Теоретические аспекты программы аудита информационной безопасности

Следует начать с того, что аудит информационной безопасности представляет собой системный процесс получения не только объективных качественных, но и количественных оценок о текущем состоянии информационной безопасности предприятия в соответствии с определёнными критериями и показателями безопасности [3, с. 147].
К задачам аудита относится:
Анализ информационной системы общества и используемых средств информационной безопасности;
Идентификация информационных активов организации;
Выявление уязвимостей выявленных информационных активов;
Оценка угроз активам;
Оценка средств повышения уровня информационной безопасности в обществе;
Выбор средств информационной безопасности и разработка их применения в организации;
Оценка экономической эффективности использования выбранных средств

.
Для проведения аудита информационной безопасности на предприятии привлекаются внешние компании, оказывающие услуги в области информационной безопасности. Они выполняются экспертами, количество которых зависит от целей и задач обследования, а также от сложности объекта оценки. Одним из простейших видов аудита безопасности ИТ-инфраструктуры является сканирование уязвимостей, выполняемое с помощью специального программного обеспечения.
В настоящее время, когда, к сожалению, не хватает специалистов с соответствующими знаниями и опытом, важно найти подходы, которые минимизируют их усилия и в то же время максимизируют результаты [1, с