Информационное обследование

Информационное обследование проводится с целью сбора и обработки всех данных, необходимых для принятия решения по определению текущего уровня защищенности ИС компании и разработке рекомендаций по его повышению. Такое обследование включает в себя сбор сведений:

• об информационной системе организации, защищенность которой будет оцениваться в ходе работ;

• о процессах обеспечения информационной безопасности в организации;

• о текущем уровне защищенности ИС.

Сбор данных об информационной системе организации

Работы этого этапа включают получение сведений:

• об организационной структуре заказчика;

• о структуре комплекса используемых программно-технических средств;

• о характеристиках используемых каналов и точек подключения к сетям связи и сети Интернет;

• о структуре информационных потоков в ИС.

Информационное обследование также может включать сбор информации о следующих системах и сервисах:

• прикладные автоматизированные системы:

• автоматизированные системы управления деятельностью организации (для промышленных предприятий – АСУТП; для кредитно-финансовых организаций – АБС, процессинговые системы, системы дистанционного банковского обслуживания; для телекоммуникационных компаний – автоматизированные системы расчетов с абонентами и т.п.);

• системы управленческого анализа;

• системы класса CRM/ERP;

• средства подготовки и отправки отчетности;

• системы электронного документооборота и т.п.;

• инфраструктурные автоматизированные системы и сервисы:

• службы каталогов;

• сервисы ЛВС;

• беспроводные системы и сервисы (WiFi, Bluetooth и т.п.);

• службы терминального доступа;

• электронная почта;

• сервис доступа в сеть Интернет;

• сервис файлового обмена и т.п.

Сбор информации о процессах обеспечения информационной безопасности

Сбор информации о процессах обеспечения ИБ в организации проводится с целью оценки общего состояния данных процессов и их соответствия целям компании. При этом консультанты знакомятся с организационно-распорядительными документами по ИБ, утвержденными в обследуемой организации, а также проводят интервью с представителями высшего руководства, с руководителями основных и вспомогательных подразделений заказчика.

В процессе выполнения работ на данном этапе проводится:

• оценка зрелости процессов ИБ;

• оценка степени внедрения процессов информационной безопасности с целью выяснения того, насколько широко применяются рассматриваемые процессы;

• анализ существующей нормативно-распорядительной документации по обеспечению ИБ.

При анализе нормативно-распорядительной документации проводится проверка наличия в организации нормативно-регламентирующей базы по обеспечению информационной безопасности:

• организационной инфраструктуры с установленными обязанностями по обеспечению информационной безопасности для сотрудников всех должностей;

• утвержденной политики обеспечения информационной безопасности (политика парольной защиты, политика антивирусной защиты, политика реагирования на нарушения ИБ, политика использования ресурсов сети Интернет, положение о конфиденциальности и т.п.);

• документированных правил обращения с информационными ресурсами, включая правила отнесения данных к определенным категориям (перечень сведений, составляющих конфиденциальную информацию, регламент назначения и разграничения прав доступа к данным);

• документированных процессов обслуживания и администрирования информационной системы и используемых средств защиты, а также мер обеспечения бесперебойной работы.

Кроме того, в ходе работ специалистами компании-консультанта проводится экспресс-опрос сотрудников бизнес-подразделений организации с целью определения уровня знания, понимания и соблюдения положений политики и других документов по ИБ.

Результатом работ на данном этапе является оценка зрелости существующих процессов информационной безопасности и полноты существующих нормативно-регламентирующих документов, а также их применения сотрудниками в своей повседневной деятельности.

Сбор информации о защищенности информационной системы

На рассматриваемом этапе собираются данные о встроенных механизмах обеспечения информационной безопасности в прикладных и инфраструктурных системах, а также об используемых наложенных средствах защиты информации.

Этап сбора информации о текущем уровне защищенности ИС может также включать инструментальный анализ защищенности информационной системы организации2, который делится на две части: анализ защищенности внешних и внутренних ресурсов ИС.

Инструментальный анализ из сети Интернет имитирует действия внешних злоумышленников, которые обладают высоким уровнем знаний в области вычислительной техники и получают информацию об ИС из открытых источников.

Результатом таких работ является экспертная оценка потенциальной возможности совершения несанкционированного воздействия или нанесения ущерба ресурсам информационной системы со стороны внешних злоумышленников.

Внутренний инструментальный анализ имитирует действия внутренних злоумышленников, являющихся зарегистрированными пользователями информационной системы организации.

Результатом этих работ является экспертная оценка потенциальной возможности совершения несанкционированного воздействия или нанесения ущерба ресурсам информационной системы со стороны внутренних злоумышленников, а также защищенности эксплуатируемых в информационной системе прикладных систем, операционных систем и баз данных.