Как защитить ИТ-инфраструктуру: аудит информационной безопасности
Российские компании ежегодно теряют сотни тысяч долларов от таргетированных нападений злоумышленников и неправомерного использования сотрудниками ИТ-ресурсов. Избежать подобного ущерба можно, только выстраивая надежные системы информационной безопасности (СИБ) и своевременно проводя аудит информационной безопасности (ИБ). Рассказываем в материале, что это такое, из чего состоит и зачем нужно бизнесу.
Это набор мероприятий по оценке состояния СИБ и их соответствия определенным критериям, а также по выявлению потенциальных угроз. Аудит позволяет выяснить текущее состояние СИБ, обнаружить причины случившихся утечек, а также разработать рекомендации по повышению защищенности информационных систем и ИТ-инфраструктуры в целом.
Целью аудиторской проверки может быть сервер, локальная сеть, приложение, устройства, сайты и другие ресурсы.
По виду проверки аудит ИБ делят на внутренний и внешний.
Подразумевает регулярную (иногда даже ежедневную) оценку состояния информационных систем сотрудниками собственных ИТ-департаментов компании. Его задача — обнаружение уязвимостей, несоответствий регламентам компании и запрещенных активностей.
Например, внутренний аудит позволяет быстро обнаружить несанкционированное копирование файлов на носители или нецелевое использование корпоративных ресурсов, в том числе случаи подработки на рабочем месте.
Необходимо проверять все потенциально уязвимые места инфраструктуры, в том числе:
- сетевые правила доступа;
- настройки Wi-Fi-сетей;
- параметры операционных систем;
- состояние средств защиты данных.
В качестве методов проверки можно использовать:
- анализ лог-файлов;
- сканирование портов;
- тест на проникновение или другие действия, прописанные в корпоративных регламентах.
Дополнительно можно проверить, знают ли сотрудники регламенты ИБ компании. Человеческий фактор — одна из причин уязвимостей. Вредоносное ПО в 58 % случаев рассылается по электронной почте, а по результатам исследования Cisco Systems 37 % сотрудников открывают подозрительные письма, и даже могут скачать неизвестный файл или предоставить конфиденциальную информацию. То есть действия сотрудников могут на треть снизить эффективность даже самой надежной СИБ.
1. Проверку можно проводить в постоянном режиме, это не требует дополнительного финансирования — достаточно назначить штатного аудитора.
2. Специалисты ИТ-департамента компании проводят мониторинг глубже и подробнее, так как им известны слабые стороны инфраструктуры.
1. Внутренний аудит нельзя считать независимым и объективным: в некоторых ситуациях может возникать конфликт интересов.
2. Услуги компании-аудитора могут быть дешевле включения в штат внутреннего аудитора.
Текущий внутренний аудит ИБ, как правило, проводят непрерывно. Например, можно использовать программные решения или алгоритмы, фиксирующие действия пользователей и состояние системы — в случае сбоев или обнаружения уязвимостей они помогают быстро обнаружить источник проблем. А глобальный внутренний аудит оптимально проводить 4-6 раз в год.
Это проведение проверки независимыми экспертами — внешними аудиторами. Внешний аудит направлен на комплексный анализ состояния информационной системы и ИТ-инфраструктуры в целом, а также на оценку действий сотрудников разных департаментов компании, в том числе ИТ-специалистов. Нормативная база для подобного аудита — законодательные акты и международные стандарты.
Для большинства компаний проведение внешнего аудита — необязательная дополнительная мера контроля, а для акционерных обществ, финансовых организаций и ряда других компаний — обязательство, закрепленное законодательно, что связано с критической важностью данных и высоким риском атак.
Глубина и экспертность проверки зависит от проверяющего, поэтому эту задачу лучше доверять компетентным компаниям.
Аудит ИТ-инфраструктуры — сбор и анализ информации о текущем состоянии вашей инфраструктуры. Выявление проблем и составление рекомендаций по их устранению.
Наша услуга аудита ИТ-инфраструктуры включает проведение комплексной, многоэтапной работы — от инвентаризации оборудования и используемых приложений до разработки рекомендаций и планов по развитию. Благодаря этому заказчик получает четкое понимание состояния ИТ‑инфраструктуры и дальнейших шагов ее развития, а также рекомендации по минимизации уязвимостей, способных нанести финансовый и репутационный ущерб.
Выделяют несколько основных видов проверок:
- экспертная проверка состояния защиты информации и ИТ-систем;
- проверка защищенности систем с применением технических средств для выявления потенциальных уязвимостей в ИТ-инфраструктуре;
- оценка используемых заказчиком систем и методов защиты, а также их проверка на соответствие стандартам и правовым документам.
Внешний аудит могут инициировать не только директор или акционеры, но и сторонние заказчики: например, контрагенты, сертифицирующие организации и регулирующие органы.
1. Позволяет получить независимое мнение экспертов и оценить корректность работы внутреннего аудитора.
2. Обращение к внешнему аудитору позволяет отказаться от штатного аудитора.
3. Внешний аудит позволяет проверить всю ИТ-систему и выявить даже неочевидные риски.
1. Сопряжено с большими затратами на оплату аудиторских услуг.
2. Результаты проверок могут быть частично искажены, так как аудитор не может знать все нюансы бизнес-процессов заказчика.
Периодичность плановой аудиторской проверки зависит от масштаба компании и используемой ИТ-системы, но проводить ее нужно не реже двух раз в год. Кроме того, обязателен внеочередной аудит, когда:
- изменяется структура компании или ИТ-системы;
- проводятся кадровые изменения;
- на ресурсы компании осуществляется кибератака или в СИБ обнаруживают уязвимости.
WAF Premium — облачный сервис для непрерывной многоуровневой защиты от кибератак интернет-ресурсов федерального и международного уровня. Аутсорсинговый сервис «под ключ» построен на основе технологий BI.ZONE и виртуальной инфраструктуры #CloudMTS. WAF Premium нейтрализует риски из списка OWASP Top 10, подавляет ботнет-активность, предотвращает использование скомпрометированных данных, выявляет уязвимости и защищает от всевозможных видов атак, в том числе от SQL-инъекций, XSS, XXE, RCE и других угроз.
Регулярное и регламентируемое проведение аудита ИБ — один из методов раннего выявления уязвимостей в ИТ-системе и инфраструктуре компании, а также определения источника рисков. Подобные экспертизы позволяют бизнесу избежать финансовых и репутационных рисков, а также помогают:
- актуализировать и дорабатывать СИБ;
- формализовать процессы ИБ;
- внедрять новые средства сетевой защиты;
- модернизировать технические меры защиты данных;
- внедрять процессы управления рисками ИБ.
Аудит ИБ нужен не только для исключения рисков, но и для получения возможности безопасного масштабирования ИТ-инфраструктуры, то есть развития бизнеса.
Безусловно, аудит — не единственный инструмент обеспечения безопасности интернет-ресурсов. Для дополнительной защиты вы можете перейти на виртуальную ИТ-инфраструктуру облачного провайдера.
Защищенное облако #CloudMTS развернуто на базе территориально распределенных дата-центров уровня Tier III. Все критически важные компоненты зарезервированы и продублированы. Мы полностью контролируем безопасность оборудования. #CloudMTS подписывает соглашение об уровне сервиса (SLA) и несет финансовую ответственность.
Кроме того, мы предлагаем следующие услуги.
В нашем портфеле есть эффективное решение для противодействия DDoS-атакам. Услуга реализована на промышленном оборудовании Radware и Genie Networks — мировых лидеров в области защиты и мониторинга. Помимо надежной DDoS-защиты сервис обеспечивает круглосуточный мониторинг производительности сети с широким спектром отчетов по сетевому трафику.
Большинство традиционных средств защиты не учитывают особенности виртуальной инфраструктуры. Мы предлагаем специализированное решение с использованием технологий Лаборатории Касперского. Антивирус в облаке защищает от вредоносного ПО и не перегружает виртуальные хосты. Гибко настраиваемые инструменты контроля позволяют управлять безопасностью множества виртуальных машин из единой консоли.