Экспертиза и аудит информационной безопасности

Аудит информационной безопасности — независимая систематическая проверка того, как организация защищает информацию: какие правила действуют, как они выполняются, как настроены системы, кто и к чему имеет доступ, насколько меры защиты соответствуют требованиям закона, стандартов и собственной политики. Экспертиза информационной безопасности — исследование конкретного события или спора: был ли несанкционированный доступ, по какой причине произошла утечка, выполнил ли подрядчик обязательства по защите, соответствовали ли меры защиты требованиям на дату инцидента.

Разница между ними — во времени и цели. Аудит смотрит вперед: где слабые места и что исправить, пока ничего не случилось. Экспертиза смотрит назад: что произошло и кто за это отвечает. Организация, которая регулярно проводит аудит, обычно лучше подготовлена и к экспертизе: у нее есть журналы, документы и доказательства того, что меры защиты действовали.

АНО «СЗЭПЦ» проводит экспертизы с 1990 года и относится к первым негосударственным экспертным организациям на территории Российской Федерации. АНО «СЗЭПЦ» — некоммерческое судебное экспертное учреждение, зарегистрировано Министерством юстиции Российской Федерации под учетным номером 7814053482. Заключения АНО принимают арбитражные суды и суды общей юрисдикции более чем в сорока регионах. Ниже описано, как проводится аудит информационной безопасности, какие методы и стандарты применяются, что входит в план и отчет, чем внутренний аудит отличается от внешнего, когда нужна экспертиза информационной безопасности в суде и как подготовиться к ней заранее.

Что такое аудит информационной безопасности

Аудит по информационной безопасности организации оценивает не отдельный сервер, а систему защиты в целом: людей, процессы и технологии. Проверяются документы: политика, регламенты, приказы о назначении ответственных, перечни защищаемой информации. Проверяется практика: выполняются ли эти документы на самом деле. Проверяются технические меры: настройки систем, права доступа, журналирование, резервное копирование, обновления.

Термин «аудит» в этой области заимствован из стандартов систем менеджмента. ГОСТ Р ИСО 19011-2021 определяет аудит как систематический, независимый и документируемый процесс получения объективных свидетельств и их объективной оценки для определения степени выполнения критериев аудита. Критерии аудита — это требования, с которыми сравнивается фактическое состояние: закон, стандарт, договор, внутренняя политика.

Аудит обеспечения информационной безопасности отвечает на три вопроса. Какие требования обязательны для организации и какие она приняла добровольно. Насколько фактическое состояние им соответствует. Какие несоответствия и риски выявлены и что нужно сделать. Итог работы — отчет с перечнем несоответствий, оценкой их значимости и рекомендациями.

Аудит и контроль информационной безопасности

Аудит и контроль информационной безопасности часто упоминаются вместе, но это разные функции. Контроль — постоянная работа служб организации: мониторинг событий, проверка прав, реагирование на инциденты. Аудит — периодическая независимая проверка того, как работает сама система контроля. Аудит и контроль информационной безопасности дополняют друг друга: контроль без аудита со временем превращается в формальность, аудит без контроля выявляет одни и те же несоответствия год за годом.

Зачем проводить аудит информационной безопасности

Провести аудит информационной безопасности организацию побуждают несколько типовых причин.

Требования закона. Операторы персональных данных, владельцы государственных информационных систем, субъекты критической информационной инфраструктуры, финансовые организации обязаны выполнять установленные требования к защите информации и периодически оценивать их выполнение.

Требования контрагентов. Крупные заказчики и банки все чаще включают в договоры требования к защите данных и право проверить их выполнение. Отчет независимого аудита помогает подтвердить соответствие.

Подготовка к проверке. Перед проверкой надзорного органа организации нужно знать свои слабые места и устранить их.

Смена подрядчика или руководства. Новому руководителю или новому подрядчику по обслуживанию нужна объективная картина того, что он принимает.

После инцидента. Когда произошла утечка или взлом, аудит показывает, какие еще уязвимости остались, а экспертиза — что именно произошло и кто отвечает.

Сделка. При покупке компании аудит информационной безопасности оценивает риски, которые покупатель получит вместе с бизнесом.

Внутренние аудиты информационной безопасности и внешний аудит

Внутренние аудиты информационной безопасности проводят работники самой организации, не отвечающие за проверяемую область. Их преимущество в знании процессов и регулярность: внутренние аудиты информационной безопасности можно проводить по графику, охватывая разные подразделения и системы в течение года. Недостаток в зависимости: сотрудник редко готов указать на ошибки руководства или соседнего отдела, а привычные практики он перестает замечать.

Внешний аудит информационной безопасности проводит сторонняя организация. Он дает независимый взгляд и опыт, накопленный на других объектах, а его отчет имеет больший вес для контрагентов, акционеров и суда. Внешний аудит информационной безопасности особенно полезен перед значимыми событиями (проверкой надзорного органа, сделкой, сменой подрядчика) и после инцидентов, когда внутренней службе трудно быть объективной к собственной работе.

Лучшая практика сочетает оба вида: внутренние аудиты информационной безопасности обеспечивают постоянство, внешний аудит — независимую оценку раз в год или при изменениях. Стандарты систем менеджмента требуют от организации планировать и проводить внутренние аудиты, а внешний аудит используют для подтверждения.

Как подготовиться к аудиту

Аудит проходит быстрее и дает больше пользы, если организация готовится к нему заранее. Подготовка не означает наведения порядка к приходу аудитора: цель аудита — увидеть реальную картину, а не парадную.

Нужно назначить ответственного за взаимодействие с аудитором, который собирает документы, организует интервью и выдает доступы. Собрать организационно-распорядительные документы по информационной безопасности и персональным данным в одном месте, включая старые редакции. Подготовить перечень информационных систем с указанием владельцев, администраторов и подрядчиков, схемы сети, сведения о средствах защиты. Предупредить руководителей подразделений о графике интервью. Определить, какие журналы и конфигурации аудитор получит и в каком виде, и выдать учетные записи с правами только на чтение.

Полезно также заранее собрать результаты прошлых аудитов и проверок, журнал инцидентов за последний год и сведения о том, что было сделано по прежним рекомендациям. Это позволяет аудитору сосредоточиться на новом, а руководству увидеть динамику: какие несоответствия устранены, какие повторяются и почему.

Объекты аудита информационной безопасности

Объекты аудита информационной безопасности определяются при планировании и зависят от цели. Типовой перечень:

организационные документы: политика информационной безопасности, регламенты, инструкции, приказы о назначении ответственных, перечни сведений конфиденциального характера, положение о коммерческой тайне;

процессы: управление доступом, управление учетными записями при приеме и увольнении, управление изменениями, реагирование на инциденты, резервное копирование и восстановление, работа с подрядчиками;

информационные системы: учетные, кадровые, клиентские, системы документооборота, почта, облачные сервисы;

информационная инфраструктура: серверы, рабочие станции, сетевое оборудование, средства защиты, беспроводные сети;

персональные данные: цели и правовые основания обработки, согласия, уведомление надзорного органа, модель угроз, меры защиты;

люди: осведомленность работников, выполнение ими правил, обучение.

Объекты аудита информационной безопасности не обязательно охватывают всю организацию. Аудит может ограничиваться одной системой, одним процессом или одним требованием, например защитой персональных данных. Границы фиксируются в плане, и выводы отчета относятся только к ним.

Аудит безопасности информационных систем и инфраструктуры

Аудит безопасности информационных систем проверяет конкретные системы: как в них настроены права доступа, ведется ли журналирование действий пользователей, защищены ли учетные записи администраторов, обновляются ли компоненты, как хранятся резервные копии, какие данные передаются во внешние сервисы. Аудит безопасности информационных систем сопоставляет настройки с документацией и требованиями и выявляет расхождения: учетные записи уволенных сотрудников, общие пароли, отключенный аудит действий, избыточные права.

Аудит безопасности информационной инфраструктуры охватывает то, на чем работают системы: сеть и ее сегментацию, межсетевые экраны и правила доступа, удаленный доступ, беспроводные сети, серверы и рабочие станции, средства антивирусной защиты, резервное копирование, физическую защиту серверных помещений. Аудит безопасности информационной инфраструктуры проводится путем анализа конфигураций, схем, журналов и документации с выборочной проверкой на месте. Работа ведется по поручению владельца систем и в согласованных с ним границах, чтобы проверка не нарушала работу организации.

Проведение аудита информационной безопасности

Проведение аудита информационной безопасности строится по циклу, описанному в стандартах аудита систем менеджмента: планирование, сбор свидетельств, оценка, отчет, контроль устранения.

План аудита информационной безопасности

План аудита информационной безопасности фиксирует, что проверяется и как. В нем указываются цели аудита, его границы (подразделения, системы, процессы), критерии (законы, стандарты, внутренние документы), с которыми сравнивается фактическое состояние, методы проверки, график, состав аудиторов, перечень документов и доступов, которые организация должна предоставить, порядок взаимодействия с ответственными лицами.

Хороший план аудита информационной безопасности согласуется с руководителем организации до начала работ. Это снимает большинство конфликтов: подразделения заранее знают, что и когда будут проверять, а аудитор получает доступы вовремя. План также определяет, как обращаться с конфиденциальной информацией, ставшей известной в ходе аудита.

Сбор свидетельств

Аудитор изучает документы, проводит интервью с руководителями и работниками, наблюдает за выполнением процессов, анализирует конфигурации систем и журналы, выборочно проверяет записи: например, берет список уволенных за квартал и проверяет, заблокированы ли их учетные записи во всех системах. Каждое наблюдение фиксируется с указанием источника.

Оценка и отчет

Наблюдения сопоставляются с критериями. Выявленные несоответствия классифицируются по значимости: критические, требующие немедленного устранения, значительные, второстепенные. Для каждого указываются требование, фактическое состояние, доказательство и риск. Отчет завершается рекомендациями и, при необходимости, планом устранения с приоритетами.

Контроль устранения

Через согласованный срок проверяется, устранены ли несоответствия. Без этого этапа проведение аудита информационной безопасности превращается в разовое мероприятие, а отчет — в документ, который никто не читает.

Аудит информационной безопасности: методы

Аудит информационной безопасности методы использует разные, и их сочетание определяет глубину выводов.

Анализ документов показывает, какие правила установлены и насколько они полны. Интервью показывают, как правила понимают и применяют. Наблюдение показывает, как процессы выполняются на практике. Анализ конфигураций систем и сетевого оборудования выявляет технические несоответствия. Анализ журналов показывает, что происходило фактически: входы, изменения прав, ошибки, инциденты. Выборочная проверка записей подтверждает или опровергает выполнение процедур.

Аудит информационной безопасности методы выбирает по цели. Для проверки соответствия закону о персональных данных основной метод состоит в анализе документов и процессов. Для оценки защищенности инфраструктуры применяют анализ конфигураций и журналов, для оценки осведомленности работников используют интервью и наблюдение. Методы указываются в плане и в отчете, чтобы выводы можно было проверить.

Стандарт аудита информационной безопасности

Единого обязательного стандарта аудита информационной безопасности для всех организаций в России нет. Выбор зависит от того, какие требования обязательны для организации и какую цель преследует аудит.

Общие правила аудита любых систем менеджмента устанавливает ГОСТ Р ИСО 19011-2021: принципы аудита, управление программой аудитов, проведение аудита, компетентность аудиторов. Специально для систем менеджмента информационной безопасности применяется ГОСТ Р ИСО/МЭК 27007-2014 с руководствами по аудиту таких систем.

Критерии для оценки самой системы защиты дают ГОСТ Р ИСО/МЭК 27001-2021, устанавливающий требования к системе менеджмента информационной безопасности, и ГОСТ Р ИСО/МЭК 27002-2021 со сводом мер обеспечения информационной безопасности. Термины области определены ГОСТ Р 50922-2006.

Для отдельных категорий организаций стандарт аудита информационной безопасности фактически задан отраслевыми требованиями. Финансовые организации руководствуются ГОСТ Р 57580.1-2017 о составе мер защиты и ГОСТ Р 57580.2-2018 о методике оценки соответствия, причем оценку соответствия в случаях, установленных Банком России, проводят организации, имеющие лицензию на деятельность по технической защите конфиденциальной информации. Операторы персональных данных — требованиями постановления Правительства Российской Федерации от 1 ноября 2012 года № 1119 и приказа ФСТЭК России от 18 февраля 2013 года № 21. Владельцы государственных информационных систем — приказом ФСТЭК России от 11 февраля 2013 года № 17. Субъекты критической информационной инфраструктуры — требованиями, утвержденными приказом ФСТЭК России от 25 декабря 2017 года № 239.

Выбранный стандарт аудита информационной безопасности указывается в плане и в отчете. Отчет, в котором не сказано, по каким критериям проводилась проверка, для контрагента или суда почти бесполезен: непонятно, чему именно соответствует или не соответствует организация.

Управление аудитом информационной безопасности

Управление аудитом информационной безопасности — это работа с программой аудитов, а не с отдельной проверкой. Программа определяет, какие аудиты проводятся в течение года или нескольких лет, по каким областям, с какой периодичностью, кто их проводит и как используются результаты.

ГОСТ Р ИСО 19011-2021 описывает управление аудитом как самостоятельный процесс: установление целей программы, оценку рисков программы, определение ресурсов, назначение ответственного за программу, мониторинг ее выполнения и анализ результатов. Управление аудитом информационной безопасности на практике означает, что наиболее рискованные системы проверяются чаще, результаты прошлых аудитов учитываются при планировании следующих, а повторяющиеся несоответствия становятся предметом решения руководства.

Менеджмент аудита информационной безопасности

Менеджмент аудита информационной безопасности охватывает и компетентность аудиторов. Стандарт требует, чтобы аудитор знал принципы и методы аудита, предметную область и требования, по которым проводится проверка, и был независим от проверяемой деятельности. В небольших организациях это решается привлечением внешнего аудитора, в крупных созданием внутренней группы и периодическим внешним подтверждением.

Менеджмент аудита информационной безопасности включает также работу с результатами: реестр несоответствий, назначение ответственных за устранение, сроки, повторную проверку. Именно на этом этапе аудит дает эффект. Отчет, результаты которого не превратились в задачи с ответственными и сроками, не снижает рисков.

Политика аудита информационной безопасности

Политика аудита информационной безопасности — внутренний документ, который устанавливает, зачем, как и кем в организации проводятся аудиты. В ней фиксируются цели аудита, виды аудитов (внутренние и внешние, плановые и внеплановые), периодичность, требования к независимости и квалификации аудиторов, порядок доступа аудиторов к информации, порядок оформления и рассмотрения результатов, ответственность за устранение несоответствий.

Политика аудита информационной безопасности обычно входит в систему документов вместе с общей политикой информационной безопасности или является ее разделом. Для суда и контрагента наличие такой политики и доказательства ее выполнения — отчеты, протоколы рассмотрения, акты устранения — показывают, что организация управляла рисками системно, а не реагировала на инциденты по факту. В споре о том, приняла ли организация разумные меры защиты коммерческой тайны или персональных данных, эти документы часто решают исход.

Аудит проверяет и саму политику: соответствует ли она требованиям, актуальна ли, известна ли работникам, выполняется ли. Политика аудита информационной безопасности, принятая и забытая, так же бесполезна, как ее отсутствие.

Аудит защиты персональных данных

Самый массовый вид аудита — проверка соблюдения Федерального закона от 27 июля 2006 года № 152-ФЗ «О персональных данных». Практически любая организация обрабатывает персональные данные работников и клиентов и является оператором. Статья 18.1 закона обязывает оператора принять меры, необходимые для выполнения обязанностей, в том числе вести внутренний контроль соответствия обработки закону и требованиям к защите. Статья 19 устанавливает обязанность принимать правовые, организационные и технические меры защиты.

Аудит проверяет: определены ли цели и правовые основания обработки для каждого набора данных; есть ли согласия там, где они нужны, и соответствуют ли они требованиям к содержанию; опубликована ли политика обработки; направлено ли уведомление в уполномоченный орган; определены ли угрозы и уровень защищенности информационных систем персональных данных по требованиям, утвержденным постановлением Правительства Российской Федерации от 1 ноября 2012 года № 1119; реализованы ли меры защиты по составу, установленному приказом ФСТЭК России от 18 февраля 2013 года № 21; как организованы передача данных третьим лицам и трансграничная передача; как реагирует организация на обращения субъектов и на инциденты с данными.

Результат аудита — перечень несоответствий с указанием норм и план их устранения. Для организации это подготовка к проверке надзорного органа, а в случае утечки — доказательство того, что меры защиты принимались.

Аудит обеспечения информационной безопасности в малом и среднем бизнесе

Небольшие организации редко держат специалиста по защите информации, а функции делят между системным администратором, бухгалтером и руководителем. Для них аудит обеспечения информационной безопасности решает простую, но важную задачу: показать, какие обязательные требования на них распространяются и где главные дыры.

Типовые находки в таких организациях повторяются. Общая учетная запись администратора, пароль от которой знают несколько человек. Учетные записи уволенных работников, которые никто не отключил. Резервные копии, которые делаются, но ни разу не проверялись на восстановление. Документы по персональным данным, скачанные из интернета и не имеющие отношения к реальной обработке. Удаленный доступ к серверу, открытый подрядчиком для удобства и забытый.

Аудит обеспечения информационной безопасности в малом бизнесе обычно укладывается в короткий срок и завершается отчетом с короткой дорожной картой: что исправить в первую очередь, что можно отложить. Провести аудит информационной безопасности такого масштаба разумно раз в год и после каждой смены администратора или подрядчика.

Внешний аудит информационной безопасности для малого бизнеса почти всегда выгоднее внутреннего: своего независимого проверяющего в организации нет, а сторонний аудитор за несколько дней видит то, что сотрудники перестали замечать. Аудит безопасности информационной инфраструктуры в таких организациях сводится к проверке сети, сервера, рабочих станций, резервного копирования и удаленного доступа, и этого обычно достаточно, чтобы закрыть основные риски.

Государственные системы и критическая информационная инфраструктура

Владельцы государственных информационных систем и субъекты критической информационной инфраструктуры работают по специальным требованиям. Для государственных систем обязательна аттестация по требованиям о защите информации, для значимых объектов критической инфраструктуры — категорирование и реализация мер защиты по требованиям Федеральной службы по техническому и экспортному контролю в соответствии с Федеральным законом от 26 июля 2017 года № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации».

Для таких организаций аудит по информационной безопасности организации помогает подготовиться к обязательным процедурам: проверить полноту документов, распределение ответственности, выполнение организационных мер, соответствие фактических настроек систем принятым решениям. Отчет аудита показывает, что нужно довести до готовности, прежде чем проходить установленные законом процедуры подтверждения соответствия.

Услуги аудита информационной безопасности

Услуги аудита информационной безопасности, которые оказывает АНО «СЗЭПЦ», охватывают:

аудит по информационной безопасности организации в целом по выбранным критериям — закону, стандартам серии ГОСТ Р ИСО/МЭК 27000, внутренней политике;

аудит соблюдения законодательства о персональных данных;

аудит безопасности информационных систем и информационной инфраструктуры по документации, конфигурациям и журналам;

проверку политики и нормативных документов по информационной безопасности на полноту и соответствие требованиям;

проверку режима коммерческой тайны: перечня сведений, порядка доступа, ознакомления работников, технических мер;

аудит работы подрядчика по обслуживанию и защите информации на соответствие договору;

аудит после инцидента с оценкой оставшихся рисков.

Услуги аудита информационной безопасности оформляются отчетом. Если организация предполагает использовать результаты в споре, отчет готовится по правилам заключения специалиста: с описанием методов, источников сведений и ограничений выводов.

Подготовка к проверке надзорного органа

Проверка уполномоченного органа по защите прав субъектов персональных данных или иного контролирующего органа начинается с запроса документов. Организация, которая заранее провела аудит, отвечает на запрос быстро и последовательно: документы актуальны, соответствуют фактической обработке, а доказательства выполнения мер собраны.

Аудит перед проверкой строится от перечня вопросов, которые обычно задает орган: цели и основания обработки, согласия, политика, уведомление, назначение ответственного, определение уровня защищенности, модель угроз, меры защиты, порядок реагирования на запросы субъектов и на инциденты, условия передачи данных третьим лицам. По каждому пункту аудитор проверяет наличие документа, его содержание и доказательства выполнения.

Результат оформляется перечнем несоответствий с приоритетами. Важно успеть устранить те, что влекут ответственность, и подготовить объяснения по остальным. Сам факт проведения аудита и начатой работы по устранению нарушений показывает органу добросовестность оператора.

Пределы аудита

Аудит дает картину на дату проверки и в согласованных границах. Он не гарантирует отсутствия уязвимостей за пределами проверенных систем и не прогнозирует действия злоумышленников. Отчет прямо указывает, что проверялось, каким методом и на какой выборке, и что осталось за пределами проверки.

Аудит соответствия внутренней политике не подтверждает соответствие обязательным требованиям, если они не были включены в критерии, а аудит одной системы ничего не говорит о состоянии соседних. Эти ограничения стоит понимать заранее, чтобы выбрать правильный формат работы и не переоценивать выводы отчета.

Экспертиза информационной безопасности в суде

Экспертиза информационной безопасности назначается судом, когда спор связан с защитой информации. Типовые ситуации:

после утечки или взлома организация взыскивает убытки с подрядчика, который отвечал за защиту, и спорит о том, выполнял ли он обязательства;

заказчик отказывается оплачивать внедрение средств защиты, считая, что они не соответствуют договору;

работник оспаривает увольнение за разглашение, и нужно установить, были ли меры охраны сведений и каким каналом они ушли;

субъект персональных данных взыскивает компенсацию за утечку, и оператор доказывает, что принимал необходимые меры;

организация оспаривает привлечение к ответственности за нарушения в сфере персональных данных и нуждается в оценке своих мер защиты;

контрагенты спорят о том, чья система стала источником инцидента.

Экспертиза информационной безопасности отличается от аудита процессуальным статусом и предметом. Эксперт отвечает на вопросы суда о фактах в прошлом, предупреждается об ответственности, объекты получает через суд. Методы во многом совпадают: анализ журналов, конфигураций, документов, но фокус — на конкретном событии и конкретной дате.

Что устанавливает экспертиза информационной безопасности

Экспертиза информационной безопасности по инциденту устанавливает хронологию: когда и через какую уязвимость или учетную запись получен доступ, какие системы затронуты, какие данные изменены, удалены или переданы, как долго продолжалась активность. Источники — журналы систем и средств защиты, образы носителей, сведения систем мониторинга, резервные копии.

По договору о защите информации экспертиза информационной безопасности устанавливает, выполнялись ли обязанности исполнителя: установка и настройка средств защиты, обновления, мониторинг событий, резервное копирование, реагирование на инциденты в установленные сроки. Для этого сопоставляются договор, отчеты исполнителя и фактические данные систем.

По вопросу о достаточности мер экспертиза информационной безопасности устанавливает, какие меры защиты фактически действовали на дату события, и сопоставляет их с требованиями, обязательными для организации, и с ее собственной политикой. Вывод о том, были ли меры достаточными в правовом смысле, делает суд, но опирается он на эту техническую картину.

По режиму коммерческой тайны экспертиза устанавливает технические составляющие: как ограничивался доступ к сведениям, велся ли учет лиц, получивших доступ, применялись ли средства контроля передачи данных, каким каналом сведения покинули организацию. Соблюдение правовых условий режима по Федеральному закону от 29 июля 2004 года № 98-ФЗ «О коммерческой тайне» оценивает суд.

Назначение экспертизы в суде

Экспертизу назначает суд по ходатайству стороны. К ходатайству прилагается информационное письмо экспертной организации о готовности, сроке, стоимости и кандидатурах экспертов.

В делах об информационной безопасности в ходатайстве важно просить суд обязать стороны сохранить журналы систем и средств защиты за спорный период, не вносить изменения в конфигурации до окончания экспертизы, предоставить эксперту доступ к системам в режиме чтения и копии документов по защите информации: политику, регламенты, отчеты подрядчика, журналы инцидентов. Сведения, которые находятся у третьих лиц — оператора связи, облачного провайдера, разработчика средства защиты, — истребуются отдельными запросами.

Отдельно решается вопрос о конфиденциальности. Документы по защите информации и сведения о системах сами являются чувствительными. В определении можно указать порядок обращения с ними, а стороны вправе ходатайствовать о закрытом рассмотрении в соответствующей части.

Вопросы эксперту

Формулировки ниже требуют привязки к конкретным системам, периодам и документам.

Вопросы об инциденте

Имел ли место несанкционированный доступ к указанной системе в указанный период? Когда, через какой узел или учетную запись он получен?

Какие данные были изменены, удалены или переданы за пределы организации? Каков их объем?

Какова продолжительность недоступности систем и какие данные утрачены безвозвратно?

Вопросы об исполнении договора

Выполнялись ли исполнителем обязанности по установке и настройке средств защиты, обновлению программного обеспечения, мониторингу событий и резервному копированию, предусмотренные договором?

Соответствовали ли фактические сроки реагирования на инциденты срокам, установленным договором?

Могла ли своевременная реализация предусмотренных договором мер предотвратить или ограничить последствия инцидента?

Вопросы о мерах защиты

Какие организационные и технические меры защиты информации фактически действовали в организации на указанную дату?

Соответствовали ли действовавшие меры требованиям внутренней политики информационной безопасности и требованиям, указанным в договоре?

Какие технические меры применялись для ограничения доступа к сведениям, составляющим коммерческую тайну, и велся ли учет лиц, получивших к ним доступ?

Вопросы о вине, о соблюдении режима коммерческой тайны в правовом смысле и о законности обработки персональных данных эксперту не ставятся.

Разграничение со смежными процедурами

Аудит информационной безопасности и экспертиза — не единственные процедуры в этой области. Многие из них обязательны и выполняются другими организациями.

Аттестация объектов информатизации по требованиям безопасности информации проводится аккредитованными организациями и завершается аттестатом соответствия.

Сертификация средств защиты информации проводится в системе сертификации Федеральной службы по техническому и экспортному контролю испытательными лабораториями и органами по сертификации.

Оценка соответствия финансовых организаций по ГОСТ Р 57580.2-2018 в случаях, установленных Банком России, проводится организациями с лицензией на техническую защиту конфиденциальной информации.

Категорирование объектов критической информационной инфраструктуры проводит сам субъект с направлением сведений в уполномоченный орган.

Государственный контроль за обработкой персональных данных ведет уполномоченный орган по защите прав субъектов персональных данных.

Информационно-компьютерная и компьютерно-сетевая экспертизы исследуют данные и сетевые события и нередко сопровождают экспертизу информационной безопасности при расследовании инцидента.

Нормативная база

Процессуальная основа экспертизы: Федеральный закон от 31 мая 2001 года № 73-ФЗ «О государственной судебно-экспертной деятельности в Российской Федерации», требования которого по статье 41 распространяются на негосударственных экспертов; статьи 79–87 Гражданского процессуального кодекса Российской Федерации; статьи 82–87 Арбитражного процессуального кодекса Российской Федерации; статья 26.4 Кодекса Российской Федерации об административных правонарушениях.

Законы о защите информации: Федеральный закон от 27 июля 2006 года № 149-ФЗ «Об информации, информационных технологиях и о защите информации», статья 16 которого устанавливает обязанности по защите информации; Федеральный закон от 27 июля 2006 года № 152-ФЗ «О персональных данных», статьи 18.1 и 19; Федеральный закон от 29 июля 2004 года № 98-ФЗ «О коммерческой тайне»; Федеральный закон от 26 июля 2017 года № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации».

Подзаконные акты: постановление Правительства Российской Федерации от 1 ноября 2012 года № 1119 о требованиях к защите персональных данных при их обработке в информационных системах; постановление Правительства Российской Федерации от 3 февраля 2012 года № 79 о лицензировании деятельности по технической защите конфиденциальной информации; приказы ФСТЭК России от 11 февраля 2013 года № 17, от 18 февраля 2013 года № 21, от 25 декабря 2017 года № 239.

Стандарты: ГОСТ Р ИСО 19011-2021 о руководящих указаниях по аудиту систем менеджмента; ГОСТ Р ИСО/МЭК 27007-2014 о руководствах по аудиту систем менеджмента информационной безопасности; ГОСТ Р ИСО/МЭК 27001-2021 и ГОСТ Р ИСО/МЭК 27002-2021 о требованиях и мерах; ГОСТ Р 57580.1-2017 и ГОСТ Р 57580.2-2018 для финансовых организаций; ГОСТ Р 50922-2006 о терминах; ГОСТ Р ИСО/МЭК 27037-2014 о сборе цифровых свидетельств при расследовании инцидентов.

Договорные отношения: статьи 702, 721 и 723 Гражданского кодекса Российской Федерации о качестве работ; глава 39 об оказании услуг; статьи 15 и 393 о возмещении убытков.

Порядок проведения экспертизы

Экспертиза по инциденту начинается с фиксации: эксперт выгружает журналы систем и средств защиты, снимает копии конфигураций, при необходимости — образы носителей, вычисляет контрольные значения. Затем восстанавливает хронологию, сопоставляя события из разных источников с учетом расхождения часов устройств. Параллельно изучает документы по защите информации и договоры с подрядчиками, чтобы понять, какие меры должны были действовать.

Экспертиза по исполнению договора начинается с перечня обязательств исполнителя. По каждому обязательству эксперт ищет доказательства выполнения в фактических данных: даты установки обновлений, изменения правил средств защиты, записи системы мониторинга, резервные копии, заявки и ответы поддержки. Отчеты исполнителя сверяются с этими данными, а расхождения фиксируются.

Заключение содержит описание объектов и источников сведений, методов и средств, хронологию, результаты по каждому обязательству или вопросу и выводы. В приложения входят таблицы событий, выгрузки журналов, таблица соответствия мер требованиям. Сведения о системах защиты в приложениях приводятся в объеме, необходимом для обоснования, без описания способов преодоления защиты.

Что передать для аудита и экспертизы

Для аудита: организационно-распорядительные документы по информационной безопасности и персональным данным, перечень информационных систем, схемы сети, сведения о средствах защиты, договоры с подрядчиками, доступ к конфигурациям и журналам в режиме чтения, возможность провести интервью с ответственными лицами.

Для экспертизы по инциденту: журналы систем и средств защиты за период до и после инцидента, конфигурации, образы носителей затронутых узлов, сведения систем мониторинга, резервные копии, переписка с подрядчиком и обращения в поддержку, сведения третьих лиц, истребованные судом.

Для экспертизы по договору: договор с приложениями, техническое задание, отчеты исполнителя, акты, журналы инцидентов, сведения о системах, в которые исполнитель вносил изменения.

Главное правило после инцидента: не восстанавливать системы из резервной копии, не сохранив поврежденное состояние, не очищать журналы и не менять конфигурации без фиксации.

Аудит работы подрядчика по защите информации

Многие организации передают защиту информации на аутсорсинг: подрядчик администрирует средства защиты, ведет мониторинг, реагирует на инциденты. Заказчик платит ежемесячно и узнает о качестве работы только тогда, когда что-то случилось.

Аудит работы подрядчика проверяет, выполняются ли обязательства договора на деле: установлены ли обновления в сроки, соответствуют ли правила средств защиты согласованной политике, ведется ли мониторинг событий и реагирует ли подрядчик на них, выполняется ли резервное копирование и проверяется ли восстановление, как управляются учетные записи администраторов. Сопоставляются отчеты подрядчика и фактические данные систем.

Такой аудит полезен и без спора: он показывает, за что организация платит, и дает основания пересмотреть условия. Часто по его итогам в договор добавляют измеримые обязательства: сроки установки обновлений после их выпуска, сроки реакции на события разной критичности, периодичность проверки восстановления из резервных копий, порядок отчетности с приложением выгрузок из систем. Такие условия дисциплинируют подрядчика и одновременно облегчают доказывание, если спор все же возникнет. Если спор все же возник, отчет, подготовленный по правилам заключения специалиста, становится доказательством и основанием для ходатайства о судебной экспертизе.

Облачные сервисы и внешние поставщики

Данные организации все чаще хранятся не на ее серверах, а в облачных сервисах, у поставщиков программного обеспечения по подписке, в системах контрагентов. Для аудита это означает, что часть объектов находится вне прямого доступа.

Аудит в этой части проверяет, какие данные и куда передаются, на каком основании, какие обязательства по защите приняли поставщики, как организация контролирует их выполнение, кто в организации имеет доступ к облачным учетным записям с правами администратора, включена ли дополнительная аутентификация, ведется ли журнал действий. Для персональных данных отдельно проверяются условия поручения обработки и трансграничная передача.

В споре с облачным поставщиком экспертиза информационной безопасности опирается на сведения, которые поставщик предоставляет по запросу суда, и на распределение ответственности в договоре: поставщик отвечает за инфраструктуру, клиент — за настройки доступа и учетные записи.

Осведомленность работников

Большинство инцидентов начинается с действий людей: работник открыл вложение, передал пароль по телефону, отправил документ не тому адресату, подключил личное устройство. Аудит осведомленности проверяет, знают ли работники правила, проходили ли обучение, понимают ли, как действовать при подозрительном письме или звонке, куда сообщать об инциденте.

Методы — интервью, анкетирование, наблюдение за выполнением процедур, анализ журналов обучения и ознакомления с документами. Имитационные рассылки фишинговых писем проводятся только по решению руководства организации и в согласованных границах, а их результаты показывают реальный уровень готовности работников точнее любых анкет.

В споре об увольнении за нарушение правил информационной безопасности доказательства ознакомления работника с правилами и прохождения им обучения часто решают дело. Аудит заранее показывает, есть ли у организации такие доказательства.

Аудит перед сделкой

При покупке компании или крупного пакета долей покупатель оценивает риски, которые получит вместе с бизнесом. Информационная безопасность относится к областям, где скрытые проблемы обходятся дорого: незаявленные утечки, претензии надзорного органа по персональным данным, отсутствие прав на используемые системы, зависимость от одного администратора.

Аудит перед сделкой проверяет состояние защиты по документам и выборочно по системам, выявляет известные инциденты и претензии, оценивает соответствие обязательным требованиям. Результат учитывается при определении цены и условий сделки, в том числе заверений об обстоятельствах по статье 431.2 Гражданского кодекса Российской Федерации: продавец заверяет покупателя об отсутствии инцидентов и нарушений, а при недостоверности заверений отвечает за убытки. Поэтому покупателю полезно получить отчет аудита до подписания договора, а продавцу — провести аудит заранее и устранить найденное, чтобы заверения соответствовали действительности. Срок такого аудита обычно ограничен сроком сделки, и план аудита информационной безопасности для нее строится от наиболее рискованных областей: персональные данные клиентов, ключевые информационные системы, права администраторов.

Как читать отчет аудита

Отчет аудита информационной безопасности должен позволять проверить каждый вывод. Сторона, получившая отчет, смотрит: указаны ли цели, границы и критерии аудита; перечислены ли методы и источники свидетельств; для каждого несоответствия приведены ли требование, фактическое состояние и доказательство; оценена ли значимость несоответствий по понятной шкале; даны ли конкретные рекомендации с приоритетами; указаны ли ограничения — что не проверялось и почему.

Отчет без критериев и доказательств — мнение аудитора, а не результат аудита. Хороший отчет можно передать новому руководителю или подрядчику без устных пояснений: из него понятно, что проверено, что найдено, насколько это важно и что делать дальше. В суде такой документ легко оспаривается, а для руководства бесполезен, потому что непонятно, что именно исправлять.

Сроки

Аудит информационной безопасности организации, аудит безопасности информационных систем и инфраструктуры и аудит работы подрядчика по защите информации занимают 10–20 дней: срок зависит от числа подразделений, систем и интервью, согласованных в плане аудита информационной безопасности. Экспертиза инцидента информационной безопасности требует 5–15 дней в зависимости от объема журналов и числа затронутых систем, рецензия на чужое заключение готовится за 5–10 дней. Аудит соблюдения законодательства о персональных данных, проверка политики и документов, экспертиза исполнения договора о защите информации оцениваются индивидуально после предварительного анализа. Если эксперт ждет сведения от третьих лиц, срок продлевается на время их получения.

Повторная экспертиза и рецензия

Неполное заключение восполняется дополнительной экспертизой, необоснованное — повторной по статье 87 процессуальных кодексов. Типичные дефекты заключений по информационной безопасности: не указано, по каким требованиям оценивались меры защиты; вывод о достаточности мер сделан без сопоставления с обязательными требованиями и договором; журналы исследованы без учета расхождения часов; не описано происхождение сведений; сделан правовой вывод о вине или о несоблюдении режима коммерческой тайны. Эти дефекты показывает рецензия специалиста. Судебная коллегия по экономическим спорам Верховного Суда Российской Федерации в определении от 25 января 2018 года по делу № 305-ЭС17-11486 подтвердила, что рецензия образует мотивированные возражения, которые суд обязан рассмотреть.

Возражения оппонента

«Инцидент был неизбежен, защититься от такой атаки невозможно». Эксперт устанавливает, какой был вектор атаки и была ли предусмотрена договором или требованиями мера, которая его закрывала: обновление уязвимого компонента, дополнительная аутентификация, сегментация.

«Мы выполняли все обязательства». Отчеты исполнителя сверяются с фактическими данными систем: даты обновлений, изменения правил, записи мониторинга.

«Отчет аудита составлен по заказу заинтересованной стороны». Поэтому отчет, предназначенный для суда, готовится по правилам заключения специалиста, с методами и доказательствами, которые оппонент может проверить.

«Меры защиты соответствовали требованиям». Эксперт составляет таблицу соответствия: требование, фактическая мера на дату события, доказательство.

Стоимость и сроки

Цена аудита зависит от границ проверки, числа систем, документов и интервью, цена экспертизы — от объема журналов, числа систем и вопросов. Сумма и срок называются после бесплатного предварительного анализа.

Типичные ошибки

Аудит проводят без плана и без критериев, и отчет превращается в перечень мнений.

Результаты аудита не превращаются в задачи с ответственными и сроками, и через год выявляются те же несоответствия.

Внутренний аудит поручают тем, кто отвечает за проверяемую область.

После инцидента системы восстанавливают, не сохранив журналы и поврежденное состояние.

Договор с подрядчиком по защите не содержит измеримых обязательств, и доказать их нарушение трудно.

Работников не знакомят с правилами под подпись, и увольнение за нарушение отменяется.

Документы по персональным данным скачивают из интернета и не приводят в соответствие с реальной обработкой.

Аудит путают с аттестацией или сертификацией и считают, что отчет аудита подтверждает выполнение обязательных требований.

Распространенные заблуждения

Заблуждение первое: аудит нужен только крупным компаниям. Любой оператор персональных данных обязан контролировать соответствие обработки закону, а утечка у малого бизнеса обходится не дешевле.

Заблуждение второе: отчет аудита заменяет аттестацию. Аттестация и сертификация — самостоятельные обязательные процедуры, которые проводят аккредитованные организации.

Заблуждение третье: если есть средства защиты, организация защищена. Средства защиты без настройки, обновления и контроля дают ложное чувство безопасности. Аудит проверяет, как они работают.

Заблуждение четвертое: после инцидента виноват тот, кто атаковал, а не организация. Для надзорного органа и суда важно, принимала ли организация меры, обязательные для нее, и выполнял ли подрядчик договор.

Заблуждение пятое: документы по безопасности — формальность. В споре о персональных данных, коммерческой тайне и увольнении именно документы и доказательства их выполнения решают исход.

Заблуждение шестое: внешний аудит — это проверка на проникновение. Проверка на проникновение является отдельной услугой. Аудит оценивает систему защиты в целом: документы, процессы и технические меры.

Что делать после инцидента информационной безопасности

Шаг первый. Изолируйте затронутые системы от сети, но не выключайте и не восстанавливайте их до фиксации состояния.

Шаг второй. В тот же день выгрузите журналы систем, средств защиты и систем мониторинга за период до и после инцидента, сохраните конфигурации и снимите копии поврежденных систем.

Шаг третий. Зафиксируйте обращения к подрядчику по защите и его ответы, сохраните договор, отчеты и журнал инцидентов.

Шаг четвертый. Если затронуты персональные данные, выполните обязанности по уведомлению уполномоченного органа в сроки, установленные законом о персональных данных.

Шаг пятый. Получите предварительный анализ специалиста: какие следы сохранились, что можно установить, какие сведения нужно запросить у третьих лиц.

Шаг шестой. Для спора закажите заключение специалиста или заявите в суде ходатайство об экспертизе информационной безопасности с вопросами о хронологии, исполнении договора и действовавших мерах.

Частые вопросы

Чем аудит информационной безопасности отличается от экспертизы?

Аудит оценивает систему защиты и дает рекомендации на будущее. Экспертиза информационной безопасности устанавливает факты конкретного события или спора в прошлом и оформляется заключением для суда.

Как провести аудит информационной безопасности в организации?

Определить цели, границы и критерии, составить план аудита информационной безопасности, собрать свидетельства — документы, интервью, конфигурации, журналы, оценить несоответствия, подготовить отчет с рекомендациями и проконтролировать их выполнение.

Какой стандарт аудита информационной безопасности применяется?

Общие правила аудита — ГОСТ Р ИСО 19011-2021, для систем менеджмента информационной безопасности — ГОСТ Р ИСО/МЭК 27007-2014, критерии — ГОСТ Р ИСО/МЭК 27001-2021 и 27002-2021, а для отдельных отраслей — обязательные требования к защите персональных данных, государственных систем, критической инфраструктуры и финансовых организаций.

Чем внутренний аудит отличается от внешнего?

Внутренний проводят работники организации по графику, внешний — независимая сторонняя организация. Внешний дает более объективную оценку и больший вес отчету для контрагентов и суда.

Аудит информационной безопасности методы: какие из них применяются?

Анализ документов, интервью, наблюдение, анализ конфигураций и журналов, выборочная проверка записей. Выбор методов зависит от цели и указывается в плане и отчете.

Сколько стоит аудит информационной безопасности?

Аудит информационной безопасности организации по документам, процессам и настройкам стоит от 70 000 ₽, аудит безопасности информационных систем и инфраструктуры от 80 000 ₽, аудит работы подрядчика по защите информации от 70 000 ₽. Срок 10–20 дней. Точная сумма фиксируется в договоре после бесплатного предварительного анализа.

От чего зависит стоимость аудита?

От границ проверки, указанных в плане: числа подразделений и информационных систем, объема документов, количества интервью, необходимости проверять настройки и журналы в каждой системе.

Сколько стоит аудит безопасности информационных систем и инфраструктуры?

От 80 000 ₽, срок 10–20 дней. В работу входят анализ схем сети, конфигураций серверов, сетевого оборудования и средств защиты, прав доступа, журналирования и резервного копирования с выборочной проверкой на месте.

Сколько стоит проверка работы подрядчика по защите информации?

От 70 000 ₽, срок 10–20 дней. Отчеты подрядчика сопоставляются с фактическими данными систем по каждому обязательству договора.

Сколько стоит экспертиза инцидента информационной безопасности?

От 60 000 ₽, срок 5–15 дней. Цена зависит от числа затронутых систем, объема журналов и количества вопросов суда.

Сколько стоит рецензия на заключение экспертизы информационной безопасности?

От 50 000 ₽, срок 5–10 дней. Цена зависит от объема заключения и приложений и от необходимости проверять исходные журналы.

Нужен ли аудит, если у нас есть подрядчик по защите?

Да. Аудит показывает, выполняет ли подрядчик обязательства, и дает основания пересмотреть договор. В случае инцидента это доказательство.

Что установит экспертиза после утечки данных?

Хронологию и канал утечки, затронутые данные, действовавшие меры защиты и их соответствие требованиям и договору, выполнение обязательств подрядчика.

Основные термины

Аудит информационной безопасности: систематическая независимая документируемая проверка соответствия системы защиты информации установленным критериям.

Критерии аудита: требования, с которыми сравнивается фактическое состояние, — законы, стандарты, договор, внутренние документы.

Свидетельство аудита: записи, факты и сведения, подтверждающие наблюдение аудитора.

Несоответствие: невыполнение требования, выявленное аудитом.

Программа аудитов: совокупность аудитов, запланированных на определенный период и направленных на достижение общей цели.

Политика информационной безопасности: документ, определяющий цели, принципы и правила защиты информации в организации.

Инцидент информационной безопасности: событие, нарушающее или угрожающее нарушить конфиденциальность, целостность или доступность информации.

Режим коммерческой тайны: правовые, организационные и технические меры по охране конфиденциальности сведений.

Аттестация: подтверждение соответствия объекта информатизации требованиям безопасности информации аккредитованной организацией.

Сертификация средств защиты: подтверждение соответствия средства защиты требованиям в системе сертификации.

Уровень защищенности персональных данных: характеристика, определяющая состав обязательных мер защиты информационной системы персональных данных.

Заключение специалиста: письменное исследование, подготовленное по заказу стороны вне судебной экспертизы.

Коротко о главном

Аудит информационной безопасности оценивает систему защиты — документы, процессы, технические меры — по понятным критериям и завершается отчетом с несоответствиями и рекомендациями. Экспертиза информационной безопасности устанавливает факты конкретного инцидента или спора для суда.

Результат аудита зависит от плана: целей, границ, критериев и методов. Отчет без критериев и доказательств — мнение, а не аудит. Эффект дает только работа с результатами: задачи, ответственные, сроки и повторная проверка.

Аудит помогает подготовиться к обязательным процедурам подтверждения соответствия и дает руководству понятный план работ. Экспертиза в споре опирается на те же методы, но отвечает на вопросы суда о конкретном событии.

После инцидента первое действие — фиксация журналов и состояния систем. Для суда важны доказательства того, какие меры действовали на дату события и выполнял ли подрядчик договор.

Об АНО «СЗЭПЦ»

АНО «Северо-Западный экспертно-правовой центр» проводит экспертизы с 1990 года и относится к первым негосударственным экспертным организациям России. Головной офис расположен в Санкт-Петербурге, представительства работают в Москве, Екатеринбурге, Новосибирске, Казани, Краснодаре, Нижнем Новгороде и Ростове-на-Дону. Заключения АНО «СЗЭПЦ» принимают арбитражные суды и суды общей юрисдикции более чем в сорока регионах.

По информационной безопасности АНО «СЗЭПЦ» проводит судебные экспертизы по определениям судов, аудит информационной безопасности организаций, информационных систем и работы подрядчиков, готовит заключения специалиста до суда и рецензии на чужие заключения. Штатный юридический отдел помогает сформулировать вопросы, подготовить ходатайство и оценить документы по персональным данным и коммерческой тайне. Предварительный анализ материалов бесплатный.

Направьте описание задачи на info@szexp.ru или позвоните: +7 (812) 982-86-69 (Санкт-Петербург и Москва), +7 (905) 222-86-69 (регионы Российской Федерации) — АНО «СЗЭПЦ» проведет предварительный анализ и предложит формат работы.

Узнать стоимость экспертизы