Сообщений в теме: 4

[Spy]

Аудит информационной системы (ИС) - это системный процесс получения и оценки объективных данных о текущем состоянии ИС, действиях и событиях, происходящих в ней, устанавливающий уровень их соответствия определённому критерию и предоставляющий результаты заказчику.

или

Периодический контроль (просмотр) протокольной информации в системе с целью обеспечения ее безопасности или повышения производительности.

или

Аудит безопасности включает распознавание, запись, хранение и анализ информации, связанной с действиями, влияющими на безопасность. Получаемые в результате записи аудита могут быть проанализированы для определения значимости этих действий для безопасности. Этот класс образован из семейств, которые определяют, помимо всего прочего, требования к отбору событий, подлежащих аудиту, анализу записей аудита, их защите и хранению.

Так что же это собой представляет, как начать, при помощи чего нужно проводить?

[Toparenko]

Так что же это собой представляет, как начать, при помощи чего нужно проводить?

Попробуйте (для начала) изучить бесплатные материалы Интернет-Университета Информационных Технологий по ИБ. В дальнейшем потребуются более серьезные знания и курсы, но это уже платно...

[Spy]

Спасибо, это вы про азы информационной безопасности (ИБ). С этим уже более-менее. Кстати, с курсами этого института тоже знакомы. Работа, конечно, качественная, но про аудит только в разделе обзора стандартов ИБ (BS1799, ISO 15408).

Если уж говорить о публикациях, то стоит отметить:

http://www.infosecur.../article02.html
ИТ-АУДИТ в соответствии со стандартом COBIT
Александр Астахов

http://www.infosecur.../article01.html
Введение в COBIT
Александр Астахов

http://www.cobit.ru/...AAM_SecEval.htm
Анализ защищенности корпоративных автоматизированных систем
Александр Астахов

http://www.citforum....zahita_aktivov/
Методические основы защиты информационных активов компании
Сергей Петренко, "Конфидент"

http://www.citforum....outisonew.shtml
Практическое применение международного стандарта информационной безопасности ISO 17799
Илья Медведовский, "Domina Security"

http://www.setevoi.r...zines/2001/9/46
Информационная система под лупой аудита
Сергей Гузик, "Джет Инфосистемс"

А также стандарты ISO 15408 (Common Criteria), ISO 17799, COBIT, SAC, COSO, SAS 55/78, а это значит -
http://iso.org
http://isaca.org

Может быть кто ещё подскажет инфы?
Однако и этого достаточно, чтобы приступать, а с чего бы начали вы?
Интересует опыт, конкретные этапы, программы и всё-всё-всё!

[Toparenko]

Это уже классика (не однократно описанная), перечень и часть документов для РФ можно взять на сайте Гостехкомиссии России (ссылку я дал ранее):
- определитесь с защищаемыми ресурсами (перечень конфиденциальной информации, где и в каком виде она храниться, кто и в каком объеме к ней имет доступ [в том числе и косвенный]);
- определите основные риски (ГОСТ Р 51275-99, ГОСТ Р ИСО/МЭК 15408-2002, РД Безопасность информационных технологий Критерии оценки безопасности информационных технологий);
- определитье политику ИБ (что, как и какими средствами и мерами Вы будете защищать, кто этим будет заниматься и кто определять достаточность принимаемых мер);
- далее уже создание системы информационной безопасности (подчеркиваю именно системы, а не отдельных ее элементов), при этом следует уже самостоятельно определить, что и как будете защищать в первую очередь.

Из курсов могу порекомедновать в Москве УЦ Информзащита, в Питере УЦ Конфидент

[Toparenko]

Еще один аспект информационной безопасности - это побочные электромагнитные излучения и наводки (ПЭМИН). Материалы, средства как защиты, так и съема информации можно посмотреть на сайте компании НЕЛК, которая так же имеет свой учебный центр.

Аналогичной деятельностью занимаются НПО "Защита информации" и другие компании.