Анализ защищенности ИT-ресурсов от актуальных угроз

• Технология
• Проекты

Зачем нужен анализ защищенности ИT-ресурсов от актуальных угроз? 

Эффективное ведение бизнеса невозможно без использования современных информационных технологий. При этом информационные системы используются для поддержки практически всех бизнес-процессов современной компании. Столь широкое применение информационных технологий влечет за собой повышение рисков, связанных с недостаточным уровнем  безопасности обрабатываемых данных. Одним из основных таких рисков является утечка конфиденциальной информации. Для компании могут быть актуальными как внешние, так и внутренние угрозы утечки информации. Для определения и оценки рисков, выявления актуальных каналов утечки информации, а также для определения существующих уязвимостей информационных систем проводится комплекс работ по анализу защищенности ИT-ресурсов компании. 

Аудит состояния защищенности информационных систем (ИС) представляет собой комплекс работ, включающий исследование всех аспектов обеспечения информационной безопасности (ИБ) в организации с целью определения его текущего состояния, проводимый по согласованному  плану в соответствии с выбранной методикой и критериями.  

Технология

В результате аудита защищенности ИС решаются  следующие задачи: 

• проводится обследование состояния существующей информационной системы: анализ ее структуры, функций и особенностей, используемых технологий автоматизированной обработки и передачи информации, анализ выполняемых процессов, нормативной и технической документации;  
• определяется состав защищаемой информации (включая сведения, составляющие государственную тайну, конфиденциальную информацию, персональные данные и т.д.), ее размещение по элементам информационной системы  при обработке и хранении, выявление узлов и линий связи, по которым циркулирует защищаемая информация; 
• выявляются  значимые угрозы безопасности информации и основные пути их реализации, определяются и ранжируются по степени опасности существующие уязвимости технологического характера и недостатки организационного обеспечения безопасности информации в информационных системах;  
• разрабатывается  модель нарушителя, определяются возможности реализации нарушителем выявленных внутренних угроз в информационной системе  на основе обнаруженных уязвимостей;  
• проводится анализ и оценка рисков, связанных с возможностью осуществления угроз безопасности в отношении информационных ресурсов;  
• разрабатываются предложения и рекомендации по внедрению новых и повышению эффективности существующих механизмов обеспечения информационной безопасности информационных систем; 
• подготавливается отчет по исследованию состояния защищенности информации в информационной системе.  

Комплексный анализ уровня защищенности информационных систем от актуальных угроз проводится по собственной методике компании «АСТ», которая разработана на основе руководств и стандартов по защите информации – DISA, Microsoft, CIS, NIST и др. Эта методика позволяет осуществить глубокий анализ всех параметров, непосредственно или косвенно влияющих на безопасность по каждой из используемых технологий и программно-аппаратных компонент.  

Для проведения работ по инструментальному обследованию специалисты нашей компании используют современные программные комплексы анализа защищенности: 

• XSpider 
• ISS Internet Security Scanner 
• Shadow Database Scanner 
• MBSA, а также программный комплекс анализа сетевого трафика Whireshark. 

Кроме того, для анализа параметров и настроек операционных систем используется специализированное программное обеспечение, разработанное в нашей компании. ПО позволяет собрать данные о сотнях параметров настройки операционной системы и сформировать отчет, содержащий количественные и качественные оценки обнаруженных уязвимостей и недостатков в настройке операционных систем. 

Аудит состояния защищенности ИС Заказчика проводится на основе требований законодательных актов и нормативно-правовой документации в области ИБ.  

В результате выполнения работ Заказчик получает информацию об уровне защищенности корпоративной системы, об  основных угрозах информационной безопасности, об обнаруженных уязвимостях, а также рекомендации по их устранению. Наши специалисты предоставят квалифицированную  оценку по выбору  и применению средств защиты информации и других дополнительных специальных технических средств, рекомендации по этапам модернизации системы информационной безопасности и ориентировочные затраты на ее совершенствование. Также в специалисты «АСТ»  предложат варианты по совершенствованию пакета организационно-распорядительных документов, которые регламентируют процессы, влияющие на информационную безопасность. 

Наш опыт

Заказчик
ЗАО «ОЦВ» (дочерняя структура ОАО «РЖД»).

Решение
реализация комплексного проекта по защите информационных систем

реализация проекта включала выполнение следующих этапов:  

• аудит защищенности информационно-телекоммуникационой системы в целом
• проектирование системы информационной безопасности
• создание защищенного участка для обработки конфиденциальной информации.

В результате проведения работ на этапе анализа защищенности была получена  полная информация о реальном состоянии  уровня защиты информационной системы. На основе этих данных были выработаны решения по повышению уровня защищенности и план мероприятий по защите информационных ресурсов, а также сформулированы рекомендации по разделению обязанностей и ответственности службы информационной безопасности и службы обеспечения информационных систем.

• Услуги АСТ
• Анализ защищенности ИТ-ресурсов от актуальных угроз
• Разработка концепции и политики информационной безопасности
• Проектирование и внедрение комплексной системы защиты информации
• Сопровождение и поддержка созданной КСЗИ

• Решения АСТ
• Защита баз данных
• Защита персональных данных
• Системы мониторинга и управления инцидентами
• Системы сетевой безопасности
• Системы защиты от утечки информации (DLP-системы)