सूचना सुरक्षा ऑडिट(लेखापरीक्षा)
सूचना सुरक्षा ऑडिट एक संगठन में सूचना सुरक्षा के स्तर पर एक लेखा परीक्षा(ऑडिट) है। ऑडिटिंग सूचना सुरक्षा के व्यापक दायरे में कई प्रकार के ऑडिट, विभिन्न ऑडिट के लिए कई उद्देश्य आदि हैं| आमतौर पर ऑडिट किए जा रहे नियंत्रणों को तकनीकी, भौतिक और प्रशासनिक में वर्गीकृत किया जा सकता है। ऑडिटिंग सूचना सुरक्षा डेटा केंद्रों की भौतिक सुरक्षा की ऑडिटिंग से लेकर डेटाबेस की तार्किक सुरक्षा के ऑडिट तक विषयों को शामिल करती है और इन क्षेत्रों की ऑडिटिंग के लिए अलग-अलग तरीकों की तलाश के लिए प्रमुख घटकों पर प्रकाश डालती है।
जब सूचना सुरक्षा के आईटी पहलुओं पर ध्यान केंद्रित किया जाए तो इसको एक सूचना प्रौद्योगिकी लेखा परीक्षा के एक हिस्से के रूप में देखा जा सकता है। यह अक्सर तब एक सूचना प्रौद्योगिकी सुरक्षा लेखा परीक्षा या एक कंप्यूटर सुरक्षा लेखा परीक्षा के रूप में जाना जाता है। हालांकि, सूचना सुरक्षा आईटी से अधिक शामिल हैं।
डेटा सेंटर की समीक्षा करने से पहले एक ऑडिटर को कंपनी और इसकी महत्वपूर्ण व्यावसायिक गतिविधियों के बारे में पर्याप्त रूप से जानकारी प्रदान की जानी चाहिए। डेटा सेंटर का लक्ष्य महत्वपूर्ण जानकारी और प्रक्रियाओं की सुरक्षा और अखंडता को बनाए रखते हुए व्यवसाय के उद्देशयों के साथ डेटा सेंटर गतिविधियों को संरेखित करना है। पर्याप्त रूप से निर्धारित करने के लिए कि क्या ग्राहक के लक्ष्य को हासिल किया जा रहा है या नहीं , लेखा परीक्षक द्वारा समीक्षा किए जाने से पहले नीचे दिए गए बिंदुयो पर ध्यान देना चाहिए: कॉर्पोरेट डेटा सेंटर की समीक्षा करने में अगला कदम तब होता है जब ऑडिटर डेटा सेंटर के ऑडिट उद्देश्यों को रेखांकित करता है। ऑडिटर कई कारकों पर विचार करते हैं जो डेटा सेंटर प्रक्रियाओं और गतिविधियों से संबंधित हैं जो संभावित रूप से ऑपरेटिंग वातावरण में ऑडिट जोखिमों की पहचान करते हैं और उन जोखिमों को कम करने वाले स्थान पर नियंत्रण का आकलन करते हैं। पूरी तरह से परीक्षण और विश्लेषण के बाद, ऑडिटर पर्याप्त रूप से यह निर्धारित करने में सक्षम है कि क्या डेटा सेंटर उचित नियंत्रण रखता है और कुशलतापूर्वक और प्रभावी ढंग से काम कर रहा है।
निम्नलिखित उद्देश्यों की एक सूची है, जिसकी ऑडिटर को समीक्षा करनी चाहिए: अगला कदम डेटा सेंटर ऑडिट उद्देश्यों को पूरा करने के लिए सबूत एक्रतित करना है। इसमें डेटा सेंटर स्थान पर यात्रा करना और डेटा सेंटर के भीतर प्रक्रियाओं का अवलोकन करना शामिल है। पूर्व-निर्धारित ऑडिट लक्ष्यों को पूरा करने के लिए निम्नलिखित समीक्षा प्रक्रियाएं आयोजित की जानी चाहिए: डेटा सेंटर की समीक्षा रिपोर्ट में ऑडिटर के निष्कर्षों का सारांश होना चाहिए और मानक समीक्षा रिपोर्ट के प्रारूप के समान होना चाहिए। समीक्षा रिपोर्ट को ऑडिटर की जांच और प्रक्रियाओं के पूरा होने के रूप में दिनांकित किया जाना चाहिए। यह बताना चाहिए कि समीक्षा में क्या हुआ और बताएं कि एक समीक्षा केवल तीसरे पक्षों को "सीमित आश्वासन" प्रदान करती है।
आमतौर पर, कंप्यूटर सुरक्षा ऑडिट निम्न द्वारा किए जाते हैं:
ऑडिटर को नेटवर्क और उसकी कमजोरियों को बेहतर ढंग से समझने के लिए कुछ सवाल पूछे जाने चाहिए। ऑडिटर को पहले आकलन करना चाहिए कि नेटवर्क की सीमा क्या है और यह कैसे संरचित है। एक नेटवर्क आरेख इस प्रक्रिया में ऑडिटर की सहायता कर सकता है। एक ऑडिटर को अगला सवाल पूछना चाहिए कि इस नेटवर्क को कौन सी महत्वपूर्ण जानकारी सुरक्षित करनी चाहिए। एंटरप्राइज़ सिस्टम, मेल सर्वर, वेब सर्वर और ग्राहकों द्वारा एक्सेस किए गए होस्ट एप्लिकेशन जैसे चीजें आमतौर पर फोकस के क्षेत्र हैं। यह जानना भी महत्वपूर्ण है कि किसके पास और कौन से हिस्से हैं। क्या ग्राहकों और विक्रेताओं के पास नेटवर्क पर सिस्टम तक पहुंच है? क्या कर्मचारी घर से जानकारी प्राप्त कर सकते हैं? अंत में ऑडिटर को यह आकलन करना चाहिए कि नेटवर्क बाहरी नेटवर्क से कैसे जुड़ा है और यह कैसे सुरक्षित है। अधिकांश नेटवर्क कम से कम इंटरनेट से जुड़े होते हैं, जो भेद्यता का बिंदु हो सकता है। ये नेटवर्क की सुरक्षा में महत्वपूर्ण प्रश्न हैं।
अपने संगठन के लिए एन्क्रिप्शन नीतियों को लागू करने के लिए और ग्राहक की आवश्यकता का आकलन करने के लिए, लेखा परीक्षक को ग्राहक के जोखिम और डेटा मूल्य का विश्लेषण करना चाहिए। कई बाहरी उपयोगकर्ताओं, ई-कॉमर्स अनुप्रयोगों और संवेदनशील ग्राहक / कर्मचारी जानकारी वाली कंपनियों को डेटा संग्रह प्रक्रिया में उचित चरण में सही डेटा एन्क्रिप्ट करने के उद्देश्य से कठोर एन्क्रिप्शन नीतियों को बनाए रखना चाहिए।
लेखा परीक्षकों को लगातार अपने ग्राहक की एन्क्रिप्शन नीतियों और प्रक्रियाओं का मूल्यांकन करना चाहिए। जो कंपनियां ई-कॉमर्स सिस्टम और वायरलेस नेटवर्क पर बहुत अधिक निर्भर हैं, वे ट्रांसमिशन में महत्वपूर्ण जानकारी की चोरी और नुकसान के लिए बेहद संवेदनशील हैं। नीतियों और प्रक्रियाओं को प्रलेखित किया जाना चाहिए और यह सुनिश्चित किया जाना चाहिए कि सभी प्रेषित डेटा संरक्षित हैं।
किसी भी प्रणाली के ऑडिट में पहला कदम इसके घटकों और इसकी संरचना को समझना है। तार्किक सुरक्षा का ऑडिट करते समय ऑडिटर को जांच करनी चाहिए कि सुरक्षा नियंत्रण क्या हैं और वे कैसे काम करते हैं। विशेष रूप से, निम्नलिखित क्षेत्र तार्किक सुरक्षा की जाँच में महत्वपूर्ण बिंदु हैं: नेटवर्क सुरक्षा फ़ायरवॉल और प्रॉक्सी सर्वर, एन्क्रिप्शन, लॉजिकल सिक्योरिटी और एक्सेस कंट्रोल, एंटी-वायरस सॉफ़्टवेयर और लॉग मैनेजमेंट जैसे ऑडिटिंग सिस्टम सहित विभिन्न उपकरणों द्वारा प्राप्त की जाती है।
फायरवॉल नेटवर्क सुरक्षा का एक बहुत ही बुनियादी हिस्सा है। उन्हें अक्सर निजी स्थानीय नेटवर्क और इंटरनेट के बीच रखा जाता है। फायरवॉल ट्रैफ़िक के लिए एक प्रवाह प्रदान करता है जिसमें इसे प्रमाणित, निगरानी, लॉग इन और रिपोर्ट किया जा सकता है। नेटवर्क लेयर फायरवॉल, स्क्रीन किए गए सबनेट फायरवॉल, पैकेट फिल्टर फायरवॉल, डायनेमिक पैकेट फ़िल्टरिंग फायरवॉल, हाइब्रिड फायरवॉल, पारदर्शी फायरवॉल और एप्लिकेशन-लेवल फायरवॉल कुछ अलग-अलग प्रकार के फायरवॉल हैं।
एन्क्रिप्शन की प्रक्रिया में सादे पाठ को सिफरटेक्स्ट के रूप में जाने वाले अपठनीय पात्रों की एक श्रृंखला में परिवर्तित करना शामिल है । यदि एन्क्रिप्ट किए गए पाठ को चोरी या पारगमन के दौरान प्राप्त किया जाता है, तो सामग्री दर्शक के लिए अपठनीय है। यह सुरक्षित ट्रांसमिशन की गारंटी देता है और महत्वपूर्ण जानकारी भेजने / प्राप्त करने वाली कंपनियों के लिए बेहद उपयोगी है। एक बार जब एन्क्रिप्टेड जानकारी अपने इच्छित प्राप्तकर्ता पर आ जाती है, तो डिक्रिप्शन प्रक्रिया को सिफ्टटेक्स को प्लेनटेक्स्ट पर वापस लाने के लिए तैनात किया जाता है।
प्रॉक्सी सर्वर क्लाइंट वर्कस्टेशन का सही पता छिपाते हैं और फ़ायरवॉल के रूप में भी कार्य कर सकते हैं। प्रमाणीकरण को लागू करने के लिए प्रॉक्सी सर्वर फायरवॉल के पास विशेष सॉफ्टवेयर है। प्रॉक्सी सर्वर फ़ायरवॉल उपयोगकर्ता के अनुरोधों के लिए एक मध्य व्यक्ति के रूप में कार्य करता है।
McAfee और Symantec सॉफ़्टवेयर जैसे एंटीवायरस सॉफ़्टवेयर प्रोग्राम दुर्भावनापूर्ण सामग्री का पता लगाते हैं और उनका निपटान करते हैं। ये वायरस सुरक्षा कार्यक्रम लाइव अपडेट चलाते हैं ताकि यह ज्ञात कंप्यूटर वायरस के बारे में नवीनतम जानकारी प्राप्त हो।
लॉजिकल सिक्योरिटी में एक संगठन के सिस्टम के लिए सॉफ्टवेयर सुरक्षा उपाय शामिल हैं, जिसमें यूजर आईडी और पासवर्ड एक्सेस, प्रमाणीकरण, एक्सेस अधिकार और प्राधिकरण स्तर शामिल हैं। ये उपाय यह सुनिश्चित करने के लिए हैं कि केवल अधिकृत उपयोगकर्ता ही किसी नेटवर्क या कार्य केंद्र में क्रिया करने या जानकारी तक पहुँचने में सक्षम हैं।
ऑडिटिंग सिस्टम, ट्रैक और रिकॉर्ड जो किसी संगठन के नेटवर्क पर होता है। लॉग प्रबंधन समाधान अक्सर विश्लेषण और फोरेंसिक के लिए विषम प्रणालियों से ऑडिट ट्रेल्स को इकट्ठा करने के लिए उपयोग किया जाता है। लॉग प्रबंधन अनधिकृत उपयोगकर्ताओं को ट्रैक करने और पहचानने के लिए उत्कृष्ट है जो नेटवर्क तक पहुंचने की कोशिश कर रहे हैं, और जो अधिकृत उपयोगकर्ता नेटवर्क में पहुंच रहे हैं और उपयोगकर्ता अधिकारियों को बदलते हैं। सॉफ्टवेयर जो विंडो सत्रों के भीतर उपयोगकर्ता गतिविधियों को रिकॉर्ड और इंडेक्स करता है जैसे कि ओबर्सिट, टर्मिनल सेवाओं, सिट्रिक्स और अन्य रिमोट एक्सेस सॉफ़्टवेयर के माध्यम से दूरस्थ रूप से कनेक्ट होने पर उपयोगकर्ता गतिविधियों की व्यापक ऑडिट ट्रेल प्रदान करता है।
कमजोरियां अक्सर किसी संगठन की आईटी प्रणालियों में तकनीकी कमजोरी से संबंधित नहीं होती हैं, बल्कि संगठन के भीतर व्यक्तिगत व्यवहार से संबंधित होती हैं। इसका एक सरल उदाहरण यह है कि उपयोगकर्ता अपने कंप्यूटरों को खुला छोड़ देते हैं या फ़िशिंग हमलों की चपेट में आ जाते हैं। नतीजतन, एक पूरी तरह से InfoSec ऑडिट में अक्सर एक प्रवेश परीक्षा शामिल होती है, जिसमें ऑडिटर एक आम कर्मचारी के साथ-साथ एक बाहरी व्यक्ति दोनों के दृष्टिकोण से यथासंभव अधिक से अधिक सिस्टम तक पहुंच प्राप्त करने का प्रयास करते हैं।
सिस्टम और प्रक्रिया आश्वासन ऑडिट आईटी इन्फ्रास्ट्रक्चर और एप्लिकेशन / सूचना सुरक्षा ऑडिट से तत्वों को जोड़ते हैं और पूर्णता, सटीकता, वैधता (वी) और प्रतिबंधित पहुंच (सीएवीआर) जैसी श्रेणियों में विविध नियंत्रणों का उपयोग करते हैं।
तीन मुख्य कार्यों पर आवेदन सुरक्षा केंद्र: जब प्रोग्रामिंग की बात आती है, तो यह सुनिश्चित करना महत्वपूर्ण है कि महत्वपूर्ण प्रणालियों के विकास और अद्यतन के लिए सर्वर और मेनफ्रेम के आसपास उचित भौतिक और पासवर्ड सुरक्षा मौजूद है। आपके डेटा सेंटर या कार्यालय में इलेक्ट्रॉनिक बैज और बैज रीडर, सुरक्षा गार्ड, चोक पॉइंट, और सुरक्षा कैमरे पर भौतिक पहुंच सुरक्षा होना आपके अनुप्रयोगों और डेटा की सुरक्षा सुनिश्चित करने के लिए महत्वपूर्ण है। फिर आपको सिस्टम में परिवर्तन के आसपास सुरक्षा की आवश्यकता है। आम तौर पर बदलाव करने के लिए उचित सुरक्षा का उपयोग करना पड़ता है और परीक्षण के माध्यम से विकास से प्रोग्रामिंग परिवर्तनों के माध्यम से खींचने के लिए और अंत में उत्पादन में उचित प्राधिकरण प्रक्रियाएं होती हैं।
एप्लिकेशन सुरक्षा और कर्तव्यों के अलगाव की दो अवधारणाएं दोनों कई तरीकों से जुड़ी हुई हैं और दोनों का एक ही लक्ष्य है, कंपनियों के डेटा की अखंडता की रक्षा करना और धोखाधड़ी को रोकना। आवेदन सुरक्षा के लिए इसे भौतिक और इलेक्ट्रॉनिक दोनों जगह उचित सुरक्षा उपायों के माध्यम से हार्डवेयर और सॉफ्टवेयर तक अनधिकृत पहुंच को रोकने के साथ करना है। कर्तव्यों के पृथक्करण के साथ यह मुख्य रूप से सिस्टम और प्रसंस्करण के लिए व्यक्तियों की पहुंच की एक भौतिक समीक्षा है और यह सुनिश्चित करना है कि कोई ओवरलैप नहीं हैं जो धोखाधड़ी का कारण बन सकते हैं।