IT аудит – це незалежна перевірка, експертиза, аналіз, оцінювання поточного стану IT-середовища або IT-інфраструктури, її сильних та слабких сторін з точки зору ефективності, цілісності, захищеності, стабільності, надійності, результативності та інших критеріїв.
В результаті IT-аудиту аудитор формує чесні та компетентні висновки і рекомендації, спираючись на зібрані факти і джерела, документи, нормативно-правову базу, міжнародні і державні стандарти, довідники, програмне забезпечення та численні правила, фреймворки, протоколи, положення тощо.
Основна мета IT-аудиту полягає в тому, щоб допомогти власнику зрозуміти, як працює його інформаційна система (ІС), як її можна покращити та як знизити ризики інформаційної безпеки.
Аудит включає такі методи і техніки як: аналіз, синтез, індукція, дедукція, аналогія, конкретизація, моделювання, абстрагування, критичне мислення, опитування, сканування, валідація, системний аналіз. Найвідомішими стандартами в галузі IT-аудиту є: ISACA, ISO/IEC 27001, ITILv3, COBIT5, PRINCE2, PMBOK, NIST, PCI-DSS, SOC-2, SOX, HIPAA, OWASP та інші.
Слово “аудит” походить від латинського “audio” – чути, слухати. У давнину першими аудиторами (“auditor”) ставали грамотні та освічені люди, які заслуховували різну інформацію та формували усні висновки, проводили опитування, ревізії господарств, розслідували різні випадки, контролювали ділові відносини, писали звіти. Згадки про найдавніших аудиторів знаходимо в джерелах Стародавньої Греції, Риму, Єгипту, Вавилону. Прийнято вважати, що аудитор як професія склалась у Великобританії XVIII-XIX століття.
Концепція та практика аудиту інформаційних технологій зародилися ще у 1960-х роках. В США існує Інститут Внутрішніх Аудиторів (The Insitute of Internal Auditors, IAA) – це міжнародна професійна асоціація, котра проводить освітні конференції та розробляє стандарти, інструкції та сертифікати для проведення внутрішнього аудиту. В Україні IT аудит почав проводитися на початку 1990-х, з поступовою популяризацією комп’ютерних та мобільних пристроїв, розвитком IT-індустрії. У 1992 році була заснована Спілка Аудиторів України (САУ), а у 1993 – Аудиторська палата України (АПУ).
ІТ Аудит за характером виконанням умовно можна класифікувати на наступні типи:
- Зовнішній аудит – це аудит, при якому аудитор здійснює перевірку конкретної цілі, спираючись на дані з відкритих джерел та отримані відомості від власника/замовника. Допуск до внунтрішнього середовища/інфраструктури не обов’язковий. Зовнішніми аудиторами виступають, зазвичай, незалежні IT-фахівці, консалтингові компанії.
- Внутрішній аудит – це аудит, при якому аудитор отримує допуск до внутрішнього середовища/інфраструктури компанії, установи чи організації з метою повномасштабної перевірки усіх IT-процесів та персоналу. Внутрішніми аудиторами можуть також виступати штатні працівники компанії.
- Частковий аудит – це аудит, при якому об’єктом стає не вся система, а лише якась одна окрема його частина, наприклад SSH-служба, VPN, VoIP або інше.
- Локальний аудит – це аудит, при якому перевіряється робота одного із пристроїв чи обладнання ІТ-інфраструктури, наприклад робочої станції, маршрутизатора, IP-камери і т.д.
- Технічний аудит – це перевірка технічних вузлів, апаратних і програмних засобів, характеристик і специфікації досліджуваної системи. Зазвичай, має вузьку технічну спеціалізацію.
- Аудит безпеки – це аудит, який проводиться з метою отримання загальної оцінки рівня безпеки, пошуку вразливих місць досліджуваного електронного ресурсу, інформаційної системи або електронно-обчислювального пристрою.
- Аудит відповідності – це аудит, який проводиться з метою проаналізувати відповідність досліджуваної системи, сайту чи компанії міжнародним та державним практикам, ліцензіям, стандартам, регламентам.
- Аудит бізнес-процесів – це аудит, при якому проводиться оцінка якості та ефективності усіх бізнес та фінансових процесів, програм, політик контролю та якості.
- Обстеження і експертиза – це аудит експерта з інформаційних технологій з метою виявлення фактів і причин тих чи інших обставин, ситуацій, операцій. Включає оцінку та рекомендації. Може бути використаний для пошуку шляхів виправлення, оптимізації або модернізації IT-системи. Побудовані у ході цього аудиту висновки можуть бути застосовані для проведення будь-яких інших робіт або в інших сферах.
- Комплексний аудит – це повномашстабний аудит, який має всеохоплюючу спеціалізацію – від аудиту апаратної частини до аудиту безпеки. Проводиться вивчення повністю усіх зв’язків, структури, архітектури досліджуваного об’єкту.
IT Аудит – це не разова процедура, він повинен проводитися на регулярній основі, адже середовище інформаційних систем змінне – регулярно наповнюється, оновлюється, вдосконалюється. Постійно з’являються нові стандарти та ризики безпеки.
Компанія KR. Laboratories є професіоналами у сфері проведення IT аудиту. Застосовуємо більше 20-ти фреймворків та стандартів безпеки. У своїй роботі використовуємо ризик-орієнтований підхід. Зарекомендували себе як надійні партнери. Більше 10 років проводимо якісні аудити різних типів та видів. Фаховість наших спеціалістів підтверджується сертифікатами ISO 27001, CEH, OSCP та іншими. Нижче пропонуємо ознайомитись з повним переліком наших послуг з IT аудиту.
