящее время информация стала важнейшим активом и ее утечка способна нанести ощутимый материальный, моральный и имиджевый урон организации, допустившей её. В коммерческих организациях сотрудники всё чаще используют сети передачи данных для ускорения решения любых рабочих задач, одновременно подвергая данные риску утечки через сети общего пользования. Согласно последнему отчету компании Infowatch [1] количество умышленных утечек персональных данных и коммерческой тайны растет одновременно с увеличением доли сетевого канала в распределении утечек по каналам. Тем не менее, несмотря на увеличение спроса на число проводимых инструментальных аудитов, согласно отчету Positive Technologies [2] только на внешних сетевых ресурсах 84% организаций были выявлены уязвимости высокого уровня риска, каждой десятой из которых может воспользоваться даже низкоквалифицированный злоумышленник.

Несмотря на появляющиеся изменения и дополнения в области защиты информации, многие аспекты аудита в этой области до сих пор формально не определены. Согласно требованиям законодательства регулирование аудиторской деятельности должно определяться в соответствии с федеральными законами и нормативно-правовыми актами [3]. Но на момент написания текущей работы, методики разработки программы инструментального аудита отсутствуют в открытой публикации.

Доверие к аудиту ИБ зависит от способности применить навыки по процедурам аудита, а в виду отсутствия единого подхода к разработке методик программ инструментального аудита, аудиторские заключения даже компетентных специалистов, применивших такие навыки, будут различны [4, 5]. Это скажется и на эффективности проведения аудита, поскольку при составлении программы аудита должны учитываться результаты предыдущих аудитов, интерпретация результатов экспертных заключений которых будет затруднена и, как следствие, затраты ресурсов на аудит будут увеличены [6].

При определении предмета исследования было учтено, что в текущий момент защите информации в коммерческих организациях уделяется все больше внимания. Этому свидетельствует растущее количество статей в этой области. Одновременно с этим учащаются и случаи утечки информации, поскольку коммерческие организации имеют огромные базы клиентов [1]. Отсутствие согласованности аудиторских заключений по результатам инструментальных аудитов, возникшие в результате индивидуального подхода к их проведению и составлению программ таких аудитов могут повлечь за собой соответствующие убытки [7].

Актуальность темы данной работы обусловлена проблемой вариативности трактовок подхода к составлению методики программы инструментального аудита и отсутствием единого подхода к проведению процедуры инструментального аудита в рамках такой программы. Разумеется, такая методика не может быть составлена для каждого конкретного аудита. Однако её можно составить на основе имеющихся в стандартах рекомендаций для типовой организации, с учетом физической и логической области аудита и существующих угроз [8].

Таким образом, на основе существующих нормативно-правовых актов и рекомендаций, примеров типовой коммерческой организации и рекомендаций [9] по проектированию сетей в ней, а также имеющихся угроз, необходимо подготовить методику разработки программы инструментального аудита системы обработки информации коммерческой организации, которая бы позволяла построить программу аудита в типовой организации, ориентируясь на общие рекомендации и типовые критерии проводимого аудита.

Методика инструментального аудита ИБ

Настоящая методика содержит основные методические рекомендации, определяющие порядок и условия проведения инструментального аудита коммерческой организации на соответствие требованиям по обеспечению информационной безопасности, представленных в положениях нормативных правовых актов. Её актуализация под конкретную организацию позволит использовать её для составления программ аудита.

Входными данными для актуализации методики должны служить: модель угроз, составленная в соответствии с методикой [10], описание систем и сетей организации (физическая и логическая топология), источники угроз, включающие описание потенциала нарушителя [11].

Цели программы аудита должны согласовываться со стратегией развития заказчика аудита и поддерживать политику и цели системы менеджмента заказчика аудита. Они могут быть направлены на обеспечение соответствия требованиям конкретных нормативно-правовых актов или внутренних документов коммерческой организации. Цели также могут касаться исследования реального текущего состояния безопасности или выработки рекомендаций по ее усовершенствованию.

Для оценки рисков, связанных с достижением целей программы аудита должен быть составлен перечень таких рисков. Определение таких рисков должно быть проведено в соответствии с требованиями стандартов [8, 12]. Для выполнения оценки актуальных рисков рекомендуется использовать существующие рекомендации стандартов [14], а также [15]. При этом не следует проводить оценку каждого из перечисленных рисков. К примеру, риск, связанный с недостаточной общей компетентностью аудиторской группы, не следует оценивать. Его необходимо идентифицировать на этапе отбора группы по аудиту путем проведения тестов, позволяющих оценить компетентность группы. Для оценки рисков можно также воспользоваться методом контрольных листов, включающих типовые риски прошлых аудитов, а также методом сценарного анализа [14].

Объем аудита в рамках программы должен включать в себя всю информационную систему коммерческой организации для предотвращения риска, связанного с аудиторской выборкой. В случае, если имеющиеся ресурсы не позволяют произвести проверку в полном объеме, выборку следует производить с учетом рекомендаций, имеющихся в стандартах [15]. В рамках инструментального аудита следует произвести проверку как сегмента локально-вычислительной сети центрального офиса организации, так и других филиалов, при их наличии. При определении объема также следует опираться на результаты предыдущих аудитов и учитывать цель аудита. Объем должен учитывать методы аудита, его границы и включать в себя работ по проведению аудита инструментальными средствами с учетом запаса времени, а также подготовленного графика присутствия представителей аудируемой организации на объекте.

Инструментальный аудит включает в себя следующие мероприятия:

– анализ свидетельств инструментального аудита;

– проверку соответствия ИС требованиям стандартов и нормативно-правовых актов;

– получение объективных данных о текущем состоянии обеспечения ИБ в ИС;

– проверку соответствия ИС требованиям, определенным целями составляемой программы аудита.

В таблице 1 ниже описаны виды и методы испытаний, проводимых в рамках программы аудита.

Таблица 1

Виды и методы испытаний

Программа проводимого аудита должна включать в себя методы аудита. В рамках инструментального аудита в перечень таких методов может входить:

• Анализ программного обеспечения коммерческой организации, используемого на рабочих местах и в серверном сегменте сети;
• Анализ корректности работы подсистем идентификации и аутентификации, а также проверка загрузки ОС в обход этих систем;
• Анализ подсистемы доступа сотрудников к ресурсам (включая сетевые ресурсы) и состава групп учетных записей сотрудников;
• Анализ политик аудита смены паролей пользователями и требований к парольной защите;
• Анализ доступа к защищаемым носителям;
• Анализ учетных записей сотрудников в Active Directory;
• Анализ политик логирования инцидентов информационной безопасности, журналов безопасности и журналов антивирусной защиты;
• Анализ корректности конфигурации антивирусной защиты;
• Анализ конфигураций сетевого оборудования, включая списки управления доступом;
• Сканирование сетевой инфраструктуры;
• Анализ корректности конфигурации средств защиты информации;
• Анализ конфигурации средств криптографической защиты информации;
• Анализ целостности программной среды.

Для составления перечня критериев аудита необходимо в рамках конкретного аудита составить эталонную модель таких критериев. Поскольку объект аудита (его исходная модель) обладает огромным множеством свойств, необходимо для конкретной коммерческой организации составить модель тех свойств, которые аудитор сможет количественно или качественно оценить. На рисунке 1 ниже представлена декомпозиция свойств объекта аудита для их последующей оценки в соответствии с критериями.

Рисунок 1. Декомпозиция исходной модели объекта аудита

Выходные данные такой модели можно представить в виде множества A = {αi}, где α_i будет идентификатором единичного свойства объекта аудита. Таким образом для оценки соответствия критериям необходимо составить базу критериев инструментального аудита и оценить существующее α_n свойство аудита согласно выбранному n-му критерию. После этого на основе формального соответствия/несоответствия можно будет принять решение о степени защищенности объекта аудита по совокупности полученных показателей. База эталонных критериев должна быть составлена на основе требований нормативно-правовых актов, на соответствие которым проводится аудит и учитывать цели проверяемой организации.

Поскольку в коммерческих организациях часто обрабатываются персональные данные, критерии могут быть выбраны в соответствии с требованиями ФСТЭК для каждой из приведенных мер [10, 16]. Пример выбора критериев в соответствии с требованиями к реализации представлен на рисунке 2 ниже.

Рисунок 2. Определение соответствия эталонным критериям

В случае изменения критериев аудита, программу аудита следует скорректировать и сообщить об этом заинтересованным сторонам для утверждения.

         В программу аудита необходимо внести используемые средства инструментального аудита в виде следующего списка специального программного обеспечения:

– «Наименование» (Срок действия сертификата) [17].

Также в программу необходимо внести критерии для выбора членов аудиторской группы. Их перечень может быть актуализирован или дополнен в рамках конкретного аудита. Члены аудиторской группы должны соответствовать следующим критериям:

– умение пользоваться СПО, применяемым при аудите;

– умение пользоваться программными средствами, установленными в ИС;

– владение русским языком;

– высшее образование в области ИБ;

– практический опыт проведения аудитов ИБ у большинства членов группы.

На рисунке 3 ниже представлена общая схема основных процессов в рамках менеджмента программы инструментального аудита.

Рисунок 3. Менеджмент программы инструментального аудита

Со стороны аудируемой организации также должен быть определен список ответственных за проведение программы аудита на конкретных местах. С ними необходимо согласовать график проведения каждого из испытаний и границы его проведения, после чего внести их в программу. График должен подразумевать совмещение дат проведения аудита с наличием на месте основного состава проверяемой организации. Затем с представителями организации необходимо обговорить риски, связанные с достижением целей программы аудита и, при необходимости, по согласованию выделить дополнительные ресурсы (например, время для проведения инструментальных проверок).

Заключение

Проведение инструментального аудита в коммерческой организации может иметь разные цели. Однако, вне зависимости от того, направлен ли он на получение объективных данных о текущем состоянии безопасности или же на разработку рекомендаций, в рамках программы должны быть четко описаны мероприятия по проведению одного или нескольких аудитов.

В приведенном исследовании была представлена методика разработки программы инструментального аудита системы обработки информации в коммерческой организации. Разработанная методика содержит перечень конкретных работ, которые требуется провести в рамках подготовки программы аудита. На её основе и с учётом критериев, актуализированных под требования конкретного аудита, можно составить программу, включающую перечень работ и процедур и содержащую условия и порядок их проведения.

Приведенная методика также может быть предназначена для использования в организациях в качестве рекомендаций при проведении внутреннего инструментального аудита.