Как провести собственный аудит внутренней безопасности

Хотите провести аудит безопасности вашей компании, но не знаете, с чего начать? Вот краткое изложение пяти простых шагов, которые необходимо выполнить.

Проведение аудита безопасности - важный шаг на пути к защите вашего бизнеса от утечки данных и других угроз кибербезопасности. В этом посте мы разбиваем пять шагов, чтобы начать работу на высоком уровне.

Чтобы получить дополнительную помощь в проведении собственного аудита, ознакомьтесь с нашим мини-руководством, в котором объясняется, почему вам следует проводить внутренний аудит безопасности, и подробно рассказывается, как его проводить для вашего бизнеса. Сегодня есть много фирм, которые специализируется на проведении независимых аудитов по информационной безопасности, например, о компании LiteraFort можно почитать на их сайте.

1. Оцените свои активы

Ваша первая задача в качестве аудитора - определить объем вашего аудита, составив список всех ваших активов. Некоторые примеры активов включают:

Компьютерное и техническое оборудование
Конфиденциальные данные о компании и клиентах
Важная внутренняя документация

Маловероятно, что вы сможете проверить все свои активы, поэтому заключительная часть этого шага - определить, какие активы вы будете проверять, а какие нет.

2. Выявить угрозы

Затем посмотрите на активы, которые вы планируете проверять, и перечислите потенциальные угрозы рядом с каждым из них.

Что считается угрозой? Любая деятельность, случай, поведение или вещь, которая может стоить вашему бизнесу значительных денег.

3. Оцените текущую безопасность.

Пришло время проявить честность. Теперь, когда у вас есть список угроз, вам нужно откровенно рассказать о способности вашей компании защищаться от них. Крайне важно оценивать свою работу - и работу вашего отдела в целом - с максимально возможной объективностью.

Например, ваша команда может особенно хорошо отслеживать вашу сеть и обнаруживать угрозы, но вы давно не проводили тренинги для своих сотрудников. Вы захотите подумать, как вы можете создать сильную культуру безопасности среди всех ваших сотрудников, а не только в ИТ-отделе.

4. Назначьте оценки риска

Приоритизация угроз, выявленных вами в ходе аудита, является одним из наиболее важных шагов. Итак, как вы это делаете? Путем присвоения оценок риска и соответствующего ранжирования угроз.

Простая формула для определения риска учитывает три основных фактора: потенциальный ущерб от события, вероятность этого события и текущую способность справиться с этим событием (определяется на третьем этапе). Среднее значение этих трех факторов даст вам оценку риска.

Вот и другие факторы, которые следует учитывать:

Текущие тенденции кибербезопасности: какой метод выбирают хакеры в настоящее время? Какие угрозы становятся все популярнее, а какие - реже? Изучите прогнозы и наблюдения кибербезопасности от самого хакера в белой шляпе.
Тенденции на уровне отрасли: какие типы нарушений наиболее распространены в вашей отрасли?
Регулирование и соответствие: вы публичная или частная компания? Какие данные вы обрабатываете? Ваша организация хранит и / или передает конфиденциальную финансовую или личную информацию? У кого к каким системам есть доступ?

Ответы на эти вопросы повлияют на оценку риска, которую вы присваиваете определенным угрозам, и ценность, которую вы придаете определенным активам.

5. Составьте свой план

Пятый и последний этап вашего внутреннего аудита безопасности? Для каждой угрозы в вашем списке приоритетов определите соответствующее действие, которое необходимо предпринять. Устраняйте угрозу там, где это возможно, и устраняйте и минимизируйте везде. Вы можете думать об этом как о списке дел на ближайшие недели и месяцы.