Моделирование процесса аудита безопасности в соответствии с ГОСТ Р 56545-2015 (нотация BPMN)

Сложность аудита безопасности в организациях часто проявляется не в наличии разрозненных проверок, а в отсутствии единой картины процесса: разные команды фиксируют результаты в разных форматах, решения принимаются без прозрачной связки «требование → действие → артефакт → вывод». Из-за этого одна и та же проверка может выглядеть как «техническая работа ради отчёта», тогда как управлять ею нужно как процессом с понятными входами, выходами и контрольными точками. ГОСТ Р 56545-2015 задаёт порядок проведения аудита и ориентиры для ожидаемых результатов, но на практике эти требования нередко остаются на уровне текстовых предписаний, а не переводятся в исполнимую логику. В курсовой работе делается попытка устранить разрыв между нормативным описанием и моделированием реального процесса.

Общая цель работы состоит в том, чтобы спроектировать моделируемый процесс аудита безопасности в нотации BPMN и показать, как требования ГОСТ Р 56545-2015 становятся частью управляемой последовательности действий. Для её достижения предполагается систематизировать виды аудита информационной безопасности (комплаенс-аудит, технический аудит, тест на проникновение), выделить требования ГОСТ Р 56545-2015, влияющие на порядок шагов и состав артефактов, а затем разработать базовый сценарий AS-IS и целевой сценарий TO-BE с интеграцией этих требований. Наконец, требуется описать, как элементы BPMN 2.0 – пулы, дорожки и события – фиксируют роли участников и моменты контроля внутри процесса.

Объект исследования – процесс проведения аудита информационной безопасности в организации. Предмет – логика выполнения аудита и распределение ответственности между участниками процесса, которые выражаются в виде последовательности действий, точек передачи данных и формируемых артефактов в соответствии с ГОСТ Р 56545-2015 и средствами нотации BPMN 2.0.

Чтобы связать нормативные требования с графическим представлением процесса, используются анализ научной и нормативной литературы по аудиту ИБ и обзор ориентиров российской практики (в том числе регуляторных подходов ФСТЭК и ФСБ). Далее применяется контент-анализ требований ГОСТ Р 56545-2015 с выделением элементов, задающих последовательность работ и ожидаемые результаты. Графическое моделирование опирается на правила BPMN 2.0: роли фиксируются через пулы и дорожки, а динамика процесса – через стартовые, промежуточные и граничные события. Конструирование AS-IS и TO-BE строится сравнительным подходом: сначала моделируется типичный «хаотичный» сценарий без жесткой регламентации оформления результатов, затем в целевую логику внедряются требования стандарта, чтобы устранить разрывы управления.

Теоретическая часть начинает работу с прояснения того, что именно понимается под аудитом информационной безопасности, и какие виды проверок различаются по целям и технике выполнения. Такой обзор важен, поскольку требования к логике процесса и к ожидаемым результатам неодинаковы в комплаенс-аудите, техническом аудите и тесте на проникновение; это напрямую отражается на том, какие данные должны переходить между участниками и где возникают контрольные точки. Параллельно рассматриваются регуляторные ориентиры российской практики, которые задают общий язык для формализации действий и итогов.

Затем внимание переключается на ГОСТ Р 56545-2015: из текста стандарта выделяются нормы, определяющие порядок проведения аудита, состав и характер результатов, а также правила взаимодействия участников. Эти положения становятся основой для будущей модели, потому что именно они предписывают, какие элементы процесса нельзя «пропустить» при переходе от описания к исполняемой схеме. В результате формируется набор требований, который можно перевести на уровень последовательности задач и артефактов.

Понимание того, как представить процесс в форме схемы, поддерживается разбором основ графического моделирования и правил BPMN 2.0. На этом этапе описываются пулы и дорожки как средство разграничения ответственности, а также события разных типов – от стартовых до граничных ошибок – как механизм фиксации начала, промежуточных состояний и сбоев в ходе аудита. Тем самым будущая модель получает формальный каркас, позволяющий связывать роли, действия и моменты контроля.

В практико-ориентированной части работа сначала строит базовый сценарий AS-IS, где процесс аудита выглядит как набор текущих шагов без строгой привязки к правилам оформления и передачи результатов. Такая схема отражает возможные «разрывы» в управлении: где данные теряются, где решения принимаются без нормативной опоры, и где участники действуют несогласованно. После этого проектируется целевая модель TO-BE, в которую интегрируются требования ГОСТ Р 56545-2015: меняется последовательность работ, уточняются правила взаимодействия между дорожками и добавляются контрольные точки, обеспечивающие корректное формирование результатов аудита.