СОИБ. Анализ. 10 лучших практик по ИБ для Гос

Примерно месяц назад довелось выступить на совете ИБ правительства одной из республик. Дали всего 15 минут, при этом надо было рассказать что-то интересное в дополнение к выступлениям местных ФСТЭК и ФСБ. Решил сделать в виде 10 лучших практик / советов на основе опыта компании в работах с Гос.

Выкладываю презентацию тут – возможно для кого-то будет полезной.





Комментарии

Unknown написал(а)…
ИМХО, периодичность мероприятий указана для сферической ИБ в вакууме.
Кроме того, Вы несколько лукавите, когда утверждаете, что указанная периодичность установлена законом.
30 декабря 2015 г. в 02:44
Сергей Борисов написал(а)…
Конечно по одному только слайду может быть непонятна мысль, которую я пытался донести.

Более подробно можно почитать тут http://sborisov.blogspot.ru/2015/12/blog-post.html
указана периодичность с которой я рекомендую проверять, не пропустили ли мы события, требующие от нас выполнения мероприятий
30 декабря 2015 г. в 02:59
Unknown написал(а)…
Сергей, а не будет ли лучшей практикой напоминать госзаказчику, что защита от НСД не на сетевом уровне она не только Secret Net'ом единым строится, но и, например, 1С, SAP, DocsVision, Парус и т.д.(слайд 14)?
Не стоит ли упомянуть об обязательности использования сертифицированных СЗИ?

P.S. Ревизор сети - он не совсем от РНТ.
10 января 2016 г. в 23:00
Сергей Борисов написал(а)…
Фридрих Путин, спасибо за комментарий. Постараюсь учесть.
Про сертификацию СЗИ - это у меня в расширенной версии, тут в top10 не попало на отдельный слайд.
Кстати Парус уже сертифицирован?
11 января 2016 г. в 02:04
Unknown написал(а)…
"Применение СЗИ без действующей технической поддержки не соответствует требованиям законодательства РФ" что-то новенькое для меня. Это в каком законе написано? Т.е. если у нас антивирус установлен, то у него еще должен быть сертификат на тех. поддержку? Кто осуществляет техническую поддержку, сама фирма Каспеского или любая фирма обладающая лицензией фстэка? Море вопросов...
27 января 2016 г. в 22:36
Сергей Борисов написал(а)…
Под технической поддержкой понимается договор, позволяющий получать обновления и патчи безопасности.
Уже сталкивались с ситуациями когда ФСТЭК выявлял что используемые СЗИ имеют уязвимости из числа перечисленных в БДУ и как следствие - нарушение, так как СЗИ не выполняет требований безопасности.
Вот хороший пример http://www.bdu.fstec.ru/vul/2016-00436

Во всех СЗИ это по разному продается. Антивирусы - право получать обновления входит в годовую подписку. СЗИ от НСД, МЭ, криптошлюзы - там на второй и последующий года надо продлевать отдельную ТП. Cisco ASA - нужно подписку смартнет заказывать.
2 марта 2016 г. в 06:13
Отправить комментарий

Популярные сообщения из этого блога

СКЗИ. НПА. Некоторые вопросы применения криптографии

Изображение
Как показывает практика, немногие организации помнят и руководствуются приказом ФАПСИ (правопреемником которой является ФСБ России) от 13 июня 2001 г. N 152 "Об утверждении Инструкции об организации и обеспечении безопасности хранения, обработки и передачи по каналам связи с использованием средств криптографической защиты информации с ограниченным доступом, не содержащей сведений, составляющих государственную тайну ". А ведь Инструкция является обязательной при использовании сертифицированных СКЗИ для обеспечения безопасности информации ограниченного доступа (подлежащей защите в соответствии с законодательством РФ).     А это ПДн, все виды тайн, ГИСы, НПСы, будущие КИИ. С 2008 по 2012 год для ПДн действовало послабление в виде “Типовые требования по организации и обеспечению функционирования шифровальных (криптографических) средств, предназначенных для защиты информации, не содержащей сведений, составляющих государственную тайну в случае их использования для обесп...
Далее...

КИИ. Категорирование объектов, часть 3

Изображение
Продолжаем проводить категорирование объекта КИИ на примере организации сферы здравоохранения. На предыдущем этапе мы выявили критические процессы организации. Теперь определяем объекты КИИ и отправляем их на согласование (этап простой и очевидный, но постараюсь добавить несколько полезных моментов) 3. Определение объектов КИИ Продолжаем начатое на прошлых этапах (а можно и совместить 1-3) общение с руководителями подразделений. Спрашиваем какие ИС или АСУ обрабатывают информацию, необходимую для обеспечения выявленных критических процессов, и (или) осуществляют управление, контроль или мониторинг критических процессов. Отдельно в ИТ подразделении получаем полный перечень ИС (он должен был готовится в рамках мероприятий по ПДн) и АСУ, совместно с ИТ выкидываем из перечня ИС, не связанные с критическими процессами (как правило, кадровые, бухгалтерские, отчетность, банк-клиенты). В результате, того, что данные об ИС и АСУ получены не из одного источника, гарантируется его ...
Далее...

Модель угроз безопасности клиента финансовой организации

Изображение
  Уже более 2 месяцев как вступил в силу методический документ ФСТЭК по моделированию угроз, а ни одного публичного примера модели угроз информационной безопасности сообществом не было опубликовано. Как мы обсуждали на межблогерском вебинаре по моделированию угроз ИБ , такой пример мог бы сильно помочь ответственным лицам, обязанным руководствоваться данной методикой. Пример модели угроз обещал сделать Алексей Лукацкий, но пока у него получилась серия публикаций про проблемы моделирования и примера ещё нет. В УЦСБ в рамках услуг по моделированию угроз, коллеги уже провели необходимую аналитику и подготовили внутренние средства автоматизации для разработки МУ, что уже говорит о возможности моделирования угроз по новой Методике.  К последнему межблогерскому вебинару по безопасности клиентов финансовых организаций я решил проверить насколько адекватной получится модель угроз для типового сегмента клиента ФО (а для данной статьи ещё и обновил графическое оформление). ...
Далее...