Методы и инструменты аудита информационных технологий

Введение 3
1. Методы и инструменты аудита информационных технологий 9
1.1. Анализ деятельности ООО «City Plus» 9
1.2. Цели и методы аудита информационных технологий 19
1.3. Анализ шагов необходимых для повышения эффективности аудита
информационных технологий 51
2. Методология решения поставленных вопросов 54
2.1. Автоматизация как инструмент повышения эффективности методов ИТ-аудита 54
2.2. Сравнительный анализ существующих методик и инструментов . 60
3. Реализация функционала по проведению аудитов информационных
технологий на базе GRC-системы 63
3.1. Предпосылки автоматизации функционала по проведению аудитов
информационных технологий 63
3.2. Функциональные требования к внедряемой системе 64
3.3. Технические требования к внедряемой системе 68
Нефункциональные требования к информационной системе: 73
3.4. Особенности проверки исполнения плана мероприятий по
результатам аудитов 73
4. Тестирование разработанного подхода к процессу проведения внутреннего аудита информационных технологий и анализ результатов 74
4.1. Модули GRC системы 74
4.2. Тестирование работы модулей 77
4.3. Особенности интеграции модулей GRC-системы. 81
4.4. Оценка эффективности GRC-системы 82
Заключение 84
Список используемой литературы 84

Купить

Мировые экономические системы оказались глобально взаимозависимыми и взаимосвязанными.
Информационные технологии пронизывают все сферы деятельности общества. Невозможно себе представить крупную корпорацию, где информационные технологии не оказывали бы критического влияния, не становились одним из стратегических направлений деятельности компаний.
Современный рынок насыщен программным обеспечением и оборудованием. Многие компании стоят перед выбором - заменить устаревающее ИТ-оборудование и софт, или модернизировать его.
Информация становится критически важным ресурсом организации. Все больше денежных средств и усилий уделяется на ее защиту от утечки, искажения, нарушения целостности.
В современном мире очень важным аспектом является доступность информации, непрерывность ИТ-процессов, все большую роль играют средства коммуникации.
ИТ-бюджеты занимают существенную часть в бюджетах крупных организаций. Понять необходимость вкладывания средств в крупные ИТ- проекты, эффективность их внедрения, окупаемость, может только специалист, владеющий как достаточным пониманием ИТ-технологий, так и аналитическими методиками, являющимися неотъемлемой частью дисциплины аудит информационных технологий (ИТ-аудит) [1].
Применение новых цифровых технологий дает значительные преимущества в деятельности компаний, и в то же время создает предпосылки для хищения, утраты, подделки, уничтожения, и блокирования информации, что приводит к нанесению экономического, репутационного или иного ущерба.
Особенно четко зависимость современного бизнеса от ИТ-технологий показала недавняя пандемия COVID-19
В соответствии с докладом Международного торгового центра (Centre du commerce international (CCI)) от 22 июня 2020 года, из-за глобального сбоя производственно-сбытовых цепочек мировая экономика потеряла по меньшей мере 126 миллиардов долларов [2]. Согласно ежегодному докладу бизнес- омбудсмена Бориса Титова, пандемия COVID-19 в России затронула более 4 млн компаний и ИП из общего числа 6 млн. То есть пострадали до 67% малых, средних и крупных предприятий, а также индивидуальных предпринимателей. 30 марта 2020 года в Москве был объявлен локдаун. И ИТ-специалисты множества компаний оказались перед рядом следующих вопросов:
- Как обеспечить удаленную работу большого количества специалистов, в том числе если они не имеют своего домашнего оборудования для выхода в интернет
- Что делать в случае, если внезапно пропадает связь с серверами
- Как перераспределить нагрузку на сервера, чтобы они сохраняли максимальную работоспособность и производительность
- Как обеспечить информационную безопасность конфиденциальной информации в условиях удаленной работы [13].
- Как обеспечить техническую поддержку пользователей 24х7
Для обеспечения бесперебойной работы, минимизации затрат и повышения конкурентного преимущества, менеджмент компаний начинает задаваться вопросами - кто может:
- оценить, насколько ИТ стратегия соответствует общей стратегии компании
- обеспечить независимую оценку имеющихся ИТ-процессов компаний
- идентифицировать и оценить ИТ-риски
- оценить эффективность внедряемых ИТ-проектов
Актуальность темы «Методы и инструменты аудита информационных технологий» обуславливает тот факт, что спектр угроз для ИС расширился. Это обусловлено передачей информации по общим сетям WiFi,
«информационными войнами» конкурентов, большой текучкой специалистов. По данным западных аналитических агентств, до 95% попыток несанкционированного доступа к закрытой информации происходит по инициативе бывших работников компаний. Проведение аудита позволяет проанализировать состояние безопасности функционирования информационных систем, определить риски с целью последующего управления ими.
После проведения аудита информационные системы компаний становятся прозрачными даже для не владеющих специализированной, выявляются основные риски бизнес-процессов, вырабатываются рекомендации по повышению эффективности функционирования ИТ-систем и т. д.
В то же время возникает вопрос как о построении качественной методологии самого ИТ-аудита, так и об инструментах, позволяющих внедрить данную методологию, автоматизировать работу самого ИТ- аудитора.
Для решения подобной задачи может потребоваться комплексное решение позволяющее автоматизировать процесс внутреннего аудита, начиная с описания бизнес-процессов, годового планирования и проведения аудиторской проверки и заканчивая мониторингом исполнения мероприятий по результатам аудита, а также обмениваться информацией с иными подразделениями осуществляющими ряд мероприятий по минимизации рисков компании, так называемыми подразделениями второй линии защиты (подразделения по управлению рисками, внутреннего контроля, информационной безопасности и т.д.).
Одной из наиболее популярных концепций позволяющей реализовать все вышеизложенное является концепция GRC-системы.
Концепция GRC говорит о том, что компоненты аудита, рисков, контролей и непрерывности бизнеса тесно связаны между собой и находятся в постоянном взаимодействии и подразумевает ведение бизнеса, основанное на системности и риск-ориентированном подходе. Согласно данной концепции GRC-система представляет собой интегрированный и целостный подход к организации корпоративного управления, управления рисками и внутреннего контроля, позволяющий убедиться в том, что компания действует соответствующим образом, в пределах своего риск-аппетита, и представляет собой взаимосвязь стратегии, процессов, технологий и человеческих ресурсов, повышая эффективность и результативность деятельности.
Целью данной работы является анализ методов и инструментов внутреннего аудита информационных технологий на примере логистической компании ООО «City Plus», включающий в себя в том числе поиск технического решения, позволяющего автоматизировать, оптимизировать и повысить эффективность процесса аудита.
Задачи данной работы:
- проанализировать методы и инструменты проведения внутреннего аудита информационных технологий ООО «City Plus»;
- выбрать методологию оптимизации деятельности подразделения аудита информационных технологий, интеграцию модуля программного обеспечения для проведения внутреннего аудита с модулями подразделений второй линии защиты
- разработать технологию оптимизации внутреннего аудита информационных технологий компании за счет автоматизации и интеграции;
- протестировать разработанную технологию внутреннего аудита информационных технологий, а также оценить эффективность результатов тестирования.
Объектом исследования в работе выступает дистрибьютерская компания ООО «City Plus».
Предметом исследования в работе является процесс проведения аудита информационных технологий.
Научная новизна работы состоит в технологические решения для повышения эффективности процесса внутреннего аудита информационных технологий, позволяющего не ограничиваться рамками одного лишь подразделения ИТ-аудита. Компоненты аудита, рисков, контролей и непрерывности бизнеса, владельцами которых могут быть иные подразделения компании (так называемая вторая линия защиты) тесно связаны между собой и находятся в постоянном взаимодействии, что подразумевает ведение бизнеса, основанное на системности, процессном и риск- ориентированном подходе. Используемое для этих целей автоматизированное решение GRC представляет собой интегрированный и целостный подход к организации корпоративного управления, управления рисками и внутреннего контроля, который позволяет убедиться в том, что компания достигает поставленных перед ней целей, минимизируя до приемлемого уровня присущие ей риски.
Гипотеза исследования. Предполагается, что если систематизировать процесс аудита информационных технологий путем создания единой базы по рискам, контролям и реализовавшимся инцидентам для ИТ-аудиторов и подразделений второй линии защиты (подразделения по управлению рисками, подразделения информационной безопасности), автоматизировать методы работы аудиторов, применяя инструменты GRC-системы, то это повлияет на эффективность работы подразделения внутреннего аудита, позволит сократить время на сбор и анализ информации по рискам, контролям, инцидентам и бизнес-процессам организации, стандартизирует и упорядочит работу аудиторов, позволит наладить более тесную коммуникацию с представителями объектов аудита.
Методы исследования. При проведении исследования настоящей темы использовались методы анализа и синтеза, наблюдения, сравнения, визуализации, бенчмаркинга (сравнения с лучшими практиками), метод описания и изложения.
Теоретическая значимость результатов исследования состоит в следующем:
Исследование позволит актуализировать информацию, уже имеющуюся по рассматриваемому вопросу, а также привнести ряд новых моментов в уже имеющуюся базу знаний, расширить теоретическое описание предмета исследования., проанализировать и систематизировать новые данные по исследуемому вопросу, послужит стимулом повышения общетеоретического уровня современных исследований в области аудита информационных технологий.
Практическая значимость результатов исследования:
В настоящее время крупными компаниями востребовано решение по автоматизации внутреннего аудита информационных технологий, позволяющее оптимизировать процесс внутреннего аудита, за счет использования средств контроля за работой аудиторов, упорядочения их работы использования информации получаемую от иных подразделений занимающихся минимизацией рисков организации в качестве единой базы знаний. Практическая ценность работы состоит в оптимизации работы подразделения внутреннего аудита информационных технологий, стандартизации и шаблонизации работы ИТ-аудиторов, сокращению времени на получение необходимой информации, повышении качества годового планирования внутренних аудитов, повышении эффективности исполнения мероприятий по результатам аудитов.
Структура работы представлена введением, четырьмя главами, заключением и списком использованных источников.

Купить