Аудит ИС

РЕШЕНИЕ ПРОБЛЕМНЫХ СИТУАЦИЙ

Успешность внедрения ИС зависит не только от успешности её разработки. Для её определения обычно используются различные рейтинговые оценки, в том числе уровня квалификации специалистов, эксплуатирующих ИС. Оценка состояния, функциональности, возможностей ИС осуществляется путём её аудита и тестирования. Решение проблемных ситуаций в системе включает её диагностику, локализацию и устранение неисправностей, регистрацию ошибок и тестирование.

Для объективных критериев оценка должна выполняться путём воспроизводимой процедуры, чтобы любой выполняющий оценку, специалист мог получить такие же результаты. Если используются тестовые примеры, их набор должен быть заранее определён, унифицирован и документирован.

С каждым годом увеличивается зависимость организаций от используемых в них информационных систем. Развитие аппаратно-программного обеспечения и существенный его количественный рост всё чаще вызывает необходимость периодической ревизии ИТ-инфраструктуры с целью последующей оптимизации её функционирования и структуры.

По мнению специалистов одним из важных моментов эффективного управления инфраструктурой ИТ, а также определения и устранения возникающих проблемных ситуаций является её аудит. Для предметных областей, связанных с ИТ, наибольший интерес представляет информационный аудит.

Информационный аудит – это проверка и оценка практики использования ИТ-систем в организации, осуществляемая специализированной независимой организацией.

Выделяют две причины необходимости проведения такого аудита.

Первая причина – информационным технологиям большинства Российских компаний свойственен эволюционный путь создания и дальнейшего их развития. Он характеризуется тем, что информационные системы включаются в инфраструктуру ИТ или модернизируются по мере возникновения необходимости и (или) по мере возможности (в том числе и финансовой). В итоге в ИТ-инфраструктуре формируется сложная (порой разнородная) и поэтому плохо управляемая совокупность программно-технических и системных платформ. Даже если ИС прошла все стадии создания, последующие изменения бизнес-процессов или введение новых приложений могут привести к тому, что параметры её программно-аппаратных платформ перестанут соответствовать требованиям бизнеса.

Вторая причина связана с зависимостью успешности бизнеса от способности управленцев вовремя получать и быстро обрабатывать нужную информацию. Очевидно, что современный руководитель любого звена не в состоянии одновременно быть компетентным в различных областях, обеспечивать получение и обработку разноплановой информации.

Система аудита ИС может быть разделена на три составные части:

· внутренний контроль, осуществляемый организацией, эксплуатирующей ИС;

· внешний контроль, осуществляемый внешней организацией в рамках разделения полномочий организации, эксплуатирующей ИС, и вышестоящего ведомства или организации;

· независимый информационный аудит.

При этом в общем случае выделяют следующие виды аудита ИТ – это аудит:

· процессов управления службой ИТ,

· структуры службы ИТ,

· информационной системы,

· ТЗ и проектной документации на создание ИС,

· систем резервирования данных.

Аудит процессов управления службой ИТ включает ряд специализированных аудитов, среди которых выделим аудиты процесса управления инцидентами, изменениями и конфигурациями, а также управления доступностью и информационной безопасностью. В результате оценки действующего процесса управления на соответствие передовому мировому опыту, представляются предварительные рекомендации по совершенствованию и предложения по структуре проекта совершенствования (реорганизации) процесса управления.

Аудит информационной системы используется для определения (оценки степени) соответствия сервисов текущим и планируемым в будущем потребностям бизнеса организации и услугам, предоставляемым информационной системой сотрудникам организации. Результатом такого аудита являются предварительные рекомендации по совершенствованию (модернизации) и предложения по структуре проекта совершенствования (модернизации) ИС.

Анализ обращений пользователей к ИС включает: сбор статистики обращений пользователей, её хранения и анализ этих действий (кто из пользователей, к какой информации, как часто обращался, какие выполнял операции, время выполнения запросов, анализ причин безуспешных, в том числе и аварийных, обращений к ИС).

Анализ эффективности функционирования ИС и развития системы включает: анализ показателей функционирования системы (время обработки, объём памяти, стоимостные показатели), её реорганизации и реструктуризации, изменения состава, развития программных и технических средств.

В процессе проведения информационного аудита предполагается получить ответы на вопросы, связанные с полезностью, доступностью, целостностью и конфиденциальностью аудируемой системы.

Полезность выявляется путём определения как и на сколько используемая система способствует достижению целей, стоящих перед аудируемым лицом и в интересах указанных заинтересованных лиц, а также соответствия издержек создания и эксплуатации системы приобретаемым выгодам.

Доступность определяется установлением возможности системы обеспечивать её использование (доступность) уполномоченными лицами в требуемые моменты с получением необходимой информации вовремя и в адекватных форматах.

Целостность системы устанавливается в процессе выявления возможностей пользователей получать точную, непротиворечивую и своевременную информацию с соблюдением принципов транзакционности обработки данных и журналирования изменений в данных.

Конфиденциальность системы определяется путём установления доступности к информации в системе только её авторизованных пользователей.

При ответе на эти выше вопросы также принимается во внимание, не противоречат ли требования полезности, доступности, целостности и конфиденциальности нормативным правовым актам и соответствующим регламентам использования ИКТ-системы.

Результаты аудита используются почти всеми задачами администрирования ИС.

С целью обеспечения непротиворечивости получаемой информации доступ к подсистеме аудита должен быть ограничен. Причём лицо, ответственное за подсистему аудита не должно иметь административных полномочий по управлению системой и данным, по которым аудит ведётся. Такое разделение позволит существенно повысить уровень безопасности: если человек знает, что его действия протоколируются, то он воздержится от попыток совершения каких-либо манипуляций с информацией во вред компании. По этой же причине он оказывается защищённым от давления со стороны третьих лиц совершить нечто противоправное.

Для определения лиц и организаций, имеющих право осуществлять аудит ИС, рекомендуется разработать и принять обязательные требования к информационным аудиторам и определить случаи их применения.

Считается, что проведение информационного аудита должно стать необходимым этапом получения бюджетных средств для создания или развития ИТ-систем.

Дата добавления: 2015-07-13