A formalized model of an organization information security audit for compliance with the requirements of standards

Abstract

Аннотация. Задача аудита информационной безопасности заключается в проверке соответствия системы защиты объекта совокупности критериев, определяющих требования к уровню защищенности. В этой связи необходимо определить и формализовать совокупность критериев, отражающих уровень защищенности объекта и выявление показателей, по которым можно провести объективные процедуры проверки. Аудит информационной безопасности проводится на предмет соответствия требованиям любых стандартов в области информационной безопасности. В связи с отсутствием практико-ориентированных инструктивно-методических материалов аудиторской деятельности по оценке соответствия информационной безопасности организаций требованиям ключевых документов и стандартов, были проведены исследования содержательности и формализуемости требований на примере стандарта ГОСТ Р ИСО/МЭК 17799-2005 в части разработки метода проведения аудита ИБ на предмет соответствия данному стандарту и инструкции по его реализации. Целью работы является формирование формализованной методики при проведении аудита информационной безопасности на предмет соответствия стандартам и нормативным требованиям по информационной безопасности. В статье представлена формализованная модель аудита информационной безопасности организации, которая базируется на принципах независимости и объективности аудиторской деятельности. Предложен подход, на основе системы объективных показателей, сопоставимых с функциями защиты, и заключающийся в формировании чек-листов с соответствующими критериями соотнесения показателей. В основу предлагаемого метода, и в целях повышения объективности результатов аудиторской работы, положен принцип подтверждения фактов, выявляемых в результате аудиторской проверки. В рамках метода предложена инструкция по разработке чек-листов, пригодная и адаптируемая для любого описательного стандарта, на предмет соответствия, которому может проводиться процедура аудиторской проверки.