1. ”Как подготовиться к аудиту от “большой четверки” руководителю службы информационной безопасности?” Александр Дорофеев, CISSP, CISA

2. Содержание ИТ-аудит в рамках финансового аудита Аудиторский подход Подготовка к аудиту 2

3. Аудит ИТ в рамках финансового аудита Проверка эффективности мер на уровне ИТ, минимизирующих риски искажения финансовой отчетности компаний. 3

4. Что, как и кем проверяется? Что: общие и прикладные контроли (контрмеры) в финансовых системах Как: используется подмножество контролей из Cobit + методология аудитора Кем: в основном, компаниями “большой четверки 4

5. Общие ИТ- и прикладные контроли Общие ИТ-контроли: контрмеры в ИТ-процессах. Наиболее проверяемые: процесс управления доступом, процесс внесения изменений, обеспечение своевременного восстановления после сбоев и т.п. Прикладные контроли: контрмеры в процессах вводабработки данных. 5

6. Подход к тестированию Сбор доказательств (скриншоты, копии заявок); Walkthrough (прохождение по процессу); Тестирование со случайной выборкой; Профессиональное суждение и предыдущий опыт аудитора; 6

7. Какие бывают ИТ-аудиторы? Специалист (staff/adv. staff/assistant): Студент-старшекурсник либо недавний выпускник ВУЗа; Работает по методологии, которую не всегда хорошо знает. Синиор/Менеджер (senior/manager): 2- 5 лет опыта; Управляет проектом, знает нюансы. Еще есть партнер 7

8. Интересы сторон 8

9. Возможные проблемы для руководителя ИБ Обнаружены недостатки в системе обеспечения информационной безопасности Последствия: Недовольство руководства; Затраты на исправления недостатков. 9

10. Причины проблем Плохо выстроенные коммуникации с аудиторами Наличие реальных серьезных недостатков 10

11. Ключевые моменты успешного прохождения аудита 11

12. До аудита Получите план аудита, перечень необходимой документации, перечень необходимых специалистов; Заблокируйте учетные записи уволенных сотрудников и тестовые учетные записи (“test”, “user1” и т.п.); Проведите проверку уровней доступа для существующих пользователей, согласуйте уровень доступа с владельцами систем; Разработайте/согласуйте запросы на существенные изменения систем; Приведите парольные настройки в системах к разумному виду. 12

13. В ходе аудита Расскажите/покажите, чем занимается компания; Организуйте передачу информации (свидетельств аудита) через одного человека; Предоставьте аудиторам политики/процедуры для того, чтобы они поняликак у вас все работает заранее; Настаивайте на согласовании предварительных результатов проверки до включения их в отчет; Приставьте к аудиторам координатора (вы получите человека, понимающего их подход); Если у вас нашли какой-то недостаток, настаивайте на том, что угроза не реализовалась (если это так). 13

14. АНО “Учебный центр “Эшелон” www: www.uc-echelon.ru E-mail: a.dorofeev@npo-echelon.ru Тел.: +7(495) 645-38-09 Александр Дорофеев CISSP, CISA Директор