Проект

Общее

Профиль

Действия
История

Sidebar »

Методы проведения аудита информационной безопасности

Введение

Аудитор определил область, согласовал критерии, проанализировал реестр рисков и составил план проверки. Теперь наступает самый практический вопрос: как именно собирать свидетельства?

Сбор свидетельств — это не хаотическое изучение документов и не формальное проставление галочек в чек-листе. Это структурированный процесс, использующий несколько дополняющих друг друга методов. Каждый метод имеет сильные стороны и ограничения — профессиональный аудитор комбинирует их так, чтобы получить достаточные и надлежащие свидетельства для каждого вывода.

Выбор методов определяется объектом проверки: документ проверяется анализом, процесс — наблюдением и интервью, техническая конфигурация — инструментальными методами. Ни один метод в одиночку не даёт полной картины.

Четыре основных метода аудита

ISO 19011:2018 определяет четыре основных метода сбора свидетельств аудита: анализ документов и записей, интервью, наблюдение и технические проверки. На практике они применяются в комплексе, подкрепляя и проверяя друг друга.

Метод 1: Анализ документов и записей

Анализ документов — отправная точка любого аудита. Аудитор изучает материалы до начала выездных работ и в ходе них, формируя базу для последующих проверок другими методами.

Документы vs. записи

Принципиальное различие, о котором говорилось в теме 2: документы описывают намерения («как должно быть»), записи подтверждают факты («как было»).

Политика паролей — документ. Журнал аудита AD с датами последней смены паролей — запись. Аудитор обязан проверять оба типа: документ без записей — это намерение без реализации; записи без документа — это хаотичная практика без управления.

Типовой перечень запрашиваемых документов

При аудите СУИБ по ISO 27001 аудитор запрашивает:

Категория Типичные документы
Стратегический уровень Политика ИБ, область действия СУИБ, SOA, отчёты по рискам
Процессный уровень Регламенты управления доступом, инцидентами, изменениями, резервным копированием
Технический уровень Стандарты конфигурации, схемы сетевой архитектуры, результаты сканирований
Записи и журналы Журналы аудита, отчёты о тестировании резервных копий, записи об обучении, протоколы инцидентов
Контрактная база NDA с сотрудниками, договоры с подрядчиками в части ИБ

Техники анализа документов

Проверка актуальности. Документ должен быть пересмотрен в соответствии с установленным циклом пересмотра (как правило, ежегодно или при значимых изменениях). Дата последнего пересмотра и подпись утвердившего лица — обязательные атрибуты.

Проверка полноты. Документ содержит все обязательные разделы, предусмотренные стандартом или внутренними требованиями. Политика ИБ без раздела об ответственности за нарушения — неполный документ.

Проверка согласованности. Документы не противоречат друг другу. Политика ИБ требует MFA для всех систем, а регламент управления доступом допускает исключения для «технологических учётных записей» без ограничений — это потенциальное несоответствие.

Анализ записей на предмет паттернов. Единичный инцидент в журнале — это событие. Двадцать однотипных инцидентов за три месяца — это паттерн, указывающий на системную проблему. Аудитор не просто фиксирует наличие журналов, но и анализирует их содержимое.

Ограничения метода

Документы описывают намерения, а не реальность. Идеально оформленная политика безопасности и прекрасно структурированный реестр рисков ничего не говорят о том, выполняется ли всё это на практике. Анализ документов должен обязательно дополняться другими методами.

Метод 2: Интервью

Интервью — один из наиболее информативных, но и наиболее сложных методов аудита. Правильно проведённое интервью раскрывает то, что невозможно обнаружить ни в одном документе: реальное понимание сотрудниками своих обязанностей, фактические рабочие практики и неформальные «обходные пути» вокруг официальных процедур.

С кем проводить интервью

Аудитор проводит интервью на нескольких уровнях организации, поскольку каждый уровень даёт принципиально разную информацию.

Руководство (топ-менеджмент, директор по ИБ, CISO) — стратегическое понимание рисков, вовлечённость в принятие решений по ИБ, осведомлённость о значимых инцидентах. Аудитор проверяет, соответствует ли декларируемая приверженность ИБ реальному поведению.

Владельцы процессов и руководители подразделений — как ИБ интегрирована в бизнес-процессы, существуют ли конфликты между требованиями безопасности и операционной эффективностью, как принимаются решения об исключениях.

Специалисты по ИБ и IT-персонал — технические детали реализации контролей, практика работы с инцидентами, известные проблемы и ограничения.

Рядовые сотрудники — реальный уровень осведомлённости о требованиях ИБ, понимание своих обязанностей, практика работы с конфиденциальными данными.

Типы вопросов

Профессиональный аудитор использует несколько типов вопросов, каждый из которых служит своей цели.

Открытые вопросы запускают развёрнутый ответ и позволяют собеседнику самому расставить акценты. «Расскажите, как у вас организован процесс реагирования на инциденты ИБ?» Такие вопросы выявляют то, что важно для самого сотрудника, и нередко приводят к неожиданным находкам.

Уточняющие вопросы углубляют ответ на конкретный аспект. «Вы сказали, что инциденты регистрируются в системе — кто отвечает за классификацию инцидентов? Как это фиксируется?»

Проверочные вопросы верифицируют конкретные утверждения. «Вы говорите, что права доступа пересматриваются ежеквартально — можете показать записи последних двух пересмотров?» Переход от утверждения к свидетельству — ключевой момент.

Гипотетические вопросы проверяют понимание процедур. «Если бы вы получили подозрительное письмо с вложением прямо сейчас — что бы вы сделали?» Позволяет оценить реальную осведомлённость, а не способность воспроизвести заученный текст политики.

Техники проведения интервью

Не объявляйте заранее точный предмет проверки. Если аудитор сообщил, что будет проверять знание процедуры резервного копирования, сотрудник прочитает инструкцию за 10 минут до встречи. Объявляйте тему широко: «мы обсудим процессы управления данными».

Слушайте активно, не заполняйте паузы. Молчание после ответа — мощный инструмент. Многие собеседники заполняют паузу дополнительной информацией, которую не планировали раскрывать.

Разграничивайте факты и мнения. «Я думаю, что права доступа пересматриваются» — это мнение. «Вот журнал последнего пересмотра» — это факт. Аудитор всегда стремится перевести мнение в верифицируемое свидетельство.

Фиксируйте ответы в реальном времени. Записи интервью должны составляться немедленно, не по памяти через несколько часов.

Соблюдайте нейтральный тон. Вопрос «почему у вас не внедрён MFA?» создаёт защитную реакцию. Вопрос «расскажите, как у вас организована аутентификация в административных системах» — нет.

Ограничения метода

Люди говорят то, что считают правильным ответом, а не всегда то, что происходит на самом деле — особенно если чувствуют, что их оценивают. Показания персонала требуют подтверждения документальными или техническими свидетельствами. Интервью — ценный, но не самодостаточный метод.

Метод 3: Наблюдение

Наблюдение — прямая проверка того, как процессы выполняются в реальности. Аудитор не спрашивает «как вы это делаете» и не читает инструкцию — он смотрит своими глазами.

Что наблюдается

Физическая безопасность и режим доступа. Аудитор проходит по офису и фиксирует: заблокированы ли компьютеры при отсутствии пользователей, лежат ли конфиденциальные документы на столах, закрыты ли серверные комнаты, сопровождаются ли посетители. Это практика «чистого стола и экрана», которую невозможно проверить иначе.

Фактическое выполнение процедур. Аудитор наблюдает за реальными рабочими операциями: как сотрудник обрабатывает обращение клиента с персональными данными, как IT-специалист выполняет изменение в производственной среде, как администратор выдаёт права доступа. Часто процедура выполняется иначе, чем описано в инструкции.

Состояние технической среды. Наличие неопломбированного оборудования, незакреплённых кабелей, стикеров с паролями, открытых USB-портов — всё это фиксируется при обходе объекта.

Эффект наблюдателя

Важный методологический момент: присутствие аудитора влияет на поведение наблюдаемых. Сотрудники могут вести себя образцово именно потому, что знают о проверке. Это снижает ценность наблюдения как метода выявления проблем — но не устраняет её полностью.

Опытный аудитор учитывает эффект наблюдателя. Внезапный визит без предупреждения, наблюдение в нескольких локациях, анализ физических следов (стикеры с паролями, незакрытые документы) — всё это помогает получить более достоверную картину. Кроме того, многие физические свидетельства не поддаются мгновенному устранению.

Документирование наблюдений

Результаты наблюдения фиксируются немедленно с максимально конкретным описанием: не «несоблюдение политики чистого стола», а «в 14:23 в кабинете 305 на рабочем столе сотрудника Иванов И.И. обнаружен распечатанный документ с грифом "Конфиденциально", рабочая станция не заблокирована, сотрудник отсутствовал». Такая детализация необходима для защищаемости вывода.

Метод 4: Технические проверки

Технические проверки — инструментальная верификация фактического состояния технических мер защиты. Это область, где аудит ИБ принципиально отличается от аудита систем менеджмента качества: безопасность имеет измеримые технические параметры, которые можно проверить объективно.

Виды технических проверок

Проверка конфигураций — сравнение фактических настроек систем с утверждёнными базовыми конфигурациями. Аудитор запрашивает конфигурационные файлы, выгрузки из консолей управления, результаты автоматических проверок соответствия. Типичные объекты: настройки групповых политик AD, параметры межсетевых экранов, конфигурации веб-серверов.

Анализ журналов — изучение журналов событий безопасности за определённый период. Аудитор ищет паттерны: повторяющиеся неудачные попытки входа, аномальное время активности привилегированных учётных записей, попытки доступа к запрещённым ресурсам, пробелы в журналах (отсутствие записей за определённые периоды само по себе является сигналом).

Сканирование уязвимостей — автоматизированная проверка систем на наличие известных уязвимостей. Результаты сканирования сопоставляются с процессом патч-менеджмента: все ли критические уязвимости закрыты в пределах установленного SLA. Важно: аудитор может анализировать результаты сканирований, проведённых организацией, или проводить собственные — в зависимости от области аудита и договорённостей.

Проверка управления доступом — верификация фактических прав пользователей по сравнению с задокументированными. Аудитор получает выгрузку прав из Active Directory, СУБД, целевых систем и сопоставляет с официальными матрицами доступа. Типичные находки: учётные записи уволенных сотрудников, накопленные избыточные права («permission creep»), сервисные учётные записи с правами администратора.

Тестирование механизмов безопасности — проверка работоспособности конкретных контролей. Аудитор запрашивает демонстрацию: работает ли блокировка учётной записи после N неудачных попыток входа, корректно ли разграничивает доступ система контроля доступа, создаётся ли резервная копия в соответствии с расписанием и верифицируется ли она.

Детальный технический аудит, включая тестирование на проникновение и активное сканирование уязвимостей, рассматривается в теме Технический аудит и пентест. В рамках данной темы рассматриваются технические проверки как один из методов стандартного аудита соответствия.

Инструменты технических проверок

Задача Типичные инструменты
Сканирование уязвимостей Nessus, OpenVAS, Qualys, MaxPatrol
Проверка конфигураций CIS-CAT, Microsoft Security Compliance Toolkit, Lynis
Анализ журналов Splunk, ELK Stack, встроенные инструменты ОС
Проверка прав доступа Встроенные инструменты AD, специализированные IAM-аудиторы
Анализ сетевого трафика Wireshark, tcpdump (только при наличии соответствующего разрешения)

Комбинирование методов: треугольник подтверждения

На практике профессиональный аудитор не полагается на один метод. Для каждой значимой находки он стремится получить подтверждение из двух-трёх независимых источников.

Рассмотрим полный цикл проверки одного контроля — управления привилегированным доступом:

Шаг Метод Что проверяется Что ищем
1 Анализ документов Политика управления доступом, процедура выдачи прав, матрица доступа Документы существуют, актуальны, содержат требования к PAM
2 Интервью (администратор) Фактический процесс выдачи и отзыва прав, работа с сервисными учётными записями Понимает ли процедуру, есть ли неформальные «исключения»
3 Интервью (руководитель ИТ) Как контролируется соблюдение процедуры, какие инциденты были Системные проблемы, о которых не говорит исполнитель
4 Технические проверки Выгрузка прав из AD, список членов групп Domain Admins / Enterprise Admins Уволенные сотрудники, избыточные права, учётные записи без MFA
5 Анализ журналов Журналы аудита AD за последние 90 дней Выдача прав вне процедуры, активность в нерабочее время
6 Наблюдение Обход рабочих мест администраторов Незаблокированные сессии, записанные пароли

Если все шесть шагов дают согласованную картину — вывод о соответствии или несоответствии надёжен. Если между ними есть противоречие — это сигнал для углублённой проверки.

Процесс проведения аудита: от открытия до закрытия

Методы применяются в рамках структурированного процесса, включающего несколько обязательных этапов.

Вводное совещание

Перед началом выездных работ аудитор проводит вводное совещание с руководством проверяемой организации. На нём уточняются и подтверждаются: область и цели аудита, план и расписание, логистика (рабочее место аудитора, доступ к системам), ожидания сторон, порядок коммуникации в случае значимых находок.

Вводное совещание — не формальность. Оно позволяет выявить изменения с момента планирования аудита (например, произошедший накануне инцидент) и согласовать рабочие договорённости.

Выездные работы

Основная фаза аудита: аудиторы применяют методы сбора свидетельств согласно плану. Хорошая практика — ежедневные короткие совещания внутри аудиторской группы для синхронизации находок и корректировки плана. Если в первый день обнаружено значительное несоответствие в одной области, план может быть скорректирован для более детальной проверки связанных контролей.

Рабочие материалы аудита (рабочие листы, записи интервью, скриншоты, журналы инструментов) фиксируются в структурированном виде и хранятся как часть аудиторской документации.

Анализ находок и формулирование выводов

По завершении сбора свидетельств аудиторская группа анализирует находки, классифицирует их (значительное несоответствие, незначительное несоответствие, наблюдение, соответствие) и формулирует выводы. Каждый вывод должен быть подкреплён конкретными свидетельствами.

Качественная формулировка несоответствия содержит три элемента:

  • Что нарушено — ссылка на конкретное требование: «согласно контролю 8.5 ISO 27001:2022...»
  • Что обнаружено — фактическое состояние: «...проверка 18 учётных записей с правами Domain Admin показала, что MFA не включён ни для одной из них...»
  • Свидетельство — на чём основан вывод: «...что подтверждается выгрузкой из консоли Azure AD от 15.03.2024 (Приложение 3)».

Заключительное совещание

Перед подготовкой итогового отчёта аудитор представляет предварительные находки руководству проверяемой организации. Цель — не согласование выводов, а устранение фактических ошибок: если аудитор неверно понял технический контекст или упустил свидетельство, организация имеет возможность это указать до финализации отчёта.

Если организация оспаривает вывод по существу, а не по факту, это разногласие фиксируется в отчёте. Аудитор не меняет обоснованный вывод под давлением.

Особенности дистанционного аудита

Практика дистанционных аудитов значительно выросла после 2020 года и закреплена в дополнении ISO 19011:2018 и специализированных руководствах IAF. Дистанционный аудит применяет те же методы, но с адаптациями.

Метод Адаптация для дистанционного аудита Ограничение
Анализ документов Документы передаются через защищённый портал или зашифрованный канал Риск получения неполного пакета документов
Интервью Видеоконференция с записью (с согласия участников) Сложнее читать невербальные сигналы, выше риск подготовленных ответов
Наблюдение Демонстрация экрана, видеотрансляция с рабочего места Невозможно наблюдать физическую среду, ограниченный обзор
Технические проверки Удалённый доступ к системам или получение результатов сканирований Риск предоставления заранее подготовленных результатов

Дистанционный аудит не может полностью заменить выездной для областей, где наблюдение физической среды критично: серверные помещения, физическая охрана, СКУД. Для таких областей требуется хотя бы частичный выезд или привлечение местного представителя.

Рабочие материалы аудита

Рабочие материалы — это полная документация процесса сбора свидетельств: рабочие листы проверок, записи интервью, скриншоты, результаты инструментальных проверок, переписка, журналы. Они являются собственностью аудиторской организации, но должны храниться в соответствии с требованиями к конфиденциальности и сроками хранения.

Требования к рабочим материалам: каждое свидетельство должно быть идентифицировано (источник, дата, метод получения); рабочие листы должны связывать свидетельство с конкретным требованием и выводом; все материалы передаются только через защищённые каналы.

Хорошо структурированные рабочие материалы — это защита аудитора: если вывод оспаривается, рабочие материалы позволяют воспроизвести логику его формулирования.

Что дальше

Стандартные методы аудита дают картину соответствия формальным требованиям. Но за этой картиной может скрываться другой вопрос: а можно ли систему реально взломать? Ответ на него даёт технический аудит и тестирование на проникновение.

Список литературы и стандартов

  • ISO 19011:2018 — раздел 6: выполнение аудита, методы сбора свидетельств
  • ISO/IEC 27007:2021 — специфика методов при аудите СУИБ
  • IAF MD 4:2022 — дистанционный аудит
  • ISACA IS Audit and Assurance Guideline 2201 — Engagement Planning
  • ISACA IS Audit and Assurance Guideline 2205 — Evidence
  • Champlain J. — Auditing Information Systems. 2nd ed. Wiley, 2003
  • NIST SP 800-53A Rev.5 — методология оценки контролей безопасности (interview, examine, test)

Обновлено С. Антошкин 1 день назад · 3 изменени(я, ий)