Создание надежной системы безопасности, сбалансированной по критерию безопасность- стоимость

Формулировка задач, стоящих перед бизнесом в области безопасности Обеспечение надежной защиты бизнеса при условии минимизации затрат на обеспечение безопасности, включая минимизацию затрат и усилий на поддержание системы безопасности в актуальном состоянии.

Минимальное количество используемых продуктов и систем при оптимальном уровне защиты Выполнение требований законодательства – построение системы защиты в соответствии с требованиями Федерального закона 152-ФЗ и другими стандартами Централизованное управление всеми компонентами защиты Формулировка задач, стоящих перед бизнесом в области безопасности

Все вышесказанное обеспечивает: минимизацию затрат на приобретение и сопровождение продуктов, минимизацию требуемого уровня квалификации обслуживающего персонала и сокращение его количества, высвобождение ресурсов для других задач. Формулировка задач, стоящих перед бизнесом в области безопасности

Текущая ситуация в области безопасности

Федеральный закон 152-ФЗ шанс для бизнеса или груз на шее? Текущая ситуация в области безопасности

Цель проведения аудита информационной безопасности Получить независимую и объективную оценку текущего уровня информационной безопасности для: систематизации и упорядочивания существующих мер защиты информации; обоснования инвестиций в информационную безопасность; подготовки ТЗ на разработку и создание системы безопасности, в том числе для приведения системы информационной безопасности в соответствие требованиям международных или российских стандартов и требований; оценки уровня эффективности имеющейся системы безопасности.

Аудит СУИБ по стандарту ISO Политика безопасности 2. Организационные меры безопасности 3. Учет и категорирование информационных ресурсов 4. Кадровые аспекты ИБ 5. Физическая защита информационных ресурсов 6. Управление технологическим процессом 7. Управление доступом 8.Закупка, разработка и сопровождение компонентов ИС 9. Управление инцидентами в области информационной безопасности 10. Обеспечение непрерывности работы и восстановления 11. Соответствие нормативным и руководящим документам

Перечень типов объектов защиты Линии связи и сети передачи данных Сетевые программные и аппаратные средства, в том числе сетевые серверы Файлы данных, базы данных, хранилища данных Носители информации, в том числе бумажные носители Прикладные и общесистемные программные средства Программно-технические компоненты автоматизированных систем Помещения, здания, сооружения Платежные и информационные технологические процессы Бизнес-процессы

Конечные потребители результатов аудита Внутренние пользователи: Руководство компании Служба информационной безопасности Служба автоматизации предприятия Служба внутреннего контроля/аудита Внешние пользователи: Акционеры компании Регулирующие органы Страховые компании Клиенты компании

Стандарт ЦБ РФ СТО БР ИББС Обеспечение ИБ организаций банковской системы РФ. Общие положения Все процедуры должны быть задокументированный. Должны существовать процедуры действий на все возможные инциденты. Все действия и инциденты должны отслеживаться и протоколироваться. Все документы должны быть утверждены. 11

Стандарт ЦБ РФ СТО БР ИББС Обеспечение ИБ организаций банковской системы РФ. Общие положения Для реализации и поддержания ИБ в организации БС РФ необходима реализация четырех групп процессов: планирование СОИБ организации БС РФ («планирование»); реализация СОИБ организации БС РФ («реализация»); мониторинг и анализ СОИБ организации БС РФ («проверка»); поддержка и улучшение СОИБ организации БС РФ («совершенствование»). 12

Организация должна управлять активами: Должна проводиться инвентаризация активов в соответствии с разработанными принципами классификации активов по их значимости, правовым требованиям, важности и критичности для организации. Должны быть определены ответственные за активы. Стандарт ISO/IEC Обязательное приложение А. Требование А.7 Стандарт ISO/IEC 27001:2005 Требования к системе менеджмента информационной безопасности

Организация должна выявлять угрозы для существующих и новых бизнес-процессов и идентифицировать риски: Идентифицировать активы. Идентифицировать угрозы этим активам. Идентифицировать уязвимости, которые могут быть использованы этими угрозами. Определить воздействие, которое может привести к потере конфиденциальности, целостности и доступности ресурсов. Стандарт ISO/IEC Пункт г) Стандарт ISO/IEC 27001:2005 Требования к системе менеджмента информационной безопасности

Организация должна оценивать риски и принимать решения как на основе известных рисков, так и существующих бизнес-целей: Оценить ущерб бизнесу. Оценить вероятность возникновения нарушения. Оценить уровни рисков. Определить, является ли риск приемлемым, или требуется обработка риска с использованием критериев принятия риска. Стандарт ISO/IEC Пункт д) Стандарт ISO/IEC 27001:2005 Требования к системе менеджмента информационной безопасности

Стандарт ЦБ РФ СТО БР ИББС Обеспечение ИБ организаций банковской системы РФ. Общие положения 5.4. Наибольшими возможностями для нанесения ущерба организации БС РФ обладает ее собственный персонал. В этом случае содержанием деятельности злоумышленника является прямое нецелевое использование предоставленного ему в порядке выполнения служебных обязанностей контроля над активами либо нерегламентированная деятельность для получения контроля над активами. При этом он будет стремиться к сокрытию следов своей деятельности. Внешний злоумышленник, как правило, имеет сообщника (сообщников) внутри организации БС РФ. Незлоумышленные действия собственных работников создают либо уязвимости ИБ, либо инциденты, влияющие на свойства доступности, целостности и конфиденциальности актива или параметры системы, которая этот актив поддерживает. 16

Стандарт ISO/IEC 27001:2005 Требования к системе менеджмента информационной безопасности. Риск-менеджмент

Пример частной модели угроз

Пример методики определения актуальных угроз

Стандарт ЦБ РФ СТО БР ИББС Обеспечение ИБ организаций банковской системы РФ. Общие положения Наиболее правильный и эффективный способ добиться минимизации рисков нарушения ИБ организации БС РФ разработать политику ИБ организации БС РФ и в соответствии с ней реализовать, эксплуатировать и совершенствовать СОИБ. 20

Согласно методике управления рисками: 1. Работаем над снижением наиболее опасных рисков 2. Принимаем остаточные риски 3. Утверждаем Операци- онная система Системный администратор Вирусная атака Уязвимость компьютерной системы Установка антивирусного ПО 2. Регулярное обновление АВ Рабочий журнал МП-45 Руководитель информационной службы Нерегуляр- ное заполнение Неисполнитель- ность персонала Обучение 2. Система мотивации Смен- ное задание Мастер … Сбой в компьютерной сети предприятия Несвоевременное техническое обслуживание 3515Согласно процедуре принятия рисков Ошибка оператора при вводе данных Чел. фактор 3515Согласно процедуре принятия рисков Стандарт ISO/IEC 27001:2005 Требования к системе менеджмента информационной безопасности. Риск-менеджмент

Пункт 5.1. с Установка ролей и ответственности Пункт A.8.1 Приоритеты найма служащих А Роли и ответственность А Подбор и прием персонала А Условия работы Пункт A Действия системного администратора Действия системного администратора и системного оператора также должны записываться в журнал. Стандарт ISO/IEC 27001:2005 Требования к системе менеджмента ИБ. Работа СМИБ по требованиям ISO 27001

Оптимизация стоимости защиты Закон это повод упорядочить бизнес-процессы. Правильное определение угроз и необходимых для работы компании персональных данных позволяет сократить стоимость реализации закона в разы. Обезличивание Правильное определение действующих угроз Правильный выбор ПО с исключением дублирования функций Максимальное использование возможностей уже имеющихся в ИС средств защиты информации, возможностей ОС и прикладного ПО. Сокращение количества АРМ, обрабатывающих ПДн. Разделение ИС межсетевыми экранами на отдельные сегменты. Организация терминального доступа к ИСПДн. Исключение из ИСПДн части ПДн, хранение их на бумажных или иных носителях. И это не все!

Пример структуры системы защиты с централизованным управлением (на примере Dr.Web Enterprise Security Suite)

Обезличивание ПДн действия, в результате которых невозможно определить принадлежность персональных данных конкретному субъекту. Ст. 3 Федерального закона 152-ФЗ «О персональных данных», NIST SP , Стандарт ISO Абстрагирование ПДн превращение их в менее точные например, путем группирования общих или непрерывных характеристик. Скрытие ПДн удаление всей или части записи ПДн ПДн не должны быть избыточными по отношению к цели. Внесение шума в ПДн добавление небольшого количество посторонней информации в ПДн. Замена ПДн перестановка полей одной записи ПДн теми же самыми полями другой аналогичной записи. Разделение ПДн на части использование таблиц перекрестных ссылок. Например, две таблицы: одна с Ф. И. О. и идентификатором субъекта ПДн, вторая с тем же идентификатором субъекта ПДн и остальной частью ПДн Использование специальных алгоритмов например, маскирование ПДн или подмена отдельных символов другими. Идеальным вариантом является использование алгоритмов криптографического хеширования. Псевдонимизация удаление ассоциации с субъектом ПДн и добавление ассоциации между набором особенностей, касающихся субъекта ПДн, и одним или более псевдонимами. Оптимизация стоимости защиты

Выделение отдельного сегмента сети для обработки ПД Сервер Принтер Рабочие станции Рабочие станции пользователей Оптимизация стоимости защиты

Комплексная защита от вирусов и спама Выполнение требований законодательства построение системы защиты в соответствии с требованиями Федерального закона 152-ФЗ Централизованное управление всеми компонентами защиты Удобство и простота администрирования Богатый функционал Нетребовательность к ресурсам Совместимость приложений Оптимизация стоимости защиты Требования к продуктам и системам

Антивирусная защита, соответствующая требованиям закона о персональных данных, должна включать защиту всех узлов локальной сети: рабочих станций; файловых и терминальных серверов; шлюзов сети Интернет; почтовых серверов. Использование демилитаризованной зоны и средств проверки почтового трафика на уровне SMTP-шлюза повышает уровень защиты. Вирусы Шлюз сети Интернет Межсетевой экран SMTP-шлюз Способы организации антивирусной защиты Интернет

Оптимизация функций защиты конфиденциальной информации

Передача функций защиты на аутсорсинг

Уменьшение зависимости предприятий от уровня квалификации ИT-персонала Снижение потерь рабочего времени, простоев оборудования и персонала за счет уменьшения количества вирусных инцидентов в корпоративной сети Повышение производительности труда путем снижения количества отвлекающих факторов Оптимизация расходов на интернет-трафик и контроль за деятельностью сотрудников в сети Интернет Программно-аппаратные комплексы

Вопросы ? Благодарим за внимание! Желаем вам процветания и еще больших успехов!