Аудит информационной безопасности

Если коротко: аудит показывает всю картину и очередь работ, пентест проверяет одну гипотезу глубоко. Начинать почти всегда дешевле с аудита — иначе рискуете оплатить глубокую проверку того, что и так очевидно не защищено. Разбор исходников — это аудит кода, а полное приведение к 152-ФЗ — защита персональных данных.

• Периметр и сеть.
  Что торчит наружу, какие сервисы опубликованы, как устроен удалённый доступ, сегментирована ли сеть и где остались плоские участки.
• Инфраструктура и конфигурации.
  Серверы, домен, права администраторов, парольные политики, обновления, антивирусная защита, резервные копии — и проверка того, что они действительно восстанавливаются.
• Доступы и учётные записи.
  Кто имеет доступ к чему, остались ли учётки уволенных, есть ли общие пароли, как выдаются и отзываются права при переводе и увольнении.
• Данные.
  Где лежат персональные данные и коммерческая тайна, кто до них дотягивается, шифруются ли носители и каналы, что уходит во внешние облака.
• Процессы и документы.
  Есть ли политика ИБ, регламент инцидентов и план восстановления — и выполняются ли они на практике или существуют только в папке.
• Соответствие требованиям.
  152-ФЗ, 187-ФЗ и КИИ, ГОСТ Р 57580 для финансового сектора: что от вас требуется и где вы не дотягиваете. Аттестацию не проводим — это к лицензиатам ФСТЭК.

На цену влияют: число площадок и рабочих мест, количество информационных систем, наличие промышленного сегмента и АСУ ТП, нужен ли разбор соответствия конкретному требованию регулятора, требуется ли выезд.

Ретест вынесен отдельной строкой намеренно. На рынке его не предлагает никто — даже единственный игрок с полноценным прайсом на 13 позиций. Аудит без повторной проверки оставляет вас с отчётом, но без доказательства, что дыры закрыты.

Почему дешевле рынка. Сбор конфигураций, разбор логов, сверку документов с требованиями и сборку отчёта мы делаем с ИИ примерно вчетверо быстрее — эта экономия уже заложена в цену. Интервью с сотрудниками, ручную проверку процессов, защиту результатов и выезд ИИ не ускоряет: они считаются по обычной ставке. Поэтому скидка заметнее в экспресс-аудите, где почти всё — анализ, и меньше в комплексном, где много живой работы с людьми.

1. Согласование и NDA — 1–2 дня.
   Определяем границы: какие системы, площадки и процессы входят, что трогать нельзя. Соглашение о неразглашении подписываем до получения любых доступов.
2. Сбор данных — от 2 дней.
   Выгрузки конфигураций, схемы сети, списки доступов, документы. Работаем удалённо; там, где нужен взгляд на месте, выезд согласуем отдельно.
3. Анализ.
   Сверяем собранное с требованиями и практикой, проверяем гипотезы, уточняем спорное у ваших специалистов. В ваших системах ничего не меняем без письменного согласования.
4. Отчёт и защита результатов.
   Присылаем отчёт, разбираем находки на встрече, отвечаем на возражения ИТ-службы и вместе расставляем очередь работ.
5. Ретест — по желанию.
   После того как вы закрыли замечания, повторно проверяем именно их и обновляем карту рисков.

Подробнее о том, как устроена работа, — на странице этапов реализации.

Скажем прямо: «после аудита вас точно не взломают» не может обещать никто. Аудит убирает очевидные пути и снижает вероятность, но не превращается в страховку. Гарантий защищённости и обещаний пройти проверку на этой странице нет намеренно.

Поэтому правила простые и письменные. NDA подписывается до выдачи доступов. Собранные артефакты храним в зашифрованном виде и уничтожаем через 30 дней после сдачи отчёта. Отчёт передаём по защищённому каналу конкретным адресатам из вашего списка, а не «на общую почту». В ваших системах ничего не меняем без письменного согласования. Доступы запрашиваем минимально необходимые и на срок работ — если для проверки хватает выгрузки, живой доступ не просим.