आईएस ऑडिट तकनीक है

सिस्टम की सुरक्षा की डिग्री (सूचनाकरण की वस्तु) का निर्धारण कैसे करें?
आज आईएस ऑडिट के दो सबसे सामान्य प्रकार हैं: पहला है अनुपालन मूल्यांकन और दूसरा है खतरे का मॉडलिंग और जोखिम मूल्यांकन।
दोनों प्रकार की खामियां हैं, जिसके परिणामस्वरूप गलत मूल्यांकन हो सकता है। पहले मामले में, हम जांचते हैं कि हमारा सिस्टम विस्तृत श्रृंखला की आवश्यकताओं को पूरा करता है या नहीं। इन आवश्यकताओं को एक विशेष प्रणाली की बारीकियों को ध्यान में नहीं रखा जा सकता है, और इसलिए अत्यधिक आवश्यकताओं या आवश्यक लोगों की कमी की संभावना है। दूसरे मामले में, परिणाम केवल ऑडिटर की योग्यता और ज्ञान पर निर्भर करता है।

कटऑफ के तहत, आईएस ऑडिट तकनीक में वर्णित है कि इन कमियों को कम करता है।

प्रस्तावित कार्यप्रणाली का आधार विफलताओं और कारणों (ग्राफ सिद्धांत से) के पेड़ों का निर्माण है। ऑडिटर के कार्यों को चरणों में नीचे सूचीबद्ध किया गया है।

1. प्रारंभिक गतिविधियाँ

• हम सूचना सुरक्षा के मानक (रूसी, अंतर्राष्ट्रीय, उद्योग) का चयन करते हैं;
• हम अपने सिस्टम के लिए चयनित मानक की आवश्यकताओं को लिखते हैं;
• प्रत्येक आवश्यकता के लिए हम एक उल्लंघन करते हैं (एक घटना जिसके परिणामस्वरूप आवश्यकता पूरी नहीं होगी)।

2. फॉल्ट ट्री का निर्माण

• प्रारंभिक उपायों के चरण में प्रत्येक उल्लंघन के लिए, हम विफलताओं का एक पेड़ बनाते हैं (इस तरह हम उन घटनाओं का वर्णन करते हैं जो उल्लंघन का पालन करते हैं);
• हम ऐसी घटनाओं की पहचान करते हैं जो सूचना सुरक्षा गुणों के उल्लंघन का कारण नहीं बनती हैं, और उन्हें आगे के विचार से हटा देती हैं।

3. कारणों के पेड़ों का निर्माण

• सभी गलत पेड़ों के नोड्स के लिए जो पत्तियां या जड़ें नहीं हैं (हमारे मामले में, पत्तियां ऐसी घटनाएं हैं जो सीधे सूचना सुरक्षा गुणों के उल्लंघन की ओर ले जाती हैं, जड़ें प्रारंभिक उल्लंघन हैं), हम कारण पेड़ों का निर्माण करते हैं (इस प्रकार उन घटनाओं का वर्णन करते हैं जो एक विशिष्ट उल्लंघन का कारण बन सकते हैं);
• यदि कारणों के वृक्षों के निर्माण के दौरान ऐसे उल्लंघन हुए जो विफलता के पेड़ों में अनुपस्थित हैं, तो ऐसे उल्लंघनों के लिए हम उनके उन्मूलन के लिए आवश्यक आवश्यकताओं का निर्माण करते हैं।

4. अनुपालन का आकलन

• हम आवश्यकताओं की पूर्ति का मूल्यांकन करते हैं (मानक माइनस की आवश्यकताओं की पूर्ति के कारण फाल्ट पेड़ों के निर्माण के चरण में हटाई गई और साथ ही साथ पेड़ों के निर्माण के स्तर पर निर्मित आवश्यकताएँ)।

चरण 2 और 3 का चित्रण नीचे दिए गए आंकड़ों में दिखाया गया है।

गलती पेड़ों के निर्माण का एक उदाहरण:


कारणों के पेड़ों के निर्माण का एक उदाहरण: