Понятие и особенности аудита информационной безопасности

Согласно [1] аудит информационной безопасности – это систематический, независимый и документируемый процесс получения свидетельств деятельности организации по обеспечению информационной безопасности и установлению степени выполнения в организации критериев информационной безопасности, а также допускающий возможность формирования профессионального аудиторского суждения о состоянии информационной безопасности организации.
Отметим, что в современных условиях аудит является почти незаменимым инструментом для проведения комплексных исследований и оценки информации, принятия управленческих решений, прогнозирования развития всего бизнеса и его информационной системы в частности, а также инструментом поддержки управления этими системами [4, с. 103].
Основная цель аудита – получение объективной, а также независимой оценки состояния информационной безопасности. Все в дальнейшем зависит от решаемых средствами аудита задач. К задачам аудита информационной безопасности можно отнести (рисунок 1):
Рисунок 1 – Задачи аудита информационной безопасности
Проведение аудита информационной безопасности организации обязательно направлено на достижение конкретной цели

. Зачастую это анализ уровня защищенности информационной структуры организации, выявление потенциальных угроз.
В настоящее время аудит информационной безопасности проводят по отношению к следующим объектам [3, с. 4]:
организации;
бизнес-процессы;
системы управления (менеджмента);
информационные системы;
технические системы.
Ключевые причины, которые определяют необходимость проведения аудита информационной безопасности, для большей части организаций:
необходимость получения объективной картины: на каком уровне развития находится система информационной безопасности, соответствует ли она потребностям бизнеса и внешним требованиям (законодательству, отраслевым, нормативным требованиям, собственным требованиям организации и т.д.);
отсутствие понимания того, какие действия следует предпринять для совершенствования (развития) системы информационной безопасности и следует ли их предпринимать в целом;
неэффективность существующей системы информационной безопасности, что сказывается на текущей деятельности персонала (сотрудников);
необходимость приведения существующих механизмов защиты информации в соответствие с требованиями федерального законодательства и (или) требованиями уполномоченных органов исполнительной власти.
Наиболее частыми критериями для аудита являются законы, стандарты или требования регулирующих органов