82
криптографическая ㅤ система ㅤ с ㅤ открытым ㅤ ключом ㅤ называется ㅤ ассиметричной ㅤ
криптосистемой, ㅤ а ㅤ алгоритмы ㅤ шифрования ㅤ - ㅤ ассиметричными ㅤ алгоритмами. ㅤ
Данная ㅤ система ㅤ называется ㅤ системой ㅤ с ㅤ открытым ㅤ ключом ㅤ потому, ㅤ что ㅤ ключ ㅤ
шифрования ㅤ может ㅤ быть ㅤ открыт ㅤ для ㅤ всех ㅤ пользователей. ㅤ Кто ㅤ угодно ㅤ может ㅤ
использовать ㅤ этот ㅤ ключ ㅤ для ㅤ шифрования ㅤ сообщения, ㅤ но ㅤ только ㅤ обладатель ㅤ
ключа ㅤ дешифрования ㅤ сможет ㅤ расшифровать ㅤ это ㅤ сообщение. ㅤ Ключ ㅤ
дешифрования ㅤ также ㅤ называют ㅤ закрытым ㅤ ключом. ㅤ Поэтому ㅤ при ㅤ обмене ㅤ
информацией ㅤ с ㅤ помощью ㅤ ассиметричных ㅤ криптосистем ㅤ каждый ㅤ
пользователь ㅤ должен ㅤ иметь ㅤ в ㅤ своём ㅤ распоряжении ㅤ пару ㅤ взаимосвязанных ㅤ
ключей.
Криптографические ㅤ системы ㅤ с ㅤ открытым ㅤ ключом ㅤ можно ㅤ использовать:
•в ㅤ качестве ㅤ средства ㅤ шифрования ㅤ передаваемой ㅤ и ㅤ хранимой ㅤ
информации;
•в ㅤ качестве ㅤ средства ㅤ распределения ㅤ ключей;
•в ㅤ качестве ㅤ средства ㅤ аутентификации ㅤ пользователей.
Важным ㅤ преимуществом ㅤ ассиметричных ㅤ алгоритмов ㅤ перед ㅤ
симметричными ㅤ является ㅤ отсутствие ㅤ необходимости ㅤ предварительной ㅤ
передачи ㅤ секретного ㅤ ключа. ㅤ Основным ㅤ недостатком ㅤ является ㅤ
вычислительная ㅤ сложность, ㅤ а ㅤ следовательно, ㅤ большие ㅤ затраты ㅤ ресурсов ㅤ по ㅤ
сравнению ㅤ с ㅤ симметричными ㅤ алгоритмами. ㅤ Поэтому ㅤ на ㅤ практике ㅤ
ассиметричные ㅤ криптосистемы ㅤ используются ㅤ для ㅤ передачи ㅤ секретного ㅤ
ключа, ㅤ а ㅤ дальнейший ㅤ обмен ㅤ информацией ㅤ производится ㅤ уже ㅤ с ㅤ помощью ㅤ
симметричных ㅤ криптосистем.
Преимущества ㅤ ассиметричных ㅤ криптосистем:
•отсутствие ㅤ необходимости ㅤ предварительной ㅤ передачи ㅤ секретного ㅤ
ключа;
•закрытый ㅤ ключ ㅤ уникален ㅤ для ㅤ каждого ㅤ пользователя, ㅤ в ㅤ то ㅤ время ㅤ как ㅤ в ㅤ
симметричных ㅤ криптосистемах ㅤ один ㅤ ключ ㅤ известен ㅤ множеству ㅤ
пользователей;
83
•в ㅤ больших ㅤ сетях ㅤ число ㅤ ключей ㅤ при ㅤ использовании ㅤ ассиметричной ㅤ
криптосистемы ㅤ значительно ㅤ меньше, ㅤ чем ㅤ при ㅤ использовании ㅤ симметричной.
Недостатки ㅤ ассиметричных ㅤ криптосистем:
•необходимость ㅤ использования ㅤ более ㅤ длинных ㅤ ключей;
•сложность ㅤ и ㅤ ресурсоёмкость ㅤ вычислений.
В ㅤ настоящее ㅤ время ㅤ существует ㅤ множество ㅤ различных ㅤ алгоритмов ㅤ
ассиметричного ㅤ шифрования. ㅤ Самыми ㅤ распространёнными ㅤ на ㅤ сегодняшний ㅤ
день ㅤ являются:
•RSA;
•DSA;
• Elgamal;
• Diffie-Hellman;
•ECDSA;
•Rabin;
• ГОСТ ㅤ Р ㅤ 34.10-2001;
• McEliece.
В ㅤ настоящее ㅤ время ㅤ наиболее ㅤ развитым ㅤ методом ㅤ криптографической ㅤ
защиты ㅤ информации ㅤ с ㅤ известным ㅤ ключом ㅤ является ㅤ RSA, ㅤ названный ㅤ так ㅤ по ㅤ
начальным ㅤ буквам ㅤ фамилий ㅤ его ㅤ изобретателей ㅤ (Rivest, ㅤ Shamir ㅤ и ㅤ Adleman). ㅤ
Криптостойкость ㅤ данного ㅤ алгоритма ㅤ основывается ㅤ на ㅤ предположении, ㅤ что ㅤ
исключительно ㅤ трудно ㅤ определить ㅤ секретный ㅤ ключ ㅤ по ㅤ известному, ㅤ
поскольку ㅤ для ㅤ этого ㅤ необходимо ㅤ решить ㅤ задачу ㅤ о ㅤ существовании ㅤ делителей ㅤ
целого ㅤ числа. ㅤ Данная ㅤ задача ㅤ является ㅤ NP ㅤ - ㅤ полной. ㅤ Известные ㅤ точные ㅤ
алгоритмы ㅤ для ㅤ решения ㅤ данной ㅤ задачи ㅤ имеют ㅤ экспоненциальную ㅤ оценку ㅤ
вычислительной ㅤ сложности, ㅤ следствием ㅤ чего ㅤ является ㅤ невозможность ㅤ
получения ㅤ точных ㅤ решений ㅤ для ㅤ задач ㅤ большой ㅤ и ㅤ даже ㅤ средней ㅤ размерности.
Таким ㅤ образом, ㅤ единственным ㅤ способом ㅤ атаки ㅤ на ㅤ данный ㅤ алгоритм ㅤ
является ㅤ метод ㅤ грубой ㅤ силы. ㅤ Поэтому ㅤ для ㅤ обеспечения ㅤ эквивалентного ㅤ
уровня ㅤ защиты ㅤ ключ ㅤ асимметричной ㅤ криптосистемы ㅤ должен ㅤ быть ㅤ гораздо ㅤ
длиннее ㅤ ключа ㅤ симметричной ㅤ криптосистемы. ㅤ Это ㅤ сразу ㅤ же ㅤ сказывается ㅤ на ㅤ
84
вычислительных ㅤ ресурсах, ㅤ требуемых ㅤ для ㅤ шифрования. ㅤ Для ㅤ того ㅤ чтобы ㅤ
избежать ㅤ низкой ㅤ скорости ㅤ алгоритмов ㅤ асимметричного ㅤ шифрования, ㅤ
генерируется ㅤ временный ㅤ симметричный ㅤ ключ ㅤ для ㅤ каждого ㅤ сообщения ㅤ и ㅤ
только ㅤ он ㅤ шифруется ㅤ асимметричными ㅤ алгоритмами.
Само ㅤ сообщение ㅤ шифруется ㅤ с ㅤ использованием ㅤ этого ㅤ временного ㅤ
сеансового ㅤ ключа. ㅤ Затем ㅤ этот ㅤ сеансовый ㅤ ключ ㅤ шифруется ㅤ с ㅤ помощью ㅤ
открытого ㅤ асимметричного ㅤ ключа ㅤ получателя ㅤ и ㅤ асимметричного ㅤ алгоритма ㅤ
шифрования.
После ㅤ этого ㅤ этот ㅤ зашифрованный ㅤ сеансовый ㅤ ключ ㅤ вместе ㅤ с ㅤ
зашифрованным ㅤ сообщением ㅤ передается ㅤ получателю. ㅤ Получатель ㅤ
использует ㅤ тот ㅤ же ㅤ самый ㅤ асимметричный ㅤ алгоритм ㅤ шифрования ㅤ и ㅤ свой ㅤ
секретный ㅤ ключ ㅤ для ㅤ расшифровки ㅤ сеансового ㅤ ключа, ㅤ а ㅤ полученный ㅤ
сеансовый ㅤ ключ ㅤ используется ㅤ для ㅤ расшифровки ㅤ самого ㅤ сообщения.
В ㅤ асимметричных ㅤ криптосистемах ㅤ важно, ㅤ чтобы ㅤ сеансовые ㅤ и ㅤ
асимметричные ㅤ ключи ㅤ были ㅤ сопоставимы ㅤ в ㅤ отношении ㅤ уровня ㅤ безопасности, ㅤ
который ㅤ они ㅤ обеспечивают.
В ㅤ 1991 ㅤ году ㅤ в ㅤ США ㅤ был ㅤ опубликован ㅤ проект ㅤ федерального ㅤ стандарта ㅤ
цифровой ㅤ подписи ㅤ DSS ㅤ (Digital ㅤ Signature ㅤ Standard), ㅤ описывающий ㅤ систему ㅤ
цифровой ㅤ подписи ㅤ DSA. ㅤ Одним ㅤ из ㅤ основных ㅤ критериев ㅤ при ㅤ создании ㅤ
проекта ㅤ была ㅤ его ㅤ патентная ㅤ чистота. ㅤ Предлагаемый ㅤ алгоритм ㅤ DSA, ㅤ имеет, ㅤ
как ㅤ и ㅤ RSA, ㅤ теоретико-числовой ㅤ характер, ㅤ и ㅤ основан ㅤ на ㅤ криптографической ㅤ
системе ㅤ Эль-Гамаля ㅤ в ㅤ варианте ㅤ Шнорра. ㅤ Его ㅤ надежность ㅤ основана ㅤ на ㅤ
практической ㅤ неразрешимости ㅤ определенного ㅤ частного ㅤ случая ㅤ задачи ㅤ
вычисления ㅤ дискретного ㅤ логарифма. ㅤ Современные ㅤ методы ㅤ решения ㅤ этой ㅤ
задачи ㅤ имеют ㅤ приблизительно ㅤ ту ㅤ же ㅤ эффективность, ㅤ что ㅤ и ㅤ методы ㅤ решения ㅤ
задачи ㅤ факторизации; ㅤ в ㅤ связи ㅤ с ㅤ этим ㅤ предлагается ㅤ использовать ㅤ ключи ㅤ
длиной ㅤ от ㅤ 512 ㅤ до ㅤ 1024 ㅤ бит ㅤ с ㅤ теми ㅤ же ㅤ характеристиками ㅤ надежности, ㅤ что ㅤ и ㅤ в ㅤ
системе ㅤ RSA. ㅤ Длина ㅤ подписи ㅤ в ㅤ системе ㅤ DSA ㅤ меньше, ㅤ чем ㅤ в ㅤ RSA, ㅤ и ㅤ
составляет ㅤ 320 ㅤ бит. ㅤ С ㅤ момента ㅤ опубликования ㅤ проект ㅤ получил ㅤ много ㅤ
критических ㅤ отзывов, ㅤ многие ㅤ из ㅤ которых ㅤ были ㅤ учтены ㅤ при ㅤ его ㅤ доработке. ㅤ
85
Одним ㅤ из ㅤ главных ㅤ аргументов ㅤ против ㅤ DSA ㅤ является ㅤ то, ㅤ что, ㅤ в ㅤ отличие ㅤ от ㅤ
общей ㅤ задачи ㅤ вычисления ㅤ дискретного ㅤ логарифма, ㅤ ее ㅤ частный ㅤ случай, ㅤ
использованный ㅤ в ㅤ данной ㅤ схеме, ㅤ мало ㅤ изучен ㅤ и, ㅤ возможно, ㅤ имеет ㅤ
существенно ㅤ меньшую ㅤ сложность ㅤ вскрытия. ㅤ Функции ㅤ DSA ㅤ ограничены ㅤ
только ㅤ цифровой ㅤ подписью, ㅤ система ㅤ принципиально ㅤ не ㅤ предназначена ㅤ для ㅤ
шифрования ㅤ данных.
Один ㅤ из ㅤ стандартов, ㅤ позволяющих ㅤ выполнять ㅤ операции ㅤ
ассиметричного ㅤ шифрования ㅤ и ㅤ цифровой ㅤ подписи, ㅤ называется ㅤ OpenPGP. ㅤ
Основан ㅤ данный ㅤ стандарт ㅤ на ㅤ библиотеках ㅤ функций ㅤ PGP ㅤ (Pretty ㅤ Good ㅤ
Privacy). ㅤ Ввиду ㅤ проблем ㅤ с ㅤ лицензированием ㅤ некоторых ㅤ алгоритмов, ㅤ
использующихся ㅤ в ㅤ программе ㅤ PGP, ㅤ силами ㅤ Free ㅤ Software ㅤ Foundation ㅤ и ㅤ был ㅤ
создан ㅤ этот ㅤ стандарт. ㅤ Свободной ㅤ реализацией ㅤ нового ㅤ стандарта ㅤ стала ㅤ
программа ㅤ GNU ㅤ Privacy ㅤ Guard. ㅤ Существуют ㅤ версии ㅤ программы ㅤ под ㅤ Linux ㅤ и
ㅤ Windows.
Особенности ㅤ GNUPG:
•полная ㅤ альтернатива ㅤ PGP;
•не ㅤ использует ㅤ коммерческие ㅤ алгоритмы;
•распространяется ㅤ под ㅤ лицензией ㅤ GNU ㅤ GPL;
•совместимость ㅤ с ㅤ PGP ㅤ 5, ㅤ 6, ㅤ 7.
•поддержка ㅤ электронной ㅤ подписи ㅤ с ㅤ помощью ㅤ алгоритмов ㅤ ElGamal, ㅤ
DSA, ㅤ RSA ㅤ и ㅤ хэш-ф ункций ㅤ MD5, ㅤ SHA-1, ㅤ SHA-2.
•поддержка ㅤ ассиметричных ㅤ алгоритмов ㅤ ElGamal ㅤ и ㅤ RSA ㅤ с ㅤ длиной ㅤ
ключа ㅤ от ㅤ 1024 ㅤ до ㅤ 4096 ㅤ бит;
•поддержка ㅤ блочных ㅤ алгоритмов ㅤ симметричного ㅤ шифрования ㅤ AES, ㅤ
3DES, ㅤ Blowfish, ㅤ Twofish.
•возможность ㅤ расширения ㅤ за ㅤ счёт ㅤ дополнительных ㅤ модулей
Преимущества ㅤ данной ㅤ программы ㅤ заключаются ㅤ в ㅤ совместимости ㅤ с ㅤ
такими ㅤ почтовыми ㅤ клиентами, ㅤ как ㅤ Mozilla ㅤ Thunderbird, ㅤ The ㅤ Bat!. ㅤ Также ㅤ
функцию ㅤ шифрования ㅤ и ㅤ цифровой ㅤ подписи ㅤ можно ㅤ использовать ㅤ с ㅤ другими ㅤ
почтовыми ㅤ клиентами ㅤ при ㅤ помощи ㅤ программы ㅤ GPGrelay.
86
Программно-аппаратный ㅤ комплекс ㅤ «Удостоверяющий ㅤ Центр ㅤ
«КриптоПро ㅤ УЦ» ㅤ является ㅤ первым ㅤ в ㅤ Российской ㅤ Федерации ㅤ
специализированным ㅤ программно-аппаратным ㅤ комплексом, ㅤ успешно ㅤ
прошедшим ㅤ сертификационные ㅤ испытания ㅤ и ㅤ получившим ㅤ сертификат ㅤ
соответствия ㅤ ФСБ ㅤ России. ㅤ С ㅤ момента ㅤ получения ㅤ первого ㅤ сертификата ㅤ
соответствия ㅤ данный ㅤ комплекс ㅤ неоднократно ㅤ модернизировался, ㅤ качество ㅤ
новых ㅤ версий ㅤ комплекса ㅤ подтверждалось ㅤ новыми ㅤ сертификатами ㅤ
соответствия ㅤ ФСБ ㅤ России. ㅤ Свидетельством ㅤ отличных ㅤ эксплуатационных ㅤ
характеристик ㅤ является ㅤ его ㅤ широкое ㅤ применение ㅤ как ㅤ органами ㅤ
государственной ㅤ власти ㅤ и ㅤ местного ㅤ самоуправления, ㅤ так ㅤ и ㅤ субъектами ㅤ
малого, ㅤ среднего ㅤ и ㅤ крупного ㅤ бизнеса ㅤ всех ㅤ отраслей.
Программно-аппаратный ㅤ комплекс ㅤ «КриптоПро ㅤ УЦ» ㅤ предназначен ㅤ для ㅤ
выполнения ㅤ организационно-технических ㅤ мероприятий ㅤ по ㅤ обеспечению ㅤ
участников ㅤ автоматизированных ㅤ информационных ㅤ систем ㅤ средствами ㅤ
применения ㅤ электронной ㅤ подписи ㅤ в ㅤ целях:
•контроля ㅤ целостности ㅤ и ㅤ авторства ㅤ электронных ㅤ документов, ㅤ
передаваемых ㅤ в ㅤ АИС;
•проверки ㅤ подлинности ㅤ взаимодействующих ㅤ программных ㅤ
компонентов ㅤ и ㅤ конфиденциальности ㅤ передаваемых ㅤ данных ㅤ при ㅤ
информационном ㅤ взаимодействии;
•создания ㅤ системы ㅤ юридически ㅤ значимой ㅤ электронной ㅤ цифровой ㅤ
подписи ㅤ в ㅤ системах ㅤ электронного ㅤ документооборота;
•обеспечения ㅤ безопасности ㅤ и ㅤ разграничения ㅤ доступа ㅤ при ㅤ
взаимодействии ㅤ субъектов ㅤ АИС.
Таким ㅤ образом, ㅤ мы ㅤ выяснили, ㅤ что ㅤ в ㅤ настоящее ㅤ время ㅤ средства ㅤ
криптографической ㅤ защиты ㅤ информации ㅤ достаточно ㅤ развиты ㅤ как ㅤ за ㅤ рубежом,
ㅤ так ㅤ и ㅤ в ㅤ нашей ㅤ стране. ㅤ Наиболее ㅤ перспективным ㅤ нам ㅤ видится ㅤ использование ㅤ
комплексных ㅤ систем ㅤ защиты ㅤ информации, ㅤ которые ㅤ могут ㅤ использовать ㅤ
преимущества ㅤ различных ㅤ алгоритмов ㅤ шифрования ㅤ и ㅤ электронной ㅤ подписи. ㅤ
Также ㅤ важной ㅤ составляющей ㅤ программно-аппаратных ㅤ средств ㅤ
87
криптографической ㅤ защиты ㅤ информации ㅤ являются ㅤ алгоритмы ㅤ генерации ㅤ
ключевых ㅤ последовательностей ㅤ и ㅤ надёжные ㅤ способы ㅤ хранения ㅤ и ㅤ передачи ㅤ
полученных ㅤ ключей.
2.4.2 ㅤ Внутренний ㅤ аудит ㅤ системы ㅤ информационной ㅤ безопасности ㅤ и ㅤ
защиты ㅤ информации
Аудит ㅤ информационной ㅤ безопасности ㅤ — ㅤ системный ㅤ процесс ㅤ
получения ㅤ объективных ㅤ качественных ㅤ и ㅤ количественных ㅤ оценок ㅤ о ㅤ текущем ㅤ
состоянии ㅤ информационной ㅤ безопасности ㅤ компании ㅤ в ㅤ соответствии ㅤ с ㅤ
определенными ㅤ критериями ㅤ и ㅤ показателями ㅤ безопасности.
Различают ㅤ внешний ㅤ и ㅤ внутренний ㅤ аудит.
Внешний ㅤ аудит ㅤ — ㅤ это, ㅤ как ㅤ правило, ㅤ разовое ㅤ мероприятие, ㅤ проводимое ㅤ
по ㅤ инициативе ㅤ руководства ㅤ организации ㅤ или ㅤ акционеров. ㅤ Внешний ㅤ аудит ㅤ
рекомендуется ㅤ (а ㅤ для ㅤ ряда ㅤ финансовых ㅤ учреждений ㅤ и ㅤ акционерных ㅤ обществ ㅤ
требуется) ㅤ проводить ㅤ регулярно.
Внутренний ㅤ аудит ㅤ представляет ㅤ собой ㅤ непрерывную ㅤ деятельность, ㅤ
которая ㅤ осуществляется ㅤ на ㅤ основании ㅤ документа, ㅤ обычно ㅤ носящего ㅤ название ㅤ
“Положение ㅤ о ㅤ внутреннем ㅤ аудите“, ㅤ и ㅤ в ㅤ соответствии ㅤ с ㅤ планом, ㅤ подготовка ㅤ
которого ㅤ осуществляется ㅤ подразделением ㅤ внутреннего ㅤ аудита ㅤ и ㅤ
утверждается ㅤ руководством ㅤ организации. ㅤ Аудит ㅤ безопасности ㅤ
информационных ㅤ систем ㅤ является ㅤ одной ㅤ из ㅤ составляющих ㅤ ИТ—аудита.
Целями ㅤ проведения ㅤ аудита ㅤ безопасности ㅤ являются: ㅤ — ㅤ анализ ㅤ рисков, ㅤ
связанных ㅤ с ㅤ возможностью ㅤ осуществления ㅤ угроз ㅤ безопасности ㅤ в ㅤ отношении ㅤ
ресурсов ㅤ ИС; ㅤ — ㅤ оценка ㅤ текущего ㅤ уровня ㅤ защищенности ㅤ ИС; ㅤ — ㅤ локализация ㅤ
узких ㅤ мест ㅤ в ㅤ системе ㅤ защиты ㅤ ИС; ㅤ — ㅤ оценка ㅤ соответствия ㅤ ИС ㅤ существующим ㅤ
стандартам ㅤ в ㅤ области ㅤ информационной ㅤ безопасности; ㅤ — ㅤ выработка ㅤ
рекомендаций ㅤ по ㅤ внедрению ㅤ новых ㅤ и ㅤ повышению ㅤ эффективности ㅤ
существующих ㅤ механизмов ㅤ безопасности ㅤ ИС.
В ㅤ число ㅤ дополнительных ㅤ задач, ㅤ стоящих ㅤ перед ㅤ внутренним ㅤ аудитором, ㅤ
помимо ㅤ оказания ㅤ помощи ㅤ внешним ㅤ аудиторам, ㅤ могут ㅤ также ㅤ входить: ㅤ — ㅤ
разработка ㅤ политик ㅤ безопасности ㅤ и ㅤ других ㅤ организационно—
88
распорядительных ㅤ документов ㅤ по ㅤ защите ㅤ информации ㅤ и ㅤ участие ㅤ в ㅤ их ㅤ
внедрении ㅤ в ㅤ работу ㅤ организации; ㅤ — ㅤ постановка ㅤ задач ㅤ для ㅤ ИТ—персонала, ㅤ
касающихся ㅤ обеспечения ㅤ защиты ㅤ информации; ㅤ — ㅤ участие ㅤ в ㅤ обучении ㅤ
пользователей ㅤ и ㅤ обслуживающего ㅤ персонала ㅤ ИС ㅤ вопросам ㅤ обеспечения ㅤ
информационной ㅤ безопасности; ㅤ — ㅤ участие ㅤ в ㅤ разборе ㅤ инцидентов, ㅤ связанных ㅤ
с ㅤ нарушением ㅤ информационной ㅤ безопасности; ㅤ — ㅤ прочие ㅤ задачи.
Основные ㅤ этапы ㅤ аудита ㅤ безопасности
Работы ㅤ по ㅤ аудиту ㅤ безопасности ㅤ ИС ㅤ включают ㅤ в ㅤ себя ㅤ ряд ㅤ
последовательных ㅤ этапов, ㅤ которые ㅤ в ㅤ целом ㅤ соответствуют ㅤ этапам ㅤ
проведения ㅤ комплексного ㅤ ИТ—аудита ㅤ автоматизированной ㅤ системы, ㅤ
включающего ㅤ в ㅤ себя:
•инициирование ㅤ процедуры ㅤ аудита;
•сбор ㅤ информации ㅤ аудита;
•анализ ㅤ данных ㅤ аудита;
•выработку ㅤ рекомендаций;
•подготовку ㅤ аудиторского ㅤ отчета.
На ㅤ этапе ㅤ инициирования ㅤ процедуры ㅤ аудита ㅤ должны ㅤ быть ㅤ решены ㅤ
следующие ㅤ организационные ㅤ вопросы:
права ㅤ и ㅤ обязанности ㅤ аудитора ㅤ должны ㅤ быть ㅤ четко ㅤ определены ㅤ и ㅤ
документально ㅤ закреплены ㅤ в ㅤ его ㅤ должностных ㅤ инструкциях, ㅤ а ㅤ также ㅤ в ㅤ
положении ㅤ о ㅤ внутреннем ㅤ (внешнем) ㅤ аудите;
аудитором ㅤ должен ㅤ быть ㅤ подготовлен ㅤ и ㅤ согласован ㅤ с ㅤ руководством ㅤ план ㅤ
проведения ㅤ аудита;
в ㅤ положении ㅤ о ㅤ внутреннем ㅤ аудите ㅤ должно ㅤ быть ㅤ закреплено, ㅤ в ㅤ
частности, ㅤ что ㅤ сотрудники ㅤ компании ㅤ обязаны ㅤ оказывать ㅤ содействие ㅤ
аудитору ㅤ и ㅤ предоставлять ㅤ всю ㅤ необходимую ㅤ для ㅤ проведения ㅤ аудита ㅤ
информацию.
На ㅤ этапе ㅤ инициирования ㅤ процедуры ㅤ аудита ㅤ должны ㅤ быть ㅤ определены ㅤ
границы ㅤ проведения ㅤ обследования. ㅤ План ㅤ и ㅤ границы ㅤ проведения ㅤ аудита ㅤ
89
обсуждаются ㅤ на ㅤ рабочем ㅤ собрании, ㅤ в ㅤ котором ㅤ участвуют ㅤ аудиторы, ㅤ
руководство ㅤ компании ㅤ и ㅤ руководители ㅤ структурных ㅤ подразделений.
Этап ㅤ сбора ㅤ информации ㅤ аудита ㅤ является ㅤ наиболее ㅤ сложным ㅤ и ㅤ
длительным. ㅤ Это ㅤ связано ㅤ в ㅤ основном ㅤ с ㅤ отсутствием ㅤ необходимой ㅤ
документации ㅤ на ㅤ информационную ㅤ систему ㅤ и ㅤ с ㅤ необходимостью ㅤ плотного ㅤ
взаимодействия ㅤ аудитора ㅤ со ㅤ многими ㅤ должностными ㅤ лицами ㅤ организации.
Компетентные ㅤ выводы ㅤ относительно ㅤ положения ㅤ дел ㅤ в ㅤ компании ㅤ с ㅤ
информационной ㅤ безопасностью ㅤ могут ㅤ быть ㅤ сделаны ㅤ аудитором ㅤ только ㅤ при ㅤ
условии ㅤ наличия ㅤ всех ㅤ необходимых ㅤ исходных ㅤ данных ㅤ для ㅤ анализа. ㅤ Первый ㅤ
пункт ㅤ аудиторского ㅤ обследования ㅤ начинается ㅤ с ㅤ получения ㅤ информации ㅤ об ㅤ
организационной ㅤ структуре ㅤ пользователей ㅤ ИС ㅤ и ㅤ обслуживающих ㅤ
подразделений. ㅤ Назначение ㅤ и ㅤ принципы ㅤ функционирования ㅤ ИС ㅤ во ㅤ многом ㅤ
определяют ㅤ существующие ㅤ риски ㅤ и ㅤ требования ㅤ безопасности, ㅤ
предъявляемые ㅤ к ㅤ системе. ㅤ Далее, ㅤ аудитору ㅤ требуется ㅤ более ㅤ детальная ㅤ
информация ㅤ о ㅤ структуре ㅤ ИС. ㅤ Это ㅤ позволит ㅤ уяснить, ㅤ каким ㅤ образом ㅤ
осуществляется ㅤ распределение ㅤ механизмов ㅤ безопасности ㅤ по ㅤ структурным ㅤ
элементам ㅤ и ㅤ уровням ㅤ функционирования ㅤ ИС.
Используемые ㅤ аудиторами ㅤ методы ㅤ анализа ㅤ данных ㅤ определяются ㅤ
выбранными ㅤ подходами ㅤ к ㅤ проведению ㅤ аудита, ㅤ которые ㅤ могут ㅤ существенно ㅤ
различаться.
Первый ㅤ подход, ㅤ самый ㅤ сложный, ㅤ базируется ㅤ на ㅤ анализе ㅤ рисков. ㅤ
Опираясь ㅤ на ㅤ методы ㅤ анализа ㅤ рисков, ㅤ аудитор ㅤ определяет ㅤ для ㅤ обследуемой ㅤ
ИС ㅤ индивидуальный ㅤ набор ㅤ требований ㅤ безопасности, ㅤ в ㅤ наибольшей ㅤ степени ㅤ
учитывающий ㅤ особенности ㅤ данной ㅤ ИС, ㅤ среды ㅤ ее ㅤ функционирования ㅤ и ㅤ
существующие ㅤ в ㅤ данной ㅤ среде ㅤ угрозы ㅤ безопасности.
Второй ㅤ подход, ㅤ самый ㅤ практичный, ㅤ опирается ㅤ на ㅤ использование ㅤ
стандартов ㅤ информационной ㅤ безопасности. ㅤ Стандарты ㅤ определяют ㅤ базовый ㅤ
набор ㅤ требований ㅤ безопасности ㅤ для ㅤ широкого ㅤ класса ㅤ ИС, ㅤ который ㅤ
формируется ㅤ в ㅤ результате ㅤ обобщения ㅤ мировой ㅤ практики. ㅤ Стандарты ㅤ могут ㅤ
определять ㅤ разные ㅤ наборы ㅤ требований ㅤ безопасности, ㅤ в ㅤ зависимости ㅤ от ㅤ
90
уровня ㅤ защищенности ㅤ ИС, ㅤ который ㅤ требуется ㅤ обеспечить, ㅤ ее ㅤ
принадлежности ㅤ (коммерческая ㅤ организация ㅤ либо ㅤ государственное ㅤ
учреждение), ㅤ а ㅤ также ㅤ назначения ㅤ (финансы, ㅤ промышленность, ㅤ связь ㅤ и ㅤ т. ㅤ п.). ㅤ
От ㅤ аудитора ㅤ в ㅤ данном ㅤ случае ㅤ требуется ㅤ правильно ㅤ определить ㅤ набор ㅤ
требований ㅤ стандарта, ㅤ соответствие ㅤ которым ㅤ нужно ㅤ обеспечить.
Третий ㅤ подход, ㅤ наиболее ㅤ эффективный, ㅤ предполагает ㅤ комбинирование ㅤ
первых ㅤ двух. ㅤ Базовый ㅤ набор ㅤ требований ㅤ безопасности, ㅤ предъявляемых ㅤ к ㅤ ИС, ㅤ
определяется ㅤ стандартом. ㅤ Дополнительные ㅤ требования, ㅤ в ㅤ максимальной ㅤ
степени ㅤ учитывающие ㅤ особенности ㅤ функционирования ㅤ данной ㅤ ИС, ㅤ
формируются ㅤ на ㅤ основе ㅤ анализа ㅤ рисков.
Рекомендации, ㅤ выдаваемые ㅤ аудитором ㅤ по ㅤ результатам ㅤ анализа ㅤ
состояния ㅤ ИС, ㅤ определяются ㅤ используемым ㅤ подходом, ㅤ особенностями ㅤ
обследуемой ㅤ ИС, ㅤ состоянием ㅤ дел ㅤ с ㅤ информационной ㅤ безопасностью ㅤ и ㅤ
степенью ㅤ детализации, ㅤ используемой ㅤ при ㅤ проведении ㅤ аудита. ㅤ В ㅤ любом ㅤ
случае, ㅤ рекомендации ㅤ аудитора ㅤ должны ㅤ быть ㅤ конкретными ㅤ и ㅤ применимыми ㅤ
к ㅤ данной ㅤ ИС, ㅤ экономически ㅤ обоснованными, ㅤ аргументированными ㅤ
(подкрепленными ㅤ результатами ㅤ анализа) ㅤ и ㅤ отсортированными ㅤ по ㅤ степени ㅤ
важности. ㅤ При ㅤ этом ㅤ мероприятия ㅤ по ㅤ обеспечению ㅤ защиты ㅤ организационного ㅤ
уровня ㅤ практически ㅤ всегда ㅤ имеют ㅤ приоритет ㅤ над ㅤ конкретными ㅤ
программно—техническими ㅤ методами ㅤ защиты. ㅤ В ㅤ то ㅤ же ㅤ время ㅤ наивно ㅤ
ожидать ㅤ от ㅤ аудитора, ㅤ в ㅤ качестве ㅤ результата ㅤ проведения ㅤ аудита, ㅤ выдачи ㅤ
технического ㅤ проекта ㅤ подсистемы ㅤ информационной ㅤ безопасности, ㅤ либо ㅤ
детальных ㅤ рекомендаций ㅤ по ㅤ внедрению ㅤ конкретных ㅤ программно—
технических ㅤ средств ㅤ защиты ㅤ информации. ㅤ Это ㅤ требует ㅤ более ㅤ детальной ㅤ
проработки ㅤ конкретных ㅤ вопросов ㅤ организации ㅤ защиты, ㅤ хотя ㅤ внутренние ㅤ
аудиторы ㅤ могут ㅤ принимать ㅤ в ㅤ этих ㅤ работах ㅤ самое ㅤ активное ㅤ участие.
Аудиторский ㅤ отчет ㅤ является ㅤ основным ㅤ результатом ㅤ проведения ㅤ аудита. ㅤ
Его ㅤ качество ㅤ характеризует ㅤ качество ㅤ работы ㅤ аудитора. ㅤ Он ㅤ должен, ㅤ по ㅤ
крайней ㅤ мере, ㅤ содержать ㅤ описание ㅤ целей ㅤ проведения ㅤ аудита, ㅤ характеристику ㅤ
обследуемой ㅤ ИС, ㅤ указание ㅤ границ ㅤ проведения ㅤ аудита ㅤ и ㅤ используемых ㅤ
91
методов, ㅤ результаты ㅤ анализа ㅤ данных ㅤ аудита, ㅤ выводы, ㅤ обобщающие ㅤ эти ㅤ
результаты ㅤ и ㅤ содержащие ㅤ оценку ㅤ уровня ㅤ защищенности ㅤ АС ㅤ или ㅤ
соответствие ㅤ ее ㅤ требованиям ㅤ стандартов, ㅤ и, ㅤ конечно, ㅤ рекомендации ㅤ аудитора ㅤ
по ㅤ устранению ㅤ существующих ㅤ недостатков ㅤ и ㅤ совершенствованию ㅤ системы ㅤ
защиты.
2.4.3 ㅤ Анализ ㅤ результатов ㅤ внутреннего ㅤ аудита
Информационная ㅤ безопасность ㅤ представляет ㅤ собой ㅤ комплексный ㅤ
продукт ㅤ профессиональной ㅤ активной ㅤ деятельности, ㅤ направленный ㅤ на ㅤ
выявлений ㅤ недостатков ㅤ в ㅤ системе ㅤ безопасности ㅤ сохранения ㅤ коммерческих ㅤ
тайн. ㅤ Основывается ㅤ на ㅤ стандарте ㅤ ISO ㅤ 17799, ㅤ при ㅤ создании ㅤ эффективной ㅤ
системы ㅤ безопасности ㅤ особое ㅤ внимание ㅤ следует ㅤ уделить ㅤ комплексному ㅤ
подходу ㅤ к ㅤ управлению ㅤ информационной ㅤ безопасностью. ㅤ По ㅤ этим ㅤ причинам ㅤ в ㅤ
качестве ㅤ элементов ㅤ управления ㅤ рассматриваются ㅤ не ㅤ только ㅤ технические, ㅤ но ㅤ
и ㅤ организационно-административные ㅤ меры, ㅤ направленные ㅤ на ㅤ обеспечение ㅤ
следующих ㅤ требований ㅤ к ㅤ информации: ㅤ конфиденциальность; ㅤ целостность; ㅤ
достоверность; ㅤ доступность. ㅤ Ее ㅤ профессиональное ㅤ осуществление ㅤ является ㅤ
атрибутом, ㅤ преимущественно ㅤ ряда ㅤ определенных ㅤ организаций. ㅤ К ㅤ сожалению ㅤ
юридические ㅤ лица, ㅤ в ㅤ действительности ㅤ очень ㅤ редко ㅤ обращаются ㅤ к ㅤ такого ㅤ
рода ㅤ услугам, ㅤ самонадеянно ㅤ рассчитывая ㅤ на ㅤ либо ㅤ собственные ㅤ службы ㅤ
Безопасности, ㅤ либо ㅤ на ㅤ русский ㅤ авось. ㅤ Тем ㅤ самым ㅤ неся ㅤ фактически ㅤ огромные ㅤ
убытки ㅤ в ㅤ прибыли, ㅤ грамотно ㅤ скрываемые ㅤ от ㅤ руководителя ㅤ его ㅤ же ㅤ
сотрудниками. ㅤ Независимый ㅤ аудит ㅤ данной ㅤ информации ㅤ выявляет ㅤ состояние ㅤ
защиты ㅤ данной ㅤ ценной ㅤ информации, ㅤ а ㅤ также ㅤ лиц, ㅤ осуществляющих ㅤ кражу ㅤ
информации, ㅤ обеспечение ㅤ утечек ㅤ и ㅤ злоупотреблений.
3 ㅤ Обоснование ㅤ экономической ㅤ эффективности ㅤ проекта
3.1 ㅤ Выбор ㅤ и ㅤ обоснование ㅤ методики ㅤ расчёта ㅤ экономической ㅤ
эффективности
Проблема ㅤ выбора ㅤ и ㅤ построения ㅤ эффективной ㅤ системы ㅤ
информационной ㅤ защищенности ㅤ компании ㅤ для ㅤ предприятий, ㅤ