АУДИТ ЕФФЕКТИВНОСТІ ІТ-СИСТЕМ СТРАТЕГІЧНИХ ОБ’ЄКТІВ ДЕРЖАВНОГО УПРАВЛІННЯ

Abstract

Хакерські атаки кінця 2016 р. та початку 2017 р. на урядові інформаційно-телекомунікаційні системи, серед яких Міністерство фінансів України, Державна казначейська служба, призвели до масштабних затримок бюджетних виплат. Вони засвідчили вразливість і відкритість урядових установ для кібератак через відсутність контрольованості трьох основних заходів безпеки, таких як: технічне обмеження на програми завантаження, обмежене використання прав локальних адміністраторів, систематичні оновлення програмного забезпечення. Як засвідчує міжнародний досвід, ці заходи безпеки урядових ІТ-систем мають бути предметом аудиту органів державного фінансового контролю. Базові засади аудиту інформаційних технологій започатковані в дослідженнях І.К. Дрозд, С.В. Івахненкова, М.М. Бенько, Ю.А. Кузьмінського, А.В. Мамишева. Водночас, питання державного аудиту ІТ-систем у теоретичних дослідженнях розглядалися обмежено, оскільки в Україні відсутня практика такого аудиту. Тому є необхідність вивчення міжнародної практики аудиту ефективності ІТ-систем та світових норм установ сектору державного управління. Дослідження дозволило запропонувати методологію аудиту ефективності ІТ-систем для державних установ, яка передбачає планування та проведення основних процедур на основі оцінки ризиків загроз безпеки інформаційних систем. Автором визначено особливості управління ризиками безпеки ІТ-систем шляхом оцінки ризиків складових безпеки ІТ-систем під час аудиту ефективності, запропоновано метод низхідної покрокової деталізації для аудиторської оцінки ефективності управління ризиками ІТ-систем на стратегічних об’єктах сектору державного управління шляхом адаптації норм стандартів ISSAI. Запропоновано три можливі варіанти рішень керівництва щодо управління ризиками безпеки ІТ-систем на основі інформації про рівні ризику за результатами аудиту ефективності. Для документування результатів аудиту ефективності ІТ-систем розроблено типові форми робочих документів аудитора, а саме: «Повідомлення про уразливість інформації і визначення категорії захисту», «Оцінка наслідків і загроз для діяльності». Подальші дослідження питання аудиту ефективності ІТ-систем вбачаються у розробці організаційних заходів щодо проведення Рахунковою палатою перевірок безпеки ІТ-систем стратегічних об’єктів сектору державного управління.