Audyt bezpieczeństwa informatycznego.

W obecnych czasach, informacja stała się jednym z najcenniejszych dóbr i towarów na rynku. Dlatego właśnie do dobrego funkcjonowania we współczesnym świecie niezbędne jest właściwe podejście do problemów bezpieczeństwa informatycznego.

W jakim celu chronić informację?

• zapewnić ciągłość prowadzenia działalności,
• zminimalizować straty,
• zmaksymalizować zwrot nakładów na inwestycje.

Wyróżnia się dwa typy ochrony informacji:

• Aktywna - projektowanie i wdrażanie systemów zabezpieczeń dopasowanych do potrzeb Klienta, identyfikacja prób przechwycenia (systemy IDS ang. Intrusion Detection System), modyfikacji lub zniszczenia danych (wandalizm, brak lojalności byłych pracowników), okresowe testy mechanizmów ochrony systemów informatycznych (próby włamaniowe, testy silnych haseł), testy podatności osób na techniki wydobycia informacji (social engineering, fałszywy audytor), planowanie procedur postępowania w przypadkach krytycznych.
• Pasywna - dbałość o właściwy stan zabezpieczeń oraz oprogramowania, okresową archiwizację danych, cykliczne testy sprawności systemów zabezpieczeń.

Audyt bezpieczeństwa informatycznego obejmuje swoim zakresem, badanie i określanie stanu bezpieczeństwa systemów informatycznych pod kątem spełniania wymogów poufności, integralności i niepodważalności przetwarzanych w systemie informacji. Swoim zasięgiem może obejmować zarówno rozwiązania sieciowe, serwerowe jak również stanowiska robocze. Ostatnim ogniwem podlegającym weryfikacji jest czynnik ludzki. Wdrożenie i stałe podnoszenie świadomości użytkowników systemów informatycznych o zagrożeniach wynikających z wypływu informacji, stanowi istotny czynnik zwiększający bezpieczeństwo informatyczne w całym przedsiębiorstwie.

Audyt bezpieczeństwa informatycznego ma na celu określenie prawdopodobieństwa wykorzystania określonych podatności systemu informatycznego na istniejące w danym środowisku zagrożenia. W ramach prac audytowych przeprowadzana jest też analiza ryzyka polegająca na identyfikacji zagrożeń, określeniu ich wielkości i zidentyfikowaniu obszarów wymagających zabezpieczeń. Audyt bezpieczeństwa ma na celu pomóc stworzyć w firmie skuteczną i stosowaną przez wszystkich pracowników politykę bezpieczeństwa informacji. Aby stworzyć i wdrożyć dokument polityki bezpieczeństwa, konieczna jest gruntowna znajomość problematyki zarówno od strony technicznej jak też prawnej.

Polityka bezpieczeństwa informacji jest dokumentem prawnie wymaganym w każdej organizacji (Zgodnie z §3 i §4 rozporządzenia Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. Dz. U. Nr 100 poz. 1024, w sprawie dokumentacji, przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych). Dokument taki winien, określać wytyczne oraz sposoby realizacji ochrony posiadanych i przetwarzanych danych zgodnie z zaleceniami przyjętej w Polsce normy PN-ISO/IEC 17799 określającej praktyczne zasady zarządzania bezpieczeństwem informacji w obszarze technik informatycznych.