Audit informačních systémů poskytuje relevantní a přesné údaje o tom, jak IP funguje. Na základě získaných údajů je možné naplánovat činnosti ke zlepšení efektivity podniku. Praxe provádění auditu informačního systému spočívá v porovnání standardu, skutečné situace. Studují normy, normy, předpisy a postupy platné v jiných firmách. Při provádění auditu si podnikatel získá představu o tom, jak se jeho společnost liší od běžné úspěšné společnosti v podobné oblasti.
Celkový pohled
Informační technologie v moderním světě jsou velmi rozvinuté. Je obtížné si představit podnik, který nemá informační systémy v provozu:
- globální;
- místní.
Právě prostřednictvím IP může společnost fungovat normálně a držet krok s dobou. Tyto metodiky jsou nezbytné pro rychlou a úplnou výměnu informací s prostředím, což společnosti umožňuje přizpůsobit se změnám v infrastruktuře a požadavkům trhu. Informační systémy musí splňovat řadu požadavků, které se v průběhu času mění (jsou zavedeny nové trendy, zavedeny standardy, jsou používány aktualizované algoritmy). Informační technologie v každém případě umožňuje rychlý přístup ke zdrojům a tento problém je vyřešen pomocí IP. Moderní systémy navíc:
- škálovatelné
- flexibilní;
- spolehlivý;
- bezpečné.
Hlavním úkolem auditu informačních systémů je zjistit, zda implementovaná IP splňuje stanovené parametry.
Audit: typy
Velmi často se používá tzv. Procesní audit informačního systému. Příklad: externí odborníci analyzují implementované systémy na rozdíly od standardů, včetně studia výrobního procesu, jehož výstupem je software.
Může být proveden audit zaměřený na zjištění, jak správně je informační systém v práci používán. Praxe podniku je porovnávána se standardy výrobce a známými příklady mezinárodních korporací.
Audit podnikového informačního systému ovlivňuje organizační strukturu. Účelem takové akce je najít slabá místa v personálu IT oddělení a identifikovat problémy, jakož i doporučení pro jejich řešení.
A konečně, audit systému informační bezpečnosti je zaměřen na kontrolu kvality. Pozvaní odborníci pak vyhodnotí stav procesů v podniku, otestují implementovaný informační systém a vyvodí z přijatých informací několik závěrů. Typicky se používá model TMMI.
Cíle auditu
Strategický audit stavu informačních systémů vám umožní identifikovat slabiny implementované IP a zjistit, kde bylo použití technologie neefektivní. Na výstupu takového procesu bude mít zákazník doporučení k odstranění nedostatků.
Audit vám umožní vyhodnotit, jak nákladné bude provádět změny v aktuální struktuře a jak dlouho to bude trvat. Specialisté, kteří studují současnou informační strukturu společnosti, vám pomohou vybrat nástroje k provádění programu zlepšování s přihlédnutím k charakteristikám společnosti. Na základě výsledků můžete také přesně posoudit, kolik zdrojů společnost potřebuje.Budou analyzovány intelektuální, peněžní, produkce.
Události
Interní audit informačních systémů zahrnuje provádění činností, jako jsou:
- IT inventář;
- identifikace zatížení informačních struktur;
- hodnocení statistik, údajů získaných během inventury;
- určení, zda jsou požadavky podnikání a schopnosti implementované IP konzistentní;
- generování zprávy;
- vypracování doporučení;
- formalizace fondu NSI.
Výsledek auditu
Strategický audit stavu informačních systémů je postup, který: umožňuje identifikovat důvody nedostatečné účinnosti implementovaného informačního systému; předpovídat chování IP při nastavování informačních toků (počet uživatelů, objem dat); poskytovat informovaná řešení, která pomáhají zvyšovat produktivitu (pořízení zařízení, zlepšení implementovaného systému, výměna); poskytovat doporučení zaměřená na zlepšení produktivity oddělení společnosti, optimalizaci investic do technologií. A také vyvinout opatření, která zlepšují úroveň kvality služeb informačních systémů.
To je důležité!
Neexistuje žádná taková univerzální IP, která by vyhovovala každému podniku. Existují dvě společné základny, na jejichž základě můžete vytvořit jedinečný systém pro požadavky konkrétního podniku:
- 1C.
- Oracle
Ale nezapomeňte, že toto je pouze základ, nic víc. Všechna vylepšení, aby byl podnik efektivní, musíte naprogramovat s ohledem na vlastnosti konkrétního podniku. Určitě budete muset zadat dříve chybějící funkce a deaktivovat ty, které poskytuje základní sestava. Moderní technologie pro audit bankovních informačních systémů pomáhá přesně pochopit, jaké vlastnosti má IP a co je třeba vyloučit, aby byl podnikový systém optimální, efektivní, ale ne příliš „těžký“.
Audit informační bezpečnosti
Analýza pro identifikaci hrozeb pro bezpečnost informací může být dvou typů:
- vnější;
- vnitřní.
První zahrnuje jednorázový postup. Pořádá její vedoucí společnosti. Doporučuje se takové opatření pravidelně praktikovat, aby byla situace pod kontrolou. Řada akciových společností a finančních organizací zavedla požadavek na provedení externího auditu IT bezpečnosti.
Interní - jedná se o pravidelně prováděné činnosti upravené místním regulačním zákonem „Nařízení o vnitřním auditu“. Pro schůzku je vytvořen roční plán (připravuje jej oddělení odpovědné za audit), říká generální ředitel, další ředitel. IT audit - několik kategorií událostí, bezpečnostní audit není poslední důležitý.
Cíle
Hlavním cílem auditu informačních systémů z hlediska bezpečnosti je identifikovat rizika související s IP související s bezpečnostními hrozbami. Události navíc pomáhají identifikovat:
- slabiny současného systému;
- shoda systému s normami informační bezpečnosti;
- úroveň zabezpečení v aktuálním čase.
Při provádění bezpečnostního auditu budou formulována doporučení, která zlepší současná řešení a zavedou nová, čímž se současná IP stane bezpečnější a chrání před různými hrozbami.
Pokud je prováděn interní audit za účelem identifikace ohrožení bezpečnosti informací, pak se dále zvažuje:
- bezpečnostní politika, schopnost vyvíjet nové i další dokumenty, které chrání data a zjednodušují jejich použití ve výrobním procesu společnosti;
- vytváření bezpečnostních úkolů pro zaměstnance IT oddělení;
- analýza situací zahrnujících porušení;
- školení uživatelů podnikového systému, personál údržby v obecných aspektech bezpečnosti.
Interní audit: Funkce
Uvedené úkoly, které jsou stanoveny pro zaměstnance při provádění interního auditu informačních systémů, v podstatě nejsou audity. Teoreticky provádějící události pouze jako expert hodnotí mechanismy, kterými je systém bezpečný. Osoba zapojená do úkolu se stává aktivním účastníkem procesu a ztrácí nezávislost, nemůže již objektivně posoudit situaci a kontrolovat ji.
Na druhé straně je v praxi při interním auditu téměř nemožné zůstat stranou. Faktem je, že k provedení práce je zapojen odborník společnosti, jindy se zabývá jinými úkoly v podobné oblasti. To znamená, že auditor je stejný zaměstnanec, který má pravomoc řešit výše uvedené úkoly. Proto musíte dělat kompromisy: na úkor objektivity zapojte zaměstnance do praxe, abyste dosáhli dobrého výsledku.
Bezpečnostní audit: Kroky
V mnoha ohledech jsou podobné postupům obecného auditu IT. Přidělit:
- začátek událostí;
- shromažďování základů pro analýzu;
- analýza;
- tvorba závěrů;
- podávání zpráv.
Zahájení řízení
Audit informačních systémů, pokud jde o bezpečnost, začíná, když vedoucí společnosti dává přednost, protože šéfové jsou lidé, kteří mají největší zájem o efektivní ověření podniku. Audit není možný, pokud vedení tento postup nepodporuje.
Audit informačních systémů je obvykle složitý. Zahrnuje auditora a několik jednotlivců zastupujících různá oddělení společnosti. Spolupráce všech účastníků auditu je důležitá. Při zahájení auditu je důležité věnovat pozornost následujícím bodům:
- dokumentování povinností, práva auditora;
- příprava, schválení plánu auditu;
- dokladující skutečnost, že zaměstnanci jsou povinni poskytnout auditorovi veškerou možnou pomoc a poskytnout mu všechny požadované údaje.
Již v době zahájení auditu je důležité stanovit, do jaké míry je audit informačních systémů prováděn. Zatímco některé subsystémy IP jsou kritické a vyžadují zvláštní pozornost, jiné nejsou a jsou zcela nedůležité, proto je jejich vyloučení povoleno. Jistě budou takové subsystémy, jejichž ověření nebude možné, protože všechny zde uložené informace jsou důvěrné.
Plán a hranice
Před zahájením práce se vytvoří seznam zdrojů, které mají být zkontrolovány. Může to být:
- informační;
- software;
- technické.
Identifikují, na kterých stránkách je audit prováděn, na jakých hrozbách je systém kontrolován. Existují organizační hranice události, bezpečnostní aspekty, které jsou při auditu povinné. Hodnocení priority je vytvořeno s uvedením rozsahu auditu. Tyto hranice i akční plán schvaluje generální ředitel, ale předběžně je předkládá téma valné hromady, kde jsou přítomni vedoucí oddělení, auditor a jednatelé společnosti.
Získávání dat
Při provádění bezpečnostního auditu jsou standardy pro audit informačních systémů takové, že fáze sběru informací je nejdelší a nej pracnější. IP zpravidla k tomu nemá dokumentaci a auditor je nucen úzce spolupracovat s mnoha kolegy.
Aby byly učiněné závěry kompetentní, měl by auditor obdržet maximální údaje. Auditor se dozví o tom, jak je informační systém organizován, jak funguje a za jakých podmínek je z organizační, administrativní, technické dokumentace, v průběhu nezávislého výzkumu a aplikace specializovaného softwaru.
Dokumenty požadované v práci auditora:
- organizační struktura oddělení sloužících IP;
- organizační struktura všech uživatelů.
Auditor vede rozhovory se zaměstnanci a identifikuje:
- Poskytovatel
- vlastník dat;
- uživatelská data.
Chcete-li to provést, musíte vědět:
- hlavní typy IP aplikací;
- počet, typy uživatelů;
- služby poskytované uživatelům.
Pokud má společnost dokumenty o duševním vlastnictví z níže uvedeného seznamu, je nutné je poskytnout auditorovi:
- popis technických metodik;
- Popis metod pro automatizaci funkcí;
- funkční diagramy;
- pracovní, návrhové dokumenty.
Identifikace struktury IP
Pro správné závěry by měl mít auditor úplné porozumění funkcím informačního systému implementovaného v podniku. Musíte vědět, jaké jsou bezpečnostní mechanismy, jak jsou distribuovány v systému podle úrovní. Chcete-li to provést, zjistěte:
- přítomnost a vlastnosti součástí použitého systému;
- funkce komponent;
- grafika;
- vstupy
- interakce s různými objekty (externími, interními) a protokoly, kanály pro tento účel;
- platformy aplikované na systém.
Výhody přinesou schémata:
- strukturální;
- datové toky.
Struktury:
- technická zařízení;
- Software
- informační podpora;
- strukturální komponenty.
V praxi je mnoho dokumentů připravováno přímo během auditu. Informace lze analyzovat pouze při shromažďování maximálního množství informací.
Audit zabezpečení IP: analýza
K analýze získaných dat se používá několik technik. Volba ve prospěch konkrétního je založena na osobních preferencích auditora a specifikách konkrétního úkolu.
Nejsložitější přístup zahrnuje analýzu rizik. Pro informační systém jsou vytvářeny požadavky na zabezpečení. Jsou založeny na vlastnostech konkrétního systému a jeho prostředí, jakož i na hrozbách spojených s tímto prostředím. Analytici souhlasí s tím, že tento přístup vyžaduje nejvyšší náklady na práci a maximální kvalifikaci auditora. Jak dobrý výsledek bude stanoven metodologií pro analýzu informací a použitelnost vybraných možností pro typ IP.
Praktičtější možností je uchýlit se k bezpečnostním standardům pro data. Jedná se o soubor požadavků. To je vhodné pro různé IP, protože metodika je vyvinuta na základě největších společností z různých zemí.
Z norem vyplývá, jaké jsou bezpečnostní požadavky, v závislosti na úrovni ochrany systému a jeho přidružení k určité instituci. Hodně záleží na účelu IP. Hlavním úkolem auditora je správně určit, který soubor bezpečnostních požadavků je v daném případě relevantní. Vyberte techniku, pomocí které vyhodnotí, zda stávající systémové parametry odpovídají normám. Tato technologie je poměrně jednoduchá, spolehlivá, a proto rozšířená. S malými investicemi mohou být výsledkem přesné závěry.
Opomíjení je nepřijatelné!
Praxe ukazuje, že mnozí manažeři, zejména malé firmy, stejně jako ti, jejichž společnosti dlouhodobě pracují a nesnaží se ovládnout všechny nejnovější technologie, jsou o auditu informačních systémů spíše nedbalí, protože si prostě neuvědomují důležitost tohoto opatření. Zpravidla pouze újma na podnikání přiměje úřady k přijetí opatření k ověření, identifikaci rizik a ochraně podniku. Jiní čelí skutečnosti, že kradou informace o klientech, jiní unikají z databází protistran nebo ponechávají informace o klíčových výhodách určité entity. Spotřebitelé již společnosti nebudou důvěřovat, jakmile bude tento případ zveřejněn, a společnost utrpí více škody než jen ztráta dat.
Pokud existuje možnost úniku informací, je nemožné vybudovat efektivní podnik, který má dobré příležitosti nyní i v budoucnosti. Každá společnost má data, která jsou cenná pro třetí strany, a musí být chráněna. Aby byla ochrana na nejvyšší úrovni, je vyžadován audit, který odhalí slabiny. Musí brát v úvahu mezinárodní standardy, metodiky, nejnovější vývoj.
Při auditu:
- vyhodnotit úroveň ochrany;
- analyzovat aplikované technologie;
- upravovat bezpečnostní dokumenty;
- simulovat rizikové situace, ve kterých je možný únik dat;
- doporučuje implementaci řešení k odstranění slabých míst.
Tyto události provádějte jedním ze tří způsobů:
- aktivní;
- expert;
- V souladu.
Formuláře auditu
Aktivní audit zahrnuje hodnocení systému, na který se potenciální hacker dívá. Podle jeho názoru se auditoři „vyzkoušejí“ sami - studují ochranu sítě, pro kterou používají specializovaný software a jedinečné techniky. Vyžaduje se také interní audit, který se provádí také z pohledu údajného pachatele, který chce ukrást data nebo narušit systém.
Odborný audit kontroluje, zda je implementovaný systém ideální. Při identifikaci shody s normami se za základ považuje abstraktní popis norem, s nimiž je stávající objekt porovnáván.
Závěr
Správně a kvalitativně provedený audit vám umožní získat následující výsledky:
- minimalizovat pravděpodobnost úspěšného útoku hackera a jeho poškození;
- výjimka útoku založeného na změně architektury systému a informačních toků;
- pojištění jako prostředek ke snižování rizik;
- minimalizaci rizika na úroveň, kde lze zcela ignorovat.
