Будь то внутренний аудит, внешний или проверка регулятора, первая неделя ИТ-аудита обычно проходит одинаково. Приходит длинный перечень запрашиваемых материалов, и ИТ-команда несколько дней перебирает почтовую переписку и скриншоты. Большую часть этого времени можно сэкономить, если заранее подготовить небольшой пакет документов.
1. Точный перечень систем в периметре аудита
Аудиторы начинают с того, что разбираются, какие системы у вас есть. Актуальный реестр приложений, баз данных, серверов и сетевого оборудования с указанием владельцев и мест размещения снимает десятки уточняющих вопросов ещё до того, как их зададут.
2. Списки прав доступа и подтверждения их пересмотра
Управление доступом проверяют почти на каждом ИТ-аудите. Будьте готовы предоставить списки пользователей ключевых систем, перечень привилегированных учётных записей и подтверждения того, что права доступа пересматривались, а доступ уволившихся сотрудников отзывался вовремя. Если последний пересмотр прав был больше полугода назад, проведите его сейчас.
3. Записи об изменениях
Аудиторы сформируют выборку изменений в продуктивной среде и по каждому запросят заявку, согласование, результаты тестирования и записи о внедрении. Журнал изменений со ссылками на тикеты экономит массу времени.
4. Подтверждения резервного копирования и восстановления
Отчётов о выполнении заданий резервного копирования недостаточно. Всё чаще аудиторы просят подтвердить, что восстановление из резервных копий тестировалось, а целевое время восстановления (RTO) соблюдалось. Фиксируйте каждый тест, даже короткий.
5. Политики с датами утверждения
Любой механизм контроля оценивается на соответствие политике. Убедитесь, что политики информационной безопасности, управления доступом, управления изменениями и резервного копирования утверждены, датированы и пересматривались в течение последнего года.
Аудит проходит быстрее, если подтверждающие документы готовы до первой встречи. И замечаний, как правило, оказывается меньше: в ходе подготовки вы находите пробелы и успеваете их закрыть.
Если перед важным аудитом нужен свежий взгляд со стороны, наша команда проводит экспресс-оценку готовности и проходит ровно те же шаги, что и внешний аудитор.