Поведенческий аудит безопасности¶
Поведенческий аудит безопасности — это метод оценки защищённости объектов и информационных систем, основанный на анализе реального поведения сотрудников, посетителей и пользователей при взаимодействии с системами защиты, регламентами и процедурами. В отличие от технического аудита, который проверяет работоспособность оборудования и программных средств, поведенческий аудит фокусируется на «человеческом факторе»: соблюдении политик безопасности, реагировании на инциденты, использовании учётных данных и обработке конфиденциальной информации.
¶Кто проводит поведенческий аудит
Проведение поведенческого аудита безопасности может осуществляться несколькими категориями специалистов и организаций:
- Службы информационной безопасности (СИБ) — внутренние подразделения компаний, отвечающие за защиту информации. Внутренний аудит проводится штатными специалистами, что позволяет оперативно реагировать на выявленные риски, но создаёт конфликт интересов, поскольку подразделение оценивает собственную работу.
- Независимые аудиторские компании — привлекаются для внешнего аудита, что обеспечивает объективность оценки. Такие компании работают в соответствии с международными стандартами (ISO/IEC 27001, ISO 19011) и национальными требованиями.
- Консалтинговые фирмы, специализирующиеся на информационной безопасности — оказывают услуги по оценке человеческого фактора, включая тестирование на социальную инженерию.
- Специализированные центры тестирования (пентест-команды) — проводят проверки методами социальной инженерии (фишинговые рассылки, телефонное мошенничество, физическое проникновение) для оценки устойчивости персонала.
- Регуляторы и надзорные органы — в России к таким относятся ФСТЭК России (в области защиты информации), Центральный банк (для финансовых организаций), Роскомнадзор (в части персональных данных). Надзорные проверки включают оценку организационных мер, в том числе поведенческих аспектов.
- Военные и государственные структуры — при работе с объектами критической информационной инфраструктуры (КИИ) аудит может проводиться уполномоченными органами в области КИИ.
¶Нормативная база в России
В российском законодательстве поведенческий аудит не выделен в отдельный вид проверки, однако его элементы входят в требования ряда нормативных актов:
- Федеральный закон № 187-ФЗ «О безопасности критической информационной инфраструктуры РФ» — требует от операторов КИИ проведения оценки защищённости, включая организационные меры и работу с персоналом.
- Приказы ФСТЭК России № 21 и № 239 — устанавливают требования к защите персональных данных и информационных систем, включая организационные мероприятия: инструктаж, разграничение доступа, контроль исполнения.
- Стандарты ГОСТ Р ИСО/МЭК 27001 и ГОСТ Р ИСО/МЭК 27002 — описывают управление безопасностью, включая элементы поведенческого аудита (осведомлённость персонала, управление доступом, реагирование на инциденты).
- Требования Банка России — для кредитных организаций установлены обязательные меры по противодействию легализации доходов, полученных преступным путём (115-ФЗ), включающие оценку поведения клиентов и сотрудников.
¶Методы поведенческого аудита
Основные методы, применяемые при проведении аудита:
| Метод | Суть | Кто проводит |
|---|---|---|
| Фишинг-симуляции | Рассылка тестовых писем для оценки реакции сотрудников | СИБ, пентест-команды |
| Тестирование на социальную инженерию | Телефонные звонки, личное взаимодействие | Специализированные фирмы |
| Анализ журналов доступа | Изучение логов на предмет аномалий | СИБ, аудиторы |
| Интервью и анкетирование | Оценка знаний политик безопасности | Аудиторы |
| Наблюдение за процессами | Анализ соблюдения регламентов | Внутренние аудиторы |
| Оценка физической защиты | Проверка пропускного режима | Охранные структуры, аудиторы |
¶Требования к аудиторам
Для проведения поведенческого аудита специалисты должны обладать:
- Знанием нормативной базы в области защиты информации;
- Опытом работы с системами мониторинга и анализа логов;
- Навыками психологического анализа и социальной инженерии (для тестирования);
- Сертификациями в области информационной безопасности (CISSP, CISA, CISM, отечественные сертификаты ФСТЭК);
- Пониманием отраслевых требований (для финансового сектора, промышленности, госсектора).
¶Ограничения и этические аспекты
Поведенческий аудит затрагивает персональные данные сотрудников, поэтому его проведение требует соблюдения требований 152-ФЗ «О персональных данных». Тестирование на социальную инженерию должно проводиться с предварительного разрешения руководства организации и в рамках трудового договора. Результаты аудита не должны использоваться для наказания конкретных сотрудников, а направляться на совершенствование процессов обучения и технических средств защиты.
¶Применение
Поведенческий аудит наиболее востребован в финансовой сфере (банки, страховые компании), государственном секторе, промышленности (объекты КИИ) и крупных корпорациях с распределённой структурой. Рост числа атак, основанных на социальной инженерии, увеличивает спрос на данный вид аудита.
Источники:
- Федеральный закон № 187-ФЗ «О безопасности критической информационной инфраструктуры»
- Приказы ФСТЭК России № 21 и № 239
- ГОСТ Р ИСО/МЭК 27001-2021, ГОСТ Р ИСО/МЭК 27002-2021
- Федеральный закон № 152-ФЗ «О персональных данных»