Комплексное обследование корпоративной информационной системы проводится с целью сбора информации о существующем положении дел по обеспечению информационной безопасности для всех ключевых составляющих корпоративной информационной системы (КИС) предприятия. Информация, получаемая при проведении обследования, позволяет выявить возможные слабые места в системе информационной безопасности, определить адекватность и эффективность используемых организационно-технических мер, применяемых для защиты ресурсов в КИС.
На данном этапе уточняются цели и задачи аудита, формируется рабочая группа. В состав рабочей группы должны входить сотрудники предприятия, которые обеспечивают представление всей необходимой информации, контролируют процессы проведения обследования, а также участвуют в согласовании его результатов (промежуточных и конечных). Участники рабочей группы от исполнителя отвечают за квалифицированное проведение работ по обследованию предметных областей в соответствии с определенными целями и задачами проекта, согласуют процессы и результаты проведения обследования. Задачи, решаемые при проведении комплексного обследования: – сбор и анализ документированной информации; На этапе комплексного обследования собранная информация анализируется на предмет непротиворечивости, полноты и достаточности. По результатам анализа определяются последующие действия формирование запроса на получение дополнительной информации, проведение дополнительных исследований. Представители исполнителя получают существующую документированную информацию о функционировании КИС. Эта информация выборочно проверяется посредством интервью и в процессе анализа конфигурации сетевого оборудования и серверов – razgovorodele.ru. Существующие недокументированные процессы, существенные с точки зрения информационной безопасности, которые выявляются по результатам интервью и визуального наблюдения, документируются и включаются в отчет об обследовании. Сбор и анализ информации с последующей ее оценкой, анализом рисков и выдачей рекомендаций осуществляется по таким основным компонентам КИС, как: – топология КИС и сетевые соединения; Отправной точкой при сборе и анализе документированной информации КИС заказчика является существующая на момент обследования документированная информация, которая создавалась при проектировании, эксплуатации и поддержки функционирования КИС. В ходе работ по аудиту исполнителем производится сбор и анализ следующих форм документированной информации: – проектная и эксплуатационная документация на КИС; Интервьюирование персонала проводится с целью получения исходной информации о КИС, отсутствующей в документированном виде, подтверждения актуальности документированной информации и определения уровня осведомленности сотрудников в части требований по обеспечению информационной безопасности – razgovorodele.ru. Помимо проведения интервью, на данном этапе обследования, проводится наблюдение за реальными процессами, связанными с обеспечением информационной безопасности. Наблюдения могут касаться: – процедуры регистрации/исключения пользователей, генерации и смены паролей; При проведении анализа конфигурации типовых рабочих мест, сетевых устройств и ключевых серверов их перечень определяется по согласованию с заказчиком. Целью такого анализа является оценка соответствия реальной конфигурации тому, что декларируется эксплуатационной документацией, требованиями политики безопасности и персоналом заказчика. Важные аспекты конфигурации, критичные с точки зрения обеспечения информационной безопасности, документируются и включаются в отчет об обследовании. Анализу подлежат параметры аутентификации и контроля доступа, механизмы авторизации, доступа и управления, параметры аудита, меры защиты маршрутной информации, меры защиты от внешних атак. После получения исходных данных готовится отчет об обследовании. Отчет об обследовании является основой для последующих этапов аудита: анализа рисков и разработки рекомендаций. |
Главная » Безопасность » Защита4 » Сбор данных о существующем положении дел по обеспечению информационной безопасности