Как защитить ИТ-инфраструктуру: аудит информационной безопасности
Российские компании ежегодно теряют сотни тысяч долларов от таргетированных нападений злоумышленников и неправомерного использования сотрудниками ИТ-ресурсов. Избежать подобного ущерба можно, только выстраивая надежные системы информационной безопасности (СИБ) и своевременно проводя аудит информационной безопасности (ИБ). Рассказываем в материале, что это такое, из чего состоит и зачем нужно бизнесу.
Это набор мероприятий по оценке состояния СИБ и их соответствия определенным критериям, а также по выявлению потенциальных угроз. Аудит позволяет выяснить текущее состояние СИБ, обнаружить причины случившихся утечек, а также разработать рекомендации по повышению защищенности информационных систем и ИТ-инфраструктуры в целом.
Целью аудиторской проверки может быть сервер, локальная сеть, приложение, устройства, сайты и другие ресурсы.
По виду проверки аудит ИБ делят на внутренний и внешний.
Подразумевает регулярную (иногда даже ежедневную) оценку состояния информационных систем сотрудниками собственных ИТ-департаментов компании. Его задача — обнаружение уязвимостей, несоответствий регламентам компании и запрещенных активностей.
Например, внутренний аудит позволяет быстро обнаружить несанкционированное копирование файлов на носители или нецелевое использование корпоративных ресурсов, в том числе случаи подработки на рабочем месте.
Необходимо проверять все потенциально уязвимые места инфраструктуры, в том числе:
- сетевые правила доступа;
- настройки Wi-Fi-сетей;
- параметры операционных систем;
- состояние средств защиты данных.
В качестве методов проверки можно использовать:
- анализ лог-файлов;
- сканирование портов;
- тест на проникновение или другие действия, прописанные в корпоративных регламентах.
Дополнительно можно проверить, знают ли сотрудники регламенты ИБ компании. Человеческий фактор — одна из причин уязвимостей. Вредоносное ПО в 58 % случаев рассылается по электронной почте, а по результатам исследования Cisco Systems 37 % сотрудников открывают подозрительные письма, и даже могут скачать неизвестный файл или предоставить конфиденциальную информацию. То есть действия сотрудников могут на треть снизить эффективность даже самой надежной СИБ.
1. Проверку можно проводить в постоянном режиме, это не требует дополнительного финансирования — достаточно назначить штатного аудитора.
2. Специалисты ИТ-департамента компании проводят мониторинг глубже и подробнее, так как им известны слабые стороны инфраструктуры.
1. Внутренний аудит нельзя считать независимым и объективным: в некоторых ситуациях может возникать конфликт интересов.
2. Услуги компании-аудитора могут быть дешевле включения в штат внутреннего аудитора.
Текущий внутренний аудит ИБ, как правило, проводят непрерывно. Например, можно использовать программные решения или алгоритмы, фиксирующие действия пользователей и состояние системы — в случае сбоев или обнаружения уязвимостей они помогают быстро обнаружить источник проблем. А глобальный внутренний аудит оптимально проводить 4-6 раз в год.
Это проведение проверки независимыми экспертами — внешними аудиторами. Внешний аудит направлен на комплексный анализ состояния информационной системы и ИТ-инфраструктуры в целом, а также на оценку действий сотрудников разных департаментов компании, в том числе ИТ-специалистов. Нормативная база для подобного аудита — законодательные акты и международные стандарты.
Для большинства компаний проведение внешнего аудита — необязательная дополнительная мера контроля, а для акционерных обществ, финансовых организаций и ряда других компаний — обязательство, закрепленное законодательно, что связано с критической важностью данных и высоким риском атак.
Глубина и экспертность проверки зависит от проверяющего, поэтому эту задачу лучше доверять компетентным компаниям.
Аудит ИТ-инфраструктуры — сбор и анализ информации о текущем состоянии вашей инфраструктуры. Выявление проблем и составление рекомендаций по их устранению.
Наша услуга аудита ИТ-инфраструктуры включает проведение комплексной, многоэтапной работы — от инвентаризации оборудования и используемых приложений до разработки рекомендаций и планов по развитию. Благодаря этому заказчик получает четкое понимание состояния ИТ‑инфраструктуры и дальнейших шагов ее развития, а также рекомендации по минимизации уязвимостей, способных нанести финансовый и репутационный ущерб.
Выделяют несколько основных видов проверок:
- экспертная проверка состояния защиты информации и ИТ-систем;
- проверка защищенности систем с применением технических средств для выявления потенциальных уязвимостей в ИТ-инфраструктуре;
- оценка используемых заказчиком систем и методов защиты, а также их проверка на соответствие стандартам и правовым документам.
Внешний аудит могут инициировать не только директор или акционеры, но и сторонние заказчики: например, контрагенты, сертифицирующие организации и регулирующие органы.
1. Позволяет получить независимое мнение экспертов и оценить корректность работы внутреннего аудитора.
2. Обращение к внешнему аудитору позволяет отказаться от штатного аудитора.
3. Внешний аудит позволяет проверить всю ИТ-систему и выявить даже неочевидные риски.
1. Сопряжено с большими затратами на оплату аудиторских услуг.
2. Результаты проверок могут быть частично искажены, так как аудитор не может знать все нюансы бизнес-процессов заказчика.
Периодичность плановой аудиторской проверки зависит от масштаба компании и используемой ИТ-системы, но проводить ее нужно не реже двух раз в год. Кроме того, обязателен внеочередной аудит, когда:
- изменяется структура компании или ИТ-системы;
- проводятся кадровые изменения;
- на ресурсы компании осуществляется кибератака или в СИБ обнаруживают уязвимости.
WAF Premium — облачный сервис для непрерывной многоуровневой защиты от кибератак интернет-ресурсов федерального и международного уровня. Аутсорсинговый сервис «под ключ» построен на основе технологий BI.ZONE и виртуальной инфраструктуры #CloudMTS. WAF Premium нейтрализует риски из списка OWASP Top 10, подавляет ботнет-активность, предотвращает использование скомпрометированных данных, выявляет уязвимости и защищает от всевозможных видов атак, в том числе от SQL-инъекций, XSS, XXE, RCE и других угроз.
Регулярное и регламентируемое проведение аудита ИБ — один из методов раннего выявления уязвимостей в ИТ-системе и инфраструктуре компании, а также определения источника рисков. Подобные экспертизы позволяют бизнесу избежать финансовых и репутационных рисков, а также помогают:
- актуализировать и дорабатывать СИБ;
- формализовать процессы ИБ;
- внедрять новые средства сетевой защиты;
- модернизировать технические меры защиты данных;
- внедрять процессы управления рисками ИБ.
Аудит ИБ нужен не только для исключения рисков, но и для получения возможности безопасного масштабирования ИТ-инфраструктуры, то есть развития бизнеса.
Безусловно, аудит — не единственный инструмент обеспечения безопасности интернет-ресурсов. Для дополнительной защиты вы можете перейти на виртуальную ИТ-инфраструктуру облачного провайдера.
Защищенное облако #CloudMTS развернуто на базе территориально распределенных дата-центров уровня Tier III. Все критически важные компоненты зарезервированы и продублированы. Мы полностью контролируем безопасность оборудования. #CloudMTS подписывает соглашение об уровне сервиса (SLA) и несет финансовую ответственность.
Кроме того, мы предлагаем следующие услуги.
В нашем портфеле есть эффективное решение для противодействия DDoS-атакам. Услуга реализована на промышленном оборудовании Radware и Genie Networks — мировых лидеров в области защиты и мониторинга. Помимо надежной DDoS-защиты сервис обеспечивает круглосуточный мониторинг производительности сети с широким спектром отчетов по сетевому трафику.
Большинство традиционных средств защиты не учитывают особенности виртуальной инфраструктуры. Мы предлагаем специализированное решение с использованием технологий Лаборатории Касперского. Антивирус в облаке защищает от вредоносного ПО и не перегружает виртуальные хосты. Гибко настраиваемые инструменты контроля позволяют управлять безопасностью множества виртуальных машин из единой консоли.
42. Аудит безопасности компьютерных сетей: уровни, цели и показатели
Фраза «проверка безопасности» употребляется взаимозаменяемо с фразой «аудит компьютерной безопасности», хотя эти понятия отличаются. Проверка безопасности (pen-test) — это узко направленная проверка наличия брешей в критических ресурсах, таких как межсетевая защита или Web сервер. Проверяющие безопасность могут рассматривать лишь один сервис на сетевом ресурсе. Они обычно работают извне с минимальной информацией о данной сети для того, чтобы как можно более реалистично симулировать возможную атаку хакера.
С другой стороны, аудит компьютерной безопасности – это систематическая оценка того, как устроена политика безопасности данной организации. Аудиторы компьютерной безопасности работают с полным владением информацией об организации, ее внутренней структуре, для того, чтобы исследовать ресурсы, которые должны состоять под аудитом.
Аудит безопасности является частью процесса определения и управления эффективными политиками безопасности, и это не просто разговоры и конференции. Аудит безопасности касается каждого, кто использует ресурсы внутри организации. Он предоставляет все возможности для проверки безопасности вашей фирмы.
Аудиторы компьютерной безопасности осуществляют проверку посредством личных опросов, сканирований на наличие уязвимостей, проверки настройки операционной системы, анализа открытых сетевых ресурсов, истории данных. Они в первую очередь исследуют использование политик безопасности – основу любой эффективной стратегии безопасности организации. Далее следуют вопросы, на которые аудит безопасности должен найти ответ:
- Насколько сложно подобрать пароль?
- Используется ли ACLs на сетевых ресурсах для контроля доступа к данным?
- Ведется ли аудит доступа к данным?
- Просматриваются ли логи аудита?
- Соответствуют ли настройки безопасности операционной системы общепринятой практике безопасности
- Устранены ли все ненужные приложения и сервисы на каждой системе?
- Пропатчены ли операционные системы и коммерческие приложения до нужного уровня?
- Как хранятся копии данных, кто имеет к ним доступ, проводится ли сохранение данных регулярно?
- Разработан ли план восстановления данных в случае инцидента? Проводились ли тренировки по восстановлению данных?
- Есть ли в наличии криптографические утилиты для шифрования данных и настроены ли они должным образом?
- Были ли написаны используемые программы с учетом безопасности?
- Каким образом проводилось тестирование этих программ на предмет наличия брешей в их безопасности?
- Каким образом ведется аудит изменений кода и конфигураций на каждом уровне? Как просматриваются эти записи и кто ответственный за проведение их просмотра?