7. Защита данных

   1. Аудит информационной защиты компании

Современный мир информационных технологий, объединяющий большое количество вычеслительных ресурсов в единую мировую сеть, представляет собой достаточно комфортную среду для распостранения вредоносных программ, действий злоумышленников, промышленного шпионажа или даже просто "шутников" с различной мотивацией. Лет 10-15 назад, для того, чтобы получить доступ к конфиденциальной информации, проникнуть в сеть или сделать недоступным определенный сервис необходимо было глубокое знание сетевых протоколов, сервисов и принципов взаимодействия компьютерных систем. Сейчас же любой человек может найти в Интернете массу всевозможных программ, с помощью которых он может осуществить свои коварные планы или просто "пошутить", вызвав сбой системы, заражение атакованной системы вирусами и троянскими программами.

В современных условиях, когда информационные технологии постоянно и стремительно развиваются, обнаруживается все большее количество опасных ошибок программном обеспечении. "Вирусописатели" ни на секунду не прекращают свою деятельность, которая, по прогнозам, может разрастись до того, что в к концу 2004 года выйдет на "проектную мощность" около 1000 принципиально новых вирусов в день.

Кроме внешних факторов, влияющих на безопасность компьютерных систем есть множество внутренних факторов - неправильный дизайн сети и и системы защиты, незнание персоналом необходимых правил поведения, неправильное управление процессом приема на работу сотрудника и его увольнения, непродуманное управление рисками и т.д.

Разумеется, каждый руководитель и системный администратор четко представляет себе систему, с которой ему приходиться работать, заранее может указать слабые места в фунционировании системы и ее защите. Но, как правило, человек не может полностью предусмотреть все. Для этого существуют компании-аудиторы, которые могут указать на те недостатки в комплексной системе защиты информации, компьютерной системе, упралении рисками т.д., которые специалисты и руководители могли и пропустить. Кроме того, специалисты компании-аудитора имеют, как правило высокую квалификацию, большой опыт работы и находяться в курсе всех новостей в области безопасности информационных систем. Как правило, после проведенного аудита специалитсы компании-аудитора составляют подробный отчет о недостатках и несоотвествиях в комплексной системы защиты информации. Все это позволяет достаточно уверенно говорить о степени защищенности информационных ресурсах компании.

В перечень работ по аудиту системы информационной защиты, обычно входят: 1.  Аудит организационной части системы защиты информации.

• Исследование документальной части системы защиты информации:

  • Аудит политики безопасности

  • Аудит должностных инструкций, правил и нормативов

  • Исследование степени знания персоналом нормативных документов

  • Аудит плана восстановления работоспособности системы

  • Аудит документов по обеспечению непрерывности информационных процессов

  • Анализ документов, регламентирующих доступ к ресурсам

  • Исследование правил уничтожения информации

  • Аудит ведения журналов учета

  • Анализ должностных обязанностей и зон ответственности, касательно защиты информации

  • Анализ списка ресурсов, подлежащих защите

• Анализ структуры локальной сети

• Анализ структуры распределенной сети

• Аудит системы защиты периметра сети

• Анализ системы защиты электронной почты

• Анализ методов разграничения доступа к ресурсам

• Анализ антивирусной защиты

• Анализ системы мониторинга

• Анализ парольной политики

• Анализ резервного копирования и уничтожения резервных копий

• Аудит процедуры уничтожения документов и оборудования