Аудит системы менеджмента информационной безопасности

Аудит системы менеджмента информационной безопасности (СМИБ) — это всесторонняя оценка процессов управления и обеспечения ИБ организации, проводимая независимыми экспертами с использованием передового опыта, международных стандартов и собственных методик в области аудита, управления проектами и управления ИБ с целью обеспечения соответствия СМИБ требованиям законодательства, стандартам в области ИБ и внутренним политикам организации.

Процесс включает в себя поиск несоответствий, выявление слабостей и рисков, определение основных причин выявленных несоответствий, а также разработку эффективных мер по их устранению для приведения существующих механизмов ИБ в соответствие с необходимыми требованиями. 

Аудит СМИБ выбирают когда необходимо:

• Оценить зрелость существующих процессов ИБ
• Подготовиться к сертификации по ISO 27001
• Улучшить СМИБ
• Повысить осведомленность пользователей о защите информации для поддержания высокого уровня корпоративной культуры ИБ
• Подготовиться к внешним аудитам и проверкам со стороны регулирующих органов
• Выявить риски ИБ для обеспечения непрерывности основных бизнес-операций организации
• Сформировать и/или оценить бюджет необходимых технических средств для модернизации ИБ

Основные этапы услуги (реализация может включать результаты обследования инфраструктуры ИТ/ИБ и основывается на целях аудита):

• Подготовка: Сбор и анализ информации. Формирование проектной группы. 
• Проведение аудита: Разработка программы аудита, ее утверждение. Интервью с работниками организации, ответственными за управление и обеспечение ИБ, а также с другими заинтересованными сторонами. Сбор подтверждающих доказательств и наблюдение за соблюдением требований ИБ в организации.
• Рекомендации и отчеты: Формирование GAP-анализа с определением уровня соответствия СМИБ требованиям по ИБ. Разработка отчетов с рекомендациями по устранению недостатков и улучшению, включая Перечень рекомендуемые для разработки и актуализации ВНД с распределением требований ИБ.
• Заключительная встреча: Презентация результатов аудита руководству.
• Техническая поддержка: Обеспечение технической поддержки для внедрения сформированных рекомендаций.