Комплекс организационных и технических мероприятий и работ, в результате которых подтверждается соответствие объекта информатизации требованиям по защите информации в условиях его эксплуатации.

В каких случаях аттестация обязательна?
1. Если информационная система обрабатывает государственную тайну.
2. Если информационная система используется при организации защиты информации, содержащейся в государственных информационных ресурсах.
3. Если информационная система используется при выполнении требований по лицензированию технической защиты конфиденциальной информации (ТЗКИ) и средств криптографической защиты информации (СКЗИ).
4. Если информационная система используется при обработке информации в государственных и муниципальных информационных системах.

Также аттестацию можно провести добровольно, если
– информационная система - объект КИИ,
– информационная система обрабатывает персональные данные,
– информационная система – АСУТП.

Когда следует проводить аттестацию?
1. На этапе создания объекта информатизации.
2. В процессе развития и модернизации объекта информатизации.
3. На этапе эксплуатации, когда владелец объекта информатизации принимает решение об обработке защищаемой информации после ввода в эксплуатацию.

Этапы аттестации
1. Определение методов, способов и инструментов.
2. Проведение испытаний.
3. Оценка результатов.
4. Выдача аттестата соответствия.

* Объект информатизации – совокупность информационных ресурсов, средств и систем обработки информации, а также средств их обеспечения, помещений или объектов (зданий, сооружений, технических средств), в которых эти средства и системы установлены, или помещений и объектов, предназначенных для ведения конфиденциальных переговоров.

Информационная безопасность – регламентированная сфера, которая требует описания действий и процедур. Мы упорядочим и внедрим необходимые процессы и возьмем на себя разработку всей документации по ним.

РАЗРАБАТЫВАЯ ДОКУМЕНТАЦИЮ, МЫ ПРИДЕРЖИВАЕМСЯ ИЕРАРХИИ, ДЕЙСТВУЮЩЕЙ ПО ПРИНЦИПУ «ОТ ОБЩЕГО К ЧАСТНОМУ»:

Первый уровень
Документы, содержащие свидетельства выполненной деятельности по обеспечению ИБ: отчеты, журналы, иные материалы, подтверждающие следование регламентам.

Второй уровень
Документы, содержащие требования ИБ к процедурам: инструкции, руководства, техническая документация.

Третий уровень
Документы, содержащие частные политики информационной безопасности, которые конкретизируют отдельное направление защиты информации: например, защиту виртуальной инфраструктуры.

Четвертый уровень
Документы, содержащие положения корпоративной политики ИБ.

Система защиты информации – это совокупность организационных, правовых и технических мер, направленных на нейтрализацию актуальных угроз.

Мы разрабатываем системы информационной безопасности для заказчика, основываясь на его целях и задачах. Созданная нами инфраструктура в первую очередь защищает критические для компании данные, учитывает особенности бизнес-процессов и не расходует бюджет впустую.

Что мы делаем?
1. Формируем требования к защите вашей информации: классифицируем информационные системы, разрабатываем модель угроз и рисков, создаем техническое задание для системы защиты информации.
2. Разрабатываем технический проект на создание системы защиты информации. Он включает описание конкретных технических и организационных мероприятий, которые необходимо осуществить, согласно требованиям в ТЗ.
3. Внедряем систему защиты информации и разрабатываем необходимую организационно-распорядительную документацию: инструкции, правила, руководства и приказы, которые определяют правила и процедуры, реализуемые для обеспечения защиты информации в системе в ходе ее эксплуатации.
4. Проводим испытания системы защиты информации, чтобы проверить надежность и выявить возможные недочеты.

Мельчайшая ошибка или небольшой недочет в инфраструктуре ИБ может привести к серьезным последствиям для компании. Чтобы предупредить их, проводится оценка эффективности системы. Мы проверяем ее на соответствие стандартам и нормативным документам контролирующих органов, «лучшим практикам», стандартам производителей ПО, оборудования, средств защиты информации.

ЧТО ПРОВЕРЯЕМ?

• Логику проектирования системы защиты информации.
• Фактическое выполнение построенных процессов.
• Качество и содержание документации.
• Качество настройки ПО и средств защиты.
• Знания персонала.
• Устойчивость системы к атакам.

Мы обладаем углубленной экспертизой и многолетним опытом в работе с решениями вендоров «ИнфоТеКС», «Код Безопасности» и Positive Technology, поэтому предлагаем своим заказчикам полное сопровождение этих систем.

Что это значит? Наши специалисты полностью заберут на себя задачи по работе с продуктом: поддержка, перенастройка, обновление и прочее. Проще говоря, вы получите квалифицированного специалиста с удаленным доступом или даже у вас в офисе.

Кому необходима эта услуга?
– Организациям, ИТ-/ИБ-команда которых предельно загружена, а на расширение пока нет возможности;
– Организациям, в которых нет специалистов для работы с системой;
– Организациям, которым необходимо обучение сотрудников работе с системой на практике.

Сопровождение систем можно оформить на 1, 3, 6 или 12 месяцев и продлить по необходимости.

Риск-ориентированная модель построения ИБ-системы основывается на определении ключевых процессов для компании, нарушение которые ведет к недопустимым последствиям, и обеспечении их максимальной защиты. При использовании такой модели наши специалисты совместно с заказчиком формируют перечень рисков, определяют уровень ущерба при наступлении каждого из них и выделяют критичные, защита от наступления которых необходима в первую очередь. Работа с остальным рисками ведется с точки зрения минимизации негативных последствий, организации мониторинга и контроля.

Этапы работы по риск-ориентированной модели:
1. Анализ
Главная цель этого этапа – совместно с заказчиком определить, прерывание каких бизнес-процессов может привести к негативным последствиям (экономическим, репутационным, операционным, производственным).
2. Верификация
Наши специалисты моделируют внешние и внутренние атаки, чтобы верифицировать киберриски и их последствия.
3. Планирование
По результатам предыдущего этапа разработываем дорожную карту дальнейшей модернизации технологий и процессов, которые позволят события, которые произошли на втором этапе, сделать максимально невозможными.
4. Реализация
На этом этапе происходят реинжиниринг процессов, харденинг, внедрение новых процессов и систем и повторная имитация действий злоумышленника.

Результат
• Запущены механизмы прогнозирования, предотвращения и раннего обнаружения воздействий на критические для вашей компании процессы;
• Разработаны нормативно-правовые акты;
• Внедрены технические средства защиты информации;
• Минимизированы возможности угроз безопасности информации за счет организации профилактической деятельности.

Изучение информации об организации, размещенной в открытом доступе, позволяет нам предварительно оценить уровень ее защищенности и обнаружить самые слабые места во внешнем периметре, которыми легко может воспользоваться злоумышленник.

КАКУЮ ИНФОРМАЦИЮ МЫ ИЩЕМ?

• Информацию об используемых в организации технологиях.
• Список поддоменов и IP-адресов организации, которые могут стать точкой входа для нарушителя.
• Корпоративные почтовые адреса сотрудников организации.
• Список паролей в открытом доступе.
• Информацию в соцсетях сотрудников.
• Любую информацию в сети, которую могут использовать злоумышленники.

Отчет по итогу оказания этой услуги позволит вам сформировать понимание о том, какая информация уже сейчас может находиться в руках злоумышленников и чем это вам может угрожать.