ИТ аудитор
ИТ-аудитор — специалист, выполняющий независимую проверку и оценку информационных систем (ИС), ИТ-процессов и технологий организации для подтверждения их безопасности, эффективности и соответствия внутренним политикам, отраслевым стандартам и нормативным требованиям[1]. Задача ИТ-аудитора — выявить риски и уязвимости, предложить рекомендации по оптимизации ИТ-инфраструктуры и тем самым повысить устойчивость бизнеса[2].
Общие сведения
| ИТ аудитор | |
| Описание | |
|---|---|
| Синонимы | IT-аудитор |
Область деятельности |
Информационные технологии, Информационная безопасность, аудит |
Деятельность |
независимая проверка и оценка информационных систем, процессов и технологий организации |
| Компетенции | риск-ориентированный анализ, знание стандартов (ISO/IEC 27001, COBIT, ITIL), оценка мер информационной безопасности, подготовка рекомендаций |
Образование |
высшее (техническое или экономическое); профессиональные сертификации — CISA, CIA, CISSP и др. |
| Время появления | конец 1990-х — начало 2000-х годов |
Связанные профессии |
Специалист по информационной безопасности, Внутренний аудитор, Системный аналитик |
История профессии
В мире
Первые элементы ИТ-аудита появились в 1980-е годы как часть финансового аудита, однако в самостоятельную дисциплину профессия оформилась к концу 1990-х, когда бизнес стал критически зависим от корпоративных ИТ-систем[3]. Существенный толчок развитию дала американская нормативная база, в частности, Закон Сарбейнза — Оксли 2002 года, усиливший требования к внутреннему контролю. Параллельно сформировались методологии COBIT, ITIL и ISO/IEC 27001, положившие основу стандартам ИТ-аудита.
В России
В России спрос на ИТ-аудит возник в конце 1990-х — начале 2000-х годов вместе с ростом корпоративных сетей и ужесточением требований к защите данных[4]. Ключевыми драйверами стали:
- федеральный закон № 152-ФЗ «О персональных данных» (2006)[5];
- положения Банка России 683-П, 742-П, 747-П, регламентирующие защиту информации в кредитных организациях[6];
- приказы ФСТЭК России № 21 и № 239, устанавливающие требования к безопасности значимых объектов критической информационной инфраструктуры[7].
К 2020-м годам роль ИТ-аудитора эволюционировала от констатации несоответствий к проактивному поиску возможностей повышения эффективности ИТ-служб и поддержки цифровой трансформации компаний.
Функции и обязанности
- Проведение аудита информационных систем
- оценка адекватности и эффективности ИС по отраслевым стандартам[1];
- Анализ и оценка рисков
- идентификация угроз, расчёт вероятности и влияния инцидентов[8];
- Оценка информационной безопасности
- проверка политик, процедур и технических мер защиты[1];
- Оценка соответствия (комплаенс)
- проверка соблюдения внутренних регламентов и внешних нормативов[2];
- Разработка рекомендаций и оптимизация
- формирование отчётов с конкретными мерами по устранению уязвимостей и сокращению затрат[8];
- Консультирование и обучение персонала
- проведение семинаров по ИБ и управлению ИТ-рисками[1]
Этапы ИТ-аудита
ИТ-аудит проводится поэтапно, что позволяет системно выявлять риски и формировать рекомендации для бизнеса.
1. Подготовительный этап
На этом этапе определяются цели и задачи аудита, формируется рабочая группа, согласовываются сроки и перечень проверяемых объектов. Проводится сбор предварительной информации о компании, её ИТ-инфраструктуре, бизнес-процессах и нормативных требованиях[8].
2. Сбор и анализ информации
ИТ-аудитор изучает документацию, архитектуру ИС, политики безопасности, схемы сетей, журналы событий, а также проводит интервью с ответственными сотрудниками. Используются автоматизированные средства анализа и сканеры уязвимостей для получения объективных данных[8].
3. Оценка рисков и соответствия
Проводится идентификация и анализ ИТ-рисков, оценка эффективности действующих мер защиты, проверка соответствия внутренним регламентам и внешним стандартам (ISO/IEC 27001, COBIT, ITIL, PCI DSS и др.)[1]. На этом этапе выявляются уязвимости, нарушения и зоны для улучшения.
4. Формирование отчёта и рекомендаций
По итогам аудита составляется подробный отчёт с описанием выявленных проблем, оценкой их критичности и предложениями по устранению уязвимостей, оптимизации процессов и сокращению затрат. Документ может включать дорожную карту внедрения изменений[8].
5. Презентация результатов и сопровождение внедрения
Результаты аудита презентуются руководству и заинтересованным сторонам. При необходимости ИТ-аудитор консультирует по реализации рекомендаций, участвует в обучении персонала и контроле внедрения изменений[1].
Требования к специалисту
Профессиональные навыки
- глубокие знания операционных систем, сетевых технологий и СУБД[9];
- понимание принципов информационной безопасности и способов противодействия атакам[10];
- владение методологиями COBIT, NIST CSF, ISO/IEC 27001, ITIL, PCI DSS[10];
- опыт работы с инструментами аудита (Nessus, ACL, Nessus, Netwrix Auditor)[11];
- базовые навыки программирования (Python, SQL)[12].
Личные качества
- аналитическое мышление и внимание к деталям;
- независимость и объективность;
- умение ясно излагать сложные технические вопросы;
- стрессоустойчивость и ответственность.
Образование и обучение
Высшее образование
Для старта карьеры желательно высшее техническое или экономическое образование по направлениям «Информационная безопасность», «Информатика и вычислительная техника», «Прикладная математика и информатика». Профильные программы предлагают:
Карьера и перспективы
Трудоустройство
ИТ-аудиторы востребованы:
- в банках и финтех-компаниях;
- в крупных ритейл-сетях;
- во внутренних аудит-подразделениях корпораций;
- в консалтинговых и аудиторских фирмах «Большой четвёрки»;
- в телеком- и ИТ-компаниях системной интеграции[17];
- на государственных и инфраструктурных объектах.
Заработная плата[18][19][20][21]
Карьерный рост
- вертикальный переход от ассистента к ведущему аудиторy, менеджеру и партнёру аудиторской практики;
- горизонтальное развитие в смежных направлениях — Информационная безопасность, Риск-менеджмент, ИТ-консалтинг;
- специализация в области облачных вычислений, комплаенса (PCI DSS, ГОСТ 57580), аудита ИБ, импортозамещения;
- переход в стратегический консалтинг и создание собственных практик[11].
Инструменты и технологии
Сканеры уязвимостей и тестирование на проникновение
- Nessus, OpenVAS, Nexpose, Nikto, Metasploit Framework, Trivy, Kali Linux[23].
Анализ и мониторинг сети
Управление ИТ-активами и инвентаризация
- Docusnap, Total Network Inventory, ServiceNow ITAM, Microsoft SCCM[25].
Автоматизация аудита и отчётность
- Netwrix Auditor, TeamMate+, специализированные решения «IT Audit» и «ЭкспрессАудит: ПРОФ»[26].
Примечания
Дополнительно по теме
|
Правообладателем данного материала является АНО «Интернет-энциклопедия «РУВИКИ». Использование данного материала на других сайтах возможно только с согласия АНО «Интернет-энциклопедия «РУВИКИ». |