Средства и методы аудита информационной безопасности предприятий в условиях цифровой экономики

ВВЕДЕНИЕ 4
1 ИНФОРМАЦИОННАЯ БЕЗОПАСНОСТЬ ПРЕДПРИЯТИЯ В УСЛОВИЯХ ЦИФРОВОЙ ЭКОНОМИКИ 7
1.1 ПРАВОВЫЕ ОСНОВЫ ЗАЩИТЫ КОНФИДЕНЦИАЛЬНОЙ ИНФОРМАЦИИ 7
1.2 МЕТОДЫ АУДИТА ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ 9
1.3 ОСОБЕННОСТИ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ В УСЛОВИЯХ ЦИФРОВОЙ ЭКОНОМИКИ 14
2 АУДИТ БЕЗОПАСНОСТИ ИНФОРМАЦИОННОЙ СИСТЕМЫ СКБ КОНТУР 17
2.1 ОПИСАТЕЛЬНАЯ МОДЕЛЬ ИС СКБ КОНТУР 17
2.2 ОБЗОР СРЕДСТВ АНАЛИЗА ЗАЩИЩЕННОСТИ ИС 28
2.3 АНАЛИЗ И ОЦЕНКА УРОВНЯ ЗАЩИЩЕННОСТИ ИС 34
2.4 ИНСТРУМЕНТАЛЬНЫЙ АНАЛИЗ ЗАЩИЩЕННОСТИ ИС 35
3 ФОРМИРОВАНИЕ РЕКОМЕНДАЦИЙ ПО ПОВЫШЕНИЮ УРОВНЯ ЗАЩИЩЕННОСТИ ИС СКБ КОНТУР 43
3.1 МОДЕРНИЗАЦИЯ ИНФОРМАЦИОННОЙ СИСТЕМЫ 43
3.2 РАСЧЕТ СМЕТЫ ЗАТРАТ НА МОДЕРНИЗАЦИЮ 46
3.3 ЭКОНОМИЧЕСКАЯ ОЦЕНКА МЕРОПРИЯТИЙ ПО ЗАЩИТЕ ИНФОРМАЦИИ 52
ЗАКЛЮЧЕНИЕ 55
СПИСОК ЛИТЕРАТУРЫ: 58
Приложение А 63
Приложение Б 66
Приложение В 7

Объектом выполненной работы является компания СКБ Контур.
Предметом выпускной квалификационной работы является оценка защищенности системы информационной компании СКБ Контур.
Целью данной работы является проведение аудита информационной безопасности компании СКБ Контур в условиях цифровой экономики.
Задачами выполненной работы являются:
- анализ правовых основ защиты конфиденциальной информации;
- описание методов аудита информационной безопасности;
- анализ архитектуры информационной системы объекта;
- оценка уровня защищенности информационной системы;
- обзор средств анализа защищенности;
- проведение инструментального анализа защищенности информационной системы объекта;
- формирование рекомендаций по повышению уровня защищенности.
При написании выпускной работы были использованы научная и учебно-методическая литература, стандарты в области защиты информации и информационных технологиях. Основными источниками, раскрывающими теоретические основы обеспечения комплексной защиты информации, являлись работы Астахова А. М., Баранова Е. К., Бирюкова А. А., Гришина Н.В., Денисова Ю., Лушникова Н. Д., Эпельфельда И. И. В данных источниках подробно рассмотрено понятие угроз информационной безопасности, а также информационных рисков организации

В XXI в. наиболее ярко выраженной тенденцией мировой экономики является опережающее развитие информационных и телекоммуникационных технологий. Для граждан это означает новые формы коммуникации и доступа к информационным ресурсам, начиная с чтения новостей, приобретения товаров в интернет-магазинах, заканчивая онлайн-доступом к сервисам электронного правительства, дистанционным образовательным услугам, а для предприятий это экономическая деятельность, сфокусированная на цифровых и электронных технологиях.
В мае 2017 г. Указом Президента была утверждена «Стратегия развития информационного общества в Российской Федерации на 2017-2020 годы». В этом документе появилось первое официальное определение цифровой экономики: «Цифровая экономика – хозяйственная деятельность, в которой ключевым факторо м производства являются данные в цифровом виде, обработка больших объемов и использование результатов анализа которых по сравнению с традиционными формами хозяйствования позволяют существенно повысить эффективность различных видов производства, технологий, оборудования, хранения, продажи, доставки товаров и услуг» [1].
Вслед за указанным документом была утверждена «Стратегия экономической безопасности Российской Федерации на период до 2030 года» [2]. Анализ содержания двух документов позволяет сделать следующие выводы: во-первых, обе стратегии направлены на решение проблем информационной безопасности цифровой экономики; во-вторых, оба документа указывают на наличие процессов конвергенции информационной и экономической безопасности. [3]
С каждым годом угрозы взлома информационных систем и компрометации данных становятся все более и более актуальными, более того вектор угроз смещается от простых методов к серьезным, продуманным и нетривиальным атакам. По итогам 2020 года экспертами Positive Technologies был отмечен рост числа целенаправленных атак по сравнению с 2019 годом на 10%. Такие атаки направлены на конкретную организацию или отрасль промышленности или бизнеса.
Все это демонстрирует особую важность решения проблем информационной безопасности в цифровой экономике. Один из способов решения этих проблем – аудит информационной безопасности. Определение аудита безопасности не уточняется, но на основе различных источников его можно описать как процесс сбора и анализа качественной или количественной оценки уровня защищенности информационной системы организации от компьютерных атак. Другими словами, это комплексное обследование, задача которого – оценить текущее состояние информационной безопасности, а в результате построить эффективную систему защиты, которая будет соответствовать текущим целям и задачам