Аудит критической информационной инфраструктуры

Аудит критической информационной инфраструктуры (КИИ) - комплекс мероприятий, включающих получение текущих характеристик объекта (обследование), оценку текущего состояния системы ЗИ на соответствие определенным критериям, предоставление рекомендаций по повышению уровня защищенности.

Аудит КИИ можно условно разделить на плановый (комплексный) и специальный (расширенный/сокращенный).

Плановый аудит позволяет

владельцам значимых объектов КИИ (ОКИИ) – выполнить требования п. 36 Приказа ФСТЭК России №235 от 21.12.2017, в соответствии с которым владелец значимого ОКИИ должен не реже, чем раз в 3 года, проводить либо внутренний контроль своими силами, либо организовывать внешнюю оценку (внешний аудит) с привлечением организации, имеющей соответствующую лицензию на деятельность в области защиты информации;

владельцам ОКИИ без категории значимости – провести независимый контроль состояния системы обеспечения безопасности КИИ: организационных и технических мер. 

В ходе комплексного (планового) аудита:

• проверяется выполнение требований Федерального закона от 26.07.2017 № 187-ФЗ и подзаконных актов, организационно-распорядительных документов (ОРД) субъекта КИИ по безопасности ОКИИ;

• проводится экспертиза ОРД по безопасности ОКИИ на их актуальность, соответствие их комплектности и содержания требованиям Федерального закона от 26.07.2017 № 187-ФЗ и подзаконных актов;

• проводится оценка эффективности принятых организационных и технических мер в том числе с применением средств контроля (анализа) защищенности.

По результатам комплексного (планового) аудита владелец объекта КИИ получает отчет, содержащий описание информационной инфраструктуры объектов, заключение по текущему состоянию защищенности, перечень выявленных недостатков с рекомендациями по их устранению.

Недостатки, которые можно устранить в ходе проведения аудита (настройка СЗИ, доработка ОРД, иное), устраняются в ходе аудита нашими специалистами.

Специальный аудит позволяет расширить или сузить перечень типовых мероприятий, проводимых в ходе комплексного аудита в зависимости от поставленных субъектом КИИ целей и задач.

Типовые цели аудита:

• подготовка к проверке регулятора, ведомства, иной вышестоящей организации;

• планирование мероприятий по модернизации/совершенствованию/созданию системы защиты информации и/или информационной инфраструктуры ОКИИ: оценка бюджета, сроков и содержания;

• определение стратегии развития системы обеспечения безопасности ОКИИ;

• актуализация ОРД по безопасности ОКИИ.

Состав результатов аудита и содержание отчета по результатам аудита определяется исходя из целей аудита и согласовывается с Заказчиком.

Регулярный внешний аудит позволяет:

• поддерживать высокий уровень защищенности ОКИИ;

• эффективно совершенствовать систему обеспечения безопасности ОКИИ;

• снизить риски штрафов и предписаний.