Информационные системы учета и аудита. Аудит безопасности информационных систем. Оценка влияния информационной системы на аудит в целом

Аудит информационных систем дает актуальные и точные данные о том, как работает ИС. На базе полученных данных можно планировать мероприятия для повышения эффективности предприятия. Практика проведения аудита информационной системы - в сравнении эталона, реальной обстановки. Изучают нормативы, стандарты, регламенты и практики, применимые в других фирмах. При проведении аудита предприниматель получает представление о том, как его фирма отличается от нормальной успешной компании в аналогичной сфере.

Общее представление

Информационные технологии в современном мире развиты исключительно сильно. Сложно представить себе предприятие, не имеющее на вооружении информационные системы:

• глобальные;
• локальные.

Именно за счет ИС компания может нормально функционировать и идти в ногу со временем. Такие методологии необходимы для быстрого и полного обмена информацией с окружающей средой, что позволяет компании подстраиваться под изменения инфраструктуры и требований рынка. Информационные системы должны удовлетворять ряду требований, меняющихся по прошествии времени (внедряются новые разработки, стандарты, применяют обновленные алгоритмы). В любом случае информационные технологии позволяют сделать доступ к ресурсам быстрым, и эта задача решается через ИС. Кроме того, современные системы:

• масштабируемые;
• гибкие;
• надёжные;
• безопасные.

Основные задачи аудита информационных систем - выявление, соответствует ли внедренная ИС указанным параметрам.

Аудит: виды

Очень часто применяется так называемый процессный аудит информационной системы. Пример: внешние специалисты анализируют внедренные системы на предмет отличия от эталонов, изучая в том числе и производственный процесс, на выходе которого - программное обеспечение.

Может проводиться аудит, направленный на выявление того, насколько правильно применяется в работе информационная система. Практику предприятия сравнивают со стандартами производителя и известными примерами корпораций международного масштаба.

Аудит системы информационной безопасности предприятия затрагивает организационную структуру. Цель такого мероприятия - найти тонкие места в кадрах ИТ-отдела и обозначить проблемы, а также сформировать рекомендации по их решению.

Наконец, аудит системы обеспечения информационной безопасности направлен на качественный контроль. Тогда приглашенные эксперты оценивают, в каком состоянии процессы внутри предприятия, тестируют внедренную информационную систему и делают некоторые выводы по полученной информации. Обычно применяется модель TMMI.

Задачи аудита

Стратегический аудит состояния информационных систем позволяет определить слабые места во внедренной ИС и выявить, где применение технологий оказалось неэффективными. На выходе такого процесса у заказчика будут рекомендации, позволяющие устранить недочеты.

Аудит позволяет оценить, как дорого обойдётся внесение изменений в действующую структуру и сколько времени это займет. Специалисты, изучающие действующую информационную структуру компании, помогут подобрать инструментарий для реализации программы улучшений, учитывая особенности компании. По итогам можно также выдать точную оценку, в каком объеме ресурсов нуждается фирма. Проанализированы будут интеллектуальные, денежные, производственные.

Мероприятия

Внутренний аудит информационных систем включает в себя проведение таких мероприятий, как:

• инвентаризация ИТ;
• выявление нагрузки на информационные структуры;
• оценка статистики, данных, полученных при инвентаризации;
• определение, соответствуют ли требования бизнеса и возможности внедренной ИС;
• формирование отчета;
• разработка рекомендаций;
• формализация фонда НСИ.

Результат аудита

Стратегический аудит состояния информационных систем - это процедура, которая: позволяет выявить причины недостаточной эффективности внедрённой информационной системы; провести прогнозирование поведения ИС при корректировке информационных потоков (числа пользователей, объема данных); предоставить обоснованные решения, помогающие повысить продуктивность (приобретение оборудования, совершенствование внедренной системы, замена); дать рекомендации, направленные на повышение продуктивности отделов компании, оптимизацию вложений в технологии. А также разработать мероприятия, улучшающий качественный уровень сервиса информационных систем.

Это важно!

Нет такой универсальной ИС, которая подошла бы любому предприятию. Есть две распространенных базы, на основе которых можно создавать уникальную систему под требования конкретного предприятия:

• Oracle.

Но помните, что это лишь основа, не более. Все усовершенствования, позволяющие сделать бизнес эффективным, нужно программировать, учитывая особенности конкретного предприятия. Наверняка придется вводить ранее отсутствовавшие функции и отключать те, которые предусмотрены базовой сборкой. Современная технология аудита банковских информационных систем помогает понять, какие именно особенности должна иметь ИС, а что нужно исключить, чтобы корпоративная система была оптимальной, эффективной, но не слишком «тяжелой».

Аудит информационной безопасности

Анализ, позволяющий выявить угрозы информационной безопасности, бывает двух видов:

• внешний;
• внутренний.

Первый предполагает единовременную процедуру. Организует ее руководитель компании. Рекомендовано регулярно практиковать такую меру, чтобы держать ситуацию под контролем. Ряд АО, финансовых организаций ввели требование внешнего аудита ИТ-безопасности обязательным к выполнению.

Внутренний - это регулярно проводимые мероприятия, регламентированные локальным нормативным актом «Положение о внутреннем аудите». Для проведения формируют годовой план (его готовит отдел, ответственный за аудит), утверждает генеральный директор, другой руководитель. ИТ-аудит - несколько категорий мероприятий, аудит безопасности занимает не последнее место по значимости.

Цели

Главная цель аудита информационных систем в аспекте безопасности - это выявление касающихся ИС рисков, сопряженных с угрозами безопасности. Кроме того, мероприятия помогают выявить:

• слабые места действующей системы;
• соответствие системы стандартам информационной безопасности;
• уровень защищенности на текущий момент времени.

При аудите безопасности в результате будут сформулированы рекомендации, позволяющие улучшить текущие решения и внедрить новые, сделав тем самым действующую ИС безопаснее и защищённые от различных угроз.

Если проводится внутренний аудит, призванный определить угрозы информационной безопасности, тогда дополнительно рассматривается:

• политика безопасности, возможность разработки новой, а также иных документов, позволяющих защитить данные и упростить их применение в производственном процессе корпорации;
• формирование задач обеспечения безопасности работникам ИТ-отдела;
• разбор ситуаций, сопряженных с нарушениями;
• обучение пользователей корпоративной системы, обслуживающего персонала общим аспектам безопасности.

Внутренний аудит: особенности

Перечисленные задачи, которые ставят перед сотрудниками, когда проводится внутренний аудит информационных систем, по своей сути, не аудит. Теоретически проводящий мероприятия лишь в качестве эксперта оценивает механизмы, благодаря которым система обезопасена. Привлеченное к задаче лицо становится активным участником процесса и теряет независимость, уже не может объективно оценивать ситуацию и контролировать ее.

С другой стороны, на практике при внутреннем аудите остаться в стороне практически невозможно. Дело в том, что для проведения работ привлекают специалиста компании, в прочее время занятого другими задачами в сходной области. Это значит, что аудитор - это тот самый сотрудник, который обладает компетенцией для решения упомянутых ранее заданий. Поэтому приходится идти на компромисс: в ущерб объективности привлекать работника к практике, чтобы получить достойный итог.

Аудит безопасности: этапы

Таковые во многом сходны с шагами общего ИТ-аудита. Выделяют:

• старт мероприятий;
• сбор базы для анализирования;
• анализ;
• формирование выводов;
• отчетность.

Инициирование процедуры

Аудит информационных систем в аспекте безопасности начинается, когда на это дает отмашку руководитель компании, так как именно начальники - те персоны, которые более прочих заинтересованы в эффективной проверке предприятия. Проведение аудита невозможно, если руководство не поддерживает процедуру.

Аудит информационных систем обычно комплексный. В нем принимает участие аудитор и несколько лиц, представляющих разные отделы компании. Важна совместная работа всех участников проверки. При инициации аудита важно уделить внимание следующим моментам:

• документальная фиксация обязанностей, прав аудитора;
• подготовка, согласование плана аудита;
• документальное закрепление того факта, что сотрудники обязаны оказывать аудитору посильную помощь и предоставлять все запрашиваемые им данные.

Уже в момент инициации проверки важно установить, в каких границах проводится аудит информационных систем. В то время как некоторые подсистемы ИС критичны и требуют особенного внимания, другие таковыми не являются и достаточно маловажны, поэтому допускается их исключение. Наверняка найдутся и такие подсистемы, проверка которых будет невозможна, так как вся информация, хранимая там, конфиденциальна.

План и границы

Перед началом работ формируется список ресурсов, которые предполагается проверить. Это могут быть:

• информационные;
• программные;
• технические.

Выделяют, на каких площадках проводят аудит, на какие угрозы проверяют систему. Существуют организационные границы мероприятия, аспекты обеспечения безопасности, обязательные к учету при проверке. Формируется рейтинг приоритетности с указанием объема проверки. Такие границы, а также план мероприятия утверждаются генеральным директором, но предварительно выносятся темой общего рабочего собрания, где присутствуют начальники отделов, аудитор и руководители компании.

Получение данных

При проведении проверки безопасности стандарты аудита информационных систем таковы, что этап сбора информации оказывается наиболее продолжительным, трудоемким. Как правило, ИС не имеет документации к ней, а аудитор вынужден плотно работать с многочисленными коллегами.

Чтобы сделанные выводы оказались компетентными, аудитор должен получить максимум данных. О том, как организована информационная система, как она функционирует и в каком состоянии находится, аудитор узнает из организационной, распорядительной, технической документации, в ходе самостоятельного исследования и применения специализированного ПО.

Документы, необходимые в работе аудитора:

• организационная структура отделов, обслуживающих ИС;
• организационная структура всех пользователей.

Аудитор интервьюирует работников, выявляя:

• провайдера;
• владельца данных;
• пользователя данных.

Для этого нужно знать:

• основные виды приложений ИС;
• число, виды пользователей;
• услуги, предоставляемые пользователям.

Если в фирме есть документы на ИС из перечисленного ниже списка, обязательно нужно предоставить их аудитору:

• описание технических методологий;
• описание методик автоматизации функций;
• функциональные схемы;
• рабочие, проектные документы.

Выявление структуры ИС

Для корректных выводов аудитор должен располагать максимально полным представлением об особенностях внедренной на предприятии информационной системы. Нужно знать, каковы механизмы безопасности, как они распределены в системе по уровням. Для этого выясняют:

• наличие и особенности компонентов используемой системы;
• функции компонентов;
• графичность;
• входы;
• взаимодействие с различными объектами (внешнее, внутреннее) и протоколы, каналы для этого;
• платформы, примененные для системы.

Пользу принесут схемы:

• структурная;
• потоков данных.

Структуры:

• технических средств;
• информационного обеспечения;
• структурных компонентов.

На практике многие из документов готовят непосредственно при проведении проверки. Анализировать информацию можно лишь при сборе максимального объема информации.

Аудит безопасности ИС: анализ

Есть несколько методик, применяемых для анализа полученных данных. Выбор в пользу конкретной основывается на личных предпочтениях аудитора и специфике конкретной задачи.

Наиболее сложный подход предполагает анализировать риски. Для информационной системы формируются требования к безопасности. Они базируются на особенностях конкретной системы и среды ее работы, а также угроз, свойственных этой среде. Аналитики сходятся во мнении, что такой подход требует наибольших трудозатрат и максимальной квалификации аудитора. Насколько хорош будет результат, определяется методологией анализа информации и применимостью выбранных вариантов к типу ИС.

Более практичный вариант предполагает обращение к стандартам безопасности для данных. Таковыми определяется набор требований. Это подходит для различных ИС, так как методика выработана на основе крупнейших фирм из разных стран.

Из стандартов следует, каковы требования безопасности, зависящие от уровня защиты системы и принадлежности ее тому или иному учреждению. Многое зависит от предназначения ИС. Главная задача аудитора - определить корректно, какой набор требований по безопасности актуален в заданном случае. Выбирают методику, по которой оценивают, соответствуют ли стандартам имеющиеся параметры системы. Технология довольно простая, надежная, поэтому распространена широко. При небольших вложениях в результате можно получить точные выводы.

Пренебрегать недопустимо!

Практика показывает, что многие руководители, особенно небольших фирм, а также те, чьи компании работают уже достаточно давно и не стремятся осваивать все новейшие технологии, относятся к аудиту информационных систем довольно халатно, так как просто не осознают важности этой меры. Обычно лишь ущерб бизнесу провоцирует начальство принимать меры по проверке, выявлению рисков и защите предприятия. Иные сталкиваются с тем, что у них крадут данные о клиентуре, у других утечки происходят из баз данных контрагентов или уходит информация о ключевых преимуществах некоего субъекта. Потребители перестают доверять компании, как только случай подвергается огласке, и компания терпит еще больший урон, нежели просто от потери данных.

Если есть вероятность утечки информации, невозможно построить эффективный бизнес, имеющий хорошие возможности сейчас и в будущем. У любой компании есть данные, представляющие ценность для третьих лиц, и их нужно беречь. Чтобы защита была на высочайшем уровне, необходим аудит, выявляющий слабые стороны. В нем нужно учитывать международные стандарты, методики, новейшие наработки.

При аудите:

• оценивают уровень защиты;
• анализируют применяемые технологии;
• корректируют документы по безопасности;
• моделируют рисковые ситуации, при которых возможна утечка данных;
• рекомендуют внедрение решений для устранения уязвимостей.

Проводят эти мероприятия одним из трех образов:

• активный;
• экспертный;
• выявляющий соответствие стандартам.

Формы аудита

Активный аудит предполагает оценку системы, на которую смотрит потенциальный хакер. Именно его точку зрения «примеряют» на себя аудиторы - изучают сетевую защиту, для чего применяют специализированное ПО и уникальные методики. Обязателен и внутренний аудит, проводимый также с точки зрения предполагаемого преступника, желающего украсть данные или нарушить работу системы.

При экспертном аудите проверяют, насколько соответствует внедренная система идеальной. При выявлении соответствия стандартам за основу берут абстрактное описание стандартов, с которыми сравнивают имеющийся объект.

Заключение

Корректно и качественно проведенный аудит позволяет получить следующие итоги:

• минимизация вероятности успешной хакерской атаки, ущерба от нее;
• исключение атаки, основанной на изменении архитектуры системы и информационных потоков;
• страхование как средство уменьшения рисков;
• минимизация риска до уровня, когда таковой вовсе можно не учитывать.

Сегодня многих руководителей не устраивает тот уровень автоматизации, который сложился на предприятии. Физически и морально устаревшие информационные системы (ИС), "лоскутная" автоматизация отдельных процессов уже не в состоянии обеспечить руководящий состав оперативной и достоверной информацией, столь необходимой для принятия обоснованных и своевременных управленческих решений.

Несовершенство системы управления приводит к снижению доходности работы предприятия, неустойчивому положению на рынке товаров и услуг.

Возвращение к проблемам комплексной автоматизации предприятий вызвано заинтересованностью руководства предприятий в создании эффективной структуры управления, а в этом деле важную роль играет информационное обеспечение. Поэтому вновь на повестке дня встал вопрос о создании корпоративных информационных систем.

Но даже при успешных внедрениях руководство предприятий не всегда получает нужный эффект. Успех проекта автоматизации не означает автоматического получения существенной пользы от него. Даже если цели проекта достигнуты, они могут не соответствовать текущим требованиям производства. Такое встречается очень часто.

Проваленные проекты автоматизации, колоссальные потери времени и средств - эту картину можно наблюдать на крупных предприятиях. Почему такое происходит? Почему не спасают ни высокие технологии, ни продукты, ни авторитет известных фирм? Почему провалы есть и у готовых пакетов, и у заказных информационных систем? Почему предприятия не могут освободиться от "лоскутной" автоматизации?

Практика создания систем по модели "как есть" показала, что автоматизация без модернизации существующей системы управления не приносит желаемых результатов. Ведь использование в работе программных приложений - это не просто сокращение бумажных документов и рутинных операций, но и переход на новые формы ведения документооборота, учёта и отчётности.

Не оправдывает себя и "лоскутная" автоматизация отдельных рабочих мест рядовых исполнителей. Руководитель в результате всё равно получает данные, подготовленные вручную.

Существует иллюзия, что автоматизировать предприятие можно "малой кровью", используя собственных сотрудников, которые и так получают зарплату.

АВТОМАТИЗАЦИЯ предприятия - это создание некоторого вспомогательного производства, которое упрощает принятие решений руководством предприятия.

Практика показывает, что в сфере автоматизации, как и в сфере аудита, привлечение специалистов со стороны экономически оправдано и более эффективно.

Разрабатывающий систему сотрудник надолго оторван от своих прямых обязанностей по эксплуатации уже функционирующих программ, проект может провалиться из-за ухода ведущих специалистов. Разработка информационной системы силами самого предприятия может затянуться на годы, не принося реальной пользы высшему руководству.

Рассматривая проблему эффективности информационных систем с позиций системного анализа, можно выделить основные критерии оценки эффективности:

1. Выбор ресурсов. При выборе информационной системы необходимо исходить из того, что использование любого ресурса целесообразно только тогда, когда оно даёт положительный эффект.
2. Динамика. Следует учитывать фактор времени, важно выбрать те технологии, которые будут использоваться продолжительное время.
3. Этапность. Информационный проект следует внедрять и оценивать поэтапно, чтобы каждый шаг приносил конкретную выгоду предприятию.

Вывод: начинать нужно не с выбора программы, а с оценки потребностей и возможностей предприятия, с предпроектного обследования и создания технического проекта. Эти меры помогут определить, где вложения в информационные системы могут обеспечить наибольшую выгоду.

Зачем проводить аудит информационных систем?

Под термином аудит Информационной Системы понимается системный процесс получения и оценки объективных данных о текущем состоянии ИС, действиях и событиях, происходящих в ней, устанавливающий уровень их соответствия определённому критерию и предоставляющий результаты заказчику.

В настоящее время актуальность аудита резко возросла, это связано с увеличением зависимости организаций от информации и ИС. Белорусский рынок насыщен аппаратно-программным обеспечением, многие организации в силу ряда причин (наиболее нейтральная из которых -моральное старение оборудования и программного обеспечения) видят неадекватность ранее вложенных средств в информационные системы и ищут пути решения этой проблемы. Их может быть два: с одной стороны, это полная замена ИС, что влечёт за собой большие капиталовложения, с другой - модернизация ИС. Последний вариант решения этой проблемы - менее дорогостоящий, но открывающий новые проблемы, например, что оставить из имеющихся аппаратно-программных средств, как обеспечить совместимость старых и новых элементов ИС.

Кроме того, возросла уязвимость ИС за счёт повышения сложности элементов этой ИС, увеличения строк кода программного обеспечения, новых технологий передачи и хранения данных.

Спектр угроз расширился. Это обусловлено следующими причинами:

• передача информации по сетям общего пользования;
• "информационная война" конкурирующих организаций;
• высокая (типичная для России и Беларуси) текучка кадров с низким уровнем порядочности.

По данным некоторых западных аналитических агентств, до 95% попыток несанкционированного доступа к конфиденциальной информации происходит по инициативе бывших сотрудников организации.

Всё чаще и чаще у клиентов к системным интеграторам, проектным организациям, поставщикам оборудования возникают вопросы следующего содержания:

1. Что дальше? (Наличие стратегического плана развития организации, место и роль ИС в этом плане, прогнозирование проблемных ситуаций.)
2. Соответствует ли наша ИС целям и задачам бизнеса? Не превратился ли бизнес в придаток информационной системы?
3. Сбои в работе ИС, как выявить и локализовать проблемы?
4. Как решаются вопросы безопасности и контроля доступа?
5. Подрядные организации провели поставку, монтаж, пуско-наладку. Как оценить их работу? Есть ли недостатки, если есть, то какие?
6. Когда необходимо провести модернизацию оборудования и ПО?
7. Почему всё время производится закупка дополнительного оборудования?
8. Сотрудники отдела ОАСУ постоянно чему-либо учатся, есть ли в этом необходимость?
9. Какие действия предпринимать в случае возникновения внештатной ситуации?
10. Какие возникают риски при размещении конфиденциальной информации в ИС организации? Как минимизировать эти риски?
11. Как снизить стоимость владения ИС?
12. Как оптимально использовать сложившуюся ИС при развитии бизнеса?

На эти и другие подобные вопросы нельзя мгновенно дать однозначный ответ. Только рассматривая все проблемы в целом, взаимосвязи между ними, учитывая нюансы и недостатки, можно получить достоверную, обоснованную информацию. Для этого в консалтинговых компаниях во всём мире существует определённая специфическая услуга - аудит Информационной Системы.

Ради безопасности...

Как театр начинается с вешалки, так и практически любая организация начинается с охраны. Где-то обходятся отставным военным, записывающим фамилии посетителей в тетрадку, где-то - хитроумными системами безопасности, через которые и мышь не проскочит - хотя бы потому, что у неё нет карточки доступа.

Но сотрудники службы охраны обеспечивают лишь физическую безопасность, в то время как гораздо больше ресурсов приходится тратить на безопасность информационную. Масштабы этой задачи могут широко варьировать в зависимости от ценности информации, содержащейся внутри организации. Кому-то нужно просто защититься от "начинающих хакеров", а кому-то - уберечься от промышленного шпионажа со стороны конкурентов.

Чтобы убедиться в эффективности существующей или создаваемой системы информационной безопасности, лучше всего обратиться к аудитору ИС.

Специалисты нередко подчёркивают, что аудит - это всего лишь проверка системы на соответствие каким-либо требованиям - стандартам, нормативным документам и т. д. Более детальную и глубокую проверку они предпочитают называть обследованием. Это более сложная работа, которая включает в себя анализ информационных потоков, бизнес-процессов, анализ адекватности систем защиты информации, критичности информации... То есть это - глубокий анализ с привязкой к конкретной организации.

Однако мы для простоты будем называть и это аудитом ИС.

Когда целесообразно прибегать к аудиту системы информационной безопасности?

• До начала разработки системы информационной безопасности - чтобы знать текущее состояние и понимать, что делать.

Новые информационные технологии в последние годы начинают применяться в аудиторской деятельности. Компьютер становится инструментом аудитора, позволяющим ему не только сократить время и средства для проведения аудита, но и провести более детальную проверку и составить качественное аудиторское заключение с рекомендациями по стратегии, направлениям и средствам улучшения финансово-хозяйственного положения предприятия.

Автоматизация бухгалтерского учета и других управленческих функций предприятия, с одной стороны, и автоматизация аудита, с другой, в корне меняют проведение аудита на конкретном объекте. Стали различать аудит вне компьютерной среды, т.е. на объекте с традиционной технологией ручного ведения учета, и аудит в компьютерной среде – на объекте, где бухгалтерский учет выполняется с использованием компьютеров. Сам аудит может также проводиться без использования компьютеров и с их помощью.

Проведение аудита в компьютерной среде имеет ряд отличий, вытекающих из особенностей компьютерной обработки данных. Основные принципы самого аудита здесь не меняются. Сохраняются его цели, задачи, действуют общепринятые стандарты. В то же время международные нормативы аудита требуют от аудитора, проводящего проверку в компьютерной среде, иметь представление о техническом и программном обеспечении компьютеров, а также о системах обработки данных.

Аудитор должен принять во внимание особенности организации и ведения компьютерного учета. Он должен учесть, что данные хранятся в базах данных, что база данных бухгалтерских проводок является основой для получения по запросу любого учетного регистра и в любой последовательности. База данных в компьютерных системах учета может быть децентрализована, частично или полностью централизована. В многопользовательском режиме по-разному реализуется интеграция данных для составления отчетности. Ряд операций, таких как начисление процентов, закрытие счетов, определение финансового результата, может инициироваться компьютером и, следовательно, по ним отсутствуют какие-либо санкционирующие их документы. Ошибка, заложенная в алгоритм расчета и примененная многократно к повторяющимся хозяйственным операциям, может исказить результат хозяйственной деятельности. Баланс, например, может сходиться в рублях и не сходиться в тысячах рублей из-за ошибки в округлении. В системах компьютерного учета, как правило, заложен контроль процедур ввода, обработки и вывода данных. Компьютерные системы более открыты для доступа к данным, поэтому в каждой их них четко разграничиваются полномочия и права доступа к информации, а также введена система защиты и контроля от несанкционированного доступа.

Только перечисление этих, далеко не полных особенностей автоматизированного ведения учета, подчеркивает, что на первом этапе любой аудиторской проверки существенное место должно быть отведено изучению системы компьютерного учета, так как она играет основную роль в осуществлении контрольных функций. При этом следует изучить уровень автоматизации каждой из задач бухгалтерского учета, методы обработки данных, доступность данных, определение мест наиболее вероятного возникновения ошибок и рассмотреть процедуры их выявления и устранения.

Аудитор должен выявить слабые места контроля системы компьютерного учета. Следует рассмотреть как аппаратные, так и программные средства контроля. В многопользовательских сетевых системах объектом внимания должен быть контроль передачи данных, средства контроля доступа к данным. Столь пристальное внимание аудитора к вопросам контроля в компьютерной среде объясняется тем, что он не в состоянии проконтролировать все аспекты деятельности организации и потому часть задач может быть возложена на внутрифирменный контроль. Однако для этого следует оценить риск неэффективности системы внутреннего контроля и определить общий риск аудиторской проверки. Лишь после этого аудитор может установить набор и глубину аудиторских процедур, которые предстоит выполнить на проверяемом объекте.

Аудиторская проверка, как было сказано выше, может быть выполнена без компьютера и с его использованием. Аудиторские инструменты в последнем варианте подразделяются на аудиторские программы и проверочные данные, которые вводятся в систему обработки в целях сопоставления полученных данных с предварительно установленными.

Список задач выполняемых аудиторскими программами достаточно широк. Они выполняют проверку и анализ записей на основе критериев их качества, полноты, состоятельности и правильности; тестируют выполнение расчетов; сопоставляют данные различных файлов в целях выявления несопоставимых данных; при проведении выборочного аудита с их помощью можно получить представительную выборку; они незаменимы как способ доступа к данным, которые хранятся только в машинной форме, позволяют быстро производить упорядочение, группировку, переформатирование данных.

Программное обеспечение для проведения аудиторских проверок представлено двумя видами программ: пакетные программы и целевые программы. Пакетные программы – это комплекс программ общего назначения, обеспечивающих выполнение широкого спектра функций обработки и анализа данных, включая подготовку и печать отчетов. С помощью программ пакета возможно создать имитационную модель обработки данных, способную реагировать на все предусмотренные аудитором варианты ошибок. Целевые программы составляются для выполнения аудиторских заданий в определенных ситуациях. Эти программы подготавливаются аудиторамиили организацией-клиентом по согласованию с аудиторской фирмой.

Поскольку достаточно часто проводится выборочный аудит, то в аудиторских программах реализуются статистические методы. Функции регрессионного анализа, анализа временных рядов, сглаживания введены в табличные процессоры (Excel, Lotus 1-2-3 и др.) и именно это сделало их столь популярными среди аудиторов. Однако при проведении достаточно сложных расчетов аудиторами используются специализированные статистические пакеты общего назначения. Они реализуют набор различных статистических методов, позволяют выполнять обмен с наиболее распространенными СУБД, имеют возможность графического представления данных, удобный для пользователя интерфейс. В настоящее время наиболее популярны из них Mathematics, Statistics, Quick, Statgraphics.

Для внешнего и внутреннего аудита достаточно широко используются системы автоматизации финансового анализа.

В аудите используются также текстовые редакторы, справочно-правовые базы данных, программы управления электронным документооборотом, бухгалтерские программы и их отдельные модули.

В настоящее время некоторыми аудиторскими фирмами разрабатываются специальные информационные системы, ориентированные на внутреннюю регламентацию аудиторской деятельности с применением внутрифирменных стандартов. Рассмотрим их возможности на примере системы "Ассистент Аудитора", разработанной фирмой "Сервис-Аудит".

Система "Ассистент Аудитора" фирмы "Сервис-Аудит". Данная разработка представляет собой профессиональную информационно-справочную систему, интегрируемую в информационно-поисковую систему (ИПС) "Кодекс". Она предназначена для аудиторских фирм, частнопрактикующих аудиторов, а также фирм и предприятий, стремящихся повысить эффективность работы служб внутреннего аудита и финансово-экономических служб. За счет интеграции в ИПС "Кодекс", "Ассистент Аудитора" позволяет проводить поиск необходимых материалов всеми возможными методами, которые в ней реализован (тематический поиск, контекстный поиск, поиск по наименованию, виду и типу документа и т.д.).

Система "Ассистент аудитора" позволяет систематизировать выполнение аудиторских процедур, начиная с предварительного изучения клиента и заканчивая оформлением аудиторского заключения, сформировать ряд рабочих документов необходимых для документирования аудита, что позволяет осуществлять эффективный контроль качества аудиторских проверок, а также обеспечить аудитора (бухгалтера, экономиста) справочным материалом по широкому спектру вопросов бухгалтерского учета, налогообложения и финансового анализа.

Система состоит из четырех условно независимых тематических разделов.

Раздел "Планы и программы аудита" содержит бланки документов, которые следует формировать до того, как подписан договор на проведение аудита, образцы договоров на различные виды аудиторских услуг, бланки и образцы документов, формируемых на этапе планирования аудиторской проверки и составления программы аудита, а также методические материалы, которые могут использоваться для разработки внутрифирменных стандартов аудиторской фирмы. Анкеты-вопросники, входящие в этот раздел, могут использоваться не только аудиторскими фирмами. Используя их, службы внутреннего аудита или финансово-экономические службы предприятия могут провести тестирование системы внутреннего контроля и организации бухгалтерского учета.

Раздел "Рабочие документы аудитора" содержит анкеты-вопросники по различным участкам бухгалтерского учета. Они призваны помочь при выполнении аудиторских процедуры и тестировании отдельных разделов бухгалтерского учета на предприятии. Также в этот раздел включены методические материалы, призванные помочь в подготовке и оформлении заключения по итогам аудиторской проверки.

Раздел "Консультант аудитора" содержит справочные таблицы по вопросам бухгалтерского учета, налогообложения, финансового анализа деятельности предприятий, а также оформленные в виде таблиц нормативы, ставки, индексы, используемые для расчетов показателей отдельных хозяйственных операций, сумм налогов.

Раздел "Основные нормативные документы" носит справочный характер и включает основные законодательные и нормативные ведомственные акты, регулирующие аудиторскую деятельность и порядок ведения бухгалтерского учета.

Базы данных системы "Ассистент Аудитора" представляют собой набор аудиторских процедур, оформленных в виде анкет-вопросников, бланков, рабочих карт, методик, справочных таблиц. Большая часть документов, включенных в базы данных, является оригинальными авторскими разработками, созданными специалистами с большим практическим опытом аудита. Информационные ресурсы ИС "Ассистент Аудитора" постоянно пополняются, обновляются, актуализируются в соответствии с изменениями в законодательной и нормативной базе по аудиту и бухгалтерскому учету.

Вопросы для самоконтроля

1. Раскройте обособленности проведения аудита в среде компьютерного ведения бухгалтерского учета.

2. Как подразделяется аудиторские инструменты при проведении аудиторских проверок с использованием программных средств?

3. Перечислите некоторые из задач, которые могут быть выполнены аудиторскими программами.

4. Какие виды программ используются при проведении аудиторских проверок?

5. Приведите пример специализированной системы автоматизации аудита и дайте ее характеристику.

Что такое аудит информационных систем

удит информационных систем - термин для нас сравнительно новый. Поэтому, прежде чем обратиться к этому понятию, вспомним определения более традиционных видов аудита. При слове «аудит» мы прежде всего представляем проверку финансовой деятельности компаний аудитором. Различают частный аудит и аудит по закону. Частный аудит проводится по запросу, то есть любая фирма может пригласить частного аудитора для проверки своей финансовой деятельности. Аудит по закону - это юридически обоснованная мера. Например, банк, выдающий кредит какой-либо фирме, может потребовать отчета независимого аудитора о финансовом состоянии этой фирмы. Среди наиболее распространенных видов аудита - банковский аудит, то есть комплексная проверка или экспертиза результатов финансово-хозяйственной деятельности банков.

В последнее время функции аудита все больше выходят за рамки проверки финансовой деятельности компании. В обязанность внешних аудиторов входят новые виды экспертизы. Например, операционный аудит предполагает консультирование компании по вопросам управления, оценку эффективности маркетинга, оценку заключенных договоров с точки зрения юридических требований и т.д.

Сегодня ни одно производство, ни одна компания не обходится без информационной системы, причем объектом и результатом труда всего коллектива сотрудников фирм самого разного профиля становится информация. Любая компания ежедневно производит множество самой разнообразной информации. Для эффективного использования информации в организации должны быть внедрены корпоративные стандарты оформления документов, системы коллективной работы, системы документооборота и т.д. Ответ на вопрос, насколько грамотно спланированы все звенья этой работы, и должен дать аудит информационной системы.

Информационные системы стоят больших денег, но попытки сэкономить на грамотном проектировании информационных систем приводят к фатальным результатам.

По данным Gartner Group, средняя компания теряет 2-3% дохода в течение 10 дней после сбоя в работе ИС. На полное восстановление сбоя сети уходит 4,8 дня, после чего компания выходит на прежний уровень рентабельности. Однако 50% компаний, которые не смогли восстановить функциональность в течение этих 10 дней, никогда не выходят на прежний уровень рентабельности, а 93% компаний, игнорирующих планы быстрого восстановления и резервирования данных, в течение 5 лет прекращают свое существование.

Отсутствие стандартов построения и долгосрочных планов развития ИС грозит многим предприятиям огромными финансовыми потерями. ИС требует наличия высокопрофессиональных специалистов, но узкая специализация, в свою очередь, порождает проблемы. Большинство из них возникает именно на стыке технических и управленческих аспектов. Аудит информационных систем как раз и направлен на поиск узких мест, возможных сбоев в работе ИС, а главное - на выяснение причин возникновения этих сбоев.

Таким образом, аудит ИС - это комплексный процесс анализа данных о текущем состоянии информационной системы предприятия, о действиях и событиях, происходящих в ней, который устанавливает уровень их соответствия определенному критерию. Этот процесс завершается предоставлением отчетов, отражающих полную картину ИС руководству.

Аудит информационных систем в России

роблематика аудита информационных систем в последнее время все чаще является предметом обсуждения не только специалистов по информационным технологиям, но и широкого круга управленцев, а также клиентов крупных компаний. Особенно остро проблема оптимизации ИС стоит в России, где многие информационные системы развивались стихийно.

Сбои информационной системы возникают в наиболее напряженные, а значит, и в наиболее ответственные моменты. В настоящее время вопросы аудита информационных систем - это уже вопросы доверия той или иной компании. От того, насколько надежно выстроена в компании информационная система, зависит ее привлекательность для потенциальных клиентов.

В России практически нет специалистов в области аудита ИС, а услуги западных компаний весьма дороги. Восполнить данный пробел на российском рынке взялась компания «Микроинформ», которая с сентября этого года начала проводить курсы в области аудита информационных систем. Для того чтобы ознакомить широкую общественность и журналистов с данной деятельностью, 10 сентября «Микроинформ» и MIS Training Institute (мировой лидер в области подготовки специалистов по IT-аудиту) провели бесплатный семинар «Аудит информационных систем: состояние, проблемы, подготовка специалистов», на котором удалось побывать автору данной статьи.

Генеральный директор «Микроинформ» Б.М.Фридман проинформировал участников о старте в России новой образовательной программы международного уровня по аудиту информационных систем от MIS Training Institute.

Компания MIS Training Institute создана в 1978 году. Основные направления ее деятельности - подготовка специалистов в области информационной безопасности и информационного аудита. По данной тематике MIS Training Institute предлагает около 90 различных курсов. Заказчиками MIS Training Institute являются ведущие мировые компании и банки: General Electric, PricewaterhouseCoopers, NASA, IBM, Walt Disney, Johnson&Johnson, Chase Manhattan Bank и многие другие. MIS Training Institute является организатором крупнейших международных конференций по проблемам информационной безопасности.

Учебный Центр «Микроинформ» (Сертифицированный Партнер и представитель в России MIS Training Institute) впервые проводит в России комплексную программу международного уровня по подготовке специалистов аудита информационных систем.

Данные программы являются развитием сотрудничества этих компаний, начатого летом минувшего года. Проведенные в течение 2001-2002 годов в «Микроинформ» сертификационные программы MIS Training Institute для специалистов по информационной безопасности вызвали большой интерес у ведущих российских и иностранных компаний.

В качестве пилотной была выбрана программа IT Audit School («Школа аудита информационных систем»), которая закладывает основу профессиональной квалификации аудитора международного уровня. Курс проводился в Москве 9-13 сентября и собрал много желающих, несмотря на достаточно высокие цены (день обучения - 500 долл.) Курс является базовым для аудиторов информационных систем, а также предназначен для финансовых аудиторов, сотрудников служб внутреннего контроля и аудита, внешних аудиторов.

В ходе этой интенсивной пятидневной программы рассматривались следующие вопросы:

• идентификация бизнес-рисков, связанных с информационными системами (ИС), и их минимизация;
• вопросы, касающиеся инфраструктуры ИС, включая аппаратные средства и операционные системы, процесс трансляции и анализ рисков;
• среда контроля ИС (информационная безопасность, организация и управление ИС, сопровождение и поддержка систем);
• необходимые знания о базах данных, распределенных системах, сетях, Интернете и электронной коммерции.

Доклад MIS Training Institute по вопросам аудита информационных систем

а семинаре выступил Фрэд Рот - ведущий инструктор MIS Training Institute по тематике аудита информационных систем. В своем докладе г-н Рот привел краткий обзор состояния данной проблемы в мире, остановился на основных направлениях работ в этой области, уделил особое внимание вопросам подготовки специалистов по аудиту информационных систем в России.

Со ссылкой на опрос Infoworld IT Security Survey г-н Рот привел данные (рис. 1), свидетельствующие о том, что развитие ИС в мире в существенной мере тормозится именно опасениями в связи с недостаточной безопасностью информационных технологий. Цифры показывают, что более всего респонденты обеспокоены недостаточной безопасностью, связанной с Web-сервисами, с передачей информации по беспроводным каналам и с электронной коммерцией (B2B и B2C). Безопасность систем класса Entrprise Applications (здесь речь идет прежде всего о продуктах таких компаний, как SAP, People Soft, BAAN) вызывает беспокойство только 7% опрошенных, причем следует подчеркнуть, что наличие подобных систем существенно упрощает проведение ИС-аудита. Говоря о соотношении опасений и реальных случаев возникновения проблем в ИС по причине их недостаточной безопасности, Фрэд Рот привел соответствующие данные (рис. 2). Информационные системы большинства компаний сталкиваются с внедрением вирусов.

В докладе г-на Рота были также приведены данные о тех мероприятиях, которые планируются компаниями, принявшими участие в опросе Infoworld IT Security Survey, по увеличению безопасности ИС (рис. 3). Более половины компаний связывают меры по усилению безопасности своих ИС с внедрением виртуальных частных сетей, а 37% опрошенных собираются прибегнуть к консалтингу и обучению своих специалистов. Последние цифры свидетельствуют о потенциально высокой актуальности аудита ИС, так как постоянное проведение аудита гарантирует стабильность функционирования информационных систем.

В докладе были изложены основные понятия аудита ИС и принципы его проведения. Докладчик остановился на вопросах структуры аудита ИС (рис. 4). Вопросы финансового аудита и аудита ИС смыкаются в области решения проблем оптимизации работы приложений ИС. Помимо вопросов безопасности проведение аудита ИС поможет решить ряд важных задач: определить соответствие существующей ИС целям и задачам бизнеса, вычислить оптимальность инвестиций в ИС, снизить расходы на обслуживание.

Процесс аудита информационных систем можно представить в виде своеобразных весов (рис. 5), где на одной чаше рассматриваются системы безопасности доступа, на другой - контроль бизнес-процессов, а в качестве опоры служит техническая инфраструктура, которая, в свою очередь, основана на принятых методах авторизации, конфигурации системы, а также на политиках и процедурах, принятых в компании.

Основные направления контроля при аудите ИС включают изучение корпоративных стандартов, анализ рабочих процессов компании, анализ схемы сети и сетевого трафика в различных сегментах сети, анализ бизнес-процессов и целый круг других вопросов (рис. 6).

После проведения аудита ИС заказчик получает информацию об источниках и величине потерь организации. Аудит позволяет определить эффективность корпоративных стандартов, найти пути их улучшения, оценить величину затрат на внедрение и поддержание более эффективных корпоративных стандартов и выявить эффективность их применения. Эта информация позволяет определить причины и источники возникновения сбоев и наладить процессы поддержки так, чтобы возникающие сбои были легко устраняемы. По результатам аудита ИС могут быть разработаны и корпоративные стандарты, внедрение которых значительно повышает надежность функционирования информационных систем.

КомпьютерПресс 11"2002

Зачем проводить аудит информационных систем?

Сергей Гузик, JetInfo

Определение и задачи аудита

Под термином аудит Информационной Системы понимается системный процесс получения и оценки объективных данных о текущем состоянии ИС, действиях и событиях, происходящих в ней, устанавливающий уровень их соответствия определенному критерию и предоставляющий результаты заказчику.
В настоящее время актуальность аудита резко возросла, это связано с увеличением зависимости организаций от информации и ИС. Рынок насыщен аппаратно-программным обеспечением, многие организации в силу ряда причин (наиболее нейтральная из которых - это моральное старение оборудования и программного обеспечения) видят неадекватность ранее вложенных средств в информационные системы и ищут пути решения этой проблемы. Их может быть два: с одной стороны - это полная замена ИС, что влечет за собой большие капиталовложения, с другой - модернизация ИС. Последний вариант решения этой проблемы - менее дорогостоящий, но открывающий новые проблемы, например, что оставить из имеющихся аппаратно-программных средств, как обеспечить совместимость старых и новых элементов ИС.
Более существенная причина проведения аудита состоит в том, что при модернизации и внедрении новых технологий их потенциал полностью не реализуется. Аудит ИС позволяет добиться максимальной отдачи от средств, инвестируемых в создание и обслуживание ИС.
Кроме того возросла уязвимость ИС за счет повышения сложности элементов этой ИС, увеличения строк кода программного обеспечения, новых технологий передачи и хранения данных.
Спектр угроз расширился. Это обусловлено следующими причинами:
передача информации по сетям общего пользования;
"информационная война" конкурирующих организаций;
высокая текучка кадров с низким уровнем порядочности.
По данным некоторых западных аналитических агенств до 95% попыток несанкционированного доступа к конфиденциальной информации происходит по инициативе бывших сотрудников организации.
Проведение аудита позволит оценить текущую безопасность функционирования ИС, оценить риски, прогнозировать и управлять их влиянием на бизнес-процессы организации, корректно и обоснованно подойти к вопросу обеспечения безопасности информационных активов организации, основные из которых:
идеи;
знания;
проекты;
результаты внутренних обследований.
В настоящее время многие системные интеграторы декларируют поставку полного, законченного решения. К сожалению, в лучшем случае, все сводится к проектированию и поставке оборудования и программного обеспечения. Построение информационной инфраструктуры "остается за кадром" и к решению не прилагается.
Оговоримся, что в данном случае под информационной инфраструктурой понимается отлаженная система, выполняющая функции обслуживания, контроля, учета, анализа, документирования всех процессов, происходящих в информационной системе.
Все чаще и чаще к системным интеграторам, проектным организациям, поставщикам оборудования возникают вопросы следующего содержания:
Что дальше? (Наличие стратегического плана развития организации, место и роль ИС в этом плане, прогнозирование проблемных ситуаций).
Соответствует ли наша ИС целям и задачам бизнеса? Не превратился ли бизнес в придаток информационной системы?
Как оптимизировать инвестиции в ИС?
Что происходит внутри этого "черного ящика" - ИС организации?
Сбои в работе ИС, как выявить и локализовать проблемы?
Как решаются вопросы безопасности и контроля доступа?
Подрядные организации провели поставку, монтаж, пуско-наладку. Как оценить их работу? Есть ли недостатки, если есть, то какие?
Когда необходимо провести модернизацию оборудования и ПО? Как обосновать необходимость модернизации?
Как установить единую систему управления и мониторинга ИС? Какие выгоды она предоставит?
Руководитель организации, начальник отдела ОИТП должны иметь возможность получать достоверную информацию о текущем состоянии ИС в кратчайшие сроки. Возможно ли это?
Почему все время производится закупка дополнительного оборудования?
Сотрудники отдела ОИТП постоянно чему-либо учатся, есть ли в этом необходимость?
Какие действия предпринимать в случае возникновения внештатной ситуации?
Какие возникают риски при размещении конфиденциальной информации в ИС организации? Как минимизировать эти риски?
Как снизить стоимость владения ИС?
Как оптимально использовать сложившуюся ИС при развитии бизнеса?
На эти и другие подобные вопросы нельзя мгновенно дать однозначный ответ. Только рассматривая все проблемы в целом, взаимосвязи между ними, учитывая нюансы и недостатки можно получить достоверную, обоснованную информацию.
Для этого в консалтинговых компаниях во всем мире существует определенная специфическая услуга - аудит Информационной Системы.

ISACA (Ассоциация аудита и контроля информационных систем)

Подход к проведению аудита ИС, как отдельной самостоятельной услуги, с течением времени упорядочился и стандартизировался.
Крупные и средние аудиторские компании образовали ассоциации - союзы профессионалов в области аудита ИС, которые занимаются созданием и сопровождением стандартов аудиторской деятельности в сфере ИТ. Как правило, это закрытые стандарты, тщательно охраняемое "ноу-хау".
Однако, существует ассоциация ISACA, занимающаяся открытой стандартизацией аудита ИС.
Ассоциация ISACA основана в 1969 году и в настоящее время объединяет около 20 тысяч членов из более чем 100 стран, в том числе и России. Ассоциация координирует деятельность более чем 12 тыс. аудиторов информационных систем.
Основная декларируемая цель ассоциации - это исследование, разработка, публикация и продвижение стандартизованного набора документов по управлению информационной технологией для ежедневного использования администраторами и аудиторами информационных систем.
В помощь профессиональным аудиторам, руководителям ОИТП, администраторам и заинтересованным пользователям ассоциацией ISACA и привлеченными специалистами из ведущих мировых консалтинговых компаний был разработан стандарт CoBiT.

CoBiT (Контрольные Объекты Информационной Технологии)

CoBiT - Контрольные ОБъекты Информационной Технологии - открытый стандарт, первое издание, которое в 1996 году было продано в 98 странах по всему миру и облегчило работу профессиональных аудиторов в сфере информационных технологий.
Стандарт связывает информационные технологии и действия аудиторов, объединяет и согласовывает многие другие стандарты в единый ресурс, позволяющий авторитетно, на современном уровне получить представление и управлять целями и задачами, решаемыми ИС. CoBiT учитывает все особенности информационных систем любого масштаба и сложности.
Основополагающее правило, положенное в основу CoBiT, следующее: ресурсы ИС должны управляться набором естественно сгруппированных процессов для обеспечения организации необходимой и надежной информацией (Рис. 1).

А теперь немного разъяснений по поводу того, какие ресурсы и критерии их оценки используются в стандарте CoBiT:
Трудовые ресурсы - под трудовыми ресурсами понимаются не только сотрудники организации, но также руководство организации и контрактный персонал. Рассматриваются навыки штата, понимание задач и производительность работы.
Приложения - прикладное программное обеспечение, используемое в работе организации.
Технологии - операционные системы, базы данных, системы управления и т.д.
Оборудование - все аппаратные средства ИС организации, с учетом их обслуживания.
Данные - данные в самом широком смысле - внешние и внутренние, структурированные и неструктурированные, графические, звуковые, мультимедиа и т.д.
Все эти ресурсы оцениваются CoBiT на каждом из этапов построения или аудита ИС по следующим критериям:
Эффективность - критерий, определяющий уместность и соответствие информации задачам бизнеса.
Технический уровень - критерий соответствия стандартам и инструкциям.
Безопасность - защита информации.
Целостность - точность и законченность информации.
Пригодность - доступность информации требуемым бизнес-процессам в настоящем и будущем. А также защита необходимых и сопутствующих ресурсов.
Согласованность - исполнение законов, инструкций и договоренностей, влияющих на бизнес-процесс, то есть внешние требования к бизнесу.
Надежность - соответствие информации, предоставляемой руководству организации, осуществление соответствующего управления финансированием и согласованность должностных обязанностей.
CoBiT базируется на стандартах аудита ISA и ISACF, но включает и другие международные стандарты, в том числе принимает во внимание утвержденные ранее стандарты и нормативные документы:
технические стандарты;
кодексы;
критерии ИС и описание процессов;
профессиональные стандарты;
требования и рекомендации;
требования к банковским услугам, системам электронной торговли и производству.
Стандарт разработан и проанализирован сотрудниками соответствующих подразделений ведущих консалтинговых компаний и используется в их работе наряду с собственными разработками.
Применение стандарта CoBiT возможно как для проведения аудита ИС организации, так и для изначального проектирования ИС. Обычный вариант прямой и обратной задач.
Если в первом случае - это соответствие текущего состояния ИС лучшей практике аналогичных организаций и предприятий, то в другом - изначально верный проект и, как следствие, по окончании проектирования - ИС, стремящаяся к идеалу.
В дальнейшем мы будем рассматривать аудит ИС, подразумевая при этом, что на любом этапе возможно решение обратной задачи - проектирования ИС.
Несмотря на малый размер разработчики старались, чтобы стандарт был прагматичным и отвечал потребностям бизнеса, при этом сохраняя независимость от конкретных производителей, технологий и платформ.
На базовой блок-схеме CoBiT отражена последовательность, состав и взаимосвязь базовых групп. Бизнес-процессы (в верхней части схемы) предъявляют свои требования к ресурсам ИС, которые анализируются с использованием критериев оценки CoBiT на всех этапах построения и проведения аудита.
Четыре базовые группы (домена) содержат в себе тридцать четыре подгруппы, которые, в свою очередь состоят из трехсот двух объектов контроля. Объекты контроля предоставляют аудитору всю достоверную и актуальную информацию о текущем состоянии ИС.
Отличительные черты CoBiT:
1. Большая зона охвата (все задачи от стратегического планирования и основополагающих документов до анализа работы отдельных элементов ИС).
2. Перекрестный аудит (перекрывающиеся зоны проверки критически важных элементов).
3. Адаптируемый, наращиваемый стандарт.
Рассмотрим преимущества CoBiT перед многочисленными западными и российскими разработками. Прежде всего, это его достаточность - наряду с возможностью относительно легкой адаптации к особенностям отечественных ИС. И, конечно же, то, что стандарт легко масштабируется и наращивается. CoBiT позволяет использовать любые разработки производителей аппаратно-программного обеспечения и анализировать полученные данные не изменяя общие подходы и собственную структуру.

Практика проведения аудита ИС

Представленная на Рис. 2 блок-схема отражает, хотя и не в деталях, ключевые точки проведения аудита ИС. Рассмотрим их подробнее.
На этапе подготовки и подписания исходно-разрешительной документации определяются границы проведения аудита:
Границы аудита определяются критическими точками ИС (элементами ИС), в которых наиболее часто возникают проблемные ситуации.
На основании результатов предварительного аудита всей ИС (в первом приближении) проводится углубленный аудит выявленных проблем.
В это же время создается команда проведения аудита, определяются ответственные лица со стороны Заказчика. Создается и согласовывается необходимая документация.
Далее проводится сбор информации о текущем состоянии ИС с применением стандарта CoBiT, объекты контроля которого получают информацию обо всех нюансах функционирования ИС как в двоичной форме (Да/Нет), так и форме развернутых отчетов. Детальность информации определяется на этапе разработки исходно-разрешительной документации. Существует определенный оптимум между затратами (временными, стоимостными и т.д.) на получение информации и ее важностью и актуальностью.
Проведение анализа - наиболее ответственная часть проведения аудита ИС. Использование при анализе недостоверных, устаревших данных недопустимо, поэтому необходимо уточнение данных, углубленный сбор информации.
Требования к проведению анализа определяются на этапе сбора информации. Методики анализа информации существуют в стандарте CoBiT, но если их не хватает не возбраняется использовать разрешенные ISACA разработки других компаний.
Результаты проведенного анализа являются базой для выработки рекомендаций, которые после предварительного согласования с Заказчиком должны быть проверены на выполнимость и актуальность с учетом рисков внедрения.
Контроль выполнения рекомендаций - немаловажный этап, требующий непрерывного отслеживания представителями консалтинговой компании хода выполнения рекомендаций.
На этапе разработки дополнительной документации проводится работа, направленная на создание документов, отсутствие или недочеты в которых могут вызвать сбои в работе ИС. Например, отдельное углубленное рассмотрение вопросов обеспечения безопасности ИС.
Постоянное проведение аудита гарантирует стабильность функционирования ИС, поэтому создание план-графика проведения последующих проверок является одним из результатов профессионального аудита.

Результаты проведения аудита

Результаты аудита ИС организации можно разделить на три основных группы:
1. Организационные - планирование, управление, документооборот функционирования ИС.
2. Технические - сбои, неисправности, оптимизация работы элементов ИС, непрерывное обслуживание, создание инфраструктуры и т.д.
3. Методологические - подходы к решению проблемных ситуаций, управлению и контролю, общая упорядоченность и структуризация.
Проведенный аудит позволит обоснованно создать следующие документы:
Долгосрочный план развития ИС.
Политика безопасности ИС организации.
Методология работы и доводки ИС организации.
План восстановления ИС в чрезвычайной ситуации.

Требования к представлению информации

Ассоциация ISACA разработала и приняла требования к представлению информации при проведении аудита. Применение стандарта CoBiT гарантирует соблюдение этих требований.
Основное требование - полезность информации. Чтобы информация была полезной, она должна обладать определенными характеристиками, среди которых:
1. Понятность. Информация должна быть понятной для пользователя, который обладает определенным уровнем знаний, что не означает, однако, исключения сложной информации, если она необходима.
Уместность. Информация является уместной или относящейся к делу, если она влияет на решения пользователей и помогает им оценивать прошлые, настоящие, будущие события или подтверждать и исправлять прошлые оценки.
На уместность информации влияет ее содержание и существенность. Информация является существенной, если ее отсутствие или неправильная оценка могут повлиять на решение пользователя. Еще одна характеристика уместности - это своевременность информации, которая означает, что вся значимая информация своевременно, без задержки включена в отчет и такой отчет предоставлен вовремя.
Неким аналогом принципа уместности в отечественной практике может служить требование полноты отражения операций за учетный период, хотя требование отражения всей информации не тождественно требованию отражения существенной информации.
Достоверность, надежность. Информация является достоверной, если она не содержит существенных ошибок или пристрастных оценок и правдиво отражает хозяйственную деятельность. Чтобы быть достоверной, информация должна удовлетворять следующим характеристикам:
- правдивость;
- нейтральность - информация не должна содержать однобоких оценок, то есть информация не должна предоставляться выборочно, с целью достижения определенного результата;
- осмотрительность - готовность к учету потенциальных убытков, а не потенциальных прибылей и как следствие - создание резервов. Такой подход уместен в состоянии неопределенности и не означает создание скрытых резервов или искажения информации;
- достаточность информации - включает такую характеристику, как требование полноты информации, как с точки зрения ее существенности, так и затрат на ее подготовку.

Потребность отечественного рынка в данной услуге

При оценке необходимости проведения аудита ИС необходимо акцентировать внимание на следующих моментах (см. Таб. 1):
сложности решаемых задач - постоянное увеличение, как количественное, так и качественное, задач, решаемых ИС;
разветвленности ИС - сложность в обслуживании, территориальная распределенность;
перспективности бизнеса - новые направления, рынки, условия работы;
руководство организацией - умение и желание руководителей стратегически мыслить, видеть перспективы, открываемые стандартизованным подходом, основанные на передовом опыте.
Кто заинтересован в проведении аудита? Прежде всего, это коммерческие или бюджетные организации и предприятия для обоснования инвестиций в ИС, системные интеграторы, ИТ компании для оценки влияния ИС на основной бизнес-процесс и расширения спектра предлагаемых услуг.
Для компаний, проводящих финансовый аудит - аудит ИС, дополнительная услуга, которая способна повысить рейтинг компании на рынке.
Генеральным подрядчикам работ будет интересна возможность оценить работу субподрядчиков в сфере ИТ.
А также проведение аудита ИС по стандарту CoBiT будет интересно любым предприятиям и организациям, имеющим или планирующим создание ИС и которые заинтересованы в получении ответов на вопросы, приведенные во введении этой статьи.

Таблица 1. Результаты проведения аудита.