Что такое Концепция информационной безопасности?

Концепция информационной безопасности представляет собой систематизированное изложение целей, задач, принципов построения, организационных и технических аспектов обеспечения информационной безопасности и устанавливает

• Требования и практические правила управления обеспечением информационной безопасностью
• Базовый уровень и режим защиты информации, обязательный к исполнению в организации, а также взаимодействующими организациями

Включает комплексные аудиты информационной безопасности.

Зачем нужна Концепция информационной безопасности?

• Предотвращение экономических и репутационных потерь для организации
• Систематизация расходов
• Риск ориентированный подход
• Систематизированный подход к обеспечению информационной безопасности
• Соответствие лучшим мировым практикам по защите информации
• Соответствие требованиям законодательства РФ в области информационной безопасности
• Соответствие международным стандартам в области информационной безопасности
• Понятные и наглядные отчеты для руководства

Дорожная карта мероприятий

1. Описание объекта защиты;
2. Определение перечня критичных ресурсов;
3. Разработка модели угроз;
4. Создание Концепции информационной безопасности;
5. Анализ выполнения обязательных мер по защите информации;
6. Разработка Плана приведения бизнес-процессов и инфраструктуры организации в соответствие с разработанной Концепцией;
7. Разработка Технического задания по внедрению интегрированных подсистем обеспечения информационной безопасности, установка и настройка средств защиты информации (опционально);
8. Разработка/корректировка организационно-распорядительной документации (опционально).

1. Описание объекта защиты

• Аудит видов деятельности организации, и нормативных документов, регулирующих обработку информации для вашей организации
• Аудит выстроенных бизнес-процессов
• Аудит основных потоков информации (как внешних, так и внутренних), составление схемы процессов обработки информации
• Аудит структуры и состава комплекса программно-технических средств организации

Описание структуры и состава комплекса программно-технических средств организации, включает:

2. Анализ информационных активов

Анализ информационных активов организации и составление Перечня критичных ресурсов – списка активов, нарушение конфиденциальности, целостности, доступности которых приведет к материальным или репутационным потерям для вашей организации.

В том числе:

• Перечень информации ограниченного доступа, не содержащей сведений, составляющих государственную тайну, обрабатываемой в организации
• Перечень информационных систем, обрабатывающих информацию ограниченного доступа, и их классификация
• Для каждой информационной системы разрабатываются следующие документы:
• Описание технологического процесса
• Технический паспорт
• Разрешительная система доступа к информационным (программным) ресурсам

3. Модель угроз

Для каждой информационной системы, входящей в Перечень критичных ресурсов, разрабатывается Модель угроз, включающая:

• Классификацию потенциальных нарушителей
• Оценку исходного уровня защищенности
• Описание угроз и оценку вероятности их возникновения
• Оценку реализуемости и опасности угроз
• Уточнение возможностей нарушителей и направления атак
• Определение актуальности угроз

Потенциально внешними нарушителями могут быть:

• Разведывательные службы государств;
• Криминальные структуры;
• Конкуренты (конкурирующие организации);
• Недобросовестные партнеры;
• Внешние субъекты (физические лица).

Внешние нарушители имеют возможности:

• Воздействовать на защищаемую информацию по техническим каналам утечки информации;
• Осуществлять несанкционированный доступ к каналам связи, выходящим за пределы помещений, в которых установлена ИС;
• Осуществлять несанкционированный доступ через автоматизированные рабочие места, подключенные к сетям связи общего пользования и сетям международного информационного обмена;
• Осуществлять несанкционированный доступ к информации с использованием специальных программных воздействий посредством программных вирусов, вредоносных программ, алгоритмических или программных закладок;
• Осуществлять несанкционированный доступ через элементы информационной инфраструктуры ИС, которые в процессе своего жизненного цикла (модернизации, сопровождения, ремонта, утилизации) оказываются за пределами контролируемой зоны;

4. Создание концепции информационной безопасности

По результатам проведенного анализа бизнес-процессов, активов организации, руководствуясь законодательством РФ в области обеспечения ИБ, международными стандартами и лучшими мировыми практиками, мы разработаем Концепцию информационной безопасности специально для вашей организации, в которой будут описаны:

• Основные принципы формирования перечня критичных ресурсов
• Основные принципы защиты
• Модель нарушителя безопасности
• Модель угроз безопасности и оценку рисков, связанных с их осуществлением
• Требования безопасности
• Меры обеспечения безопасности
• Ответственность сотрудников за соблюдение установленных требований информационной безопасности

5. Анализ выполнения требований по защите информации

Учитывая актуальные угрозы, мы проанализируем текущий уровень обеспечения информационной безопасности в организации на соответствие требованиям разработанной Концепции информационной безопасности.

В том числе:

• Анализ внедренных программных и технических средств защиты информации
• Анализ утвержденной организационно-распорядительной документации, регламентирующей процесс обработки информации
• Анализ выполнения сотрудниками требований организационно-распорядительной документации:
• Анализ порядка доступа в помещения, в которых ведется обработка информации ограниченного доступа
• Анализ работы со съемными носителями информации ограниченного доступа (машинными и бумажными)
• Анализ работы со средствами криптографической защиты информации
• Анализ выполнения требований антивирусной и парольной политик
• Анализ внутреннего контроля за обеспечением информационной безопасности

6. Улучшение системы менеджмента защиты информации

По результатам проведенного анализа мы:

• Разрабатываем План приведения бизнес-процессов и инфраструктуры организации в соответствие с разработанной Концепцией ИБ

А также при необходимости:

• Разработаем Техническое задание по внедрению интегрированных подсистем обеспечения информационной безопасности
• Установим и настроим средства защиты информации без прерывания деятельности организации
• Разработаем/скорректируем организационно-распорядительную документацию
• Проведем инструктаж сотрудников

Средства защиты информации

В процессе улучшения системы менеджмента защиты информации возможно внедрение  следующих средств защиты:

• Защиты внешнего периметра корпоративной сети
• Защиты корпоративных серверов
• Комплексной антивирусной защиты
• Мониторинга сетевого трафика
• Защиты прикладных подсистем и обеспечение доступности предоставляемых ими прикладных сервисов.
• Защиты межсетевых взаимодействий между сегментами информационных систем

Основные разрабатываемые организационно-распорядительные документы

• Правила обработки персональных данных
• Правила осуществления внутреннего контроля соответствия обработки персональных данных
• Инструкция по организации антивирусной защиты
• Инструкция по организации парольной защиты
• Порядок доступа в помещения, в которых ведется обработка информации ограниченного доступа
• Инструкции администратора безопасности информации, администратора и пользователя информационных систем
• Инструкция по работе со средствами криптографической защиты информации
• Инструкция по обеспечению безопасности при возникновении нештатных ситуаций в информационных системах, обрабатывающих информацию ограниченного доступа

Мы предлагаем следующие решения

Сетевая безопасность: предотвращение DDoS-атак, однонаправленные шлюзы передачи данных, управление сетевой безопасностью, анализ сетевых угроз и контроль изменений конфигурации, обнаружение и предотвращение сетевых вторжений, обнаружение сетевых аномалий, межсетевые экраны нового поколения, виртуальные частные сети.

Защита приложений: защита БД (мониторинг, управление доступом), однократная аутентификация, защита web-приложений, анализ кода приложений, аудит защищенности мобильных приложений.

Безопасность ИТ-инфраструктуры: защита от направленных атак (EDR/ SandBox), контроль доступа к приложениям, защита от вредоносного ПО, контроль доступа к устройствам, управление учетными записями и доступом, фильтрация почтового трафика, управление и безопасность при использовании мобильных устройств, защита виртуальных инфраструктур, фильтрация web-трафика, контроль целостности, СЗИ от несанкционированного доступа.

Защита данных: классификация данных, маркирование электронных документов, защита от утечек конфиденциальной информации, шифрование данных при хранении, инфраструктура открытых ключей, удостоверяющие центры, мониторинг и контроль печати.

Мониторинг и управление информационной безопасностью: управление событиями и инцидентами информационной безопасности, системы поведенческого анализа, решения для построения центров управления безопасностью, киберразведка, аудит и анализ защищенности, контроль привилегированных пользователей, мониторинг действия пользователей.