Чек‑лист / Лайфхаки для проведения внутреннего аудита ИБ

13.01.2023

08/10/25

Б-152

Практический список действий и вопросов для оценки соответствия провайдера и его сервисов требованиям по защите информации. Формулировки и критерии уточнены с учетом комментариев эксперта.

1) Автоматизация процесса

2) Проверка пакета документов

Содержание

3) Фокус на критичных системах

4) Проверка знаний сотрудников

5) Использование шаблонов

Итоговая фиксация

Красные флаги

1) Автоматизация процесса

2) Проверка пакета документов

Содержание

3) Фокус на критичных системах

4) Проверка знаний сотрудников

5) Использование шаблонов

Итоговая фиксация

Красные флаги

1) Автоматизация процесса

Использовать сканеры уязвимостей для проверки сети и конечных точек.
Получить отчет со списком уязвимостей и рекомендациями по устранению.
Применять SIEM‑систему для инвентаризации активов.
Настроить централизованный контроль событий и уведомления об инцидентах.

Что зафиксировать: перечень найденных уязвимостей, ответственных за устранение, статус выполнения.

2) Проверка пакета документов

Проверить дату последнего утверждения документов по ИБ.
Если прошло более 3 лет — сопоставить регламенты с текущими бизнес‑процессами.
Подготовить обновленные версии документов.
Обеспечить переутверждение документов на уровне руководства.

Что зафиксировать: список документов, дата последнего утверждения, статус обновления.

3) Фокус на критичных системах

Определить наиболее значимые для организации системы (с точки зрения бизнеса, экологии, гос. сфер).
Разделить аудит на этапы: в первую очередь критичные системы.
Провести митигацию наиболее серьезных уязвимостей.
Постепенно переходить к менее критичным системам.

Что зафиксировать: список систем по уровням критичности, статус устранения уязвимостей.

4) Проверка знаний сотрудников

Подготовить тест на базовые знания по ИБ.
Разослать тест всем сотрудникам компании.
Проанализировать результаты, выявить слабые места.
Провести киберучения с акцентом на проблемные темы.

Что зафиксировать: общий уровень знаний, проблемные темы, дата проведения учений.

5) Использование шаблонов

Применять преднастроенные шаблоны для средств защиты (фильтры, правила).
Использовать шаблоны отчетов для ускорения процесса аудита.
Проверить наличие минимально необходимых пунктов проверок.
Задокументировать результаты, чтобы исключить пропуски.

Что зафиксировать: перечень примененных шаблонов, ответственные лица, итоговый отчет.

Итоговая фиксация

Сформирован комплект: отчеты по уязвимостям, актуализированные документы, список критичных систем, результаты тестирования сотрудников, шаблоны и отчеты.

Определены приоритеты: устранение критических уязвимостей, актуализация документов, запланировано обучение сотрудников.

Подготовлен итоговый отчет внутреннего аудита ИБ для руководства.

Красные флаги

Отсутствуют автоматизированные инструменты (сканеры уязвимостей, SIEM-системы).
Документы по ИБ не обновлялись более трех лет.
Нет фокуса на проверке и защите критичных систем.
Организация не проводит регулярные проверки и не поддерживает уровень знаний и осведомленности сотрудников в области ИБ.
Отсутствует единая структура шаблонов и отчетных форм.

Ввод оборотных штрафов за утечки откладывается минимум до 1 июля 2023 года

Подписывайтесь на наш Telegram-канал, чтобы быть в курсе последних новостей и событий!

бизнес

юридические вопросы

маркетинг

Материалы по теме