оценка кибербезопасности

Информационная безопасность в современной компании — это толстые стены, сложные замки и охрана предприятий прошлого. Сохранность интеллектуальной собственности, равно как и работоспособности структур, доходов и репутации компании напрямую зависит от качества выстроенной защиты, ее функциональности, ее поддержания в круглосуточном режиме. Как же именно оценить нечто столь неуловимое, как качество и «достаточность» предпринятых мер по информационной безопасности? Какую именно оценку ожидает государство во время ежегодных проверок? Какая оценка будет наиболее эффективной для дальнейшего развития ИБ компании?

При оценивании уровня информационной безопасности предприятия различают три направления, или вида оценки:

  • Оценка на соответствие эталону (бывает текущая и «эталонная», в идеале проводятся обе);
  • Риск-менеджмент;
  • Экономическая целесообразность.

Разберем эти понятия подробнее.

Оценка состояния информационной безопасности на соответствие эталону

В качестве «эталона» обычно принимаются (в совокупности и отдельно):

  • требования национальных или международных стандартов в области ИБ (ГОСТ, NIST);
  • требования законодательства Российской Федерации в области ИБ;
  • отраслевые требования по обеспечению ИБ, отдельные для разных сфер деятельности;
  • а также требования нормативных, методических и организационно-распорядительных документов по обеспечению ИБ внутри компании.

Эти критерии могут дополняться по предварительной договоренности, например, если глава вашего отдела по ИБ видит рентабельность такого исследования в отношении определенного проблемного участка структуры или собирается использовать результаты для дальнейших модификаций уже существующих протоколов ИБ.

Как раз в зависимости от заданного «эталона» эта оценка может быть системно-ориентированной или процессно-ориентированной.

Оценка текущего состояния системы ИБ сравнивает выстроенную по уже существующему эталону «идеальную» модель требований ИБ с теми, что уже были реализованы в компании в виде текущих защитных мер. Ее результаты легко понять и увидеть определенные слабые места, только вот последующие рекомендации при такой проверке обычно сводятся к самоочевидным и решают проблему на уровне «донастроить SIEM систему под конкретные нужды», «настроить оповещения в консоли антивируса», «установить или обновить ПО определенного вида». Это весьма полезно, и без надежной технической базы нельзя в принципе говорить о защите компании, но такая оценка очень редко дает данные для решения проблем на фундаментальном уровне или возможности расти дальше в более системном и полном смысле, и скорее помогает в текущих, кратковременных и частных вопросах.

«Эталонная» оценка ИБ сравнивает процессы управления (менеджмента) ИБ организации с теми, что были определены как эталонные. Здесь мы определяем степень соответствия таких процессов, как создание отдела и распределение обязанностей по обеспечению ИБ, создание единых протоколов о политике обеспечения ИБ в компании, о реагировании на возникающие инциденты (ссылка на статью про расследование инцидентов), об инструктаже сотрудников компании в вопросах, связанных с ИБ и прочем. Такая проверка позволяет не только спрогнозировать дальнейшее развитие таких процессов в компании, но и скорректировать направление и подходы на более эффективные. Здесь также следует напомнить о том, что слишком много компаний полагается только на антивирусы и подобные системы защиты информации, тогда как большинство инцидентов прошлых лет произошло по внутренним каналам предприятий — как по причине недостаточной осведомленности среди персонала об окружающих угрозах, так и по причине слабо выстроенных систем реагирования на, уже произошедшие инциденты (например, многие компании обращают внимание на события с опозданием и только в стандартное рабочее время — конечно, этим пользуется масса хакеров, направляя атаки ночью и в выходные).

В большинстве случаев при оценке по эталону используют оба вида проверки. Это обусловлено тем, что если системы организации не настроены должным образом, то без этой базы невозможно продвигаться дальше. Это фактически отсутствие защиты на нормальном уровне и провал оценки «защиты» сразу же, к тому же нет возможности опираться и доверять системам при построении руководства по обнаружению и реагированию на события и инциденты и, следовательно, единственная возможность эффективно двигать процессы на новый уровень — это опираться на хорошо работающие системы.

Необходимость системно-ориентированной проверки лежит на поверхности, однако ее «базисность» не должна вводить в заблуждение, это не синоним «достаточности». Только с помощью эффективных и постоянно эволюционирующих процессов управления ИБ компании возможно придти к моменту, когда:

  • Инциденты перехвачены на лету и не могут привести к серьезным последствиям (необходим серьезный опыт в отлаживании и улучшении протоколов реагирования);
  • Свод правил ИБ простой и понятный, идеально выстроен под аудиторию сотрудников организации и особенности вашего бизнеса, так что любой новый персонал не приносит массу рисков на протяжении длительного периода;
  • Система настолько проверена и отточена, что можно урезать стоимость — не нужны дополнительные проверки или исключительно квалифицированные специалисты, что как атланты несут все на своих плечах и используют творческие подходы в разных ситуациях — когда есть четкие протоколы как и что делать, то нет постоянных расходов на последствия инцидентов, нет постоянных расходов на то и дело слетающие программы или их настройки, система будет поддерживать себя сама, своими протоколами и организовывать процессы, обучать людей, значительно снижая ежегодную стоимость на поддержание ИБ.

Оценка по эталону — это тот самый вид оценки, что проверяет эффективность вашей текущей защиты, превращает в количественную или качественную оценку процессы и систему, позволяет понять, насколько крепки ваши «стены» и что следует сделать для их укрепления.

Риск-менеджмент

Эта оценка рассматривает риски ИБ, возникающие в сфере конкретной организации и что было сделано для минимизации возможности возникновения, обработки/управления в целом. Для этого сначала определяют риски и их ключевые индикаторы, формируют на их основе критерии оценки, собирают свидетельства процессов по подготовке к встрече с рисками или результаты непосредственного инцидента, и, после измерения риск-факторов, формируется финальная оценка.

Обычно риски измеряют по тяжести возможных последствий (ущербу) и по вероятности реализации угрозы. Соответственно, процессы контроля и реагирования заключаются в снижении либо эффекта, либо вероятности реализации риска. Большинство стен можно проломить тем или иным способом, но если затраты времени, усилий и прочих ресурсов значительно превышают возможную выгоду, то вероятность что кто-то будет этим заниматься, да еще и успеет сделать до подключения команды реагирования, крайне мала. Еще меньше вероятность того, что хакер сочтет это стоящим постоянного риска разоблачения и, во многих странах, уголовной ответственности.

Одна из основных проблем такой оценки — это сложность понимания какие именно вещи могут привести к тяжким и дорогостоящим последствиям, а какие нет. В документации NIST приводится возможное прогнозирование ежегодных потерь с помощью определения информационного актива, фактора подверженности воздействию и ежегодной частоте появления, но даже данные этого уравнения достаточно размыты и могут предложить скорее некие рамки, чем реальные точные цифры. К тому же, как верно указано в ГОСТ Р ИСО/МЭК ТО 18044-2007, «незначительный инцидент ИБ может перейти в категорию «существенный» или в «кризисную ситуацию» в случае его неправильной обработки, или незначительный инцидент ИБ, не обработанный в течение недели, может стать «значительным» инцидентом ИБ.» Как раз потому, что собственные процессы компании могут стать разрушительными, а еще потому, что реагирование и контроль рисков можно проверить экспериментальным путем, в основном риск-ориентированная оценка направлена на анализ того, как менеджмент предприятия действует в отношении рисков — как оценивает, какими способами контролирует и реагирует, в отличие от простого перечня и классификации возможных рисков в вакууме. Такая проверка в меньшей степени тестирует «стены», это скорее прогнозирование потенциальных угроз и анализ действий защитников.

Экономическая целесообразность

Наверное, самая понятная для предприятия оценка — сколько стоит ваша защита, включая зарплаты специалистов, содержание оборудования, покупка программного обеспечения, а также некоторые косвенные затраты. Оценка на основе показателей совокупной стоимости владения позволяет оценить затраты на ИБ и управлять ими для достижения нужного уровня защиты — без определенных ресурсов не будет ни «стен», ни достаточной «охраны», но и излишние траты на ИБ будут тяготить другие процессы и отделы.

Самостоятельное или независимое оценивание?

Самооценка уровня ИБ предприятия возможна, и во многих местах даже необходима — после введения нового процесса или модификации старого, после определенной настройки систем защиты или полученных новых знаний сотрудников, все это надо постоянно и неотступно тестировать, улучшать, развиваться через итерацию и проанализировать успех того или иного действия возможно только при проведении того или иного оценивания. Конечно, для подобных мелких процессов заполнять громоздкие формы стандартов NIST кажется излишним, и, хотя модель оценки процесса с десятками показателей сделает возможным более глубокий анализ, для большинства задач вполне можно сфокусировать усилия на ключевых 5-10 показателях оценки. Самое главное в такой самооценке — не потерять организованность оценивания. Здесь по-прежнему нужно еще до начала определить вид оценивания и критерии, нужно тщательно документировать собранные данные и их последующий анализ, сложные модели могут заменяться упрощенными, но все еще желательно преобразовывать процессы и системы в понятные графики и отчеты, к которым после можно получить доступ. Такие архивы могут помочь и самой компании наблюдать свое развитие или обращаться к данным в похожих ситуациях, а также могут стать отличным подспорьем для независимых экспертов в понимании подходов в вашей компании, с чем вы сталкивались ранее, и даже особенности ИБ для вашего бизнеса.

Оценка от сторонних организаций или экспертов редко проводится для ежедневных нужд или мелких изменений — обычно более объективный взгляд со стороны нужен когда компания прошла длительный (месяц-два) цикл видоизменений своей ИБ и теперь нужен крупный аудит (как частный случай независимой оценки), чтобы увидеть, как именно все изменилось и правильно ли выбрано направление движения. Также помощь сторонних организаций для оценки требуется в следующих случаях:

  • Поиск новых методик и знаний. У ваших специалистов может быть ограничена квалификация и они оказались в тупике. Или стоимость некоторых процессов ИБ кажется неподъемной и оптимизация продвигается очень медленно. Независимый эксперт может поделиться современными технологиями и стандартами, рассказать где не надо переплачивать за оборудование, как можно построить в целом более стабильную систему, которая станет давать гораздо меньше нагрузки и на ваш бюджет, и на ваших спецов.
  • Оценка на соответствие государственным нормам и требованиям. Это как раз тот момент, когда большинство компаний заказывают комплексный аудит. Доверие выше к более объективной проверке от лицензиата со стороны, чем к самооценке предприятия. Более того, эксперты с нужной лицензией знают совершенно точно как соответствовать нормам государственной проверки и избежать штрафов, вплоть до заполнения всех необходимых форм.
  • Значительные изменения в компании или законодательстве. Новые законы, новое руководство, произошло слияние, расширился список услуг и поддерживающих их структур — в общем, так или иначе изменилась сама система защиты или требования к ее «эталону». В таком случае самооценка не представляется в полной мере возможной — это словно настройка самых первых дней, но только с участками старой архитектуры и для скорости преодоления «опасного» периода, а также отладки новых процессов управления ИБ необходим взгляд со стороны.
  • Критическая ситуация вне возможностей вашего отдела ИБ. При реагировании на инциденты всегда происходит проверка на контроль ситуации — и если вы вдруг оказались в той, что не поддается вашему контролю и реагированию, вам нужно срочно связаться со специалистами по безопасности сторонних организаций. Даже если они не успеют восстановить контроль до конца атаки, они смогут собрать информацию по преступлению для передачи ее в надлежащие органы, а также справиться с последствиями. Скорость и высокая квалификация в этом случае критичны, а потому если у вас есть подозрение на подобный инцидент, немедленно связывайтесь с экспертами по безопасности.

Я провожу независимое оценивание ИБ любого типа и сложности, возможны пентесты и приведение в соответствие по положениям 683-П, 757-П и ГОСТ 57580.1, ГОСТ 57580.2. Если вам нужна консультация по вопросам информационной безопасности, проведение независимой оценки вашей защиты, досудебные и судебные экспертизы по вопросам IT, а также экспертиза документации в этой области или разработка организационно распорядительной документации «с ноля» — оставляйте заявку в этой форме, они принимаются круглосуточно.

Вам будет интересно

Array
(
    [ID] => 10197
    [post_author] => 3879
    [post_date] => 2019-12-31 15:03:47
    [post_date_gmt] => 2019-12-31 12:03:47
    [post_content] => 

Что такое аудит информационной безопасности предприятия?

Аудит информационной безопасности — это оценка состояния ИБ на соответствие с определенными критериями, показателями безопасности в целом и на соответствие нормативным актам контролирующих органов государственной власти, в частности. Он происходит в четыре этапа: сначала информация собирается, затем эти данные анализируются, на основе анализа вырабатываются рекомендации и составляется аудиторский отчет. Помимо исследования уровня безопасности, грамотно проведенный аудит также оценивает риски и прогнозирует развитие менеджмента процессов ИБ в компании, а предоставленные отчет и рекомендации могут являть собой стратегические планы по развитию и решать множество проблем на фундаментальном уровне.

Критерии аудита информационной безопасности

Существует большое количество критериев аудита (на соответствие чему проверяем). Также существует масса методик и методических рекомендации, которые используются при проведении реальных аудитов информационной безопасности.

Наиболее популярными критериями являются:

  1. Стандарты серии ISO 2700x
  2. СТО БР ИББС (Комплекс БР ИББС)
  3. Комплекс положений и указаний Банка России

Часто применяются рекомендации стандарта ISO 19011:2011 по проведению аудитов систем менеджмента.

Виды аудита IT-безопасности

Аудит ИБ бывает внутренним — в таком случае его корректно назвать самооценкой, так как он проводится сотрудниками компании.

По ряду положений и в соответствии с ГОСТом Р ИСО/МЭК 27001-2006 такой аудит должен быть постоянным и непрерывным — и на самом деле, проверка эффективности и последующие выводы лежат в основе практически всех процессов, связанных с ИБ: будь то протокол о реагировании на события и инциденты, установка и настройка нового ПО, или изменение документации по менеджменту процессов ИБ. Все должно тестироваться, выводы учитываться — это непрерывный процесс получения опыта, выработки действующих методов, их постоянного улучшения и поддержания на современном уровне.

Обычно по причине того, что проверок много, они не проводятся на таком крупном уровне и с заполнением массы бумаг, как это делается во внешнем аудите, однако несколько раз в год не будет лишним сымитировать как бы вас проверяли специалисты со стороны профессиональных аудиторских компаний или ЦБ РФ. Скажем, вы в банковской сфере, и вам по требованиям Банка России необходимо проводить внешний аудит по ГОСТ Р 57580.1 (ГОСТ Р 57580.2). В этом случае хорошей практикой проверки уровня ИБ и подготовки к аудиту является самооценка. Такая проверка может сразу устранить очевидные, лежащие на поверхности проблемы и тем самым получить более высокую оценку при внешнем аудите. Это также может помочь найти слабые места в самих методиках оценки вашей компании и тем самым значительно увеличить эффективность внутренних проверок после внешней.

Внешний аудит, соответственно, проводится независимыми экспертами или компаниями, специализирующимися в области информационной безопасности. В нашей стране желательно проводить комплексный аудит ИБ в предприятии, пользуясь услугами лицензиатов ФСТЭК (иногда ФСБ). Во-первых, это может напрямую требоваться критерием аудита (747-П, 683-П, 757-П, 719-П и пр.), во-вторых, отчет лицензиата имеет более высокий вес в случае возникновения вопросов со стороны правоохранительной системы.

Если внутренний аудит — это скорее непрерывный процесс мелких улучшений, то внешний - является контрольной проверкой.

Также в зависимости от того, кто проводит аудит, внешний аудит разделяют на:

  • аудит 2 (второй) стороны — поставщика или клиента
  • аудит 3 (третьей) стороны — регулятора или органа по сертификации

Когда и для чего требуется комплексный аудит информационной безопасности организации?

После данной информации о видах аудита вполне очевидно, что без внутреннего аудита нельзя обойтись в принципе. Он должен происходить с первого дня компании и не прерываться, потому что от него зависят функционирование как систем, так и процессов организации.

Ценность внешнего аудитора также очевидна — он может получить более объективный результат, а потому многие сектора экономики (такие, как банковский), имеют регламентированный механизм регулярных независимых проверок (обычно 1 раз в 2 года). В настоящий момент аудиты в банках проходят постоянно (заканчиваем аудит по одному критерию и сразу начинаем другой - уже по новому критерию).

Создание СМИБ (системы менеджмента информационной безопасности).

Предположим, вы только создаете свою компанию. Или только выходите в информационное, цифровое пространство. Возможно, раньше вы только опирались на антивирусы, но объемы увеличились и встал вопрос о создании отдела и политики по вопросам ИБ в пределах компании.

Так или иначе, но сейчас вы хотите создать полноценную систему менеджмента ИБ со всеми сопутствующими атрибутами — как, например, они описаны в ГОСТ Р ИСО/МЭК 27001-2006. В таком случае независимый эксперт не может непосредственно оценить уровень текущей защиты — ведь ее попросту не существует, однако он может проконсультировать компанию по требованиям, как если бы он проводил аудит.

Как именно оценивать активы и риски в вашей сфере, что понимать под правовыми требованиями в вопросах персональных данных и конфиденциальности, как распределить уже существующих специалистов (чтобы более квалифицированные были на задачах по их силам и не отвлекались на более мелкие или не требующие специализированных знаний, т. е. могут быть выполнены и не специалистами в области ИБ). Технически вашей текущей защите присваивается нулевой уровень по шкале зрелости («На данном уровне наблюдается полное отсутствие определенного процесса по анализу и оценке рисков ИБ. Не проводится оценка рисков ИБ для проектов, разрабатываемых стратегий и решений…»), а после идут рекомендации по созданию систем, выводящих на новый уровень. Едва ли после выполнения этих рекомендаций ваша защита мгновенно станет пятого уровня зрелости, но это станет достаточно профессиональным стартом, на основе которого можно будет тестировать, учиться и дорабатывать под конкретно ваши нужды вместо изобретения велосипеда или потери времени, когда просто возникло недопонимание каких-либо требований или особенностей документации.

Изменение СМИБ или требований к ИБ в целом

Это также является одним из пунктов ГОСТ Р ИСО/МЭК 27001-2006, а именно «Порядок организации и управления информационной безопасностью и ее реализация (например, изменение целей и мер управления, политики, процессов и процедур обеспечения информационной безопасности) должны быть подвергнуты независимой проверке (аудиту) через определенные промежутки времени или при появлении существенных изменений в способах реализации мер безопасности», и это в целом совершенно понятный момент. Сильно измененные структуры не всегда могут уследить за всеми своими частями, протоколы могут быть устаревшими, системы — находиться в конфликте друг с другом, было выбрано «костыльное» решение, лишь бы все работало с минимумом изменений, тогда как взгляд со стороны на систему в целом окажется существенным подспорьем и сделает переходный процесс не только более быстрым, но и безопасным. Даже если вашей компании не нужна помощь в процессе перехода, его завершение — это тоже своего рода завершение проекта по безопасности, результат которого требует «контрольной» и независимой оценки.

Подготовка к ежегодным проверкам; проверка на соответствие законам, положениям, ГОСТам

Здесь все достаточно просто — в иных сферах независимый аудит ИБ обязателен, в каких-то компаниях просто нет людей, детально разбирающиеся в каждом требовании и как его пройти фактически и документально. В таких случаях эксперты, обладающие и лицензией, и опытом, проверяют именно так, как будут проверять инстанции. Подобное знание почти гарантировано не позволяет попасть в зону штрафуемых нарушений, и даже если какие-то несоответствия будут обнаружены — у вас на руках будет понятный и подробный план по их исправлению. Впрочем, лучше всегда оставлять себе время на исполнение рекомендаций до государственной проверки и провести комплексный аудит информационной безопасности организации заранее.

Переход на принципиально новый уровень

Это случай, когда вы оказались в «тупике». Например, множество ложных срабатываний или пропусков инцидентов и вы не знаете, как это исправить. Квалификации ваших специалистов оказалось недостаточно для более современных методов или просто квалифицированных сотрудников по тем или иным причинам практически не осталось; может быть, их просто слишком мало, а задач — слишком много. В таком случае аудит проводится даже в меньшей степени для обнаружения проблем, поскольку с ними вы знакомы, а скорее для взгляда со стороны, для помощи в процессах и корректировании систем, для перенастройки системы под текущие мощности. Очень многие компании и эксперты, занимающиеся безопасностью, не только имеют обширный опыт, который позволяет быстро ориентироваться и решать множество ситуаций, но еще и постоянно изучают свежие отчеты и статистики; знают о наиболее популярных уязвимостях и проблемах — и в принципе, и прямо сейчас; знакомы с современными методами и экспериментами, свежими разработками в области ПО и могут многое упростить и сделать более эффективным.

Если вы хотите проверить, соответствуете ли вы национальным или международным требованиям; насколько результаты ваших усилий по созданию СМИБ отвечают изначальным целям; как именно вам развиваться дальше и что означают на практике каждый из пунктов положений и ГОСТов, а также их документация — оставляйте заявку в форме ниже. Будь то консультация или аудит ИБ, я смогу вам помочь в кратчайшие сроки.

[post_title] => Аудит информационной безопасности [post_excerpt] => Аудит информационной безопасности — это оценка состояния ИБ на соответствие с определенными критериями, показателями безопасности в целом и на соответствие нормативным актам контролирующих органов государственной власти, в частности. [post_status] => publish [comment_status] => open [ping_status] => closed [post_password] => [post_name] => audit-informatsionnoy-bezopasnosti [to_ping] => [pinged] => [post_modified] => 2022-01-11 17:40:01 [post_modified_gmt] => 2022-01-11 14:40:01 [post_content_filtered] => [post_parent] => 0 [guid] => https://tsarev.biz/?post_type=articles&p=10197 [menu_order] => 0 [post_type] => articles [post_mime_type] => [comment_count] => 2 [robotsmeta] => [pod_item_id] => 10197 )
аудит информационной безопасности

Аудит информационной безопасности

Array
(
    [ID] => 10206
    [post_author] => 3879
    [post_date] => 2019-12-31 15:14:04
    [post_date_gmt] => 2019-12-31 12:14:04
    [post_content] => 

Проведение аудита системы защиты информации по ГОСТ Р 57580 осуществляется в соответствии с методикой, которая изложена в стандарте ГОСТ Р 57580.2-2018.

На территории РФ ГОСТы, по умолчанию, являются рекомендательными. Тем не менее, обязательность их применения определятся законом, подзаконным актом или ведомственным документом регулирующего органа. В  нашем случае регулятором является Банк России.

Регулятор выпустил документы 382-П, 684-П, 683-П, которые прошли Минюст, и именно в документах содержатся прямые ссылки на ГОСТ. Соответственно, де-факто ГОСТ Р 57580.1-2017 и ГОСТ Р 57580.2-2018 стали обязательными. Кроме того, применительно к единой биометрической системе имется 321 приказ Минкомсвязи, который также содержит ссылки на ГОСТ.

Для проведения оценки соответствия по ГОСТ 57580 необходимо привлекать стороннюю организацию, имеющую лицензию на техническую защиту конфиденциальной информации, причем данная организация должна соответствовать определению проверяющей организации (по ГОСТу):

3.2 проверяющая организация: Организация, проводящая оценку соответствия ЗИ финансовой организации и являющаяся независимой от проверяемой организации и от организаций, осуществлявших или осуществляющих оказание услуг проверяемой организации в области реализации информатизации и защиты информации (в части внедрения и/или сопровождения систем, средств, процессов информатизации и защиты информации, используемых в финансовой организации в период проведения проверки и входящих в область оценки соответствия ЗИ).

Таким образом, аудитор, проводящий оценку не должен в момент проведения оценки оказывать услуги по защите информации, внедрять или сопровождать какие-либо системы по защите информации в проверяемой организации.

Ключевые положения ГОСТ 57580

Любая финансовая организация имеет определенные риски во время проведения денежных операций. Злоумышленники способны завладеть конфиденциальными данными, что может привести не только к подрыву репутации организации, но и нарушить стабильное функционирование банка. Основные задачи проведения оценки по ГОСТ 57580 заключаются в том, чтобы минимизировать финансовые риски.

В соответствии с настоящим стандартом определяется 3 уровня защищенности:

  • минимальный;
  • стандартный;
  • усиленный.

Применение того или иного уровня определятся ведомственными документами ЦБ. Основные требования защиты информации устанавливаются на основе оценивания следующих критериев: деятельность финансовой организации, объем финансовых операций, национальная платежная система и размер компании.

Для большинства банков и некредитных финансовых организаций определен - стандартный уровень защищенности.

Цена оценки приведения в соответствие ГОСТ 57580 также напрямую связана с указанными параметрами.

Как осуществляется процесс проведения оценки соответствия?

Процесс оценки достаточно объемный и трудоемкий. Ключевые особенности в ходе аудита выглядят следующим образом.

  • Взаимодействие с заказчиком
  • Оценка применения и полноты реализации мер
  • Согласование итоговой оценки с заказчиком

Основные свидетельства, которые используются для оценивания состояния системы защиты информации – это документы, результаты наблюдений и данные, предоставляемые в ходе взаимодействия с организацией.

В случае, когда невозможно обеспечить техническую реализацию требования по защите информации, могут приниматься компенсирующие меры. Задача заключается в том, чтобы обеспечить безопасность данных.

Оформление отчета по результатам аудита по ГОСТ Р 57580

В соответствии с установленным стандартом, в отчет входит следующая информация:

  • Область оценки
  • Результаты и заключение оценки
  • Копии предоставленных свидетельств

Помимо этого, в отчете указывается краткое описание проведенных работ.

Требования

В стандарте ГОСТ Р 57580 говорится о том, что должна осуществляться полноценная защита информации в направлениях:

  • обеспечения защиты при управлении доступом;
  • обеспечения защиты вычислительных сетей;
  • контроля целостности и защищенности информационной инфраструктуры;
  • защиты от вредоносного кода;
  • предотвращения утечек информации;
  • управления инцидентами;
  • защиты среды виртуализации;
  • защиты при удаленном доступе с использованием мобильных устройств.

Применительно к оценке единой биометрической системы по ГОСТу 57580 исключаются направления по мобильным устройствам (ибо существующие решения не обладают соответствующим функционалом).

Под объектом информатизации финансовой компании понимается совокупность ресурсов и объектов доступа, систем и средств обработки данных, включая АС. Описывать границы оценивания необходимо в виде списка ресурсов и объектов доступа. В соответствии с требованиями, к объектам относятся.

  • Автоматизированные рабочие места;
  • Сетевые устройства;
  • СКУД;
  • Аппаратные модули безопасности;
  • Серверные устройства;
  • Оборудование печати и копирования данных;
  • Системы хранения данных;
  • Общедоступные объекты (банкоматы, платежные терминалы).

Под ресурсами принято понимать:

  • Базы данных;
  • Сетевые ресурсы;
  • Виртуальные машины;
  • АС;
  • Почтовые сервисы;
  • Web-сервисы;
  • Ресурсы доступа к данным.

Финансовая компания во время аудита должна предоставить полноценную информацию проверяющей стороне.

Это одно из нововведений, т.к. в оценках по старым критериям, таким как СТО БР ИББС или 382-П такого положения не было. И в результате нельзя было однозначно установить был ли факт обмана со стороны аудитора или это проверяемая организация дала "неправильные" свидетельства.

Важно, что компания-аудитор самостоятельно принимает решение по поводу проверки объектов и ресурсов, выборки среди них необходимых для проведения аудита.

Особое внимание в процессе проведения выборки уделяется качеству имеющейся информации. Если проверяемая сторона предоставила неточные сведения, то это негативно отразится на проверке, что может дискредитировать всю оценку.

Заказать оценку соответствия ГОСТ Р 57580 вы можете прямо сейчас. Все что от вас требуется – это позвонить по указанному номеру телефона или отправить сообщение в форме обратной связи.

[post_title] => Оценка соответствия ГОСТ 57580 [post_excerpt] => При проведении оценки выполнения требования защиты информации в соответствии с ГОСТ 57580 необходимо определять объекты информационной инфраструктуры, в том числе автоматизированные системы в соответствии с требованиями Центрального банка РФ. [post_status] => publish [comment_status] => open [ping_status] => closed [post_password] => [post_name] => gost-57580 [to_ping] => [pinged] => [post_modified] => 2022-01-11 17:30:32 [post_modified_gmt] => 2022-01-11 14:30:32 [post_content_filtered] => [post_parent] => 0 [guid] => https://tsarev.biz/?post_type=articles&p=10206 [menu_order] => 0 [post_type] => articles [post_mime_type] => [comment_count] => 0 [robotsmeta] => [pod_item_id] => 10206 )
ГОСТ 57580.1

Оценка соответствия ГОСТ 57580

Array
(
    [ID] => 10208
    [post_author] => 3879
    [post_date] => 2019-12-31 15:22:47
    [post_date_gmt] => 2019-12-31 12:22:47
    [post_content] => 

Компьютерная экспертиза

Компьютерно-техническая экспертиза (КТЭ) – ряд экспертных мероприятий, которые проводят для получения данных путем детального исследования различных носителей информации, компьютерных средств и систем, что обеспечивают информационные процессы. Сегодня она позволяет подготовить доказательную базу, которую можно использовать в суде для отстаивания интересов лиц участвующих в процессе. В том числе в уголовных делах. Эта статья – краткий обзор того, что включает в себя компьютерно-техническая экспертиза. Вы узнаете, что исследуют эксперты в этом направлении, когда проводятся подобные мероприятия и на какие вопросы должна отвечать данная экспертиза.

Досудебная и судебная компьютерно-техническая экспертиза

Эту услугу нужно заказать в ситуациях, когда было осуществлено правонарушение с применением разных компьютерных средств и/или информационных данных. Или с целью урегулирования спора в досудебном порядке. Она позволяет обнаружить следы преступления и решить целый ряд задач:

  • сравнить результаты работ по IT-контрактам на соответствие с техническим заданием;
  • исследовать технику и программное обеспечение на предмет соответствия требованиям договора и ТЗ по 44-ФЗ;
  • заверить переписку в электронной почте или мессенджерах;
  • исследовать аудиозапись или видеозапись на предмет наличия монтажа аудиозаписи (аутентичности);
  • оценить стоимость разработки программного обеспечения;
  • исследовать сайт и зафиксировать содержимое страниц;
  • исследовать степень сходства исходных кодов;
  • установить специфику использования компьютерных систем в ходе правонарушения;
  • выявить особенности разработки и применения программных продуктов. Например, программного обеспечения с нарушением авторского права;
  • получить доступ к информации на разных носителях: жестких дисках, flash-накопителях, SD и других картах памяти, прочее;
  • изучить информацию, которую создал пользователь или программа для реализации тех или иных информационных процессов;
  • установить специфику работы компьютерных средств, что реализуют ту или иную сетевую информационную технологию.

Среди прочего, эксперт может обнаружить и подтвердить, что были попытки использования компьютерной системы, изменение, удаление или внесение новых данных. Подобная практика сегодня наблюдается часто. Особенно если предприятие не уделяет требуемого внимания компьютерной безопасности. После проведения экспертизы заказчик получает заключение эксперта оформленное в соответствии с 73-ФЗ, в котором содержится вся обнаруженная информация. В дальнейшем оно может быть использовано в суде как элемент доказательной базы.

Компьютерно-техническая экспертиза: вопросы

Перед экспертом в области компьютерной техники ставится ряд вопросов в четырех больших категориях:

1. На стадии установления обстоятельств использования различных компьютерных средств:

      • Имело ли место подключение сторонних (внешних) носителей данных к предоставленному компьютеру? Выполнялись ли какие-либо манипуляции с данными и файлами? Удалялась/копировалась ли информация.
      • Использовался ли компьютер в конкретный отрезок времени? Какие операции с ним проводились?
      • Изменялось ли системное время компьютера?

2. В ходе установления фактов разработки и/или использования программного обеспечения:

      • Есть ли на компьютере ПО? Как и когда оно было установлено? Какая версия? Работоспособно ли оно?
      • Использовались ли средства защиты авторских прав в ходе установки/использования ПО? Какие это средства?
      • Имело ли место использование инструментов для нейтрализации авторского права?
      • Соответствует ли разработанное ПО действующим нормам и требованиям ТЗ?
      • Когда система или оборудования начали использоваться?

3. В процессе установления обстоятельств создания и/или использования баз данных, документов, прочей информации:

      • Есть ли в памяти устройства средства, предоставленные для исследования?
      • Есть ли на носителях данных сведения о создании файлов/документов? Когда последние были созданы? Вносились ли в них какие-либо изменения?
      • С какой учетной записи осуществлялись изменения документов/файлов?
      • Можно ли восстановить удаленную информацию?

4. На этапе установления фактов применения сетевых технологий:

      • Был ли выход из рассматриваемого компьютера в интернет?
      • Какие использовались логины и пароли для выхода в Сеть?
      • Когда по времени компьютер был подключен к интернету?
      • Использовались ли в этот период почтовые клиенты и другие инструменты?

Важно! Приведенный список – не исчерпывающий. Если возникают другие вопросы, нужно обращаться к эксперту и обсуждать все индивидуально.

 

Стоимость компьютерно-технической экспертизы

Чтобы узнать, сколько стоит проведение экспертных мероприятий в вашем случае, обращайтесь к специалисту. Он выполнит расчет стоимости и озвучит точную цену, так как она формируется индивидуально. В большинстве случаев на время работы эксперта не нужно приостанавливать деятельность вашей организации.

[post_title] => Компьютерно-техническая экспертиза [post_excerpt] => Что такое судебная компьютерно-сетевая экспертиза и для чего она проводится. Ситуации, когда ее проведение обязательно, а когда в ней нет необходимости. [post_status] => publish [comment_status] => open [ping_status] => closed [post_password] => [post_name] => kompyuterno-setevaya-ekspertiza [to_ping] => [pinged] => [post_modified] => 2023-11-30 11:03:36 [post_modified_gmt] => 2023-11-30 08:03:36 [post_content_filtered] => [post_parent] => 0 [guid] => https://tsarev.biz/?post_type=articles&p=10208 [menu_order] => 0 [post_type] => articles [post_mime_type] => [comment_count] => 2 [robotsmeta] => [pod_item_id] => 10208 )
Требование к экспертам

Компьютерно-техническая экспертиза

Предоставлю подробную консультацию

Предложу актуальное и наиболее выгодное решение Вашей проблемы.

6 комментариев

    Александр:

    В чем принципиальное отличие оценки состояния ИБ от аудита ИБ?

    Михаил:

    Принципиальное отличие выделить достаточно тяжело. В общем случае аудит проводится по неким критериям, а оценка состояния – по экспертным практикам.

    Anon3561:

    Как понять, что специалисты независимой экспертной организации обладают необходимыми знаниями и компетенциями для проведения оценки состояния информационной безопасности компании?

    VladVlad:

    Теоретические знания подтверждаются дипломами, сертификатами и иными образовательными документами. Практическая квалификация подтверждается перечнем завершенных проектов, благодарностями клиентов, научными публикациями.

    Anon3561:

    Как часто следует проводить оценку Иб в компании?

    VladVlad:

    Anon3561, не реже 1 раза в год

Добавить комментарий

Ваш адрес email не будет опубликован. Обязательные поля помечены *

*

This site is protected by reCAPTCHA and the Google Privacy Policy and Terms of Service apply.

The reCAPTCHA verification period has expired. Please reload the page.