Как проводится аудит безопасности?

Современный бизнес подвержен широкому спектру угроз самой разной природы: от атак на ИТ-инфраструктуру и краж до техногенных аварий. Чтобы оценить и минимизировать риски, проводят аудит безопасности. В статье мы расскажем о преимуществах, методах и особенностях такой проверки.

Зачем нужна проверка системы безопасности?

Качественный аудит позволяет определить степень и перечень угроз бизнесу. Услуга востребована как государственными, так и коммерческими структурами.

Учитывая постоянное совершенствование методов, применяемых злоумышленниками, аудит безопасности рекомендуется проводить регулярно: в большинстве случаев — через каждые полгода. Также крайне важно строго контролировать исполнение мер, принятых по результатам проверки.

Внутренний и внешний аудит

Внутренний аудит, выполняемый собственной службой безопасности, имеет определенные ограничения. Такая проверка отвлекает собственные ресурсы компании, что потенциально грозит помехами в работе. Осуществляющие внутренний аудит специалисты не всегда обладают достаточной квалификацией и могут быть неспособны распознать некоторые неявные угрозы. Ситуация, когда одни сотрудники проверяют компетенцию других, может привести к трениям в рабочем коллективе. Наконец, без тщательного планирования расходов аудит собственными силами может оказаться очень затратным. Это относится главным образом к крупным компаниям, имеющим сложную структуру или сталкивающимися с большим количеством разнородных угроз.

Внешний аудит избавлен от большинства перечисленных проблем. Сотрудники сторонней организации не заинтересованы в сокрытии рисков и руководствуются только интересами заказчика. Все время, пока идет проверка, собственная служба безопасности компании работает в нормальном режиме, не отвлекаясь на непривычные для себя задачи.

Оценка угроз

Чтобы разработать адекватные защитные меры, необходимо провести всестороннюю оценку внешних и внутренних угроз. При анализе рисков учитываются:

• вероятность наступления события;
• источники и причины угрозы;
• предположительный объем ущерба в случае возникновения рискового события;
• пути предотвращения угрозы.

Как показывает практика, регулярный аудит безопасности способен не только бороться с уже существующими угрозами, но и препятствовать появлению новых. Превентивная защита особенно важна для компаний и организаций, деятельность которых сопряжена с повышенными рисками.

Порядок проведения аудита

• Определение объема аудита. На этом этапе устанавливаются границы, области, места и направления, которые будут проверяться.
• Установка критериев. Уточняется нормативно-правовая база, в соответствии с которой проводится проверка.
• Разработка плана аудита. Составляется подробный план с указанием целей, объема, методологии, графика проверки.
• Оценка итогов. Полученные в рамках аудита данные проходят анализ, по результатам которого выдвигаются предложения по повышению безопасности.
• Внесение корректив в работу бизнеса. Заключительный этап, выполняемый после всестороннего анализа и обсуждения результатов с заказчиком.

Расскажем о некоторых важных этапах аудита, требующих более тщательного рассмотрения.

Сбор информации

Специалисты учитывают расположение и площадь объекта, протяженность и конфигурацию охраняемого периметра, наличие хорошо просматриваемых участков. Обязательно принимаются к сведению архитектурные и другие особенности, а также специфика конкретной территории — например, наличие прилегающих зданий или сооружений, криминальная обстановка в районе. Собираются данные о путях эвакуации персонала. Учитывается профиль деятельности конкретной компании или организации.

Тестирование электронного оборудования и технических средств, обеспечивающих безопасность

Сотрудники аудиторской компании проверяют наличие и работоспособность технических защитных средств. В первую очередь изучаются исправность и параметры работы системы контроля и управления доступом (СКУД). Проводится проверка техсредств сигнализации и охраны, доступности средств экстренного вызова. Отдельное внимание уделяется системам CCTV. Комплекс видеомониторинга, установленный на объекте, должен иметь достаточное количество камер, расположенных в местах, обеспечивающих максимальный обзор. Специалисты компании-аудитора удостоверяются, что устройства имеют достаточное разрешение. Также надо убедиться, что они обеспечивают приемлемое качество изображение и отсутствие слепых зон. Исследуется техническое состояние инженерно-технического и противопожарного оборудования, включая автоматические и автономные системы пожаротушения.

Проверка эффективности работы сотрудников охраны

На этом этапе изучается качество служебных инструкций охранников. Проверяется знание сотрудниками как стратегических, так и тактических целей. Оценивается эффективность и время решения задач. В ходе аудита охранники могут составлять тестовый рапорт — это нужно, чтобы убедиться в их состоятельности в качестве потенциальных свидетелей. Сотрудники должны уметь пользоваться системами инженерной защиты, установленными на объекте. Также обязательно владение средствами связи.

В заключение

Аудит, проведенный профессионалами, способен предотвратить самые разные риски: промышленный шпионаж, рейдерские захваты, кражи, мошенничество, вымогательство, порчу оборудования и материалов. Повышается безопасность сотрудников, что положительно сказывается на эффективности труда и в целом создает более благоприятную атмосферу в коллективе. В ряде случаев по результатам проверки могут снижаться финансовые издержки — это происходит, когда аудит выявляет неэффективное расходование средств.