Предпроектное обследование (аудит) информационной системы предприятия

На данном этапе выполняются:

• Сбор и анализ данных о видах обрабатываемой информации на объектах, анализ оснований для ее обработки, определение перечня конфиденциальной информации;
• Сбор и систематизация данных об используемом комплексе средств автоматизации и осуществляемых видах деятельности компании;
• Разработка рекомендаций по категорированию обрабатываемой информации, подготовка перечня защищаемых информационных ресурсов компании;
• Выявление факторов, воздействующих на обрабатываемую информацию;
• Разработка модели угроз и вероятного нарушителя;
• Определение границ контролируемых зон;
• Определение конфигурации, топологии, технологических и функциональных взаимосвязей компонентов информационных систем;
• Определение программных и технических средств и систем. Условия их расположения, общесистемные и прикладные программные средства;
• Определение режимов обработки информации;
• Определение организационной структуры, лиц, обрабатывающих информацию ограниченного распространения;
• Определение класса защищенности объекта информатизации.

На данном этапе выполняются следующие работы:

• разработка и описание принятых решений по комплексу организационных мер и программно-технических средств обеспечения безопасности информации, составу средств защиты информации и их функциональному назначению;
• описание технического, программного информационного обеспечения и технологии обработки, передачи и защиты информации СЗИ;
• разработка рабочей и эксплуатационной документации на создаваемую СЗИ.

Результат данного этапа:

• Документация технического проекта на систему защиты информации в составе:
• Ведомость технического проекта;
• Пояснительная записка к техническому проекту;
• Структурная схема комплекса технических средств;
• Функциональная схема комплекса технических средств;
• Программа и методика испытаний;
• Руководство пользователя;
• Иные документы согласно законодательства РБ.

Аудит информационной безопасности (далее ИБ) - это независимая оценка состояния системы обеспечения информационной безопасности предприятия устанавливающая уровень ее соответствия законодательству Республики Беларусь, международным стандартам, определенным заданным критериям, лучшим практикам.

Аудит информационной безопасности позволяет объективно и всесторонне оценить текущее состояние системы информационной безопасности компании. В рамках аудита может проводиться анализ документации компании в области ИБ, анализ соответствия построения системы защиты информации угрозам и защищаемым активам компании, проверка знаний и осведомленности сотрудников, анализ процессов и процедур, организационных мероприятий по обеспечению ИБ, разработка моделей угроз и возможных нарушителей.

В ходе аудита проводится:

• определение критериев оценки (требования внутренних документов, законодательства Республики Беларусь, требований международных стандартов);
• анализ полноты\избыточности документации в области обеспечения ИБ;
• анализ видов обрабатываемой информации и порядка обработки;
• анализ процесса обработки информации ограниченного распространения;
• анализ осведомленности сотрудников о правилах работы с конфиденциальной информацией;
• анализ документации на соответствие выбранным критериям оценки;
• анализ комплекса используемых средств защиты информации и коммуникационного оборудования;
• анализ информационных потоков;
• анализ беспроводной инфраструктуры;
• анализ достаточности\избыточности применяемых средств защиты;
• поиск, верификация уязвимостей в  информационной системе.

Проведение комплектного аудита позволяет:

• получить независимую оценку состояния информационной безопасности в компании;
• выявить слабые и потенциально уязвимые места, определить риски;
• сформировать детальный план мероприятий по повышению уровня информационной безопасности компании, обоснованно спланировать бюджет и провести необходимые орг-штатные мероприятия

ООО «Некст Нетворк» предлагает услуги  по выполнению комплекса работ: построение систем защиты информации. Мероприятия, состав, этапы работы полностью соответствуют рекомендациям и требованиям стандартов.

При создании систем защиты информации информационных систем должны применяться средства защиты информации, имеющие сертификат соответствия, выданный в Национальной системе подтверждения соответствия Республики Беларусь, или положительное экспертное заключение по результатам государственной экспертизы.

Разработка СЗИ может осуществляться только организацией, имеющей специальное разрешение (лицензию) Оперативно – аналитического центра при Президенте Республики Беларусь. В соответствии с Инструкцией о порядке согласования выполнения работ и (или) оказания услуг в государственных органах (организациях) при осуществлении деятельности по технической защите информации, в том числе криптографическими методами, включая применение электронной цифровой подписи, утвержденной Приказом ОАЦ от 16.11.2010 №82, разработка СЗИ осуществляется после согласования с ОАЦ.

Комплекс мероприятий по созданию системы защиты информации в информационных системах включает:

• классификацию хранящихся и обрабатываемых в информационной системе сведений и разделение информации по категориям доступа;

• анализ организационной структуры информационной системы, порядка организации вычислительных процессов и условий ее функционирования;

• присвоение информационной системе класса типового объекта информатизации в соответствии с требованиями СТБ 34.101.30-2007;

• разработку или корректировку политики информационной безопасности организации;

• разработку или корректировку задания по безопасности на информационную систему в соответствии с требованиями технических нормативных правовых актов в области защиты информации;

• реализацию требований задания по безопасности в информационной системе;

• оценку соответствия системы защиты информации требованиям нормативных правовых актов в области защиты информации, в том числе технических нормативных правовых актов, путем проведения мероприятий по аттестации системы защиты информации;

• ввод информационной системы в эксплуатацию.

Для нормального функционирования в компании процессов обеспечения информационной безопасности, одинакового понимания руководством и сотрудниками стратегии, вектора развития информационной безопасности в компании должен быть разработан комплекс организационно-распорядительной документации.

Как правило, комплект документации состоит из документов 3-х уровней:

• Концепция. Политика информационной безопасности;
• Регламенты, правила, частные политики обеспечения ИБ;
• Инструкции администраторов, сотрудников, журналы учета и т.п.

При разработке политики ИБ выполняются:

• Анализ стратегии бизнеса, кадровой стратегии и стратегии ИБ;
• Анализ законодательных требований и требований регулирующих органов, действующих в отношении компании заказчика в области информационной безопасности;
• Определение основных стратегических целей ИБ;
• Определение задач, необходимых для реализации поставленных целей;
• Формирование подходов к реализации задач ИБ.

Аттестация по требованиям безопасности информации (аттестационные испытания) – комплексная проверка защищаемого объекта в реальных условиях эксплуатации с целью оценки соответствия применяемого комплекса мер и средств защиты требуемому уровню безопасности.

Условия, порядок и объем проведения испытаний по требованиям безопасности информации определяются «Программой и методикой аттестационных испытаний», которые разрабатываются для каждого заказчика применительно к каждому аттестуемому объекту.

Аттестация обязательна в случаях:

• Обработки информации составляющую государственную, служебную тайну;
• Обработки персональных данных граждан;
• Подключения информационной системы к уже аттестованной системе;
• Обработки информации ограниченного распространения, являющейся государственными информационными ресурсами.

В ходе аттестации решаются следующие задачи:

• Анализ исходных данных по аттестуемому объекту;
• Проведение экспертного обследования объекта информатизации, включающего анализ разработанной документации по защите информации на этом объекте на соответствие требованиям нормативной документации;
• Проведение испытаний отдельных средств и систем защиты информации на аттестуемом объекте информатизации с помощью технических средств контроля;
•  Проведение комплексных аттестационных испытаний объекта информатизации в реальных условиях эксплуатации согласно разработанной «программе и методике аттестационных испытаний»;
• Анализ результатов аттестации объекта информатизации и составление заключения по результатам испытаний.

По результатам аттестационных испытаний оформляются следующие документы:

• Протоколы испытаний, которые составляются по каждому отдельному виду испытаний;
• Заключение по результатам проведения испытаний, в котором отражается следующая информация:
• Оценка соответствия аттестуемого объекта требованиям НТД по безопасности информации;
• Рекомендации по устранению недостатков, обнаруженных в процессе испытаний;
• Вывод о возможности выдачи «Аттестата соответствия»;
• Выдача аттестата соответствия.

На данном этапе проводятся следующие работы:

• Комплектация и поставка необходимого оборудования и программного обеспечения защиты информации;
• Установка и настройка программно-технических средств защиты информации в соответствии с разработанным техническим проектом и техническим заданием;
• Предварительные испытания СЗИ.

Результаты работ данного этапа:

• Результатом являются установленные и настроенные средства и подсистемы СЗИ, готовые для передачи в опытную эксплуатацию.
• По результатам опытной эксплуатации проводятся приемо-сдаточные испытания СЗИ с оформлением Акта сдачи-приемки.

Проведение комплекса работ по защите информации ограниченного распространения в компании позволяет решить следующие задачи:

• Получить актуальную и независимую оценку состояния защищенности и порядка обработки закрытой информации на предприятии;
• Обеспечить соблюдение законодательства в области защиты информации;
• Создать и обеспечить выполнение локальных нормативных актов предприятия в области инфобезопасности с учетом конституционной неприкосновенности частной жизни  сотрудников.

Аудит:

• Сбор исходных данных об информационной инфраструктуре, системах обработки персональных данных, информации ограниченного распространения, административных и физических мерах обеспечения безопасности информации.
• Оценка текущего уровня соответствия требованиям законодательства в области защиты информации.
• Разработка предложений по внесению изменений в процессы обработки информации ограниченного распространения, с целью снижения совокупных затрат на построение системы защиты информации;
• Разработка отчета по результатам аудита порядка обработки и защиты информации ограниченного распространения.

Разработка модели угроз и нарушителя:

• Разработка модели угроз безопасности;
• Разработка модели нарушителя.

Разработка актов классификации информационных систем.

Разработка комплекта организационно-распорядительной документации.

Оказание помощи заказчику в внедрении требований по защите информации в локальные нормативные акты предприятия.

Разработка технического задания на создание системы защиты информации.

Проектирование системы защиты информации.

Внедрение системы защиты информации:

• Поставка оборудования и ПО;
• Настройка программных и программно-аппаратных средства защиты информации;
• Проведение пусконаладочных работ;
• Разработка комплекта эксплуатационной документации;
• Опытная эксплуатация системы защиты информации;
• Проведение приемочных испытаний
• Оценка соответствия.

Для разработки Задания по безопасности (далее – ЗБ) наличие лицензии на право осуществления деятельности в области защиты информации не требуется. Разработка ЗБ может осуществляться как специалистами заказчика информационной системы (подразделением технической защиты информации), так и сторонними организациями, привлекаемыми на договорной основе.

Задание по безопасности разрабатывается в соответствии с требованиями Приложения СТБ 34.101.1-2004.

Общая структура ЗБ

 1. Введение ЗБ

       1.1. Идентификация ЗБ

       1.2. Обзор ЗБ

       1.3 Соответствие критериям

2. Описание ОО

3. Среда безопасности ОО

       3.1. Предположения безопасного функционирования ОО

       3.2. Угрозы активам ОО

       3.3. Политика безопасности организации по противодействию угрозам

4. Задачи безопасности

       4.1. Задачи безопасности для ОО

       4.2. Задачи безопасности для среды ОО

5. Требования безопасности ИТ

       5.1. Функциональные требования безопасности ОО

       5.2. Требования гарантии безопасности ОО

       5.3. Требования безопасности для среды функционирования

                5.3.1. Требования безопасности для ИТ-среды функционирования

                5.3.2. Требования безопасности для не ИТ-среды функционирования

6. Краткая спецификация ОО

       6.1. Описание комплекса средств безопасности ОО

       6.2. Меры гарантии безопасности

7. Соответствие Профилю защиты (ПЗ) (необязательное)

       7.1. Ссылка на ПЗ

       7.2. Уточнение ПЗ

       7.3. Дополнение ПЗ

8. Обоснование

       8.1. Логическое обоснование целей безопасности

       8.2. Логическое обоснование требований безопасности

       8.3. Логическое обоснование краткой спецификации ОО

       8.4. Логическое обоснование утверждений о соответствии ПЗ (необязательное)

Оценка ЗБ

Оценка  заданий по безопасности проводится на соответствие требованиям СТБ 34.101.3 (требования изложены в разделах 7 и 8 соответственно). Эксперты испытательной лаборатории выполняют анализ соответствия разделов заданий по безопасности требованиям СТБ 34.101.3, в том числе:

• Анализ связности, полноты и непротиворечивости сведений, представленных в разделах документа;
• Анализ соответствия формулировок функциональных требований безопасности формулировкам СТБ 34.101.2;
• Анализ соответствия формулировок гарантийных требований безопасности формулировкам СТБ 34.101.3;
• Анализ выполнения всех функциональных и гарантийных требований для объекта оценки (выполняется при оценке заданий по безопасности на основе сведений, представленных в общей спецификации);
• Анализ соответствия поддержки решений сформулированных задач безопасности требованиям безопасности;
• Анализ соответствия формулировки задач безопасности предположениям, угрозам и политике безопасности.

Порядок проведения сертификации средств защиты информации описан на официальном портале ОАЦ при Президенте Республики Беларусь. https://oac.gov.by/tzi/certification/sequence.html

Сертификацию продукции проводят аккредитованные органы по сертификации. Аккредитованный орган по сертификации – юридическое лицо Республики Беларусь или иностранное юридическое лицо, аккредитованное для выполнения работ по подтверждению соответствия в определенной области аккредитации. Реестр аккредитованных лабораторий здесь:  https://oac.gov.by/tzi/certification/register.html

Сертификация продукции в зависимости от схемы сертификации включает:

• подачу заявки на сертификацию и представление документов, прилагаемых к ней;
• принятие решения по заявке;
• анализ технических нормативных правовых актов, конструкторской и технологической документации на продукцию;
• идентификацию продукции и отбор образцов продукции;
• испытания образцов продукции;
• анализ результатов испытаний;
• анализ состояния производства;
• принятие решения о возможности выдачи сертификата соответствия;
• регистрацию и выдачу сертификата соответствия, а также заключение соглашения по сертификации между органом по сертификации и заявителем.