Научный центр по защите информации

Задача: Компания с ОКВЭД по основному виду деятельности 72.19 в соответствии с ФЗ № 187 инициировала проведение работ по категорированию объектов критической информационной инфраструктуры в целях выполнения действующего законодательства РФ.
Решение: совместно с комиссией по категорированию, утвержденной Заказчиком в организации, проведено обследование, в котором определен перечень критических процессов, а затем — перечень объектов КИИ, который направляется в территориальный аппарат ФСТЭК России
Далее был проведен сбор исходных данных по объектам КИИ.

Итог:
На основе полученных исходных данных были разработаны следующие документы:
отчёт о сборе исходных данных;
модель угроз;
акты категорирования;
Были направлены сведения о результатах присвоения объекту (объектам) КИИ одной из категорий значимости ФСТЭК России.

Заказчиком были обозначены следующие приоритеты при построении системы защиты:
-               Полное соответствие информационной системы требованиям о защите персональных данных с установленным уровнем защищенности – УЗ2;
-               Организация удаленного доступа к защищаемым корпоративным ресурсам;
-               Аттестационные испытания информационной системы;
-               Сопровождение системы защиты информации в режиме 5/2 сроком на 1 год.


Работа, направленная на решение поставленных задач, была выстроена в следующем порядке:
-               Аудит текущего состояния принятых организационных мер, направленных на обеспечение безопасности персональных данных (проведена инвентаризация и анализ, имеющейся у Заказчика нормативной и методической документации, проведена оценка их полноты, достаточности и актуальности);
-               Аудит текущего состояния принятых технических мер, направленных на обеспечение безопасности персональных данных (проведена инвентаризация информационных и аппаратных ресурсов, включая серверные компоненты информационной системы, определены текущие правила и методы разграничения доступа к информационным ресурсам, проведена инвентаризация применяемых средств защиты информации);
-               Оценка защищенности информационной системы с применением сертифицированных ФСТЭК России средств анализа защищенности (определен перечень применяемых в системе сервисов, имеющих подтвержденные производителем уязвимости);
-               Тестирование информационной системы в обход применяемых средств и методов защиты информации (тестирование на проникновение методами черного и белого ящиков).
-               Разработка модели угроз безопасности информации и модели нарушителя, на основе результатов и сведений об уязвимостях системы, полученных на предыдущих этапах, в соответствии с действующей нормативной и методической документацией ФСТЭК России и ФСБ России;
-               Разработка технического задания на создание системы защиты информации в соответствии с ГОСТ 34.602-2020;
-               Разработка технического проекта системы информационной безопасности;
-               Разработка комплекта шаблонов организационной и распорядительной документации;
-               Закупка, поставка, установка, настройка и пусконаладка средств защиты информации;
-               Аттестационные испытания информационной системы на соответствие требованиям о защите персональных данных с установленным уровнем защищенности – УЗ2.

Сроки выполнения каждого этапа были заранее определены и согласованы с заказчиком.
В результате проделанной работы, было подтверждено соответствие выстроенной системы защиты информации Заказчика требованиям о защите персональных данных с уровнем защищенности УЗ2, организованы защищенные (криптографические) каналы связи, предоставляющие удаленный доступ к защищаемым корпоративным ресурсам. Обнаружены и устранены уязвимости информационной системы.

В ходе мероприятий по сопровождению системы защиты в соответствии с определённым Заказчиком графиком осуществляется мониторинг целостности системы защиты информации, осуществляется анализ событий информационной безопасности средств обнаружения вторжений, средств антивирусной защиты информации и средств защиты информации от несанкционированного доступа. Осуществляется поддержка функциональности средств криптографической защиты информации.