Сегодня самой востребованной услугой на рынке информационной безопасности является аудит. Чтобы воспользоваться нужным видом аудита, следует в первую очередь ознакомиться с критериями его оптимального выбора.
1 Активный аудит
Наиболее популярный вид аудита — активный аудит. Он представляет собой исследование уровня надежности информационной системы с точки зрения хакера. Многие поставщики активный аудит называют инструментальным анализом защищенности, что позволяет отделить его от остальных видов.
Активный аудит предполагает сбор информации о состоянии системы сетевой защиты при помощи соответствующего метода и программного обеспечения. А состояние системы сетевой защиты определяются параметрами и настройками, при использовании которых хакер может проникнуть в сети и нанести ущерб фирмы.
Благодаря данному виду аудита выявляют все уязвимости, уровни их критичности, определяют способы устранения, получают сведения о доступной информации сети заказчика.
После проведения активного аудита можно модернизировать системы сетевой защиты, позволяющие избавиться от вредных уязвимостей, что делает информационную систему более защищенной.
Заказать активный аудит можно периодически. Уровень сетевой безопасности можно подразделить на «внешний» и «внутренний».
«Внешний» активный аудит позволяет моделировать шаги «внешнего» злоумышленника. «Внутренний» активный аудит отличается тем, что в процессе его осуществления при помощи специальных программных средств моделируются операции «внутреннего» злоумышленника.
Бывает, что в процессе активного аудита возникает необходимость проведения вспомогательных услуг касательно оценки системы информационной безопасности. К ним можно отнести осуществление специальных исследований, исследование производительности и стабильности системы, стресс-тестирование, тест на проникновение и др.
2. Экспертный аудит
Этот вид аудита подразумевает сравнение состояния информационной безопасности с «идеальным» описанием, которое основывается:
— на требования руководителя к проведению аудита;
— на схеме «идеальной» системы безопасности.
Экспертный аудит требует осуществления определенных действий и видов работ, например, подготовку исходных данных об информационной системе, о ее особенностях и др.
