Аудит информационной безопасности: что это, виды и как провести

Что такое аудит информационной безопасности

Аудит информационной безопасности — независимая проверка того, насколько реальное состояние защиты организации соответствует задокументированным политикам, стандартам и требованиям регуляторов. Ключевой принцип — независимость: аудитор не зависит от проверяемого подразделения. Аудит систем безопасности даёт объективный взгляд извне — внутренняя команда привыкает к картине, внешний специалист видит пробелы.

Три уровня проверки в аудите ИБ

Аудит информационной безопасности включает в себя три взаимосвязанных уровня. Пропуск любого — значит получить неполную картину.

Документальный уровень. Проверяются политики, регламенты, журналы событий, договоры с подрядчиками. Аудитор оценивает: актуальны ли документы, соответствуют ли реальным процессам, утверждены ли ответственными лицами. Политика информационной безопасности организации — базовый документ этого уровня: без неё техническая проверка теряет точку отсчёта.

Технический уровень. Анализируются конфигурации серверов и сетевого оборудования, контроль доступа, версии программного обеспечения, реестр известных уязвимостей. Привилегированные учётные записи — первоочерёдный объект: компрометация одной такой записи даёт атакующему максимальные возможности.

Организационный уровень. Оцениваются структура ответственности, регламенты реагирования на инцидент, осведомлённость персонала. Человеческий фактор — самое слабое звено: фишинговые тесты и учебные обзвоны показывают это нагляднее любой технической проверки.

Аудит ИБ, пентест и комплаенс: принципиальные отличия

Три понятия регулярно смешивают. Вот принципиальная разница.

Пентест (тест на проникновение) — инструмент в составе аудита компьютерной безопасности: он отвечает на вопрос «можно ли взломать», но не объясняет причин — слабых процессов, ошибочных конфигураций, недостаточного контроля доступа. Комплаенс — срез аудита в рамках одного норматива. Аудит ИБ включает оба и шире каждого из них.

Зачем организации проводить аудит информационной безопасности

Управлять ИБ-рисками без объективной картины — значит реагировать на уже случившееся. Аудит защиты данных решает четыре практических задачи.

Оценить фактическую защищённость. Цель — не убедить себя, что всё хорошо, а найти реальные слабые места до того, как ими воспользуются злоумышленники. Оценка рисков даёт приоритеты: что устранять первым.

Снизить финансовые риски от инцидентов. С 2024 года за утечку персональных данных действуют оборотные штрафы по 152-ФЗ о персональных данных. Штраф, репутационный ущерб и судебные издержки после одного инцидента информационной безопасности несопоставимы со стоимостью регулярного аудита.

Выполнить требования регуляторов. Операторы персональных данных обязаны соответствовать Приказу ФСТЭК № 21. Субъекты критической информационной инфраструктуры — 187-ФЗ и Приказу №239. Государственные информационные системы проходят обязательную аттестацию по Приказу №17. Связь прямая: 187-ФЗ обязывает субъектов КИИ подключиться к ГосСОПКА, а выполнение этого требования проверяется именно в ходе аудита безопасности информационных систем.

Обосновать ИБ-бюджет. Управленческое резюме аудита переводит технические риски в денежный эквивалент — и это сильный аргумент при обсуждении финансирования с руководством.

Когда необходим аудит — плановый и внеплановый

Плановый аудит проводится регулярно: внутренний — 2–4 раза в год, внешний — раз в год. Нормативный минимум по Приказу ФСТЭК №117 — раз в три года или после значимых изменений в инфраструктуре.

Восемь ситуаций, когда необходима внеплановая проверка информационной безопасности в организации:

1. Зафиксирован инцидент — утечка данных или успешная атака.
2. Кардинально изменилась ИТ-инфраструктура: переход в облако, замена ключевых систем.
3. Реорганизация компании или слияние.
4. Сменился руководитель направления ИБ или ИТ-директор.
5. Подготовка к сертификации по ISO 27001.
6. Регулятор ввёл новые требования, затрагивающие организацию.
7. Крупный клиент или партнёр запросил подтверждение уровня защищённости.
8. С последнего аудита прошёл год — даже если ничего явного не изменилось.

Угрозы и инфраструктура меняются быстрее, чем большинство компаний успевает реагировать. Ждать трёх лет — значит управлять рисками с устаревшей картой.

Виды аудита информационной безопасности

Аудит ИБ классифицируется по трём основаниям: по исполнителю (внутренний или внешний), по охвату (комплексный, технический, compliance) и по методу (документальный, инструментальный, активный с имитацией атаки). Выбор зависит от цели, бюджета и действующих нормативных обязательств.

Если хотите разобраться в этой области профессионально — оценивать риски, выстраивать системы защиты и проводить проверки — в ProfiFuture есть программа «Специалист по информационной безопасности» длительностью 6 недель с господдержкой: 75% стоимости компенсируется образовательной квотой.

По исполнителю: внутренний и внешний аудит ИБ

Внутренний аудит информационной безопасности даёт регулярный контроль, внешний — объективность и регуляторное признание. Оптимальная практика — сочетать оба формата: внутренний как частый мониторинг, внешний как ежегодная независимая проверка. Для малого и среднего бизнеса без штатной ИБ-команды аутсорсинг аудита экономически выгоднее содержания собственного специалиста.

По охвату и методу: комплексный, технический, compliance

По охвату выделяют пять видов аудита в сфере информационной безопасности:

• Комплексный — охватывает все слои: документы, инфраструктуру, процессы и персонал.
• Технический — только инфраструктурный слой: конфигурации, уязвимости, средства защиты.
• Compliance-аудит — проверка соответствия конкретному нормативу: 152-ФЗ, ISO 27001 или требованиям ФСТЭК.
• По процессам — управление инцидентами, резервное копирование, управление обновлениями.
• По сегменту — отдельный контур: облако, ERP-система, удалённые рабочие места.

По методу: документальный (анализ политик), инструментальный (сканирование и анализ конфигураций), активный (имитация атаки). Gap-анализ — сравнение текущего состояния с эталоном — обязательный предшествующий шаг перед сертификацией ISO/IEC 27001:2022 по 93 контролям стандарта.

Что проверяют в ходе аудита ИБ

Аудит информационной безопасности организации охватывает восемь блоков объектов.

1. ИТ-инфраструктура — серверы, рабочие станции, сетевое оборудование, облачные сервисы. Проверяются версии ПО, патч-менеджмент и сегментация сети.
2. Управление доступом — права пользователей, многофакторная аутентификация. Привилегированные учётные записи — первоочерёдный объект: компрометация одной такой записи даёт атакующему максимум возможностей в системе.
3. Защита данных — шифрование, классификация, ограничение передачи персональных данных за периметр.
4. Средства технической защиты — системы предотвращения утечек данных (DLP), управление событиями безопасности (SIEM), межсетевые экраны нового поколения (NGFW), средства защиты конечных точек (EDR).
5. Резервное копирование — регулярность, хранение копий, тестирование восстановления.
6. Процессы реагирования — наличие плана, скорость обнаружения и локализации инцидентов информационной безопасности.
7. Персонал и осведомлённость — обучение сотрудников, результаты фишинговых тестов. Человеческий фактор остаётся самым уязвимым местом: именно на сотрудников направлены методы социальной инженерии.
8. Организационная документация — актуальность политик, распределение ответственности, договоры с подрядчиками.

Этапы проведения аудита информационной безопасности

Стандартный аудит проходит шесть последовательных этапов.

1. Подготовка и планирование (3–7 дней). Согласуются границы проверки, подписываются NDA, формируется список документов для запроса.
2. Сбор данных и интервью (5–10 дней). Запрашиваются политики, схемы сети, журналы событий. Проводятся интервью с ключевыми сотрудниками.
3. Техническая проверка (5–15 дней). Сканирование уязвимостей, анализ конфигураций, управление обновлениями; при необходимости — пентест как инструмент активной проверки в составе аудита.
4. Оценка рисков и gap-анализ (3–5 дней). Выявленные уязвимости оцениваются по критичности, привязываются к требованиям ФСТЭК и ISO 27001, формируется модель угроз.
5. Подготовка отчёта (3–7 дней). Оформляется пакет документов с приоритизированными рекомендациями.
6. Презентация и контроль устранения — через 3–6 месяцев аудитор проверяет выполнение критичных и высокоприоритетных мер.

Общая длительность: 1–2 недели для малого бизнеса, 3–5 недель для средней организации, 2–3 месяца для холдинга с несколькими площадками.

Нормативная база и стандарты аудита ИБ

Универсального закона об обязательном аудите ИБ нет — требования зависят от типа данных, отрасли и статуса организации. Базовая ориентация — по регулятору и типу системы.

Что получает заказчик по итогам аудита

По результатам аудита информационной безопасности предприятия заказчик получает пакет из пяти документов.

Управленческое резюме (3–5 страниц) — для топ-менеджмента. Риски описаны в деловых терминах и денежном выражении, без технического жаргона. Позволяет принимать управленческие решения и обосновывать ИБ-бюджет.

Технический отчёт — подробное описание каждой уязвимости с оценкой критичности по шкале CVSS (международная метрика), способом воспроизведения и рекомендуемым решением. Документ для ИБ-команды.

Реестр несоответствий — перечень отклонений от конкретных нормативов: 152-ФЗ, Приказов ФСТЭК, ISO 27001.

Дорожная карта устранения — приоритизированный план: критичные уязвимости — в течение 7–14 дней, высокоприоритетные — до 30 дней, средние — до 90 дней.

Обновлённая модель угроз — актуализированный документ, учитывающий выявленные риски и контекст организации.

Кто проводит аудит информационной безопасности

Аудит ИБ проводит либо внутренний аудитор по информационной безопасности (сотрудник, не связанный с проверяемым подразделением), либо внешняя компания. Ключевой принцип — независимость от объекта проверки. Там, где внутренний специалист видит привычную картину, внешний аудитор замечает пробелы.

Квалификация и лицензии аудитора ИБ

Требования к аудитору зависят от типа проверяемой системы.

• Лицензия ФСТЭК (ТЗКИ) — обязательна при аудите государственных информационных систем и compliance-проверках в области технической защиты конфиденциальной информации.
• Лицензия ФСБ — требуется при проверке систем, использующих криптографические средства защиты.
• Профессиональные сертификации аудитора информационной безопасности: CISSP (Certified Information Systems Security Professional — сертифицированный специалист по ИБ), CISA (аудит информационных систем), OSCP (практический пентест).

Для аудита коммерческих систем без государственной тайны лицензия не обязательна, однако наличие сертификаций CISSP или CISA — показатель квалификации команды.

Как выбрать подрядчика для аудита ИБ

При выборе компании для аутсорсинга аудита оцените пять критериев:

• действующие лицензии ФСТЭК и/или ФСБ — в зависимости от типа ваших систем;
• реальный опыт в вашей отрасли: финансы, промышленность, ритейл — у каждого своя нормативная специфика;
• прозрачная методология — запросите обезличенный образец отчёта;
• готовность подписать NDA до передачи данных об инфраструктуре;
• наличие этапа контроля устранения через 3–6 месяцев после сдачи отчёта.

Для организаций без штатной ИБ-команды аутсорсинг аудита информационной безопасности — рациональная модель: вы платите за конкретный результат без постоянных расходов на персонал.

Стоимость аудита информационной безопасности

Конкретные цифры называть некорректно: стоимость аудита ИБ компании определяется совокупностью факторов.

1. Масштаб ИТ-инфраструктуры — количество серверов, офисов, удалённых пользователей.
2. Тип аудита — технический обходится дешевле комплексного.
3. Глубина проверки — базовая инвентаризация против детального анализа конфигураций.
4. Квалификация команды — специалисты с лицензиями ФСТЭК и сертификациями CISA/CISSP стоят дороже.
5. Срочность — внеплановый аудит после инцидента дороже планового.
6. Пентест в составе — активная имитация атаки увеличивает стоимость, но даёт наиболее реалистичную картину рисков.

Логика ROI проста: аудит информационной безопасности — это всегда меньше, чем потенциальный ущерб от одного серьёзного инцидента с утечкой персональных данных. Для малого и среднего бизнеса аутсорсинг экономически выгоднее содержания штатного специалиста.

Типичные ошибки и что делать после аудита

Пять ошибок, которые превращают аудит в формальность:

1. «Для галочки» — аудит без намерения устранять выявленное.
2. Ограниченный доступ — аудитору закрывают часть систем, результат заведомо неполный.
3. Фокус только на технике — документальный и организационный уровни игнорируются.
4. Рекомендации в стол — отчёт получен, дорожная карта устранения не реализована.
5. Разовый подход — аудит проведён однажды и не повторяется.

После аудита: расставьте приоритеты по уровню риска, назначьте владельцев каждого пункта, устраните критичные проблемы за 30 дней, обновите модель угроз и сразу запланируйте следующую проверку. Инвентаризация активов и управление обновлениями — два базовых процесса, которые аудит должен перевести в регулярный режим.

Часто задаваемые вопросы

Что такое аудит информационной безопасности простыми словами?

Аудит ИБ — независимая проверка того, насколько реально (а не на бумаге) защищена компания от утечек и атак. Аудитор анализирует три слоя: документы и политики, технические настройки систем, организационные процессы и поведение сотрудников. Результат — конкретный перечень проблем с приоритетами и планом устранения.

Чем аудит ИБ отличается от пентеста?

Пентест имитирует атакуи отвечает на вопрос «можно ли взломать». Аудит ИБ разбирает причины — слабые процессы, ошибки конфигураций, недостаточный контроль доступа. Пентест — инструмент внутри аудита, а не его замена.

Сколько времени занимает аудит информационной безопасности?

Небольшая компания — 1–2 недели, средняя организация — 3–5 недель, крупный холдинг с несколькими площадками — 2–3 месяца. 60–70% времени занимает активная работа с инфраструктурой, остальное — подготовка и согласование отчёта.

Нужна ли лицензия для проведения аудита ИБ?

Для аудита коммерческих систем лицензия не требуется. Для работы с государственными информационными системами нужна лицензия ФСТЭК на ТЗКИ, для проверки криптографических средств — лицензия ФСБ. При выборе подрядчика уточняйте наличие действующих лицензий.

Как часто нужно проводить аудит информационной безопасности?

Внутренний — 2–4 раза в год, внешний — раз в год. Нормативный минимум по Приказу ФСТЭК №117 — раз в три года или после значимых изменений в инфраструктуре. Оптимальная практика — сочетать регулярный аудит с точечными проверками при изменениях.

Сколько стоит аудит информационной безопасности?

Стоимость определяется масштабом ИТ-инфраструктуры, типом и глубиной аудита, квалификацией команды и наличием пентеста в составе. Для малого и среднего бизнеса точечная проверка ключевых систем обходится значительно дешевле последствий одного серьёзного инцидента с утечкой персональных данных.

Что получает компания по итогам аудита ИБ?

Пакет из пяти документов: управленческое резюме (3–5 страниц для руководства), технический отчёт с CVSS-оценкой каждой уязвимости, реестр несоответствий нормативам, приоритизированная дорожная карта устранения и обновлённая модель угроз.

Помогает ли аудит ИБ подготовиться к сертификации ISO 27001?

Да. Предсертификационный gap-аудит — стандартный шаг перед сертификацией: показывает, какие из 93 контролей ISO/IEC 27001:2022 выполнены, а какие требуют доработки. Без этого этапа сертификация почти всегда заканчивается отрицательным решением.

Останавливается ли работа компании во время аудита?

Нет. Документальная и инструментальная части идут параллельно бизнес-процессам. Активные проверки — сканирование и пентест — согласовываются по времени и затрагиваемым сегментам заранее.

Обязателен ли аудит ИБ по российскому законодательству?

Зависит от деятельности. Операторы персональных данных обязаны контролировать уровень защищённости по 152-ФЗ. Субъекты КИИ — по 187-ФЗ и Приказу ФСТЭК №239. Государственные информационные системы проходят обязательную аттестацию по Приказу ФСТЭК №17.