Главная > Сервис и обслуживание > Разработка концепции и стратегии ИБ, политик, методик и регламентов
Разработка концепции и стратегии ИБ, политик, методик и регламентов

Что такое Концепция информационной безопасности?

Концепция информационной безопасности представляет собой систематизированное изложение целей, задач, принципов построения, организационных и технических аспектов обеспечения информационной безопасности и устанавливает

  • Требования и практические правила управления обеспечением информационной безопасностью
  • Базовый уровень и режим защиты информации, обязательный к исполнению в организации, а также взаимодействующими организациями

Включает комплексные аудиты информационной безопасности.

Зачем нужна Концепция информационной безопасности?

  • Предотвращение экономических и репутационных потерь для организации
  • Систематизация расходов
  • Риск ориентированный подход
  • Систематизированный подход к обеспечению информационной безопасности
  • Соответствие лучшим мировым практикам по защите информации
  • Соответствие требованиям законодательства РФ в области информационной безопасности
  • Соответствие международным стандартам в области информационной безопасности
  • Понятные и наглядные отчеты для руководства

 

Дорожная карта мероприятий

  1. Описание объекта защиты;
  2. Определение перечня критичных ресурсов;
  3. Разработка модели угроз;
  4. Создание Концепции информационной безопасности;
  5. Анализ выполнения обязательных мер по защите информации;
  6. Разработка Плана приведения бизнес-процессов и инфраструктуры организации в соответствие с разработанной Концепцией;
  7. Разработка Технического задания по внедрению интегрированных подсистем обеспечения информационной безопасности, установка и настройка средств защиты информации (опционально);
  8. Разработка/корректировка организационно-распорядительной документации (опционально).

 

1. Описание объекта защиты

  • Аудит видов деятельности организации, и нормативных документов, регулирующих обработку информации для вашей организации
  • Аудит выстроенных бизнес-процессов
  • Аудит основных потоков информации (как внешних, так и внутренних), составление схемы процессов обработки информации
  • Аудит структуры и состава комплекса программно-технических средств организации
Описание структуры и состава комплекса программно-технических средств организации, включает:

 

2. Анализ информационных активов

Анализ информационных активов организации и составление Перечня критичных ресурсов – списка активов, нарушение конфиденциальности, целостности, доступности которых приведет к материальным или репутационным потерям для вашей организации.

В том числе:

  • Перечень информации ограниченного доступа, не содержащей сведений, составляющих государственную тайну, обрабатываемой в организации
  • Перечень информационных систем, обрабатывающих информацию ограниченного доступа, и их классификация
  • Для каждой информационной системы разрабатываются следующие документы:
  • Описание технологического процесса
  • Технический паспорт
  • Разрешительная система доступа к информационным (программным) ресурсам

 

3. Модель угроз

Для каждой информационной системы, входящей в Перечень критичных ресурсов, разрабатывается Модель угроз, включающая:

  • Классификацию потенциальных нарушителей
  • Оценку исходного уровня защищенности
  • Описание угроз и оценку вероятности их возникновения
  • Оценку реализуемости и опасности угроз
  • Уточнение возможностей нарушителей и направления атак
  • Определение актуальности угроз

 

Потенциально внешними нарушителями могут быть:

  • Разведывательные службы государств;
  • Криминальные структуры;
  • Конкуренты (конкурирующие организации);
  • Недобросовестные партнеры;
  • Внешние субъекты (физические лица).

 

Внешние нарушители имеют возможности:

  • Воздействовать на защищаемую информацию по техническим каналам утечки информации;
  • Осуществлять несанкционированный доступ к каналам связи, выходящим за пределы помещений, в которых установлена ИС;
  • Осуществлять несанкционированный доступ через автоматизированные рабочие места, подключенные к сетям связи общего пользования и сетям международного информационного обмена;
  • Осуществлять несанкционированный доступ к информации с использованием специальных программных воздействий посредством программных вирусов, вредоносных программ, алгоритмических или программных закладок;
  • Осуществлять несанкционированный доступ через элементы информационной инфраструктуры ИС, которые в процессе своего жизненного цикла (модернизации, сопровождения, ремонта, утилизации) оказываются за пределами контролируемой зоны;

 

4. Создание концепции информационной безопасности

По результатам проведенного анализа бизнес-процессов, активов организации, руководствуясь законодательством РФ в области обеспечения ИБ, международными стандартами и лучшими мировыми практиками, мы разработаем Концепцию информационной безопасности специально для вашей организации, в которой будут описаны:

  • Основные принципы формирования перечня критичных ресурсов
  • Основные принципы защиты
  • Модель нарушителя безопасности
  • Модель угроз безопасности и оценку рисков, связанных с их осуществлением
  • Требования безопасности
  • Меры обеспечения безопасности
  • Ответственность сотрудников за соблюдение установленных требований информационной безопасности

 

5. Анализ выполнения требований по защите информации

Учитывая актуальные угрозы, мы проанализируем текущий уровень обеспечения информационной безопасности в организации на соответствие требованиям разработанной Концепции информационной безопасности.

В том числе:

  • Анализ внедренных программных и технических средств защиты информации
  • Анализ утвержденной организационно-распорядительной документации, регламентирующей процесс обработки информации
  • Анализ выполнения сотрудниками требований организационно-распорядительной документации:
  • Анализ порядка доступа в помещения, в которых ведется обработка информации ограниченного доступа
  • Анализ работы со съемными носителями информации ограниченного доступа (машинными и бумажными)
  • Анализ работы со средствами криптографической защиты информации
  • Анализ выполнения требований антивирусной и парольной политик
  • Анализ внутреннего контроля за обеспечением информационной безопасности

 

6. Улучшение системы менеджмента защиты информации

По результатам проведенного анализа мы:

  • Разрабатываем План приведения бизнес-процессов и инфраструктуры организации в соответствие с разработанной Концепцией ИБ

А также при необходимости:

  • Разработаем Техническое задание по внедрению интегрированных подсистем обеспечения информационной безопасности
  • Установим и настроим средства защиты информации без прерывания деятельности организации
  • Разработаем/скорректируем организационно-распорядительную документацию
  • Проведем инструктаж сотрудников

 

Средства защиты информации

В процессе улучшения системы менеджмента защиты информации возможно внедрение  следующих средств защиты:

  • Защиты внешнего периметра корпоративной сети
  • Защиты корпоративных серверов
  • Комплексной антивирусной защиты
  • Мониторинга сетевого трафика
  • Защиты прикладных подсистем и обеспечение доступности предоставляемых ими прикладных сервисов.
  • Защиты межсетевых взаимодействий между сегментами информационных систем

 

Основные разрабатываемые организационно-распорядительные документы

  • Правила обработки персональных данных
  • Правила осуществления внутреннего контроля соответствия обработки персональных данных
  • Инструкция по организации антивирусной защиты
  • Инструкция по организации парольной защиты
  • Порядок доступа в помещения, в которых ведется обработка информации ограниченного доступа
  • Инструкции администратора безопасности информации, администратора и пользователя информационных систем
  • Инструкция по работе со средствами криптографической защиты информации
  • Инструкция по обеспечению безопасности при возникновении нештатных ситуаций в информационных системах, обрабатывающих информацию ограниченного доступа

 

Мы предлагаем следующие решения

Сетевая безопасность: предотвращение DDoS-атак, однонаправленные шлюзы передачи данных, управление сетевой безопасностью, анализ сетевых угроз и контроль изменений конфигурации, обнаружение и предотвращение сетевых вторжений, обнаружение сетевых аномалий, межсетевые экраны нового поколения, виртуальные частные сети.

Защита приложений: защита БД (мониторинг, управление доступом), однократная аутентификация, защита web-приложений, анализ кода приложений, аудит защищенности мобильных приложений.

Безопасность ИТ-инфраструктуры: защита от направленных атак (EDR/ SandBox), контроль доступа к приложениям, защита от вредоносного ПО, контроль доступа к устройствам, управление учетными записями и доступом, фильтрация почтового трафика, управление и безопасность при использовании мобильных устройств, защита виртуальных инфраструктур, фильтрация web-трафика, контроль целостности, СЗИ от несанкционированного доступа.

Защита данных: классификация данных, маркирование электронных документов, защита от утечек конфиденциальной информации, шифрование данных при хранении, инфраструктура открытых ключей, удостоверяющие центры, мониторинг и контроль печати.

Мониторинг и управление информационной безопасностью: управление событиями и инцидентами информационной безопасности, системы поведенческого анализа, решения для построения центров управления безопасностью, киберразведка, аудит и анализ защищенности, контроль привилегированных пользователей, мониторинг действия пользователей.

 

Запросить расчёт
Разработка концепции и стратегии ИБ, политик, методик и регламентов
Thank you! Your submission has been received!
Oops! Something went wrong while submitting the form.