Разработка рекомендаций по совершенствованию системы защиты и устранению уязвимых мест

а) организационные характеристики:

— наличие, полнота и актуальность организационно-регламентных и нормативно-технических документов;
— разделение зон ответственности ролей персонала по обеспечению информационной безопасности и его корректность;
— наличие документированных списков, описывающих полномочия сотрудников по доступу к сетевым устройствам и серверам;
— наличие планов по поддержке квалификации персонала, ответственного за обеспечение информационной безопасности;
— осведомленность пользователей и персонала, поддерживающего функционирование КИС, о требованиях по обеспечению информационной безопасности;
— корректность процедур управления изменениями и установления обновлений;
— порядок предоставления доступа к внутренним ресурсам информационных систем;
— наличие механизмов разграничения доступа к документации.

б) организационно-технические характеристики:

— возможности использования найденных уязвимых мест в сетевых устройствах и серверах для реализации атак;
— наличие оперативного анализа журналов аудита и реагирования на события, связанные с попытками несанкционированного доступа, оценка полноты анализируемых событий, оценка адекватности защиты журналов аудита;
— наличие процедур по обнаружению и фиксации инцидентов информационной безопасности и механизмов расследования таких инцидентов;
— наличие процедуры и документирование любых действий, связанных с модификацией прав доступа, изменениями параметров аудита;
— периодичность контроля защищенности сетевых устройств и серверов — razgovorodele.ru;
— наличие процедуры отслеживания новых уязвимостей в системном программном обеспечении и его обновления;
— ограничение доступа в серверные помещения;
— адекватность времени восстановления в случае сбоев критичных устройств и серверов;
— наличие зоны опытной эксплуатации новых решений, процедуры тестирования и ввода в промышленную эксплуатацию.

в) технические характеристики, связанные с архитектурой КИС:

— топология и логическая организация сетевой инфраструктуры, адекватность контроля логических путей доступа, адекватность сегментирования;
— топология и логическая организация системы защиты периметра, адекватность контроля доступа из внешних сетей;
— топология, логическая организация и адекватность контроля доступа между сегментами;
— наличие узлов, сбои на которых приведут к невозможности функционирования значительной части в КИС;
— наличие точек удаленного доступа к информационным ресурсам КИС и адекватность защиты такого доступа.

г) технические характеристики, связанные с конфигурацией сетевых устройств и серверов КИС:

— права доступа персонала к сетевым устройствам и серверам, оценка минимально необходимых прав, которые требуются для выполнения производственных задач;
— соответствие списков контроля доступа на сетевых устройствах документированным требованиям;
— соответствие конфигурации операционных систем и использованию штатных механизмов информационной безопасности рекомендациям производителя и лучшей практике;
— наличие неиспользованных сервисов или сервисов, содержащих известные уязвимости;
— соответствие механизма и стойкости процедуры аутентификации — критичности ресурсов, оценка адекватности парольной политики и протоколирования деятельности операторов.

д) технические характеристики, связанные с использованием встроенных механизмов информационной безопасности:

— требованиям и оценка адекватности существующей конфигурации;
— оценка адекватности использования криптографической защиты информации и процедуры распределения ключевой информации;
— наличие антивирусной проверки трафика, а также антивирусного контроля на рабочих станциях пользователей;
— наличие резервных копий файлов конфигурации и образов дисков для критичных сетевых устройств и серверов;
— наличие источников бесперебойного питания для критичных сетевых устройств и серверов и их адекватность требованиям по времени бесперебойной работы.

Рекомендации по результатам аудита информационной безопасности могут включать предложения и рекомендации:

— по совершенствованию архитектуры и организации построения КИС;
— по изменению конфигурации существующих сетевых устройств и серверов;
— по изменению конфигурации существующих средств защиты;
— по активации дополнительных штатных механизмов безопасности на уровне системного программного обеспечения;
— по использованию дополнительных средств защиты;
— по разработке организационно-распорядительных и нормативно-технических документов;
— по разработке программы осведомленности сотрудников в части информационной безопасности;
— по пересмотру ролевых функций персонала и зон ответственности;
— перечень мероприятий по поддержке и повышению квалификации персонала;
— периодичность и содержание работ по проведению анализа рисков и аудита по информационной безопасности;
— по этапам развития системы информационной безопасности заказчика.

При разработке рекомендаций делается ссылка на те уязвимые места, которые устраняются или минимизируются для данной рекомендации, а также на те риски, которые могут быть снижены за счет внедрения рекомендаций. Перечень рекомендаций согласуется с заказчиком на предмет возможности их реализации — razgovorodele.ru. Определяются рекомендации, которые могут быть реализованы заказчиком самостоятельно и рекомендации, для реализации которых необходимо привлечение внешнего подрядчика. Совместно с заказчиком определяются этапы реализации рекомендаций и определяются точки и механизмы контроля.

Отдельно стоит подчеркнуть, что оценке и выдаче рекомендаций подлежит не только документированная деятельность по обеспечению информационной безопасности, но и деятельность, осуществляемая персоналом заказчика на недокументированной основе. В последнем случае в отчете об обследовании эксперты исполнителя производят документирование такой деятельности.