Вопросы технического обеспечения информационной безопасности предприятия решают не только ИТ-подразделения. В безопасном использовании информационных ресурсов заинтересовано руководство и другие службы компании.
Концепция защиты
Реализация стратегии защиты начинается с разработки Концепции информационной безопасности, которая включает:
- принципы отнесения объектов инфраструктуры, программных, информационных и физических, к критичным, нуждающимся в повышенной защите;
- основные принципы и способы защиты, механизмы выстраивания правил, по которым производится внедрение отдельных защитных элементов;
- модель угроз, типовой профиль нарушителя безопасности;
- требования к безопасности, сформированные по результатам аудита рисков;
- все меры защиты, предполагаемые для реализации;
- дополнительная к принятой в рамках действующего законодательства ответственность за соблюдение мер информационной безопасности и утечку данных.
Концепция принимается на уровне высшего руководства предприятия и должна пересматриваться по мере эволюции информационной инфраструктуры и изменения модели угроз. На первом этапе для ее разработки собираются мнения всех подразделений, заинтересованных в системном решении задачи технического обеспечения информационной безопасности. В дальнейшем задача ее доработки по итогам контроля работоспособности может быть возложена на курирующее ИТ-подразделение.
Объекты защиты
Неожиданным для сотрудников ИТ-подразделений, но важным для экономической безопасности предприятия становится такой объект защиты, как вложенные в создание технической инфраструктуры инвестиции. Их окупаемость должна стать одной из важных задач предприятия, недопустима избыточность, при которой ИБ становится самоцелью, отнимая ресурсы у бизнес-процессов.
Экономический эффект от внедрения системы технической защиты конфиденциальных данных проявляется в:
- доступности информации, когда ИТ-инфраструктура предприятия позволяет в любое время получить необходимые сведения. Пример несоответствия инфраструктуры критериям доступности – сайт Росреестра, информацию с которого иногда не могут получить даже Служба судебных приставов и Правительство Москвы, что привлекло внимание Контрольного управления Администрации Президента;
- в целостности данных, отсутствии сбоев или постороннего вмешательства в их структуру, вызвавших искажение сведений, которое может привести к некорректности, принимаемых решений на их основе. В том же Росреестре на запрос выписки по объекту недвижимости в Рязани из-за сбоев в системе клиент может получить сведения о квартире в Уфе;
- конфиденциальности информации. Соблюдение этого требования поможет избежать убытков от хищения конфиденциальной информации и штрафов в результате нарушения требований законодательства о персональных данных;
- отсутствии возможностей отказаться от совершенной операции, это важно, например, при использовании онлайн-платежей;
- аутентичности или полноценной системе подтверждения подлинности информации или электронных сообщений.
Традиционно объектами защиты становятся:
- узлы ИС (серверы, рабочие станции);
- технические средства, маршрутизаторы;
- каналы связи, протоколы удаленного доступа;
- программные средства, вне зависимости от того, разработаны они самостоятельно или сторонними разработчиками;
- базы данных, собственные и находящиеся в облаке;
- методы защиты данных.
Часто объекты разнесены в пространстве, на промышленных предприятиях многие из них могут находиться в труднодоступных местах. Каждый объект защиты должен быть описан в концепции обеспечения безопасности с учетом его относительной ценности и возможности замены.
Классификация пользователей
Часто выбор технического обеспечения информационной безопасности предприятия зависит от типов пользователя и количества групп пользователей на предприятии. В общем значении под пользователем подразумевается сотрудник, идентифицируемый в системе под собственным логином и паролем и имеющий доступ к данным в соответствии со своими служебными обязанностями. Технические и программные средства защиты информации должны давать возможность не только идентифицировать пользователей, но и разграничивать их доступ к данным разной категории.
В обычной компании достаточно выделить лица с правами пользователей и с правами администраторов. На производственном предприятии выделяют следующие группы пользователей:
- руководство;
- инженеры и разработчики;
- наладчики оборудования;
- персонал, обслуживающий оборудование, в том числе движущиеся объекты;
- офисный персонал;
- сотрудники компаний-аутсорсеров.
Для всех необходимо установить правила допуска, а также регламент их изменения. Права предоставляются по принципу минимально необходимых для решения служебных задач. Наиболее простое решение – открыть доступ пользователям к ресурсам исходя из типа программных модулей. К специализированным модулям относятся АСУ, банковские программы, системы управления безопасностью, к общедоступным – программы электронного документооборота (ЭДО), CRM-системы, корпоративная электронная почта.
Группа администраторов в ИТ-подразделении также не едина, в зависимости от сложности задач, стоящих перед службой, внутри нее могут выделяться отделы:
- развития и технической эксплуатации ИС;
- информационной безопасности;
- мониторинга угроз и инцидентов;
- технической поддержки пользователей;
- информационно-аналитический.
Также в отдельную группу выделяют сотрудников филиалов и удаленных рабочих мест.
Функционал каждого подразделения в части технического обеспечения информационной безопасности предприятия прописывается в общем положении и должностных инструкциях сотрудников.
Корпоративная сеть предприятия
ИС выступает самостоятельным объектом защиты, так как необходимо обеспечить ее целостность на основе сетевого протокола TCP/IP.
При формировании архитектуры выделяются адресные пространства:
- выделенные филиалам и обособленным подразделениям;
- выделенные аппарату управления компании;
- для адресации магистрального сегмента корпоративной сети;
- резервное.
Такая сегментация позволяет разделять группы пользователей межсетевыми экранами и обеспечить самостоятельный запуск отдельных приложений.
Технологические элементы сетей
Верные технологические решения обеспечивают работоспособность сети в целом, четкость бизнес-процессов, устойчивое качество работы приложений и сохранность информации.
Базовые структурные единицы ИС, общие для всех типов компаний:
- серверы – делятся на группы поддержки специализированных приложений, поддержки общедоступных сервисов и серверы, поддерживающие технологические службы корпоративной сети;
- рабочие станции пользователей. В структуре ИС учитываются и станционарные компьютеры, и мобильные устройства;
- IP-телефония и периферийное оборудование к ней;
- линии связи, магистральные каналы обмена данными. Их работоспособность обеспечивает сетевое оборудование, чаще всего поставляемое компанией Cisco Systems Inc.
Для обеспечения работоспособности технологических элементов системы ответственному за это сотруднику требуются навыки инженера и работающая модель мониторинга, сканеры которой будут выявлять отклонения от заданных параметров работы. Информационные ресурсы требуют иного подхода к защите.
Информационные ресурсы предприятия
Ценность данных, обрабатываемых в локальной сети, каждая компания, разрабатывающая систему ИБ, определяет исходя из бизнес-целей.
Часто выделяются следующие группы информационных ресурсов:
- персональные данные сотрудников и клиентов, режим защиты которых определен законодательством Российской Федерации;
- данные, относящиеся к государственной тайне;
- служебная информация;
- коммерческая тайна предприятия, для ее защиты необходимо ввести режим охраны коммерческой тайны;
- внутренняя переписка сотрудников, письма в их электронной почте;
- конструкторская и технологическая документация, перспективные планы развития, модернизации производства, реализации продукции и другие сведения, составляющие научно-техническую и технологическую информацию, защищаемую патентами или относящуюся к конфиденциальным данным.
Объекты защиты могут структурироваться и храниться в базах данных, управляемых СУБД, а могут находиться в разрозненном виде на компьютерах сотрудников. Аудит информационных ресурсов поможет составить представление об объекте охраны и выработать оптимальный механизм защиты. Большие объемы данных, относящихся к общедоступным, не требуют дополнительной защиты и отвлечения ресурсов на эти задачи.
Выстраивая модель защиты информации, необходимо обратить внимание на структуру информационных потоков, циркулирующих внутри предприятия и поступающих из внешних источников.
Отслеживать необходимо следующие внутренние потоки:
- передача файлов между файловыми серверами и АРМ пользователей по протоколу SMB (протокол открытого обмена информацией между АРМ и серверами на основе стека TCP/IP);
- файлы в системе электронного документооборота;
- пересылка сообщений электронной почты посредством хешированного соединения программного обеспечения Lotus Notes или аналогичных офисных программ;
- передача юридической и справочной информации между серверами БД (на которых установлены программы типа «Консультант» или «Гарант», иные базы данных) и пользовательскими рабочими станциями;
- деловая переписка в рамках корпоративных систем обмена сообщениями, на рабочих форумах;
- передача оперативной информации от пользователей в специализированные системы учета и отчетности, например, «1С Склад» или «1С Предприятие»;
- передача данных между головным подразделением и региональными структурами;
- передача бухгалтерской и налоговой информации между пользовательскими рабочими станциями и сервером БД в рамках автоматизированных систем бухгалтерского учета.
В рамках внешних потоков информации, подлежащих особенной защите, выделяют:
- взаимодействие с банками по системе платежей Банк-Клиент;
- передача бухгалтерской, налоговой, статистической отчетности в ФНС и внебюджетные фонды;
- торговые трансакции при проведении сделок по продаже товаров или услуг в Интернете;
- взаимодействие с клиентами по электронной почте;
- взаимодействие по Интернету с биржами и торговыми площадками для участия в тендерах или закупках;
- направление отчетной информации в проверяющие организации.
Эти виды коммуникации содержат большие объемы конфиденциальной информации, которую необходимо защищать от утечек.
Взаимодействие организуется по трем каналам:
- выделенный магистральный канал сообщения с корпоративной сетью с использованием протоколов VPN, скрывающих трафик;
- резервная линия связи с Интернетом;
- коммутируемый канал связи посредством использования технологии GPRS.
Совмещение этих трех защищенных каналов позволяет уберечь информацию, представляющую наибольший интерес для злоумышленников. Из средств технического обеспечения информационной безопасности предприятия дополнительно используются магистральные роутеры и межсетевые экраны. Задача регламентированного подключения пользователей к Интернету решается на основе системных политик компании.
Факторы, учитываемые при разработке стратегии ИБ
Меняющаяся реальность и увеличивающийся объем угроз побуждают организации постоянно видоизменять концепцию защиты информационных активов.
Среди факторов внешней и внутренней среды, учет которых необходим:
- появление новых партнеров и клиентов. ФНС сегодня активно использует средства информационной разведки, выявляя ненадежных налогоплательщиков. Появление их в числе партнеров предприятия создает проблемы привлечения к налоговой ответственности, если партнер не платит НДС, его могут признать звеном в цепочке налогового планирования. Провайдеры поставляют ведомству данные об IP-адресах компаний, сдающих отчетность, и если у некоторых контрагентов они совпадают, это может стать основанием для проведения дополнительной проверки;
- автоматизация и оптимизация бизнес-процессов, для которых ранее такие решения не реализовывались, например, внедрение логистических программ и «умного» оборудования на складе;
- привлечение новых разработчиков ПО для решения технических задач, необходимость организации взаимодействия с ними;
- расширение информационной сети предприятия, появление новых подразделений и сотрудников, в том числе на удаленном доступе;
- изменение модели внешних угроз, появление новых типов атак.
Эти факторы при работе над архитектурой сети и ее техническим обеспечением требуют от ИТ-подразделения компании и подрядчиков соблюдения следующих принципов:
- простота архитектуры. Связи между компонентами должны быть реализованы по одной модели и упрощены. Количество протоколов сетевого взаимодействия требуется сокращать. С учетом требований надежности и дальнейшего развития сети все, что можно упростить, должно быть упрощено;
- проверенность решений. Новые идеи неприемлемы на производстве, где во главу угла ставится непрерывность бизнес-процессов, не апробированные многократно компоненты не должны использоваться;
- все компоненты должны быть надежными и не создающими проблем с техническим обслуживанием;
- управляемость в любых условиях, системы мониторинга должны собирать данные обо всех компонентах в режиме реального времени, выявляя уязвимости и отклонения;
- простота эксплуатации, установка «защиты от дурака» во избежание сбоя из-за ошибки пользователя или системного администратора;
- наличие нескольких рубежей обороны. Для каждого узла и объекта необходимо реализовать несколько механизмов защиты, в этом случае гипотетическому злоумышленнику для их взлома потребуются знания сразу в нескольких областях;
- непрерывность защиты в пространстве и времени. Технические работы на сервере или переустановка ПО не должны ослаблять уровень безопасности, злоумышленник, информированный о таких ситуациях, попробует ими воспользоваться;
- равномерность обороны во всех ее блоках, полное исключение несанкционированного доступа к ресурсам сети со стороны сотрудников любых уровней. Это реализуется принятием распорядительных внутренних документов и контролем за всеми подключениями;
- профилактика нарушений информационной безопасности, что помогает предотвратить возникновение рискованных ситуаций со стороны персонала. Среди мер защиты – внедрение средств идентификации и аутентификации, управление доступом, обучение персонала, разъяснения со стороны кадровых подразделений о том, что в случае возникновения инцидента информационной безопасности виновный будет привлечен к ответственности;
- минимизация привилегий. Реализация принципа «Никто не должен иметь больше полномочий, чем необходимо» станет не только основой ИБ, но и при проведении аудиторской проверки будет достаточным подтверждением того, что аудируемые данные не были изменены или скорректированы;
- экономическая целесообразность. При внедрении любой технологии безопасности необходимо проверять, не помешает ли она нормальному течению бизнес-процессов. На практике приоритет безопасности над экономическими решениями встречается только на объектах с повышенным уровнем опасности, например, на АЭС;
- непрерывность улучшения системы с опорой на лучшие зарубежные и национальные методики;
- унификация разработчиков и поставщиков, стремление к единообразию применяемых решений для всех компонентов системы.
Соблюдению этих принципов, в большей степени минимизирующих затраты, особое внимание должна уделять служба внутреннего аудита предприятия при оценке концепции.
Организация работы по созданию и внедрению Концепции
Внутренний аудит подключается к задаче оценки Концепции на одном из завершающих этапов, а его подготовка ведется департаментами ИТ и безопасности под руководством одного из заместителей директора или членов правления. Он должен отличаться достаточным уровнем компетенции и властных полномочий. Существуют государственные стандарты, описывающие подготовку технического задания при создании Концепции. Следование им сократит срок работы, так как большинство регламентов уже создано.
Руководитель проекта при подготовке основополагающего документа, содержащего основные принципы технического обеспечения информационной безопасности предприятия, определяет исполнителей, сроки и бюджет проведения мероприятий:
- назначение ответственных лиц, распределение ролей, подготовку поручений по разработке стратегии;
- разработка, согласование документов организационного характера: методик и регламентов, регулирующих поведение пользователей, – от правил работы с текстовыми документами до регламентов использования съемных носителей;
- обучение пользователей и технического персонала, подготовка к внедрению новых мер безопасности и необходимости обслуживания новой модели системы безопасности;
- проектирование и развертывание новой архитектуры системы, ее внедрение на предприятии;
- аудит внедренной модели, анализ результатов, доработка после внедрения.
Реализация процесса по четырехзвенному механизму – разработка, внедрение, анализ, доработка, помогает повысить работоспособность системы защиты уже на ранних этапах. Частные компании могут обойтись без официальных приемочных испытаний, а вот для ГИС они необходимы.
Техническое обеспечение информационной безопасности предприятия после его внедрения призвано решить следующие задачи:
- защита периметра сетей от несанкционированных внешних вторжений и подключений. В этих целях применяются маршрутизаторы, брандмауэры, контроль удаленного доступа;
- защита серверов компании от НСД, как внешнего, так и инсайдерского, за счет внедрения систем аутентификации и модели дифференцированного доступа;
- комплексная антивирусная защита, при реализации которой решается задача защиты серверов, рабочих станций пользователей, внешнего шлюза, соединяющего с Интернетом;
- организация системы мониторинга уязвимостей и реакции на них, мгновенно оповещающей системных администраторов об угрозах. ПО, используемое для мониторинга, должно обновляться таким образом, чтобы выявлять новые угрозы;
- защита приложений и сервисов, устранение угрозы их сбоя и остановки реализации бизнес-процессов;
- защита межсетевых взаимодействий, выделение отдельных зон для запуска значимых процессов.
Аудит должен проверить выполнение всех требований и подготовить доклад с рекомендациями по дальнейшему улучшению системы.
Организационные, технические и программные средства защиты
Для любой компании реализация системы технической безопасности инфраструктуры начинается с принятия пакета прикладных организационных мер. Основным документом окажется Политика информационной безопасности, многие внутренние регламенты могут быть разработаны в качестве приложений к ней. Не рекомендуется оформлять в качестве приложений документы, разработка которых регламентирована необходимостью защиты персональных данных и выполнений требований регулятора.
Проверяющие организации запрашивают отдельными документами:
- Положение о порядке обработки персональных данных.
- Положение о подразделении, которому поручена охрана персональных данных.
- Иные документы, в частности, журнал учета движения съемных носителей.
Их отсутствие может привести к штрафам. Помимо документов, относящихся к персональным данным, необходимо разработать и внедрить:
- политику контроля и предотвращения несанкционированного доступа к информации и объектам инфраструктуры;
- методику определения степени дифференциации доступа;
- регламент управления паролями, предусматривающий обеспечение их сложности, своевременную замену, ответственность за передачу;
- политику восстановления ИС после аварий с указанием необходимых для него временных периодов;
- политику резервного копирования данных с указанием их объема, периодичности копирования, места хранения;
- методику работы с Интернетом и политику установки программного обеспечения;
- политику по работе с бумажными документами (их печать, копирование, сканирование);
- положения о подразделениях и должностные инструкции сотрудников.
Персонал должен быть ознакомлен с документами. Они должны храниться в доступном для ознакомления месте, например, на сервере компании.
Процедурные задачи
Кроме документального, решение задачи технического обеспечения информационной безопасности предприятия внедряется на процедурном уровне. Требуется:
- организовать управление персоналом на уровне, исключающем возникновение инцидентов безопасности со стороны инсайдеров;
- обеспечить физическую защиту документов и элементов инфраструктуры, в некоторых случаях и персонала. В этой же группе задач внедряются противопожарные меры и другие меры безопасности, исключающие повреждение объектов в результате аварии;
- организовать процесс постоянного поддержания работоспособности системы;
- спланировать реакцию на инциденты и дальнейшие восстановительные работы.
На программном уровне реализуются следующие шаги:
- установка SIEM-систем, выявляющих инциденты безопасности, и DLP-систем, исключающих утечку данных из охраняемого периметра;
- внедрение межсетевых экранов (файрволов) и средств обнаружения вторжений, снижающих риск внешних атак;
- расширение пропускного канала, снижающего вероятность успешных DDoS-атак;
- установка сервиса постоянного аудита и мониторинга работоспособности системы;
- применение средств криптографической защиты, прошедших сертификацию.
Если реализация мероприятий по созданию системы технического обеспечения информационной безопасности предприятия осуществляется организацией-подрядчиком, она должна иметь лицензии. Выполнение комплекса мер позволит обеспечить защиту интересов фирмы на высшем уровне.
04.02.2020
Общий порядок действий по созданию систем защиты информации
Система защиты информации (применительно к органу управления, организации,
учреждению – это совокупность органов и (или) исполнителей,
используемой ими техники защиты информации, а также объектов защиты, организованная и функционирующая по
правилам и нормам, установленным соответствующими документами в области защиты информации (пункт
2.4.3.
Национального стандарта Российской Федерации ГОСТ Р50922-2006
«Защита информации. Основные термины и определения»).
В организационную структуру системы входят:
-
руководитель – несет персональную ответственность за обеспечение
информационной безопасности (устав организации, положение об органе); -
заместитель руководителя, курирующий вопросы информационно-технической
безопасности (должностной регламент); -
постоянно действующий коллегиальный орган, вырабатывающий предложения по
решению проблемных вопросов в области защиты информации; (положение о
комиссии); -
подразделение или специалист, ответственные за реализацию мероприятий по
технической защите информации (положение о подразделении, должностная
инструкция или регламент специалиста).
Система защиты информации (применительно к объекту обработки информации) –
это совокупность организационных мероприятий, технических, программных
и программно-технических средств защиты информации
и средств контроля эффективности защиты информации
(пункт 3.3 Национального стандарта Российской
Федерации ГОСТ Р51583-2014
«Защита информации. Порядок создания автоматизированных систем в защищенном
исполнении. Общие положения»).
Задачи, решаемые системой защиты информации:
-
исключение неправомерных доступа, копирования, предоставления или
распространения информации (обеспечение конфиденциальности информации); -
исключение неправомерных уничтожения или модифицирования информации
(обеспечение целостности информации); -
исключение неправомерного блокирования информации (обеспечение
доступности информации).
Жизненный цикл системы защиты информации (СЗИ) объекта обработки информации
состоит из стадии создания системы и стадии эксплуатации.
Стадию создания осуществляет (организует) обладатель информации, заказчик;
стадию эксплуатации СЗИ осуществляет оператор.
Жизненный цикл системы защиты информации объекта информатизации
— совокупность взаимоувязанных процессов последовательного изменения
состояния системы защиты информации конкретного объекта от принятия решения
о необходимости защиты обрабатываемой на нем информации до окончания его
эксплуатации.
Стадия (этап) жизненного цикла
– часть жизненного цикла, характеризующаяся определенным состоянием системы
защиты информации, совокупностью видов предусмотренных работ с их конечными
результатами.
Обладатель информации
– лицо, создавшее информацию и (или) имеющее право разрешать или
ограничивать доступ к информации.
Заказчик
– лицо, заключившее контракт на создание объекта обработки информации.
Оператор
– лицо, эксплуатирующее объект, в том числе непосредственно осуществляющее
обработку содержащейся в нем информации.
Уполномоченное лицо
– лицо, осуществляющее на договорной основе с заказчиком или оператором
обработку информационного ресурса и (или) предоставляющее для этих целей
вычислительные ресурсы.
Поставщик информации
– лицо, наделенное полномочиями по предоставлению сведений для их внесения
в базу данных объекта.
Этапы стадии создания системы защиты информации
- Этап 1. Формирование требований к системе защиты информации (предпроектный этап).
- Этап 2. Разработка системы защиты информации (этап проектирования).
- Этап 3. Внедрение системы защиты информации (этап установки, настройки, испытаний).
- Этап 4. Подтверждение соответствия системы защиты информации (этап оценки).
Формирование требований к системе защиты информации
Этап 1 осуществляется обладателем информации (заказчиком).
Перечень работ на этапе 1:
- Принятие решения о необходимости защиты обрабатываемой информации.
-
Классификация объекта по требованиям защиты информации (установление
уровня защищенности обрабатываемой информации). -
Определение угроз безопасности информации, реализация которых может
привести к нарушению безопасности обрабатываемой информации. - 4. Определение требований к системе защиты информации.
Решение о необходимости создания системы защиты информации принимается на основе анализа стоящих задач,
обрабатываемой информации и нормативной базы. В ходе анализа определяются структурно-функциональные
характеристики объекта и режим обработки информации:
Характеристики объекта:
- статус (принадлежность) объекта (государственный, муниципальный, иной);
- структура объекта (локальный или распределенный);
- масштаб объекта (федеральный, региональный, объектовый);
- наличие подключений к сторонним сетям, в том числе сетям общего пользования (имеются или отсутствуют);
- режим обработки информации (одно или многопользовательский);
- уровень доступа (с разграничением или без разграничения);
-
перечень технологических операций (чтение, поиск, запись, удаление,
сортировка, модификация, передача, голосовой ввод,); -
используемые информационные технологии (беспроводный, удаленный доступ,
виртуализация, мобильные объекты, туннелирование и пр.),
Категория информации, подлежащей защите, и свойства ее безопасности:
- информация ограниченного доступа (конфиденциальность, целостность, доступность);
- общедоступная информация (целостность, доступность),
Нормативная правовая база по информационно-технической безопасности выделяет разные задачи по защите информации:
- защита информации, составляющей государственную тайну;
- защита государственного информационного ресурса, не отнесенного к государственной тайне;
- обеспечение безопасности персональных данных в иных информационных системах;
- обеспечение безопасности критической информационной инфраструктуры;
- обеспечение безопасности информации в информационных системах общего пользования.
Более подробно правовое сопровождение защиты информации рассмотрено в
разделе
экономических и правовых аспектов защиты информации.
Актуальным на этом этапе видится формулирование целей и задач защиты информации.
Цель защиты информации
— минимизировать (предотвратить) ущерб обладателю информации из-за
возможных нарушений свойств ее безопасности.
Задача защиты информации
— обеспечить необходимый уровень защищенности информации от нарушений ее
целостности, доступности, конфиденциальности.
Решение оформляется локальным нормативным правовым актом,
в котором отражаются цели и задачи защиты информации, этапы и сроки
создания системы защиты информации, функционал и ответственность обладателя
информации, заказчика и оператора.
Основные документы, формируемые по результатам исполнения работ на этапе формирования требований к системе защиты информации:
| Действие | Документ |
|---|---|
| 1. Принятие решения о необходимости защиты информации | Локальный нормативный правовой акт, определяющий необходимость создания системы защиты информации |
| 2. Классификация по требованиям защиты информации (по уровню защищенности информации) | Акт классификации по требованиям безопасности информации |
| 3.Определение актуальных угроз безопасности информации | Частная модель угроз безопасности информации |
| 4. Определение требований к системе защиты информации | ТЗ на создание системы защиты информации с указанием требований к мерам и средствам защиты информации |
Разработка системы защиты информации
Этап 2
— разработка системы защиты информации – организуется обладателем информации (заказчиком).
Перечень работ на этапе 2:
- Проектирование системы защиты информации.
- Разработка эксплуатационной документации на систему защиты информации.
Положением о лицензировании деятельности по технической защите
конфиденциальной информации, утвержденном постановлением Правительства
Российской Федерации от 3 февраля 2012 г. №79
«О лицензировании деятельности по технической защите конфиденциальной информации» с учетом
изменений, внесенных постановлением правительства российской федерации от
15 июня 2016 г. №541
«О внесении изменений в некоторые акты Правительства
Российской Федерации по вопросам лицензирования отдельных видов
деятельности» определены виды работ и услуг по технической защите
конфиденциальной информации, подлежащие обязательному лицензированию:
работы и услуги по аттестационным испытаниям и аттестации на соответствие
требованиям по защите информации, а также работы и услуги по проектированию
в защищенном исполнении:
- средств и систем информатизации;
- помещений со средствами (системами) информатизации, подлежащими защите;
- защищаемых помещений.
Согласно Федеральному закону от 27.12.2002 №184-ФЗ
«О техническом регулировании», оценка соответствия средств (продукции) защиты информации,
предназначенных для обеспечения безопасности государственного
информационного ресурса ограниченного доступа и персональных данных,
проводится в форме обязательной сертификации.
В зависимости от вида защищаемой информации, следует
руководствоваться Постановлением Правительства Российской Федерации от 26
июня 1995 г. №608
«Положение о сертификации средств защиты информации» —
для информации ограниченного доступа, либо Постановлением Правительства
Российской Федерации от 15 мая 2010 г. №330
«Положение об особенностях оценки соответствия продукции…» — для государственных
информационных ресурсов и персональных данных.
Основные документы, формируемые по результатам исполнения работ на этапе разработки системы защиты информации:
| Действие | Документ |
|---|---|
| 1.Проектирование системы защиты информации | Технический проект (рабочая документация) на создание системы защиты информации |
| 2.Разработка эксплуатационной документации на систему защиты информации |
Описание структуры системы защиты информации. Технический паспорт с указанием наименования, состава и мест установки аппаратных и программных средств. Перечень параметров настройки средств защиты информации. Правила эксплуатации средств защиты информации. |
Примерный состав эксплуатационной документации, разрабатываемой на этапе проектирования системы защиты информации
- Технический паспорт с указанием состава и мест установки ее технических и программных средств.
- Описание технологического процесса обработки информации.
- Описание параметров и порядка настройки средств защиты информации.
- Описание организационной структуры системы защиты информации, с указанием функциональных обязанностей ее элементов.
- Ведомость и журнал учета применяемых машинных носителей информации.
- Правила эксплуатации системы защиты информации.
Внедрение системы защиты информации
Этап 3
— Внедрение системы защиты информации – организуется обладателем информации
(заказчиком) с привлечением оператора. Перечень работ на этапе 3:
- Установка и настройка средств защиты информации.
-
Внедрение организационных мер защиты информации, в том числе, разработка
документов, определяющих правила и процедуры, реализуемые оператором для
обеспечения защиты информации в ходе эксплуатации объекта. - Выявление и анализ уязвимостей программных и технических средств, принятие мер по их устранению;
- Испытания и опытная эксплуатации системы защиты информации.
Основные документы, формируемые по результатам исполнения работ на этапе внедрения системы защиты информации:
| Действие | Документ |
|---|---|
| 1. Установка и настройка средств защиты информации | Акт установки средств защиты информации |
| 2.Внедрение организационных мер, разработка организационно-распорядительных документов | Документы по регламентации правил по эксплуатации и вывода из эксплуатации системы защиты информации |
| 3.Выявление и анализ уязвимостей | Протокол контроля уязвимостей программного обеспечения и технических средств |
| 4.Испытания и опытная эксплуатации системы защиты информации | Протоколы контроля оценки эффективности средств и оценки защищенности информации |
Состав обязательных организационно-распорядительных документов, разрабатываемых на этапе внедрения системы защиты информации:
- Порядок администрирования системой защиты информации.
- Порядок выявления инцидентов, которые могут привести к возникновению угроз безопасности информации и реагирования на них.
- Порядок управления конфигурацией объекта и его системы защиты информации.
- Порядок контроля за обеспечением уровня защиты обрабатываемой информации.
- Порядок защиты информации при выводе из эксплуатации объекта.
Подтверждение соответствия системы защиты информации
Этап 4
— подтверждение соответствия системы защиты информации – организуется
обладателем информации (заказчиком) или оператором. Перечень работ на этапе
4 определяется в Программе и методиках аттестационных испытаний,
разрабатываемой до их начала. Документ формируется исполнителем работ и
согласовывается с заявителем.
Общие требования к структуре и содержанию программ и
методик аттестационных испытаний на соответствие требованиям безопасности
информации, выполнение которых позволяет защитить информацию от утечки по
техническим каналам, от несанкционированного доступа и от специальных
воздействий определяются национальным стандартом ГОСТ РО
0043-004-2013
«Защита информации. Аттестация объектов информатизации. Программа и методики аттестационных испытаний».
Аттестация
– комплекс организационных и технических мероприятий, в результате которых
подтверждается соответствие системы защиты информации объекта
информатизации (информационной системы) требованиям безопасности
информации.
Аттестация объектов информатизации делится на обязательную и добровольную.
Обязательная аттестация
проводится в принятых законодательством случаях для
определения соответствия системы защиты информации объекта исключительно
требованиям, установленным федеральными нормативными правовыми актами.
Добровольная аттестация
проводится по инициативе заявителя для определения соответствия системы
защиты информации объекта требованиям, установленным национальными
стандартами, владельцем информации или владельцем объекта.
Обязательной аттестации подлежат государственные (муниципальные)
информационные системы и их сегменты, содержащие информацию ограниченного
доступа, добровольной – все иные информационные системы.
Порядок проведения аттестации информационных систем по требованиям безопасности информации:
- Подача и рассмотрение заявки на аттестацию.
- Предварительное ознакомление с аттестуемым объектом (при необходимости).
- Разработка программы и методики аттестационных испытаний.
- Проведение аттестационных испытаний объекта.
- Оформление, регистрация и выдача аттестата соответствия.
Подача и рассмотрение заявки на аттестацию объекта информатизации:
-
Заявителем выбирается исполнитель работ по аттестации объекта
информатизации (организация-лицензиат по технической защите
конфиденциальной информации). - Заявителем направляется исполнителю заявка на проведение аттестации с исходными данными на аттестуемый объект.
-
Исполнителем рассматривается заявка, принимается решение о порядке
аттестации, готовятся договорные документы на оказание услуг по аттестации
объекта информатизации.
При недостаточности исходных данных в порядок аттестации включаются
работы исполнителя по предварительному ознакомлению с аттестуемым
объектом.
Структура и содержание программы и методики аттестационных испытаний
определяется Национальным стандартом ограниченного распространения ГОСТ РО
0043-004-2013
«Защита информации. Аттестация объектов информатизации.
Программа и методики аттестационных испытаний»
Аттестуемая распределенная информационно-телекоммуникационная система
Основные документы, формируемые по результатам исполнения работ на
этапе подтверждения соответствия системы защиты информации:
| Действие | Документ |
|---|---|
| 1.Аттестационные испытания системы защиты информации | Протоколы и заключение по результатам аттестационных испытаний |
| 2.Оформление результатов аттестационных испытаний | Рекомендации по обеспечению защищенности информации на аттестуемом объекте и Аттестат соответствия |
После подтверждения соответствия системы защиты информации осуществляется
переход на другую стадию жизненного цикла – стадию эксплуатации.
Этапы стадии эксплуатации системы защиты информации
- Этап 5. Ввод системы защиты информации в постоянную эксплуатацию.
- Этап 6. Промышленная эксплуатация системы защиты информации.
- Этап 7. Вывод из эксплуатации системы защиты информации.
Этап 5 — ввод системы защиты информации
в постоянную эксплуатацию – осуществляется оператором.
Решение о вводе оформляется локальным нормативным правовым актом, в котором
определяются должностные лица, ответственные за эксплуатацию и
сопровождение системы защиты информации: начальник объекта, системные
администраторы, администраторы информационной безопасности.
Этап 6 —
промышленная эксплуатация системы защиты информации – осуществляется оператором.
Также оператор осуществляет администрирование системы защиты информации, выявление инцидентов и
реагирование на них, управление конфигурацией объекта и его системой защиты
информации, контроль за обеспечение необходимого уровня защищенности информации.
Заявители:
-
осуществляют эксплуатацию объекта информатизации в соответствии с
требованиями безопасности информации, а также условиями и ограничениями,
установленными эксплуатационной документацией на систему защиты информации,
и аттестатом соответствия; -
извещают орган по аттестации (организацию), выдавший аттестат
соответствия, о всех изменениях в информационных технологиях, составе и
размещении средств и систем, условиях их эксплуатации, которые могут
повлиять на эффективность системы защиты информации; -
предоставляют необходимые документы и условия для осуществления контроля
и надзора за соблюдением порядка аттестации и за эксплуатацией
аттестованного объекта информатизации.
Органы по аттестации:
- отменяют и приостанавливают действие выданных этим органом (организацией) аттестатов соответствия;
-
проводят на договорной основе оценку эффективности средств защиты
информации и оценку защищенности информации от несанкционированного
доступа.
Повторная аттестация ГИС осуществляется вслучае окончания срока действия аттестата соответствия
или повышения класса защищенности информационной системы.
При увеличении состава угроз безопасности информации или изменении
проектных решений, реализованных при создании системы защиты информации
ГИС, проводятся дополнительные аттестационные испытания в рамках
действующего аттестата соответствия.
Продление срока действия сертификата организацией, эксплуатирующей СЗИ:
Организация, эксплуатирующая средство защиты информации,
заблаговременно, но не позднее чем за
три месяца до окончания срока действия сертификата соответствия, связывается с организацией –
первичным заявителем, с целью получения информации о проводимых работах по продлению сроков действия
сертификата соответствия и о порядке получения копии продленного сертификата.
В случае получения информации об отсутствии намерений первичного заявителя
продлевать сроки действия сертификата соответствия эксплуатирующая
организация
самостоятельно направляет в Федеральный орган по сертификации
(ФСТЭК России) соответствующую заявку установленного образца (не позднее,
чем за один месяц до окончания срока действия сертификата).
Этап 7
— вывод системы защиты информации из эксплуатации — осуществляется оператором.
На этом этапе производится архивирование информации, уничтожение или стирание данных и остаточной
информации с машинных носителей информации, уничтожение машинных носителей информации.
Выступив в проекте как внешний аудитор, у которого накоплен опыт в сфере обеспечения информационной безопасности, Softline провела обследование систем автоматики и разработала для нас необходимые документы по информационной безопасности АСУ ТП для исполнения требований приказа ФСТЭК №31. Все работы были выполнены качественно и в установленные сроки.
Подробнее
Федеральное законодательство предъявляет повышенные требования к средствам информационной безопасности в органах власти. Специалисты Softline модернизировали нашу систему защиты с соблюдением всех условий государственного контракта и в установленные им сроки. Мы уже успели убедиться в компетентности инженеров Softline, которые в течение года будут проводить техническое обслуживание системы, а в случае необходимости – и ее ремонт. При возникновении непредвиденной ситуации они действуют четко, слаженно, грамотно.
Подробнее
Мы постоянно ищем возможности для предоставления инновационных и при этом надежных услуг нашим клиентам. Поэтому для нас очень важно, чтобы каждый аспект нашей деятельности был защищен комплексными решениями по информационной безопасности. При поддержке Softline мы получили четкое описание услуг, включенных в наши лицензии, и наилучший способ их использования, и теперь наша ИТ-среда современная и безопасная.
Подробнее
С помощью Softline модернизация нашей системы информационной безопасности была выполнена с соблюдением всех условий государственного контракта и в установленные сроки. Эксперты провайдера смогли подобрать надежные и эффективные средства защиты информации, полностью отвечающие строгим требованиям регуляторов и соответствующие Федеральному закону №152-ФЗ. Теперь наша инфраструктура полностью готова к реализации регионального проекта, направленного на выстраивание взаимодействия медицинских организаций на основе единой государственной информационной системы в сфере здравоохранения. Безусловно, все это послужит еще одним стимулом для ускорения цифровой трансформации отрасли и создания необходимых условий для использования гражданами электронных услуг и сервисов в сфере здравоохранения в нашем регионе.
Подробнее
Новая информационно-обучающая система Phishman, представленная ГК Softline, позволяет сформировать навыки цифровой гигиены пользователя путем проведения обучения и имитации фишинговых атак любой сложности, созданных как вручную, так и на основе уже адаптированных шаблонов. С помощью Phishman можно проводить регулярные мероприятия по формированию культуры личной информационной безопасности любого количества наших работников, не мешая рабочим процессам, – обучать их распознаванию разных типов кибератак и борьбе с ними в интерактивно-вовлекающей форме, а также контролировать и анализировать динамику обучения и формирования навыков безопасного поведения в информационной среде. Это будет способствовать повышению культуры личной информационной безопасности, а также минимизирует количество инцидентов, связанных с человеческим фактором. Для нас также важно, что система не только входит в Реестр российского ПО, но и работает на российских операционных системах. Мы видим большой потенциал платформы в развитии обучающего блока с возможностью самостоятельного расширения перечня курсов, а также в интеграции с корпоративным порталом Правительственного комплекса. Благодаря возможностям системы, мы планируем использовать ее как «базу знаний», которой смогут пользоваться более 5500 служащих, работающих в Правительственном комплексе.
Подробнее
Далеко не все крупные предприятия сосредоточены в Москве и Санкт-Петербурге. К примеру, основные производственные мощности компании «МАКФА» находятся в Челябинске. В столице у нас – лишь небольшое представительство, решающее локальные задачи. Исходя из этого, нам очень удобно работать с Softline, региональная сеть которой охватывает всю территорию страны. Мы видим, что объем регионального бизнеса Softline ежегодно увеличивается. Компания оперативно реагирует на наши запросы и планомерно предлагает пути развития сотрудничества. Softline, как глобальный провайдер ИТ-решений и сервисов, всегда предлагает нам реально работающие инструменты для решения бизнес-задач. Скажем, мы пользуемся платформой по выставлению счетов, созданной Softline. Именно Softline помогла нам перейти на использование сервисов, предоставляемых в рамках модели подписки. Мы увидели экономическую эффективность этой модели вкупе с широкими техническими возможностями, которые она открывает.
Особо хочу отметить высокий уровень профессионализма менеджеров и технических специалистов Softline. На все интересующие нас вопросы мы оперативно получаем грамотные и лаконичные ответы. Если по каким-либо причинам эксперты компании не могут обработать наш запрос, они обязательно предлагают разные варианты решения задачи.
Подробнее
Компания Softline реализовала проект по обеспечению безопасности интеллектуальной системы учета электроэнергии.
«Компания Softline прекрасно справилась с поставленной задачей. В настоящий момент интеллектуальная система учета ТЭК находится под защитой и соответствует всем требованиям законодательства РФ», –
Подробнее
PT Network Attack Discovery — полезный инструмент для мониторинга безопасности сети. После внедрения продукта мы почти моментально увидели первые результаты, которые помогли нам снизить риски безопасности и улучшить защищенность инфраструктуры. Специалисты Softline реализовали проект качественно и в кратчайший срок.
Подробнее
Softline внедрила комплексную систему защиты от целевых атак на базе инновационных решений «Лаборатории Касперского» в коммерческом банке «СТРОЙЛЕСБАНК» (ООО).
«Руководство «СТРОЙЛЕСБАНК» высоко оценило компетенции команды Softline. Специалисты компании взяли на себя полное сопровождение проекта: помогли в выборе решений и организовали полнофункциональное пилотное тестирование с учетом наших пожеланий, качественно и в срок провели работы по внедрению KEDR и KATA в инфраструктуру банка. Предложенные продукты обладают удобным и интуитивно понятным графическим интерфейсом. С их помощью мы автоматизировали рутинные процедуры по предотвращению и расследованию инцидентов ИБ: загрузку индикаторов компрометации, поиск скомпрометированных узлов, создание собственных правил реагирования, отчетов и многое другое. А сервис Kaspersky Management Protection позволяет использовать в расследовании инцидентов компетенции специалистов «Лаборатории Касперского», не привлекая в штат специалистов по компьютерной криминалистике», –
Подробнее
Информационная безопасность
Готовый набор продуктов и сервисов для обеспечения информационной безопасности. Проектирование и построение защищенной ИТ‑инфраструктуры
Что такое информационная безопасность
Информационная безопасность — набор практик по защите информации. ИБ включает в себя предотвращение несанкционированного доступа, раскрытия, уничтожения или изменения информации, снижение негативных последствий инцидентов и не только. Информация может быть материальной (документы), нематериальной (знания) и электронной. Одно из ключевых направлений ИБ — защита целостности, конфиденциальности и доступности данных.
Важная часть обеспечения ИБ — разработка специальных политик, процедур и регламентов, которые определяют организационные меры и технические средства по защите информации. Защита информации необходима на этапах ее обработки, передачи, хранения и уничтожения.
Кроме того, для обеспечения информационной безопасности разработаны различные мировые и отечественные стандарты, в которых описываются общие принципы по обеспечению ИБ.
Основные проблемы, которые решает ITGLOBAL.COM
-
Уязвимости в ИТ-инфраструктуре
Обследуем инфраструктуру клиента в целом и отдельные ее компоненты. Определяем, насколько защищены критически важные данные, как обеспечиваются работы с инцидентами, уязвимостями и другими важными процессами, включая техническую составляющую и резервирование данных.
-
Атаки на информационную систему
Анализируем используемые средства и методы защиты от киберугроз, в том числе DDoS-атак, уязвимость публичных ресурсов и внутренней сети. Проводим тесты на проникновение (пентесты) для имитации атак, используя модели Black Box и Grey Box/ White Box.
-
Несоответствие законодательству и стандартам
Помогаем привести процессы по обеспечению информационной безопасности и бизнес-процессы клиента в соответствие с требованиями положения ЦБ РФ № 382-П, федерального закона № 152-ФЗ, отраслевого стандарта безопасности PCI DSS. Каждая из услуг подразумевает подробный аудит, оценку соответствия или предаудит, с обязательной подготовкой отчета и выработку рекомендаций по устранению несоответствий.
Кому подходит
Услуги по информационной безопасности актуальны для компаний, которые хотят повысить уровень защищенности собственной ИТ-инфраструктуры, но не располагают кадровыми ресурсами и не имеют соответствующего опыта. Большинству организаций это и не нужно, ведь для обеспечения надежной защиты инфраструктуры гораздо проще и дешевле обратиться к экспертам.
Задействовав опыт и профессионализм специалистов по ИБ, клиент получает гарантированный сервис и существенно экономит, концентрируясь на профильном развитии бизнеса.
Наши клиенты
Связанные решения
В 2022 году расширили список организаций, которые должны следить за информационной безопасностью. Теперь это не только стратегические предприятия и госструктуры, но и тысячи юридических лиц. Первый доклад в правительство они должны сдать уже 1 июля.
1 мая 2022 года президент подписал Указ № 250, в котором возложил персональную ответственность за информационную безопасность на первых лиц компаний. В документе он перечислил, какие именно организации должны ее обеспечивать:
- органы исполнительной власти;
- высшие исполнительные органы государственной власти российских регионов;
- государственные фонды;
- госкорпорации и организации, которые созданы на основе федеральных законов;
- стратегические предприятия, акционерные общества и системообразующие организации российской экономики;
- юрлица — субъекты критической информационной инфраструктуры РФ.
Многие из этих организаций и так занимались вопросами обеспечения информационной безопасности. Однако некоторые акционерные общества, системообразующие организации российской экономики и субъекты критической информационной структуры РФ подключатся к ним впервые.
22 июня правительство выпустило перечень организаций, которые должны оценить уровень защищенности своих информационных систем. В него попали 72 организации.
В будущем и другие организации, упомянутые в Указе, будут оценивать свою защищенность. Определить, попадает ли компания под требования Указа, можно и из других нормативных актов.
Перечни предприятий, которые утверждены другими законами
Конкретные списки в других нормативных актах и законах есть для стратегических предприятий и акционерных обществ (Указ Президента от 04.08.2004 № 1009) и системообразующих организаций российской экономики (Письмо Минэкономразвития от 23.03.2020 № 8952-РМ/Д18).
Для субъектов критической информационной структуры подробного перечня организаций нет. Согласно закону, субъекты критической информационной инфраструктуры — это госорганы, госучреждения, российские юридические лица и ИП, которым принадлежат информационные системы, информационно-телекоммуникационные сети и автоматизированные системы управления в следующих сферах (ст. 2 Федерального закона от 26.07.2017 № 187-ФЗ):
- здравоохранение;
- наука;
- транспорт;
- связь;
- энергетика;
- банки и другие сферы финансового рынка;
- топливно-энергетический комплекс;
- атомная энергия;
- оборонная;
- ракетно-космическая;
- горнодобывающая;
- металлургическая промышленность;
- химическая промышленность.
Обратите внимание, субъект критической информационной структуры — это не только тот, кому принадлежат такие объекты, но и тот, кто обеспечивает информационное взаимодействие компаний с критически значимыми системами.
Обеспечьте безопасность объектов критической информационной структуры по требованиям ФСТЭК
Заказать услугу
Как именно компании должны обеспечивать информационную безопасность
Они должны обнаруживать, предупреждать и ликвидировать последствия компьютерных атак и реагировать на компьютерные инциденты. Для этого глава государства обязал компании создать специальные структурные подразделения или возложить обязанности на существующие.
Отвечать за информационную безопасность будут персонально руководители компаний (п. 2 Указа № 250).
Как и в каком виде нужно до 1 июля отчитаться перед правительством
Организации из перечня правительства должны до 1 июля предоставить доклад. Как именно он должен выглядеть и в каком виде, пояснений нет.
Но 3 июня Минцифры разработало рекомендации по исполнению 4 пункта Указа и разместило типовое техническое задание, а также типовую форму отчета. Скорее всего, она и станет основой для будущих аудитов.
Кто может оценить информационную безопасность компании
Типовое техническое задание содержит инструкции, которые помогут компаниям оценить защищенность информации и найти следы утечек и взлома информационной инфраструктуры злоумышленником.
Если кратко, это примерный алгоритм проверки, который похож на пентест информационной безопасности по компании в целом.
Согласно рекомендациям Минцифры, чтобы оценить защищенность, компании должны:
- выявить и консолидировать стратегические риски информационной безопасности;
- выявить уязвимость информационной инфраструктуры и технических средств обработки информации;
- выявить недостатки применяемых средств защиты информации и программных продуктов, оценить возможности их использования нарушителем;
- проверить практическую возможность использования уязвимостей;
- получить оценки текущего уровня защищенности на основе объективных свидетельств;
- разработать маршрутную карту модернизации информационной инфраструктуры.
Сделать это могут сами компании либо привлечь стороннюю организацию. Однако оценивать информационную безопасность могут только организации с лицензией от ФСТЭК на деятельность по технической защите конфиденциальной информации (п. 1.в Указа № 250). Реестр таких компаний находится в свободном доступе.
Никита Ярков, эксперт Контура
Любовь Крапивина, руководитель отдела продаж Контур.Безопасности
- Главная
Создание защищенных информационных
систем
АО «ИнфоТеКС Интернет Траст»
обладает значительным опытом построения защищенных информационных
систем, полностью соответствующих современным требованиям,
предъявляемым к системам защиты информации, включая защиту и
обеспечение безопасности персональных данных.
В ходе выполнения работ по
созданию защищенных информационных систем АО «ИнфоТеКС Интернет
Траст» опирается на положения международных и отечественных
стандартов в области защиты информации.
Программа для работы с электронной подписью ViPNet CSP – бесплатно
Проще говоря: кто владеет достоверной и полной информацией —
тот владеет ситуацией, а кто владеет ситуацией — тот способен
управлять ею в своих интересах, а кто способен управлять — тот
способен побеждать. Вот простая формула успеха любой деятельности.
В современных условиях проблема защиты информации становится
весьма актуальной для организаций любой формы собственности.
Широкомасштабное использование средств вычислительной
техники и телекоммуникационных систем в рамках локальной или
территориально-распределенной информационной системы, переход на
этой основе к безбумажной технологии, увеличение объемов
обрабатываемой информации и расширение круга пользователей — все
это приводит к качественно новым возможностям по реализации
несанкционированного доступа к ресурсам и данным информационной
системы, к их высокой уязвимости.
Защищенная информационная система должна соответствовать
трем базовым требованиям:
- автоматизация процессов обработки
защищаемой информации, включая все аспекты, связанные с
обеспечением безопасности информации; - успешное противостояние угрозам
безопасности информации; - соответствовие требованиям и
критериям, определяемым организационно-распорядительными и иными
документами политики информационной безопасности, включая
требования нормативно-правовых актов и руководящих документов
полномочных органов исполнительной власти Российской Федерации.
АО «ИнфоТеКС Интернет Траст» обладает значительным опытом
построения защищенных информационных систем, полностью
соответствующих современным требованиям, предъявляемым к системам
защиты информации, включая защиту и обеспечение безопасности
персональных данных.
В ходе выполнения работ по созданию защищенных
информационных систем АО «ИнфоТеКС Интернет Траст» опирается на
положения международных и отчественных стандартов в области защиты
информации.
Базовый состав услуг, предоставляемых в ходе выполнения
работ по созданию защищенной информационной системы, включает в
себя:
- Формирование
требований к защите обрабатываемой информации.
- Проектирование
системы защиты информации.
- Внедрение
системы защиты информации на объектах Заказчика.
- Выполнение
работ в соответствии с гарантийными обязательствами.
Формирование требований к системе
защиты информации
Формирование требований к системе защиты информации включает
в себя:
- обследование информационной системы
Заказчика; - разработку технического задания на
создание системы защиты информации.
-
Обследование информационной системы Заказчика.
При
принятии решения о создании защищенной информационной системы
организации необходимо определить основные требования,
подлежащие реализации. Такие требования устанавливаются по
результатам комплексного обследования информационной системы.
АО «ИнфоТеКС Интернет Траст» предлагает выполнить следующий
комплекс работ по обследованию информационной системы:-
Сбор исходных данных об
информационной системе:- анализ данных о назначении,
выполняемых функциях и условиях функционирования
информационной системы; - определение перечня информации,
подлежащей защите; - определение порядка обработки
защищаемой информации и оценка степени участия персонала; - анализ структурно-функциональных
характеристик, информационных потоков, а также иных
характеристик информационной системы; - обоснование перечня
нормативно-правовых документов, методических документов и
отраслевых стандартов, требованиям которых должна
соответствовать информационная система; - анализ применяемых мер по защите
информации и уровня квалификации персонала;
- анализ данных о назначении,
-
Формирование требований к
созданию защищенной информационной системы:- определение требуемого класса
(уровня) защищенности информационной системы; - определение актуальных угроз
безопасности информации и разработка модели угроз
безопасности информации применительно к процессам
функционирования информационной системы; - разработка рекомендаций по
корректировке структурно-функциональных характеристик
информационной системы, направленные на блокирование
(нейтрализацию) актуальных угроз безопасности информации (при
необходимости); - определение основных требований к
системе защиты информации информационной системы на основании
результатов классификации и моделирования угроз безопасности
информации;
- определение требуемого класса
-
Разработка отчета по
результатам обследования:- раздел, содержащий сведения об
информационной системе, полученные на этапе сбора исходных
данных; - раздел, содержащий обоснование
выбранного класса (уровня) защищенности информационной
системы, а также результаты моделирования угроз безопасности
информации; - раздел, содержащий описание
существующих технологий защиты информации и рекомендации по
их совершенствованию в соответствии с требованиями к системе
защиты информации; - раздел, содержащий результаты
анализа и рекомендации по совершенствованию
организационно-распорядительной документации в области защиты
информации и документации политики информационной
безопасности; - раздел, содержащий заключение о
необходимых и достаточных мерах по управлению персоналом и
предложения по обучению персонала вопросам защиты информации; - раздел, содержащий общие выводы о
состоянии защищенности информационной системы и план действий
по приведению в соответствие с требованиями законодательства
в области безопасности информации.
- раздел, содержащий сведения об
По результатам обследования АО «ИнфоТеКС Интернет Траст»
предоставляет Заказчику следующую отчетную документацию:- проект перечня защищаемой информации
информационной системы; - проект акта классификации
информационной системы (определения класса защищенности
информационной системы/уровня защищенности персональных
данных); - проект модели угроз безопасности
информации информационной системы; - отчет по результатам обследования
информационной системы.
Полученные в результате обследования материалы позволяют
Заказчику оценить требуемый объем работ по созданию защищенной
информационной системы, приступить к разработке документов,
определяющих политику информационной безопасности, а также
служат основанием для разработки технического задания на
создание системы защиты информации. -
-
Разработка технического задания на создание системы защиты
информации.
Техническое задание, разрабатываемое АО
«ИнфоТеКС Интернет Траст» в рамках проекта на создание
защищенной информационной системы, включает в себя последние
достижения в области защиты информации, а также учитывает
специфику защищаемой системы с учетом требований федерального
законодательства и полномочных органов исполнительной власти.
Например, требования, предъявляемые к государственным
информационным системам или требования, предъявляемые к
информационным системам персональных данных.
В
качестве основы технического задания на создание системы защиты
информации используются данные, полученные в ходе обследования
информационной системы Заказчика, а также требования и иные
положения, представленные в принятых к исполнению документах
политики информационной безопасности.
Состав и
содержание разрабатываемого технического задания на создание
системы защиты информации соответствует требованиям ГОСТ
34.602-89 и включает в себя:- Общие сведения;
- Назначение и цели создания
(развития) системы; - Характеристика объектов
автоматизации; - Требования к системе;
- Состав и содержание работ по
созданию системы; - Порядок контроля и приемки системы;
- Требования к составу и содержанию
работ по подготовке объекта автоматизации к вводу системы в
действие; - Требования к документированию;
- Источники разработки.
Проектирование систем защиты
информации
Современная информационная система — это большое количество
разнородных компонентов, объединенных в сложную систему,
обеспечивающую достижение стоящих перед организаций целей, которые
в процессе функционирования могут и, как правило, модифицируются.
Основными особенностями современной информационной системы
являются:
- сложная организационная структура;
- многоаспектность функционирования;
- высокая техническая оснащенность;
- широкие связи по кооперации;
- необходимость расширения доступа к
информации; - всевозрастающий удельный вес
безбумажной технологии обработки информации; - возрастающий удельный вес
автоматизированных процедур в общем объеме процессов обработки
данных; - важность и ответственность решений,
принимаемых в автоматизированном режиме, на основе
автоматизированной обработки информации; - высокая концентрация в
автоматизированных системах информационных ресурсов; - большая территориальная
распределенность компонентов автоматизированных систем; - накопление на технических носителях
огромных объемов информации; - интеграция в единых базах данных
информации различного назначения и различной принадлежности; - долговременное хранение больших
объемов информации на машинных носителях; - непосредственный и одновременный
доступ к ресурсам (в том числе и к информации) автоматизированных
систем большого числа пользователей различных категорий и
различных учреждений; - интенсивная циркуляция информации
между компонентами автоматизированных систем, в том числе и
удаленных друг от друга.
Учитывая приведенные особенности, можно с уверенностью
утверждать, что создание систем защиты информации современных
информационных систем является сложной многоуровневой задачей,
требующей от разработчиков решения целого комплекса проектных
задач, от экспертной оценки и макетирования внедряемых решений до
проведения аттестационных испытаний созданной системы защиты
информации.
В части разработки проектной и эксплуатационной документации
на систему защиты информации АО «ИнфоТеКС Интернет Траст»
осуществляет:
- разработку общих решений по системе
защиты информации в целом, по ее функциональной и организационной
структуре, используемым техническим и программно-техническим
средствам защиты и обеспечения их функционирования, алгоритмам
функционирования и применяемым конфигурациям средств защиты,
функциям персонала, обслуживающего систему защиты информации; - разработку и оформление проектной и
эксплуатационной документации в соответствии с требованиями ГОСТ
34.201-89 и ГОСТ Р 51583-2014; - макетирование согласованных и принятых
к исполнению технических решений.
Базовый состав разрабатываемых специалистами АО «ИнфоТеКС
Интернет Траст» проектной и эксплуатационной документации на
систему защиты информации включает в себя:
- Ведомость технического проекта;
- Ведомость покупных изделий;
- Пояснительная записка к техническому
проекту; - Описание комплекса технических
средств; - Описание программного обеспечения;
- Схема структурная комплекса
технических средств; - Схема функциональной структуры;
- Схема организационной структуры;
- Спецификация оборудования;
- Руководство администратора
безопасности; - Руководство пользователя (при
необходимости); - Формуляр;
- Технический паспорт;
- Программа и методика испытаний.
Результатом выполненных работ являются: пакет проектной и
эксплуатационной документации на систему защиты информации, а
также отчетные рабочие материалы по результатам проведенного
макетирования технических решений, предлагаемых к использованию.
Внедрение систем защиты
информации
В ходе выполнения работ по внедрению системы защиты
информации в защищаемую информационную систему АО «ИнфоТеКС
Интернет Траст» выполняет следующие виды работ:
- комплектация информационной системы
средствами защиты информации; - установка и настройка средств защиты
информации; - проведение предварительных испытаний
системы защиты информации; - проведение опытной эксплуатации и
доработку системы защиты информации, в случае необходимости; - проведение приемо-сдаточных испытаний
системы защиты информации.
Результами выполненных работ являются протоколы испытаний
внедренных средств защиты и акт проведения опытной эксплуатации
системы защиты информации в целом.
Гарантийные обязательства
В соответствии с гарантийными обязательствами АО «ИнфоТеКС
Интернет Траст»:
- устраняет недостатки в системе защиты
информации, выявленные в процессе ее эксплуатации, и осуществляет
последующий контроль за стабильностью заданных характеристик
системы защиты, влияющих на эффективность выполнения требований
документов политики информационной безопасности, в течение
установленного гарантийного срока; - вносит изменения в документацию на
систему защиты информации, а при необходимости и в документы
политики информационной безопасности Заказчика в соответствии с
договором, заключенным между АО «ИнфоТеКС Интернет Траст» и
Заказчиком.
Работы по обеспечению безопасности значимых объектов КИИ (ЗОКИИ)
Мы предлагаем:
- Разработку Модели угроз и нарушителей безопасности ЗОКИИ
- Разработку ТЗ на создание системы безопасности
- Разработка ОРД по обеспечению безопасности
- Взаимодействие с ГосСОПКа
Вы получаете:
- Пакет ОРД на организацию безопасности значимых объектов КИИ
- Соответствие требований ФСТЭК и ФСБ России
- Рекомендации по повышению обеспечения защиты
Почему мы:
- Проведено более 500 аудитов по различным критериям, более 50 из них по КИИ
- Все проекты завершены точно в срок
- Эксперты имеют профильное высшее образование и дополнительное образование по профессиональной переподготовке
- Обладаем лицензиями ФСТЭК России и ФСБ России
- Независимая экспертная компания – не являемся интегратором и не предоставляем аутсорсинговые услуги
Эксперты по по обеспечению безопасности ЗОКИИ
Жилякова Анна Сергеевна
Ведущий консультант по информационной безопасности
Опыт: Профессиональный опыт в сфере информационных технологий и информационной безопасности с 2019 года
Профиль >>
Все эксперты
Гончаров Андрей Михайлович
Юрист в области информационной безопасности
Опыт: Профессиональный опыт в области IT-права с 2015 года
Профиль >>
Все эксперты
Музалевский Федор Александрович
Ведущий эксперт компьютерно-технического направления
Опыт: Экспертная работа с 2010 года. Педагогический стаж с 2012 года. Кандидат физико-математических наук. Доцент кафедры ВМ и ИТ ФГБОУ ВО “ВГУИТ”
Профиль >>
Все эксперты
Царев Евгений Олегович
Эксперт в сфере информационной безопасности
Опыт: Экспертная работа с 2011 года. Педагогический стаж с 2008 года
Профиль >>
Все эксперты
Кобец Дмитрий Андреевич
Эксперт в сфере информационной безопасности
Опыт: Профессиональный опыт в сфере информационных технологий и информационной безопасности с 2009 года
Профиль >>
Все эксперты
RTM Group экспертная организация №1 по версии Федерального каталога экспертных организаций
В списке SWIFT Directory of CSP assessment providers
В реестре надежных партнеров торгово-промышленной палаты Российской Федерации
Полноправный член «Ассоциации пользователей стандартов по информационной безопасности» (АБИСС)
Входим в рейтинг «Pravo.ru-300» в отрасли Цифровая экономика
Сайт RTM Group входит в тройку лучших юридических сайтов России
В составе ТК №122
Цены на услуги по по обеспечению безопасности ЗОКИИ
| Наименование услуги | Стоимость |
|---|---|
|
Консультация |
Бесплатно |
|
Разработка Модели угроз и нарушителей безопасности ЗОКИИ Срок — от 3 недель Опросный лист (анкета) |
от 300 000 |
|
Разработка ТЗ на создание системы безопасности ЗОКИИ Срок — от 2 недель Опросный лист (анкета) |
от 200 000 |
|
Разработка ОРД по обеспечению безопасности ЗОКИИ Срок — от 2 недель Опросный лист (анкета) |
от 200 000 |
|
Взаимодействие (подключение) с ГосСОПКа Срок — от 3 недель Опросный лист (анкета) |
от 300 000 |
|
Проектирование системы безопасности объекта КИИ С учетом изменений, связанных с Указом Президента Российской Федерации от 30.03.2022 № 166 “О мерах по обеспечению технологической независимости и безопасности критической информационной инфраструктуры Российской Федерации” |
по запросу |
|
Работаем с юридическими лицами, ИП и бюджетными организациями по безналичному расчету. |
Для Вашего удобства и экономии времени предлагаем Вам заполнить
Опросный лист (анкету)
и направить на почту info@rtmtech.ru. На основании заполненного опросного листа, мы оперативно сформируем коммерческое предложение и отправим Вам ответным письмом.
Наши преимущества
3 лицензии
ФСТЭК России и ФСБ России
100% удовлетворенность заказчиков
Более 80% заказчиков оценивают нашу работу как «отлично». По итогам ежегодного опроса, минимальная оценка — «удовлетворительно»
2700+ аудитов и экспертиз
Эксперты обладают одновременно опытом ИТ-аудитов и судебных компьютерных экспертиз
Наши отзывы по по обеспечению безопасности ЗОКИИ
Наши кейсы
Услуги для вас
НАМ ДОВЕРЯЮТ
Полезные статьи
FAQ: Часто задаваемые вопросы
Здравствуйте, подскажите, пожалуйста. Составляю перечень объектов КИИ по рекомендуемой форме от ФСТЭК. У меня есть несколько рентген аппаратов. Мне написать в наименовании объекта как просто рентген аппарат или перечислить все их с моделью?
Игорь
Добрый день.
Согласно формулировкам 187-ФЗ (ст.2 п.7) объектом КИИ является информационная либо автоматизированная система. Если аппарат не является таковым, то его нет необходимости включать в перечень объектов вообще. Даже в том случае, если аппарат имеет цифровое управление – хорошо видна аналогия со станками с численно-программным управлением, которые не являются объектами КИИ.
Если же аппарат является именно информационной системой (что должно быть видно из документов на него), то необходимо указывать в перечне объектов любое наименование, которое позволит его идентифицировать, например “Аппарат №7”. В качестве наименования “Аппарат №7” желательно использовать либо наименование, под которым система стоит на балансе, либо сразу паспортное наименование.
Музалевский Федор Александрович
22.04.2020
Относится ли школа доп. образования к объектам КИИ?
Елена
Согласно Федеральному закону № 187 объектами КИИ являются:
– ИС (информационная система)
– АСУ ТП (автоматизированная система управления технологическим процессом)
– ИТКС (информационно-телекоммуникационная сеть).
Т.е. школа дополнительного образования не является объектом КИИ, но может являться субъектом КИИ.
Согласно Федеральному закону № 187, субъектами КИИ являются государственные органы, государственные учреждения, российские юридические лица и (или) индивидуальные предприниматели, функционирующие в критически важных сферах:
– здравоохранение
– наука
– транспорт
– связь
– энергетика
– банковская сфера и иных сферах финансового рынка
– топливно-энергетический комплекс
– атомная сфера
– сфера обороны
– ракетно-космическая
– горнодобывающая промышленность
– металлургическая промышленность
– химическая промышленность.
Т.е. школа дополнительного образования не будет являться объектом КИИ и не имеет отношения к субъектам КИИ, т.к. осуществляет свою деятельность в сфере образования.
Жилякова Анна Сергеевна
04.08.2020
Добрый день! Подскажите, относятся ли речные Порты к субъектам КИИ??
Мария
Добрый день.
Да, речные порты являются субъектами КИИ — как относящиеся к транспортной отрасли.
Музалевский Федор Александрович
13.02.2020
Есть несколько рентген аппаратов (3 штуки), в наименовании объекта как их необходимо описать, просто рентген аппарат или перечислить все их с моделью?
Владислав
Согласно формулировкам 187-ФЗ (ст.2 п.7) объектом КИИ является информационная либо автоматизированная система. Если аппарат не является таковым, то его нет необходимости включать в перечень объектов вообще. Даже в том случае, если аппарат имеет цифровое управление – хорошо видна аналогия со станками с численно-программным управлением, которые не являются объектами КИИ.
Если же аппарат является именно информационной системой (что должно быть видно из документов на него), то необходимо указывать в перечне объектов любое наименование, которое позволит его идентифицировать, например “Аппарат №7”. В качестве наименования “Аппарат №7” желательно использовать либо наименование, под которым система стоит на балансе, либо сразу паспортное наименование.
Музалевский Федор Александрович
07.09.2020
Здравствуйте, объясните, если организация еще не прошла процедуру категорирования или это новая организация которой нужно пройти эту процедуру до какого числа, года нужно все это сделать? Во всех источниках указывают дату “до 01.09.2019”, но если например организация только начала свою деятельность в 2020 году, как быть?
Любовь
Добрый день.
Срок до 01.09.2019 установлен для госорганизаций, являющихся субъектами КИИ, как обязательный. Для прочих субъектов КИИ – как рекомендательный.
Для госорганизаций, начавших свою деятельность после данной даты, либо коммерческих (частных) организаций, требований по срокам нет.
Согласно комментариям ФСТЭК России — “в разумные сроки”. На практике — до одного года с момента получения статуса субъекта КИИ.
Музалевский Федор Александрович
10.02.2020
Доброго дня!
Относятся ли межрайонная налоговая инспекция, а также городские больницы, ежедневно использующие на законном основании различные информационные системы, базы данных, автоматизированные рабочие места к субъектам КИИ?
Спасибо!
Яна
Добрый день.
Согласно п.8 ст.2 187-ФЗ:
субъекты критической информационной инфраструктуры – государственные органы, государственные учреждения, российские юридические лица и (или) индивидуальные предприниматели, которым на праве собственности, аренды или на ином законном основании принадлежат информационные системы, информационно-телекоммуникационные сети, автоматизированные системы управления, функционирующие в сфере здравоохранения, науки, транспорта, связи, энергетики, банковской сфере и иных сферах финансового рынка, топливно-энергетического комплекса, в области атомной энергии, оборонной, ракетно-космической, горнодобывающей, металлургической и химической промышленности, российские юридические лица и (или) индивидуальные предприниматели, которые обеспечивают взаимодействие указанных систем или сетей.Таким образом учреждения здравоохранения однозначно являются субъектами КИИ. Вопрос принадлежности налоговой инспекции следует уточнить у регулятора – Банка России либо ФСТЭК. На практике не было случаев работы с налоговой инспекцией в части КИИ, вероятнее всего, не является.
Музалевский Федор Александрович
29.01.2020
В случае категорирования КИИ в банке, расположенном в Самаре, куда следует направлять на согласование предварительный перечень объектов под категорирование?
Валентин
Отправка сформированного и утвержденного перечня объектов КИИ осуществляется в течение десяти рабочих дней с даты его утверждения в адрес федерального органа исполнительной власти, уполномоченного в области обеспечения безопасности КИИ (экспедиция центрального аппарата ФСТЭК России): 105066, г. Москва, ул. Старая Басманная, д. 17, на бумажном носителе и на электронном носителе информации в формате файлов электронных таблиц, установленном приказом ФСТЭК России от 21 марта 2019 г. № 59. На 16.04.2020 экспедиция работает в штатном режиме, не смотря на пандемию.
Регионаьных отделений ФСТЭК для направления подобной информации не предусмотрено.
Также в соответствии с письмом Банка России №56-ОЭ/22253 от 15.08.2018 необходимости направлять перечень объектов КИИ в ЦБ нет.
Жилякова Анна Сергеевна
30.09.2020
ООО оказывает услуги связи (телефония) и Интернет. Будет ли является субъектом КИИ?
Ольга
Добрый день.
Да, все операторы связи являются субъектами КИИ.
Музалевский Федор Александрович
30.01.2020
Подскажите, пожалуйста: что необходимо иметь к прокурорской проверке по вопросу о безопасности КИИ?
Ольга
Проверка по КИИ может различаться по наличию значимых объектов.
При их отсутствии необходимо иметь только результаты категорирования и документы, подтверждающие их отправку во ФСТЭК и регулятору (для провайдера связи это Минкомсвязи)
При наличии значимых объектов необходимо иметь подтверждение исполнения многочисленных требований по обеспечению их безопасности.
Музалевский Федор Александрович
10.02.2020
При составлении перечня объекта КИИ, кто является ответственным за ИС?
Екатерина
Ответственность за категорирование (в том числе формирование перечня объектов) несут члены комиссии, а не владельцы систем. Допускается указывать одного из членов комиссии (предпочтительнее), либо весь состав.
Музалевский Федор Александрович
10.09.2020
Что может являться примером модернизации объектов информационной инфраструктуры?
Александр
Примером модернизации объектов информационной инфраструктуры является, например, переход с одной АБС на другую, внедрение в банковскую систему, например, антифрода, или же внедрение СВТ, участвующего в процессе перевода денежных средств.
Федюнина Анастасия Валерьевна
16.09.2020
Что такое объект информационной инфраструктуры?
Дмитрий
Объекты информационной инфраструктуры – автоматизированные системы, программное обеспечение, средства вычислительной техники, телекоммуникационное оборудование, которое используется для осуществления переводов денежных средств.
Федюнина Анастасия Валерьевна
16.09.2020
Добрый день! Надо ли подавать информацию во ФСТЭК при измененном / модернизированном объекте КИИ? В объекте КИИ добавлены новые информационные системы и была доработка старых информационных систем. В нормативных документах такой информации не нашел.
Евгений
Добрый день.
Случаями подачи информации во ФСТЭК являются:
– плановый пересмотр объектов КИИ, не реже чем один раз в 5 лет
– при изменениях состава объектов КИИ
– изменение показателей критериев значимости объектов КИИ или их значений.
В данных случаях проводится повторное категорирование (п. 21 приложения к Постановлению правительства РФ от 8 февраля 2018 г. N 127) и сведения направляются во ФСТЭК, а также в федеральный орган, уполномоченный в области обеспечения безопасности критической информационной инфраструктуры.
Также, исходя из Приказа № 75 от 28.05.2020 г., во ФСТЭК направляется информация при подключении значимого объекта КИИ к сети общего пользования.
Следовательно, в Вашем случае при измененном / модернизированном объекте КИИ проводится повторное категорирование объектов и ,если объекты значимы и подключены к сети общего пользования, необходимо провести процедуру согласования со ФСТЭК.
Жилякова Анна Сергеевна
18.12.2020
Подскажите, к объектам КИИ относятся станки с числовым программным управлением (ЧПУ)?
Если не относятся, то нужно ли все равно проводить процедуру категорирования, даже если нет объектов КИИ.
Предприятие работает в области машиностроения, выполняет гособоронзаказ (ГОЗ).
Владислав
Исходя из рекомендаций ФСТЭК, станки ЧПУ рекомендовано относить к объектам КИИ типа АСУ в следующих случаях:
- Выход из строя устройства несет последствия по показателям значимости (учитывая выполнение гособоронзаказа – это затрагивает показатель по обеспечению обороны страны, безопасности государства и правопорядка и экономический показатель);
- Наличие компьютерного (сетевого) порта управления устройством;
- Нарушитель имеет возможность изменить вшитое программное обеспечение, влияющее на работоспособность устройства;
- Если станок с ЧПУ является частью АСУ ТП (не Ваш случай).
Жилякова Анна Сергеевна
30.04.2021
Здравствуйте! Скажите, пожалуйста, медицинскому колледжу необходимо проходить процедуру КИИ?
Татьяна
Согласно Федеральному закону № 187, субъектами КИИ являются государственные органы, государственные учреждения, российские юридические лица и (или) индивидуальные предприниматели, функционирующие в критически важных сферах:
- здравоохранение;
- наука;
- транспорт;
- связь;
- энергетика;
- банковская сфера и иных сферах финансового рынка;
- топливно-энергетический комплекс;
- атомная сфера;
- сфера обороны;
- ракетно-космическая;
- горнодобывающая промышленность;
- металлургическая промышленность;
- химическая промышленность.
Т.е. образовательные учреждения (д/с, школы, колледжи и т.д.) не будут являться субъектом КИИ и не имеют отношения к КИИ, т.к. осуществляет свою деятельность в сфере образования.
Жилякова Анна Сергеевна
09.09.2022
Какова последовательность действий руководителя предприятия, если предприятие относится к субъектам критической информационной инфраструктуры? Какие критерии учитываются при определении категории объекта?
Андрей
- Если ваше предприятие является субъектом КИИ, то в первую очередь Вам необходимо провести категорирование на основании 187-ФЗ и Постановления Правительства № 127 от 08.02.2018г.
- Какие критерии учитываются – здесь необходимо опираться на Вашу фактическую деятельность и рассматривать каждый критерии значимости (Приложение 1 в ПП №127) – применим ли он к вашим субъектам КИИ
- Если в ходе категорирования выяснится, что Ваши объекты КИИ являются незначимыми, то Вы должны обеспечить их информационную безопасность в соответствии со стандартным законодательством (187-ФЗ, 152-ФЗ и т.д.)
- Если в ходе категорирования выяснится, что Ваши объекты КИИ являются значимыми, то Вы должны обеспечить их информационную безопасность по следующим пунктам:
- Создать систему безопасности для значимых объектов КИИ
- Ввести в действие внутреннюю нормативную документацию в области КИИ (как минимум Модель угроз
прав и нарушителя)- Осуществить подключение к ГосСОПКа
- Осуществлять защиту значимых объектов на основании Приказов ФСТЭК №239, 235 и 138
ООО «Синфорес Групп»