Аудит информационной безопасности в 2026: виды, этапы, документы, стоимость

Аудит информационной безопасности (аудит ИБ) — независимая оценка состояния системы защиты информации в организации с целью выявления уязвимостей, несоответствий требованиям регуляторов и подготовки плана устранения проблем. Это базовый инструмент для всех российских организаций, работающих с защищаемой информацией: персональными данными по 152-ФЗ, государственными информационными системами по Приказу ФСТЭК №117, объектами КИИ по 187-ФЗ, коммерческой тайной по 98-ФЗ.

Когда аудит ИБ необходим

• Перед проверкой Роскомнадзора или ФСТЭК — оценить готовность и устранить нарушения заранее
• После инцидента безопасности — установить причины, оценить ущерб, предотвратить повторение
• Перед аттестацией — для государственных ИС, ИСПДн высокого уровня защищённости, значимых объектов КИИ
• При смене руководства или CISO — независимая фиксация текущего состояния
• Раз в год — регулярная процедура — требование 420-ФЗ от 30.11.2024 для получения смягчающих обстоятельств при штрафе
• При изменениях в системе — внедрение новых систем, миграция в облако, реорганизация

Что даёт аудит ИБ

• Карту реальных рисков — не «бумажную модель угроз», а фактическое состояние с приоритизацией
• План устранения нарушений с конкретными мерами, ресурсами и сроками
• Защиту от штрафов — при доказанном проведении аудита и устранении нарушений штрафы по 420-ФЗ снижаются в разы
• Готовность к проверке регулятора — снижение риска предписаний и приостановления деятельности
• Управленческие решения — обоснование бюджета на ИБ для финансового директора и совета директоров

Что грозит за отсутствие аудита

Прямой санкции «за отсутствие аудита» нет, но косвенные последствия серьёзные. По редакции 420-ФЗ от 30.11.2024 (вступила в силу 30.05.2025) одним из смягчающих обстоятельств при назначении оборотного штрафа считается соблюдение требований к расходам на ИБ — минимум 0,1% от выручки на протяжении 3 лет. Без аудита эти расходы невозможно обосновать. При отсутствии аудита и инциденте организация рискует получить максимальный штраф до 3% годовой выручки (минимум 15 млн ₽, максимум 500 млн ₽).

Аудит ИБ классифицируется по нескольким критериям: кто проводит, на что направлен, по каким стандартам. На практике используют 6 основных видов, которые часто комбинируются в комплексный аудит.

1. Внутренний аудит

Проводят штатные специалисты по ИБ или отдел внутреннего контроля. Преимущества: знание специфики организации, низкая стоимость, регулярность (квартально или раз в полгода). Недостатки: возможна предвзятость, конфликт интересов, нехватка специальных компетенций для глубокой технической проверки.

2. Внешний аудит

Проводят независимые аудиторы — лицензированные организации ФСТЭК или сертифицированные аудиторы по ISO 27001. Преимущества: независимость, экспертиза, юридическая значимость отчёта. Недостатки: высокая стоимость (от 300 000 ₽), длительность (1-3 месяца).

3. Технический аудит (penetration testing, pentesting)

Проверка технической защищённости через моделирование атак. Включает: сканирование уязвимостей, тестирование на проникновение, анализ конфигураций СЗИ, аудит исходного кода для критичных приложений, OSINT и социальная инженерия (с разрешения заказчика). Результат — отчёт об уязвимостях с CVSS-оценками и сценариями эксплуатации.

4. Документарный аудит

Проверка наличия и качества организационно-распорядительной документации (ОРД): политика ИБ, положение о защите ПДн, модель угроз, регламенты, инструкции, приказы. Это первый этап аудита для соответствия 152-ФЗ — без правильной ОРД технические меры не имеют юридической силы.

5. Аудит соответствия (compliance audit)

Проверка соответствия требованиям конкретных нормативных актов: 152-ФЗ, ПП РФ №1119, Приказ ФСТЭК №21, Приказ ФСТЭК №117, Приказ №239 (КИИ), 98-ФЗ (коммерческая тайна). Используется matrix-подход: каждое требование сопоставляется с фактической реализацией.

6. Комплексный аудит ИБ

Сочетание 5 видов выше. Чаще всего проводится перед аттестацией ИСПДн/ГИС/объекта КИИ или в рамках сертификации по ISO 27001. Срок 2-4 месяца, стоимость от 500 000 до 3 000 000 ₽ для средней организации.

Сравнительная таблица видов

Аудит ИБ — структурированная процедура с 5 чётко определёнными этапами. Игнорирование любого этапа снижает качество отчёта и может привести к пропуску критичных уязвимостей.

Этап 1. Подготовка и планирование (1-2 недели)

• Определение целей аудита — соответствие 152-ФЗ, проверка перед инцидентом, подготовка к аттестации
• Формирование команды аудиторов и согласование доступов
• Сбор первичной информации: организационная структура, перечень систем, реестр обработки ПДн
• Заключение договора с подрядчиком (для внешнего аудита) и определение объёма работ
• Подписание NDA — особенно критично при доступе к коммерческой тайне
• Подготовка плана аудита с приоритизацией областей проверки

Этап 2. Сбор информации и обследование (2-4 недели)

• Изучение текущей документации: политики, регламенты, приказы, инструкции, модели угроз
• Интервью с владельцами процессов, ИТ-специалистами, руководством
• Инвентаризация активов: серверы, рабочие места, сетевое оборудование, СЗИ
• Анализ конфигураций: межсетевых экранов, антивирусов, систем разграничения доступа
• Изучение журналов событий безопасности за последние 3-6 месяцев
• Анализ архитектуры информационных систем: потоки данных, интеграции, точки уязвимости

Этап 3. Технический анализ (2-6 недель)

• Сканирование уязвимостей (Nessus, OpenVAS, MaxPatrol, Сканер-ВС)
• Тестирование на проникновение (pentest) — внешний и внутренний
• Анализ веб-приложений (OWASP Top 10, OWASP API Top 10)
• Тестирование социальной инженерии (фишинг, vishing) — с разрешения заказчика
• OSINT — что о вашей организации можно узнать из открытых источников
• Аудит конфигурации СЗИ — соответствие настроек требованиям и best practices

Этап 4. Анализ и оценка результатов (1-2 недели)

• Сопоставление найденных проблем с требованиями нормативных актов
• Оценка рисков по матрице «вероятность × ущерб»
• Приоритизация проблем: критические, высокие, средние, низкие
• Разработка рекомендаций с конкретными мерами устранения
• Оценка стоимости и сроков устранения каждой проблемы

Этап 5. Отчёт и презентация (1-2 недели)

• Технический отчёт для ИБ-специалистов — подробное описание уязвимостей с CVSS-оценками, методиками эксплуатации, рекомендациями устранения
• Управленческий отчёт для руководства — резюме рисков, приоритеты, бюджеты, сроки
• Дорожная карта — план устранения с этапами и ресурсами
• Презентация результатов совету директоров и/или внешним стейкхолдерам
• Согласование плана действий с ответственными лицами

Общий срок комплексного аудита — 2-4 месяца. Для срочных задач можно проводить экспресс-аудит за 2-3 недели, но он покрывает только основные риски без глубокой технической проверки.

Российский аудит ИБ проводится по нескольким параллельным стандартам. Выбор стандарта зависит от отрасли, типа защищаемой информации и целей аудита.

ГОСТ Р 57580.1-2017 и ГОСТ Р 57580.2-2018

Стандарты Банка России по защите информации в банковской сфере. Обязательны для всех кредитных организаций. Аудит по ним проводят аккредитованные Банком России организации. Включает 4 уровня защиты с прогрессивными требованиями.

ISO/IEC 27001:2022

Международный стандарт системы менеджмента ИБ. В России есть прямой аналог — ГОСТ Р ИСО/МЭК 27001-2021. Используется коммерческими организациями для сертификации, демонстрации зрелости ИБ-процессов перед клиентами и инвесторами. Аудит — лицензированные органы по сертификации.

Приказ ФСТЭК России №21 от 18.02.2013

«Состав и содержание организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных». Аудит соответствия — по 14 группам мер с учётом уровня защищённости ИСПДн (УЗ-1..УЗ-4).

Приказ ФСТЭК России №117 от 14.12.2023

Заменил Приказ №17 с 01.10.2024. Регулирует защиту государственных информационных систем (ГИС). Аудит проводится с учётом показателя КЗИ и 16 критериев классификации. Подробнее — в нашей статье.

Приказ ФСТЭК России №239 от 25.12.2017

Защита значимых объектов КИИ. Аудит — по требованиям к подсистемам безопасности, организационным мерам, инженерно-техническим решениям. Связан с категорированием объектов КИИ.

Приказ ФСТЭК России №31 от 14.03.2014

Защита АСУ ТП в значимых отраслях. Включает специфику промышленных систем. Подробнее — гайд по Приказу №31.

NIST Cybersecurity Framework (CSF)

Американский стандарт, не имеет юридической силы в РФ, но активно используется как методология. Особенно у дочерних компаний международных групп. 5 функций: Identify, Protect, Detect, Respond, Recover.

СТО БР ИББС-1.0-2014

Стандарт Банка России по обеспечению ИБ. Заменён ГОСТ Р 57580, но всё ещё используется как референс некоторыми организациями.

Сравнение применимости стандартов

Качественный аудит ИБ всегда сопровождается полным пакетом документов — это юридическое подтверждение проделанной работы и основа для дальнейших действий.

Документы перед аудитом

• Договор на проведение аудита с указанием объёма работ, сроков, стоимости
• NDA (соглашение о конфиденциальности) — обязательно при доступе к КТ и ПДн
• Регламент взаимодействия — точки контакта, расписание, эскалация
• План аудита с приоритизацией областей и этапов
• Перечень запрашиваемых документов и доступов

Документы по ходу аудита

• Опросные листы и протоколы интервью с ответственными
• Реестр выявленных проблем — журнал находок с категоризацией
• Технические отчёты сканеров — Nessus, OpenVAS, MaxPatrol, Burp Suite
• Pentest-отчёты — подробное описание уязвимостей с PoC
• Промежуточные статус-отчёты — раз в 1-2 недели

Финальный отчёт об аудите — 4 части

1. Резюме для руководства (Executive Summary) — 2-3 страницы. Основные риски, приоритеты, рекомендации, бюджет. На языке бизнеса, без технических деталей.
2. Технический отчёт — 20-100 страниц в зависимости от объёма системы. Детальное описание каждой найденной уязвимости с: классификацией по CVSS 3.1, описанием воздействия, методикой эксплуатации, рекомендациями устранения.
3. Дорожная карта устранения — приоритизированный план с этапами, ответственными, сроками, ресурсами. Обычно структурирована по принципу «Quick wins (1 мес) / Краткосрочные (3-6 мес) / Долгосрочные (6-12 мес)».
4. Приложения — необработанные данные сканеров, скриншоты, схемы архитектуры, перечни активов, оценочные матрицы.

Состав отчёта по ФСТЭК-аудиту

Если аудит проводится для подтверждения соответствия Приказам ФСТЭК (для аттестации), отчёт дополнительно содержит:

• Акт оценки соответствия — формальный документ с заключением о соответствии или несоответствии каждому требованию приказа
• Матрица соответствия — таблица «требование приказа → фактическая реализация → статус соответствия»
• План корректирующих действий — если выявлены несоответствия, обязателен план их устранения с сроками
• Протокол испытаний — для технических мер защиты, проверяемых через тестирование

Что делать с отчётом дальше

• Согласовать с руководством и утвердить приказом о принятии к исполнению
• Назначить ответственных за каждый пункт дорожной карты
• Запланировать бюджет на устранение в годовом IT-бюджете и бюджете ИБ
• Организовать регулярный контроль выполнения дорожной карты — раз в месяц или квартал
• Провести повторный аудит через 6-12 месяцев для подтверждения устранения проблем

Стоимость аудита ИБ варьируется от 50 000 ₽ за документарный аудит небольшой компании до 5 000 000 ₽ за комплексный аудит крупной IT-инфраструктуры. Цена формируется из 5 факторов.

Фактор 1. Размер и сложность инфраструктуры

• До 30 рабочих мест + 1-2 сервера: 50 000 – 200 000 ₽
• 30-100 рабочих мест + 5-10 серверов: 200 000 – 600 000 ₽
• 100-500 рабочих мест + распределённая инфраструктура: 600 000 – 2 000 000 ₽
• Свыше 500 рабочих мест + облако + ЦОДы: 2 000 000 – 5 000 000 ₽

Фактор 2. Объём работ

• Только документарный аудит: -50% от базы
• Документарный + compliance check: -30% от базы
• Без pentest, только сканирование уязвимостей: -20% от базы
• Полный комплексный аудит с pentest: базовая цена
• Дополнительные сертификации (ISO 27001): +50-100% от базы

Фактор 3. Срочность

• Стандартные сроки (1-3 месяца): базовая цена
• Срочный аудит (2-4 недели): +30-50%
• Экспресс-аудит (1 неделя): +100-200% или невозможно для полного комплекса

Фактор 4. Лицензии и сертификации аудитора

• Аудиторы без лицензий: дешевле, но отчёт не имеет юридической силы для регуляторных целей
• Лицензированные ФСТЭК организации: +20-40% за бренд, но юридически валидный отчёт
• Сертифицированные органы ISO 27001: +30-60% за международный статус

Фактор 5. География

• Москва и Санкт-Петербург: базовая цена
• Регионы: -10-30%
• Удалённый аудит (без выезда): -20-40%

Реальные расценки 2025-2026 для типичных кейсов

Кибероснова Документы предлагает 4 уровня услуг — от бесплатного автоматического сканера до комплексного аудита «под ключ» с устранением. Это закрывает все потребности — от малого бизнеса до крупных холдингов.

Уровень 1. Бесплатный сканер /audit

Автоматический аудит сайта на 152-ФЗ за 15 секунд. Проверяет 25+ типов нарушений: политика обработки ПДн, чекбоксы согласия, cookie-баннер, трекеры (Google Analytics, Meta Pixel, reCAPTCHA), регистрацию в реестре операторов РКН, локализацию серверов, шрифты. Бесплатно, без регистрации. Подходит для первичной оценки масштаба проблем.

Уровень 2. Аудит ПДн через конструктор Кибероснова

Документарный аудит и compliance-чек: проверка соответствия документов 152-ФЗ, ПП №1119, Приказам ФСТЭК. Включает: ревизию всех ОРД по 12 пунктам ст. 18.1, проверку модели угроз на соответствие методике ФСТЭК 2021, оценку договоров поручения с обработчиками, рекомендации по доработке. От 80 000 ₽, срок 2-3 недели.

Уровень 3. Аудит «Под ключ» с устранением

Команда ИБ-аналитика, юриста и разработчика приводит сайт и документацию в полное соответствие 152-ФЗ за 14 рабочих дней. Включает: полный аудит, разработку всех документов, технические правки сайта (cookie-баннер, замена зарубежных трекеров, локализация шрифтов), подачу обновлённого уведомления в РКН, сопровождение проверки РКН в течение гарантии 6 месяцев. Стоимость — индивидуальное коммерческое предложение по результатам бесплатного сканера. Подходит для среднего и крупного бизнеса.

Уровень 4. Аудит ИСПДн/ГИС/КИИ через партнёров-лицензиатов

Для аудитов с юридически значимым отчётом для регуляторов (перед аттестацией ИСПДн уровня УЗ-1/УЗ-2, аттестацией ГИС, категорированием КИИ) привлекаем партнёров-лицензиатов ФСТЭК. Кибероснова координирует процесс и предоставляет полный пакет ОРД, лицензиат — проводит юридически валидный аудит с актом оценки соответствия.

Чем отличаемся от классических аудиторов

Начните с бесплатного сканера сайта на 152-ФЗ — за 15 секунд получите первый срез нарушений и оценку масштаба работ.

По нашему опыту работы с компаниями в 2024-2025 годах, 7 ошибок встречаются чаще всего. Их можно избежать при правильной подготовке.

Ошибка 1. Аудит без чётких целей

«Просто посмотреть, как у нас с безопасностью» — самая бесполезная формулировка. Цели должны быть конкретны: подготовка к проверке РКН, оценка готовности к ISO 27001, расследование инцидента, обоснование бюджета на ИБ. От целей зависит объём, методология и стоимость.

Ошибка 2. Экономия на pentest

Документарный и compliance-аудит без технического pentest не покажет реальные уязвимости. Бумаги могут быть в порядке, но 10 критичных уязвимостей в веб-приложении — потенциальная утечка с оборотным штрафом до 3% выручки.

Ошибка 3. Отказ от внешнего аудита

Внутренний аудит — необходимая регулярная практика, но не заменяет внешний. У внутренних аудиторов всегда есть «слепые зоны»: они привыкли к существующей конфигурации и не замечают накопленных проблем.

Ошибка 4. Игнорирование отчёта

Аудит проведён, отчёт получен — и положен в архив. Без выполнения рекомендаций аудит — потеря денег. По нашим наблюдениям, 40-60% компаний так и поступают. Дорожная карта устранения должна быть утверждена приказом и контролироваться.

Ошибка 5. Аудит без NDA

Аудиторы получают доступ к коммерческой тайне и персональным данным. Без NDA вы не сможете привлечь их к ответственности за утечку. Любой договор на аудит без NDA — серьёзный риск.

Ошибка 6. Выбор аудитора без проверки лицензий

Если аудит нужен для регуляторных целей (перед аттестацией, для подачи в ФСТЭК или Банк России), отчёт от нелицензированной организации юридически недействителен. Проверьте лицензию в реестре ФСТЭК перед подписанием договора.

Ошибка 7. Отсутствие повторного аудита

Аудит — снимок состояния на конкретный момент. Через 6-12 месяцев ситуация существенно меняется: новые сотрудники, новые системы, обновления, инциденты. Без регулярного повторного аудита (раз в год минимум) накапливаются нерешённые проблемы.

Как избежать ошибок

• Сформулируйте конкретные цели до начала аудита
• Включите pentest в объём работ для критичных систем
• Чередуйте внутренний и внешний аудит — внутренний квартально, внешний раз в год
• Утвердите дорожную карту устранения приказом руководителя
• Подпишите NDA с аудиторами обязательно
• Проверьте лицензию ФСТЭК в реестре fstec.ru
• Запланируйте бюджет на повторный аудит в годовом плане