Анализ мероприятий процесса оценки информационной безопасности.

Как было отмечено выше, аудит информационной безопасности – это регламентированный процесс, в Российском законодательстве опирающийся на ГОСТ Р 56045-2014/ISO/IEC TR 27008:2011 «ИТ. Методы и средства обеспечения безопасности. Рекомендации для аудиторов в отношении мер и средств контроля и управления информационной безопасностью», включающий требования к аудиторам, к процессу аудита, виды заключений, требования к достаточности свидетельств аудита, требования к документации по аудиту и т.д. Этот стандарт применим для организаций всех видов и любой величины, включая акционерные общества открытого и закрытого типа, государственные учреждения и некоммерческие организации, проводящие проверки информационной безопасности и технического соответствия.
В общем виде аудит включает следующие этапы: подготовку, планирование, сам аудит и формирование выводов (рис.3.). На основании выводов оптимизируется система управления информационной безопасностью с внедрением разработанных мер защиты, собирается информация о результатах внедрения и подается аудиторам нового этапа.
Таким образом, аудит ИБ – это непрерывный процесс развития системы управления безопасностью.