ביקורת מערכות מידע. איומים על אבטחת מידע. טכנולוגיית מידע

ביקורת של מערכות מידע מספקת נתונים רלוונטיים ומדויקים על אופן פעולת ה- IP. על סמך הנתונים שהתקבלו, ניתן לתכנן פעילויות לשיפור היעילות של הארגון. הנוהג של ביצוע ביקורת על מערכת מידע הוא בהשוואת הסטנדרט, לבין המצב האמיתי. הם בוחנים את הנורמות, התקנים, התקנות והנהלים החלים בחברות אחרות. בעת ביצוע ביקורת, יזם מקבל מושג כיצד החברה שלו שונה מחברה מצליחה רגילה בתחום דומה.

מבט כללי

טכנולוגיית המידע בעולם המודרני מפותחת ביותר. קשה לדמיין מפעל שאין לו מערכות מידע בשירות:

• גלובלי;
• מקומי.

דרך ה- IP יכולה חברה לתפקד כרגיל ולהתעדכן בזמנים. מתודולוגיות כאלה נחוצות לחילופי מידע מהירים ומלאים עם הסביבה, המאפשרים לחברה להסתגל לשינויים בתשתיות ובדרישות השוק. על מערכות מידע לעמוד במספר דרישות המשתנות לאורך זמן (מיושמים פיתוחים חדשים, סטנדרטים, מיושמים אלגוריתמים מעודכנים). בכל מקרה, טכנולוגיית המידע מאפשרת לך לגשת במהירות למשאבים, ובעיה זו נפתרת באמצעות IP. בנוסף, מערכות מודרניות:

• ניתן להרחבה
• גמיש;
• אמין;
• בטוח.

המשימות העיקריות של ביקורת מערכות מידע הן לזהות אם ה- IP המיושם עומד בפרמטרים שצוינו.

ביקורת: סוגים

לעתים קרובות נעשה שימוש בביקורת כביכול של מערכת המידע. דוגמה: מומחים חיצוניים מנתחים מערכות מיושמות כדי להבדיל מסטנדרטים, כולל לימוד תהליך הייצור, שהתפוקה שלו היא תוכנה.

ניתן לערוך ביקורת שמטרתה לזהות עד כמה נכון משתמשים במערכת המידע בעבודה. הנוהג של הארגון מושווה לסטנדרטים של היצרן ודוגמאות ידועות של תאגידים בינלאומיים.

ביקורת על מערכת אבטחת המידע של הארגון משפיעה על המבנה הארגוני. מטרת אירוע כזה היא למצוא כתמים דקים בצוות מחלקת ה- IT ולזהות בעיות, כמו גם המלצות טופס לפתרונן.

לבסוף, הביקורת של מערכת אבטחת המידע מכוונת לבקרת איכות. לאחר מכן המומחים שהוזמנו מעריכים את מצב התהליכים בתוך הארגון, בודקים את מערכת המידע המיושמת ומסיקים כמה מסקנות על המידע שהתקבל. בדרך כלל משתמשים במודל TMMI.

יעדי ביקורת

ביקורת אסטרטגית על מצב מערכות המידע מאפשרת לך לזהות חולשות ב- IP המיושם ולזהות היכן השימוש בטכנולוגיה לא היה יעיל. בתום תהליך כזה, ללקוחות יהיו המלצות למיגור החסרונות.

ביקורת מאפשרת לך להעריך כמה יקר לבצע שינויים במבנה הנוכחי וכמה זמן ייקח. מומחים הלומדים את מבנה המידע הנוכחי של החברה יעזרו לכם לבחור את הכלים ליישום תוכנית השיפור, תוך התחשבות במאפייני החברה. על סמך התוצאות, אתה יכול גם לתת הערכה מדויקת של כמה משאבים החברה זקוקה.הם ינותחו ייצור אינטלקטואלי, כספי, ייצור.

אירועים

ביקורת פנימית של מערכות מידע כוללת יישום פעילויות כגון:

• מלאי IT;
• זיהוי העומס על מבני המידע;
• הערכת סטטיסטיקה, נתונים שהתקבלו במהלך המלאי;
• קביעת האם דרישות העסק ויכולות ה- IP המיושם תואמות;
• הדור;
• פיתוח המלצות;
• פורמליזציה של קרן NSI.

תוצאת ביקורת

ביקורת אסטרטגית על מצב מערכות המידע היא הליך אשר מאפשר לך לזהות את הסיבות לחוסר היעילות של מערכת המידע המיושמת; לחזות את התנהגות ה- IP בעת התאמת זרימת המידע (מספר משתמשים, נפח נתונים); לספק פתרונות מושכלים העוזרים להגדיל את הפרודוקטיביות (רכישת ציוד, שיפור המערכת המיושמת, החלפה); לתת המלצות שמטרתן לשפר את הפרודוקטיביות של מחלקות החברה, לייעל את ההשקעות בטכנולוגיה. וגם לפיתוח אמצעים המשפרים את רמת השירות באיכות מערכות המידע.

זה חשוב!

אין IP כזה אוניברסלי שמתאים לכל עסק. ישנם שני בסיסים נפוצים שעל בסיסם ניתן ליצור מערכת ייחודית לדרישות של ארגון מסוים:

• 1C.
• אורקל

אבל זכרו שזה רק הבסיס, לא יותר. כל השיפורים בכדי להפוך את העסק ליעיל, עליכם לתכנת, תוך התחשבות במאפיינים של עסק מסוים. בוודאי תצטרך להיכנס לפונקציות שחסרו בעבר ולהשבית את אלה שנקבעו על ידי הרכבה הבסיסית. טכנולוגיה מודרנית לביקורת מערכות מידע בנקאיות מסייעת להבין בדיוק אילו תכונות צריכה להיות בעלת IP ומה צריך להחריג כדי שהמערכת הארגונית תהיה אופטימאלית, יעילה, אך לא "כבדה" מדי.

ביקורת אבטחת מידע

ניתוח לזיהוי איומים על אבטחת מידע יכול להיות משני סוגים:

• חיצוני;
• פנימי.

הראשון כולל הליך חד פעמי. מאורגן על ידי ראש החברה. מומלץ לתרגל באופן קבוע אמצעי כזה על מנת לשמור על המצב תחת שליטה. מספר חברות במניות משותפות וארגונים פיננסיים הציגו דרישה ליישום ביקורת חיצונית על אבטחת IT.

פנים - אלה נערכות באופן שוטף פעילויות המווסתות על ידי המעשה הרגולטורי המקומי "תקנה על ביקורת פנים". ישנה תוכנית שנתית לישיבה (היא מוכנה על ידי המחלקה האחראית על הביקורת), אומר המנכ"ל, מנהל אחר. ביקורת IT - מספר קטגוריות של אירועים, ביקורת אבטחה אינה האחרונה בחשיבותה.

יעדים

המטרה העיקרית של ביקורת מערכות מידע מבחינת אבטחה היא לזהות סיכונים הקשורים ל- IP הקשורים לאיומי אבטחה. בנוסף, אירועים עוזרים בזיהוי:

• חולשות המערכת הנוכחית;
• עמידה במערכת בתקני אבטחת מידע;
• רמת האבטחה בזמן הנוכחי.

בעת עריכת ביקורת אבטחה, יגובשו המלצות שישפרו את הפתרונות הנוכחיים ויכניסו חדשים, ובכך יהפכו את ה- IP הנוכחי לבטוח יותר ומוגן מפני איומים שונים.

אם נערך ביקורת פנימית לזיהוי איומים על אבטחת מידע, זה נחשב בנוסף:

• מדיניות אבטחה, יכולת פיתוח חדשים כמו גם מסמכים אחרים המגנים על נתונים ומפשטים את יישומם בתהליך הייצור של התאגיד;
• גיבוש משימות אבטחה לעובדי מחלקת ה- IT;
• ניתוח מצבים הכרוכים בהפרות;
• הכשרת משתמשים במערכת הארגונית, אנשי תחזוקה בהיבטים כלליים של אבטחה.

ביקורת פנימית: תכונות

המשימות הרשומות המוגדרות לעובדים בעת ביצוע ביקורת פנימית על מערכות מידע, במהותן אינן ביקורות. תיאורטית עריכת אירועים רק כמומחה מעריכה את המנגנונים באמצעותם המערכת מאובטחת. האדם המעורב במשימה הופך למשתתף פעיל בתהליך ומאבד עצמאות, אינו יכול עוד להעריך באופן אובייקטיבי את המצב ולשלוט בו.

מצד שני, בפועל, בביקורת פנימית, כמעט בלתי אפשרי להתרחק. העובדה היא שכדי לבצע את העבודה מעורב מומחה של החברה, בזמנים אחרים העוסק במשימות אחרות בתחום דומה. המשמעות היא שהמבקר הוא אותו עובד שיש לו את היכולת לפתור את המשימות שהוזכרו לעיל. לכן עליכם להתפשר: לרעת האובייקטיביות, יש לערב את העובד בפועל על מנת להגיע לתוצאה ראויה.

ביקורת אבטחה: שלבים

אלה דומים במובנים רבים לצעדים של ביקורת IT כללית. להקצות:

• התחלת אירועים;
• איסוף בסיס לניתוח;
• ניתוח;
• יצירת מסקנות;
• דיווח.

יזום נוהל

ביקורת של מערכות מידע מבחינת אבטחה מתחילה כאשר ראש החברה נותן את הוועדה, מכיוון שהבוסים הם האנשים שהכי מעוניינים באימות אפקטיבי של העסק. ביקורת אינה אפשרית אם ההנהלה אינה תומכת בהליך.

ביקורת מערכות מידע לרוב מורכבת. זה כולל את המבקר וכמה אנשים המייצגים מחלקות שונות של החברה. שיתוף פעולה של כל משתתפי הביקורת הוא חשוב. כאשר יוזמים ביקורת, חשוב לשים לב לנקודות הבאות:

• תיעוד חובות, זכויות מבקר;
• הכנה, אישור של תוכנית הביקורת;
• תיעוד העובדה שהעובדים מחויבים לספק את כל הסיוע האפשרי למבקר ולמסור את כל הנתונים המבוקשים על ידו.

כבר בעת תחילת הביקורת, חשוב לקבוע עד כמה מבוצעת ביקורת מערכות המידע. בעוד שחלק ממערכות המשנה של ה- IP הינן קריטיות ודורשות התייחסות מיוחדת, אחרות אינן ואינן חשובות למדי, ולכן אי הכללתן מותרת. בוודאי שיהיו תת-מערכות כאלה, אשר אימותן יהיה בלתי אפשרי, מכיוון שכל המידע המאוחסן שם הוא סודי.

תכנן וגבולות

לפני תחילת העבודה נוצרת רשימת משאבים שאמורה להיבדק. זה יכול להיות:

• מידע;
• תוכנה;
• טכני.

הם מזהים באילו אתרים מבוצעת הביקורת, באילו איומים המערכת נבדקת. ישנם גבולות ארגוניים של האירוע, היבטים ביטחוניים אשר חובה להתחשב בהם במהלך הביקורת. נוצר דירוג עדיפות המציין את היקף הביקורת. גבולות כאלה, כמו גם תוכנית הפעולה, מאושרים על ידי הממונה, אך מוגשים מראש על ידי נושא אסיפת העבודה הכללית, בה נוכחים ראשי מחלקות, מבקר ומנהלי חברות.

אחזור נתונים

בעת עריכת ביקורת אבטחה, התקנים לביקורת מערכות מידע הם כאלה שלב איסוף המידע הוא הארוך והעמל ביותר. ככלל, ל- IP אין תיעוד לכך, והמבקר נאלץ לעבוד מקרוב עם עמיתים רבים.

על מנת שהמסקנות שיגיעו להיות מוסמכות, על המבקר לקבל מקסימום נתונים. המבקר לומד כיצד מערכת המידע מאורגנת, כיצד היא מתפקדת ובאיזו מצב היא מתיעוד ארגוני, ניהולי, טכני, במהלך מחקר עצמאי ויישום של תוכנה מיוחדת.

מסמכים הנדרשים בעבודת המבקר:

• מבנה ארגוני של מחלקות המשרתות IP;
• המבנה הארגוני של כל המשתמשים.

המבקר מראיין עובדים ומזהה:

• ספק
• בעל נתונים;
• נתוני משתמש.

לשם כך עליכם לדעת:

• סוגים עיקריים של יישומי IP;
• מספר, סוגים של משתמשים;
• שירותים הניתנים למשתמשים.

אם לחברה יש מסמכים ב- IP מהרשימה שלהלן, יש צורך לספק אותם למבקר:

• תיאור מתודולוגיות טכניות;
• תיאור השיטות לאוטומציה של פונקציות;
• דיאגרמות פונקציונליות;
• עבודה, מסמכי פרויקט.

זיהוי מבנה ה- IP

לקבלת מסקנות נכונות, על המבקר להיות בעל ההבנה המלאה ביותר של התכונות של מערכת המידע המיושמת בארגון. עליכם לדעת מהם מנגנוני האבטחה, כיצד הם מופצים במערכת לפי רמות. לשם כך גלה:

• הנוכחות והתכונות של רכיבי המערכת המשמשת;
• פונקציות רכיב;
• גרפיקה;
• תשומות
• אינטראקציה עם אובייקטים שונים (חיצוניים, פנימיים) ופרוטוקולים, ערוצים לכך;
• פלטפורמות המיושמות על המערכת.

היתרונות יביאו תכניות:

• מבני;
• זרמי נתונים.

מבנים:

• מתקנים טכניים;
• תוכנה
• תמיכה במידע;
• רכיבים מבניים.

בפועל, רבים מהמסמכים נערכים ישירות במהלך הביקורת. ניתן לנתח מידע רק בעת איסוף כמות המידע המרבית.

ביקורת אבטחת IP: ניתוח

ישנן מספר טכניקות המשמשות לניתוח הנתונים המתקבלים. הבחירה לטובת ספציפית מבוססת על העדפותיו האישיות של המבקר והפרטים של משימה מסוימת.

הגישה המורכבת ביותר כוללת ניתוח סיכונים. עבור מערכת המידע נוצרות דרישות אבטחה. הם מבוססים על התכונות של מערכת מסוימת וסביבתה, כמו גם על האיומים הטמונים בסביבה זו. אנליסטים מסכימים כי גישה זו דורשת את עלויות העבודה הגבוהות ביותר ואת ההסמכה המרבית של המבקר. עד כמה התוצאה תהיה טובה נקבעת על ידי המתודולוגיה לניתוח המידע ויישומם של האפשרויות שנבחרו לסוג ה- IP.

אפשרות מעשית יותר היא להשתמש בתקני אבטחה עבור נתונים. אלה קבוצה של דרישות. זה מתאים למסמכי IP שונים, מכיוון שהמתודולוגיה מפותחת על בסיס החברות הגדולות ממדינות שונות.

מהתקנים עולה מהן דרישות האבטחה, תלוי ברמת ההגנה על המערכת והשיוך שלה למוסד מסוים. הרבה תלוי במטרת ה- IP. המשימה העיקרית של המבקר היא לקבוע נכונה איזו מערכת דרישות אבטחה רלוונטית במקרה נתון. בחר טכניקה שבאמצעותה הם מעריכים אם פרמטרי המערכת הקיימים עומדים בתקן. הטכנולוגיה די פשוטה, אמינה, ולכן נפוצה. עם השקעות קטנות, התוצאה יכולה להיות מסקנות מדויקות.

הזנחה אינה מקובלת!

המחקר מראה כי מנהלים רבים, בעיקר חברות קטנות, כמו גם אלה שהחברות שלהם פועלות כבר זמן רב ואינם מבקשים לשלוט בכל הטכנולוגיות החדישות ביותר, אינם די בזהירות בביקורת מערכות מידע מכיוון שהם פשוט לא מבינים את חשיבות המדד הזה. בדרך כלל, רק נזק לעסק מעורר את הרשויות לנקוט באמצעים לאימות, זיהוי סיכונים והגנה על הארגון. אחרים מתמודדים עם העובדה שהם גונבים מידע על לקוחות, אחרים דולפים ממאגרי המידע של צדדים נגדים או משאירים מידע על היתרונות העיקריים של גורם מסוים. צרכנים כבר לא סומכים על החברה ברגע שהתיק פורסם, והחברה סובלת יותר נזק מאשר רק אובדן נתונים.

אם יש סיכוי לדליפת מידע, אי אפשר לבנות עסק יעיל שיש לו הזדמנויות טובות עכשיו ובעתיד. לכל חברה יש נתונים בעלי ערך לצדדים שלישיים, והם צריכים להיות מוגנים. כדי שההגנה תהיה ברמה הגבוהה ביותר, נדרש ביקורת על מנת לזהות חולשות. עליו לקחת בחשבון תקנים בינלאומיים, מתודולוגיות, ההתפתחויות האחרונות.

בביקורת:

• להעריך את רמת ההגנה;
• לנתח טכנולוגיות יישומיות;
• התאמת מסמכי אבטחה;
• לדמות מצבי סיכון בהם אפשרי דליפת נתונים;
• ממליץ על יישום פתרונות למיגור הפגיעויות.

ערכו אירועים אלה באחת משלוש דרכים:

• פעיל;
• מומחה;
• תואם.

טפסי ביקורת

ביקורת פעילה כוללת הערכת המערכת בהאקר פוטנציאלי בודק. זו נקודת המבט שלו כי רואי החשבון "מנסים" את עצמם - הם לומדים הגנה על הרשת, עבורם הם משתמשים בתוכנה מיוחדת ובטכניקות ייחודיות. נדרשת גם ביקורת פנים, שנערכת גם מבחינת העבריין לכאורה שרוצה לגנוב נתונים או לשבש את המערכת.

ביקורת מומחה בודקת אם המערכת המיושמת היא אידיאלית. כשאתה מזהה עמידה בתקנים, מתייחס תיאור מופשט של התקנים איתם משווים את האובייקט הקיים.

מסקנה

ביקורת שנערכה בצורה נכונה ואיכותית מאפשרת לך להשיג את התוצאות הבאות:

• צמצום הסיכוי להתקף האקר מוצלח, נזק ממנו;
• למעט התקפה המבוססת על שינוי בארכיטקטורת המערכת וזרמי המידע;
• ביטוח כאמצעי להפחתת סיכונים;
• צמצום הסיכון לרמה בה ניתן להתעלם לחלוטין.