Составление проверочного листа
~ 20 минут
Чтобы выявить потенциальные уязвимости, привести внутренние процессы в соответствие с актуальными стандартами безопасности и снизить риски для бизнеса, в компании составляют проверочный лист (чек-лист). Это ключевой этап в подготовке к аудиту информационной безопасности. С помощью проверочного листа можно быстро оценить защиту IT-инфраструктуры компании.
В этом уроке мы кратко расскажем о процессе аудита и основных аспектах, которые должны быть включены в проверочный лист. Подробнее остановимся на тех областях, которые необходимо детально проанализировать для комплексной проверки. В конце урока вы сможете скачать шаблон таблицы для организации аудита системы безопасности.
Процесс аудита информационной безопасности
1. Определение целей и объёма аудита
На этом этапе компании важно определить, какие активы, системы и процессы необходимо проверить, исходя из бизнес-целей и нормативных требований. На основании этого составляется чек-лист с ключевыми областями для проверки: управлением доступом, защитой данных, безопасностью сетевой и серверной инфраструктуры, реагированием на инциденты и другими аспектами.
2. Сбор данных и анализ текущего состояния
С помощью проверочного листа проводится оценка текущей безопасности. Проверяется соответствие требованиям безопасности, наличие уязвимостей и «болевых точек» в системе. В этот момент анализируются журналы действий пользователей, настройка прав доступа, процедуры резервного копирования, защиты данных и так далее.
3. Ранжирование выявленных угроз и рисков
На основе собранных данных команда оценивает риски. Здесь важно понять, какие уязвимости могут нанести наибольший ущерб компании, чтобы расставить приоритеты в их устранении. Этот этап помогает выделить ключевые проблемы, требующие немедленного реагирования, и те, которые можно решить в более долгосрочной перспективе.
4. Формирование плана улучшений
После оценки рисков создаётся план действий по устранению уязвимостей. Это может быть обновление политик безопасности, внедрение многофакторной аутентификации, усиление шифрования данных или разработка новых планов реагирования на инциденты. Важно, чтобы действия были приоритизированы и привязаны к реальным рискам компании.
5. Исполнение плана и мониторинг изменений
Этот этап включает реализацию предложенных мер по улучшению безопасности. Он также требует постоянного мониторинга изменений в инфраструктуре, чтобы вовремя выявлять новые угрозы и корректировать политику безопасности.
6. Заключение и аудит на постоянной основе
После всех этапов проводится финальная проверка для оценки эффективности внедрённых мер. Однако аудит — это не разовое мероприятие, а постоянный процесс. Важно проводить его регулярно, особенно при значительных изменениях в IT-инфраструктуре или бизнес-процессах компании.
Ключевые разделы IT-инфраструктуры
Всё начинается с чек-листа, который отражает этапы проверки. Чек-лист должен быть гибким, детальным и адаптивным к особенностям организации. Важно заранее определить, какие аспекты с учётом структуры и специфики IT-ландшафта компании безопасности вы будете анализировать.
Кроме этого, есть несколько рекомендаций, как облегчить этот процесс:
- Разделите проверочный лист на отдельные модули в соответствии с ключевыми областями безопасности — управление доступом, защита данных, сетевое оборудование и так далее. Это поможет быстро адаптировать его под конкретные требования.
- Создавайте базовые шаблоны для разных типов инфраструктуры (локальные сети, облака, гибридные среды). Для проверки определённой инфраструктуры добавляйте или убирайте соответствующие разделы.
- Изучите возможность автоматизации с помощью GRC-систем — это позволит более эффективно анализировать результаты аудита и отслеживать прогресс по исправлению уязвимостей.
✏️ GRC-системы (Governance, Risk Management, and Compliance) — инструменты, которые объединяют управление деятельностью компании, рисками и соответствием требованиям. Они важны в автоматизации процессов информационной безопасности, особенно в контексте анализа результатов аудита и управления уязвимостями.
В процессе проверки команда должна остановиться на каждом из выделенных аспектов и ответить на вопросы, касающиеся безопасности и соответствия нормам законодательства. Это покажет общую картину и поможет принимать необходимые меры для его улучшения.
Управление доступом
Контроль доступа подразумевает проверку того, кто и на каких условиях может получить доступ к важным ресурсам. Аудит этой области должен включать в себя анализ используемых методов аутентификации, управления учётными записями и логирование действий пользователей.
Необходимо проверить:
- Применяются ли современные методы аутентификации, такие как многофакторная аутентификация (MFA).
- Существуют ли чёткие требования к сложности паролей и регулярности их обновления
- Насколько корректно реализован принцип минимальных привилегий. Для этого важно проверить ролевую модель доступа (RBAC): сотрудники должны иметь доступ только к тем данным и системам, которые необходимы для выполнения их рабочих обязанностей.
- Проводятся ли регулярные аудиты учётных записей с повышенными привилегиями и выполняется ли автоматическое удаление или деактивация учётных записей после увольнения сотрудников.
- Ведётся ли журналирование всех операций доступа к системам и данным, как долго хранятся журналы и каким образом они защищаются. Осуществляется ли регулярный анализ логов для выявления аномалий или подозрительной активности.
Безопасность данных
Этот раздел фокусируется на методах защиты данных, их классификации и шифровании.
Необходимо проверить:
- Существуют ли в организации политики классификации данных и соответствуют ли они нормативным требованиям закона (ФЗ-152).
- Как ведётся учёт персональных данных и применяются ли специальные процедуры обработки и хранения для различных типов данных, включая конфиденциальные и критически важные.
- Шифрование данных как при передаче по сети, так и при хранении на уровне базы данных или файловой системы.
- Используются ли сертифицированные алгоритмы шифрования, такие как AES-256 или TLS 1.3.
- Наличие внедрения и функционирования механизмов управления ключами — ротация, хранение в защищённых модулях HSM.
- Проводится ли регулярное резервное копирование, где хранятся резервные копии и зашифрованы ли они.
- Контролирование доступа к резервным копиям.
- Проводится ли регулярное тестирование восстановления данных из резервных копий.
Защита инфраструктуры
Этот раздел охватывает безопасность сетевой инфраструктуры, серверов, рабочих станций и, при наличии, облачных ресурсов. Начать стоит с анализа сетевой защиты.
Необходимо проверить:
- Корректность настройки межсетевых экранов для фильтрации входящего и исходящего трафика и реализована ли сегментация сети на логические зоны (например, DMZ, корпоративная сеть, гостевая сеть).
- Использование системы обнаружения и предотвращения вторжений (IDS/IPS) для выявления аномалий в сетевом трафике (например, попыток сканирования портов или DDoS-атак).
- Наличие на серверах и рабочих станциях антивирусных программ и системы EDR (Endpoint Detection and Response).
- Обновляется ли программное обеспечение своевременно и проводится ли регулярное сканирование на уязвимости.
- Осуществляется ли отключение всех неиспользуемых служб и портов на сетевом оборудовании.
Управление инцидентами
Этот раздел направлен на оценку способности организации быстро выявлять инциденты безопасности и реагировать на них.
Необходимо проверить:
- Настроена ли система мониторинга событий безопасности (например, SIEM) для выявления аномалий и попыток несанкционированного доступа.
- Настроены ли автоматические оповещения об инцидентах и подозрительной активности.
- Разработан ли в организации детальный план реагирования на инциденты, который включает процедуры анализа, эскалации и восстановления системы.
- Проводятся ли регулярные учения по симуляции инцидентов для проверки готовности сотрудников к реагированию на кибератаки.
- Ведётся ли статистика по всем зарегистрированным инцидентам и используется ли этот анализ для корректировки политики безопасности.
- Частоту проведения внутренних и внешних аудитов безопасности.
- Обновляются ли политики и процедуры на основе результатов аудитов и анализа инцидентов.
Специфические аспекты
Чек-лист должен учитывать особенности инфраструктуры компании. Это важно для выявления рисков, характерных для определённых инфраструктурных сред — локальных сетей, облачных инфраструктур, мобильных устройств.
Локальная инфраструктура
Для локальных систем следует уделить особое внимание физической безопасности и управлению оборудованием.
Необходимо проверить:
- Как контролируется физический доступ к серверным помещениям: используются ли системы контроля доступа (например, биометрические или карточные), установлены ли системы видеонаблюдения.
- Процессы безопасного удаления данных перед утилизацией оборудования, чтобы избежать утечки информации.
- Убедиться, что ведётся инвентаризация оборудования и контролируется его состояние с использованием систем управления активами.
- Как осуществляется управление жизненным циклом устройств — от начальной настройки до безопасной утилизации.
Облачная инфраструктура
При проверке облачной инфраструктуры стоит обратить внимание на правильность конфигурации ресурсов.
Необходимо проверить:
- Настроены ли политики управления доступом к облачным ресурсам.
- Используются ли автоматизированные инструменты безопасности от провайдера облачных услуг для выявления и устранения уязвимостей.
- Настроены ли политики автоматического резервного копирования в облачной среде и контролируется ли доступ к этим копиям.
- Включена ли многофакторная аутентификация для доступа к облачным сервисам и административным консолям.
- Используются ли теги и политики для идентификации и управления ресурсами в облаке.
- Включена ли сегментация доступа к различным компонентам облачной инфраструктуры.
- Используются ли специальные инструменты для сканирования конфигураций на соответствие рекомендациям безопасности.
Мобильные устройства и удалённый доступ
Компании могут предоставлять сотрудникам доступ к корпоративным ресурсам с мобильных устройств. В связи с этим увеличиваются риски утечки данных, кибератак и несанкционированного доступа.
Необходимо проверить:
- Используется ли система управления мобильными устройствами (MDM, Mobile Device Management), чтобы контролировать доступ к корпоративным данным и конфигурировать устройства для соблюдения корпоративной политики безопасности.
- Есть ли процедуры для контроля доступа к данным и для удалённого стирания информации в случае утери устройства.
- Используются ли VPN и шифрование для защиты данных при удалённом доступе.
- Осуществляется ли мониторинг активности удалённых пользователей для своевременного обнаружения подозрительных действий.
💡 Чтобы проверочный лист был эффективным инструментом аудита, нужно не только регулярно пересматривать и обновлять его в соответствии с изменениями инфраструктуры и нормативных требований, но и структурировать процесс его применения.
Фиксируйте все обнаруженные несоответствия и уязвимости, указывая необходимые действия для их устранения. Этот подход поможет контролировать улучшения в безопасности и использовать полученные результаты для повышения уровня защиты.
Мы подготовили для вас шаблон таблицы, скачайте его — он пригодится вам в проектной работе. Шаблон поможет организовать аудит безопасности, обеспечив структурированный подход к проверке ключевых аспектов защиты информации.
Что почитать про анализ безопасности
AWS Security Hub — централизованное решение для анализа безопасности в облачной инфраструктуре AWS.
Microsoft Defender for Cloud — решение от Microsoft Azure, которое предлагает комплексную защиту облачных и гибридных ресурсов.
Google Cloud Security Command Center — интегрированное решение безопасности для ресурсов Google Cloud.
Итоги
- Аудит безопасности начинается с определения целей и объёма проверки, после чего составляется чек-лист ключевых аспектов, таких как управление доступом и защита данных. На его основе проводится оценка текущего состояния систем, выявляются уязвимости, а риски ранжируются по приоритетам. По результатам аудита формируется и реализуется план действий с постоянным мониторингом изменений.
- Для упрощения создания чек-листа аудита можно разделить его на модули по ключевым областям безопасности, использовать базовые шаблоны для различных типов инфраструктуры и рассмотреть автоматизацию с помощью GRC-систем для эффективного анализа результатов и отслеживания исправлений.
- Аудит охватывает управление доступом, безопасность данных, защиту инфраструктуры и управление инцидентами. Проверяются аутентификация, привилегии доступа, шифрование данных, резервное копирование, сегментация сети, IDS/IPS, системы EDR и планы реагирования на инциденты. Выявленные проблемы используются для улучшения политики безопасности.