Метод обеспечения и проведения внутреннего аудита информационной безопасности организаций на основе риск-ориентированного подхода

• Автор: Созинова, Екатерина Николаевна
• Шифр специальности: 05.13.19
• Научная степень: Кандидатская
• Год защиты: 2013
• Место защиты: Санкт-Петербург
• Количество страниц: 145 с. : ил.

ОГЛАВЛЕНИЕ
Введение

Глава 1.Основы проведения аудита информационной безопасности организаций :

1.1.Аудит информационной безопасности организаций

1.1.1.Определение термина «аудит информационной безопасности»

1.1,2.Цели аудита информационной безопасности

1.1.3.Задачи аудита информационной безопасности

1.2.Классификация аудита информационной безопасности

1.2.1.Типы аудита информационной безопасности

1.2.2.Виды аудита информационной безопасности

1.2.3.Методы проведения аудита информационной безопасности

1.3.Правовые и методологические основы аудита информационной безопасности
1.4.Выводы к главе
Глава 2.Обоснование теоретических и методологических аспектов обеспечения и проведения внутреннего аудита информационной безопасности
2.1.Анализ существующих направлений и методов аудита информационной
безопасности
2.2.Обоснование необходимости разработки нового метода проведения внутреннего аудита информационной безопасности
2.3.Риск-ориентированный подход к проведению аудита информационной безопасности
2.4.Достоинства и недостатки методов оценки рисков информационной безопасности
2.5.Разработка концептуальной модели информационной безопасности
2.5.1.Анализ рисков
2.5.2.Ценные активы организации
2.5.3.Анализ уязвимостей
2.5.4.Модель угроз информационной безопасности организаций
2.5.5 .Модель нарушителя
2.5.6.Ущерб от нарушения информационной безопасности
2.5.7.Оценка рисков информационной безопасности
2.5.8.Мониторинг и оценка уровня обеспечения информационной
безопасности
2.6.Выводы к главе
Глава 3.Разработка метода обеспечения и проведения внутреннего аудита информационной безопасности организаций на основе риск-ориентированного подхода
3.1.Алгоритм проведения внутреннего аудита информационной безопасности на основе риск-ориентированного подхода
3.2.Подготовительный этап
3.2.1.Инициирование проведения аудита информационной безопасности
3.2.2.Планирование аудита информационной безопасности
3.2.3.Общее исследование организации
3!3 .Исследовательский этап
3.3.1.Исследование организации: информационные ресурсы, системы, потоки
3.3.2.Исследование ценных активов организации
3.3.3.Исследование обеспечения информационной безопасности организации
3.4.Оценочный этап
3.4.1.Анализ уязвимостей
3.4.2.Модель нарушителя
3.4.3.Уровень исходной защищенности ценного актива
3.4.4.Ущерб организации от нарушения информационной безопасности
3.4.5.Угрозы информационной безопасности организации: анализ, оценка и модель угроз
3.4.6.Уровень риска информационной безопасности
3.4.7.Модель оценки риска информационной безопасности
3.4.8.Определение уровня обеспечения информационной безопасности
организации
3.5.Заключительный этап
3.5.1.Разработка рекомендаций
3.5.2.Составление аудиторского отчета
З.б.Выводы к главе
Глава 4.0ценка и анализ эффективности применения разработанного метода обеспечения и проведения внутреннего аудита информационной безопасности
организации на основе риск-ориентированного подхода
4.1.Мод ель внутреннего аудита информационной безопасности на основе риск-
ориентированного подхода
4.2.Оценка эффективности разработанного метода обеспечения и проведения
внутреннего аудита информационной безопасности
4.2.1.Экспериментальная оценка эффективности разработанного метода аудита
4.2.2.Сравнительная оценка эффективности разработанного метода аудита
4.3. Анализ разработанного метода проведения внутреннего аудита информационной безопасности организации на основе риск-ориентированного подхода
4.3.1.Общие характеристики разработанного метода аудита информационной безопасности организаций
4.3.2. Достоинства и недостатки разработанного метода аудита информационной безопасности организаций
4.3.3.Практическая и теоритическая применимость разработанного метода
4.4.Выводы к главе
Заключение
Список сокращений и условных обозначений
Список литературы

Проведение внутреннего аудита также имеет свои достоинства и
недостатки. Отметим лишь основные достоинства и недостатки.
Достоинства:
• к конфиденциальной информации, к различной коммерческой тайне, новым разработкам, ноу-хау - будут допущены только те сотрудники, которым доверяют;
• поручая проведение аудита внутренним сотрудникам, руководство знает, кому можно доверять, кто имеет опыт и знания в данной области, кто будет более объективным;
• при проведении аудита сотрудники не будут спешить;
• за данную услугу не надо никому платить деньги. Обучив своих сотрудников, организация может проводить аудит информационной безопасности очень часто и в любое время;
• сотрудники обучаясь и проводя аудит, будут повышать свой опыт и квалификацию, что несомненно положительно скажется на обеспечении информационной безопасности всей организации;
• при проектировании, разработке и внедрении системы обеспечения информационной безопасности, сотрудники будут делать это более качественно и эффективно;
• для избежания субъективности аудита и его результатов, руководство может формировать команду для проведения аудита из специалистов разного уровня, должности и разных подразделений;
Недостатки:
• у внутренних сотрудников нет опыта и знаний;
• сотрудников придется обучать и повышать их квалификацию - это трата
ТЗПРЛД*3 Т-ТТЛ"
• придется вкладывать деньги не в аудит, а в обучение сотрудников - это трата денежных ресурсов;