Несанкционированный доступ
Компрометация учетных записей, превышение полномочий и доступ к закрытой информации.
ГОСУДАРСТВЕННЫЙ СЕКТОР
Информационная безопасность государственных и муниципальных организаций
Проектируем и внедряем защиту государственных информационных систем, персональных данных, ведомственной инфраструктуры и критически значимых сервисов. Учитываем требования регуляторов, архитектуру действующих систем и необходимость сохранить непрерывность работы учреждения.
От обследования и подготовки документов до внедрения средств защиты, сопровождения и подготовки к аттестации.
КЛЮЧЕВЫЕ РИСКИ
Что необходимо защищать в государственном секторе
Инцидент может затронуть не только данные, но и доступность государственных услуг, работу ведомственных систем, исполнение полномочий и взаимодействие с гражданами и организациями.
Утечки персональных данных
Нарушение режима обработки ПДн, передача данных третьим лицам и регуляторные риски.
Остановка государственных сервисов
DDoS, шифровальщики, сбои инфраструктуры и потеря доступности информационных систем.
Нарушение целостности информации
Изменение реестров, документов, учетных записей и значимых данных без полномочий.
Неисполнение требований регуляторов
Недостаточность организационных мер, документов, средств защиты и подтверждающих материалов.
Устаревшая инфраструктура
Неподдерживаемые системы, известные уязвимости и сложность безопасной модернизации.
Нормативный контур
Нормативный контур
Состав требований определяется типом системы, категорией обрабатываемой информации, уровнем защищенности, наличием объектов КИИ и отраслевой спецификой.
Точный перечень применимых требований определяется после обследования.
Аттестационные работы выполняются в установленном порядке самостоятельно
либо в партнерстве с аккредитованной лабораторией.
Приказ ФСТЭК России № 17 для государственных информационных систем
Приказ ФСТЭК России № 21 для информационных систем персональных данных
Приказ ФСТЭК России № 77 в части аттестации объектов информатизации
Федеральный закон № 152-ФЗ «О персональных данных»
Федеральный закон № 187-ФЗ «О безопасности критической информационной инфраструктуры»
Требования по защите конфиденциальной информации и применению сертифицированных СЗИ
Ведомственные, отраслевые и локальные нормативные документы заказчика
Требования к импортозамещению и использованию отечественных решений, если применимо
Этапы проекта
Как строится проект
Обследование
Изучаем состав систем, инфраструктуру, процессы, документы, модель доступа и применяемые средства защиты.
Классификация и определение требований
Определяем типы систем, уровни защищенности, категории значимости и применимый нормативный контур.
Моделирование угроз
Формируем модель угроз и нарушителя, определяем актуальные сценарии атак и необходимые меры защиты.
Проектирование
Разрабатываем архитектуру, техническое задание, комплект организационных документов и план внедрения.
Внедрение и настройка
Поставляем и настраиваем СЗИ, выполняем интеграцию, сегментацию, контроль доступа, журналирование и резервирование.
Испытания и сопровождение
Проводим проверки, устраняем замечания, готовим к аттестации и сопровождаем систему после ввода в эксплуатацию.
НАПРАВЛЕНИЯ РАБОТ
Что мы делаем
01
Государственные информационные системы
- Обследование и определение класса защищенности ГИС
- Моделирование угроз безопасности информации
- Проектирование системы защиты
- Подготовка технического задания и документации
- Внедрение и настройка средств защиты
- Подготовка к аттестации и устранение замечаний
02
Защита персональных данных
- Аудит процессов обработки персональных данных
- Определение уровня защищенности ИСПДн
- Разработка модели угроз
- Организационные и технические меры защиты
- Подготовка локальных нормативных документов
- Оценка эффективности принятых мер
03
Критическая информационная инфраструктура
- Выявление и инвентаризация объектов КИИ
- Категорирование объектов
- Подготовка сведений для регулятора
- Создание системы безопасности значимого объекта
- Проектирование и внедрение мер защиты
- Сопровождение выполнения требований
04
Аудит и подготовка к проверкам
- Анализ соответствия требованиям
- Проверка документации и настроек
- Выявление критических несоответствий
- Формирование плана устранения замечаний
- Подготовка доказательной базы
- Сопровождение взаимодействия с регуляторами
05
Инфраструктурная защита
- NGFW и межсетевое экранирование
- Сегментация сети и защищенный удаленный доступ
- Антивирусная защита, EDR и контроль устройств
- SIEM, централизованное журналирование и мониторинг
- Резервное копирование и восстановление
- Защита веб-приложений и внешнего контура
06
Документы и сопровождение
- Политики, положения, регламенты и инструкции
- Матрицы доступа и распределение ответственности
- Регламенты реагирования на инциденты
- Обучение ответственных сотрудников
- Периодический контроль состояния защиты
- Техническая поддержка внедренных решений
РЕЗУЛЬТАТ
Что получает заказчик
Состав результата зависит от задачи и границ проекта. Он фиксируется в техническом задании и календарном плане.
01Карту информационных систем, активов, потоков данных и зон ответственности
02Перечень применимых требований и выявленных несоответствий
03Модель угроз и обоснованный набор мер защиты
04Проектные решения и техническое задание
05Комплект организационно-распорядительной документации
06Настроенную систему защиты и эксплуатационную документацию
07Материалы для испытаний, оценки эффективности и аттестации
08План развития защиты и сопровождение после внедрения
Почему мы
Почему IST
- 15 лет на рынке информационной безопасности
- 2 000+ реализованных проектов
- Лицензия ФСТЭК на техническую защиту конфиденциальной информации
- Лицензия ФСБ на работы и услуги в области криптографической защиты
- Объединяем консалтинг, проектирование, поставку, внедрение и сопровождение; подбираем решения под требования системы и существующую инфраструктуру, а не под одного производителя
- Планируем внедрение поэтапно, чтобы минимизировать влияние работ на государственные сервисы и внутренние процессы учреждения
ВОПРОСЫ
Частые вопросы
Да. По итогам аудита заказчик получает перечень несоответствий, оценку рисков и поэтапный план дальнейших работ.
Мы выполняем обследование, проектирование, внедрение, подготовку документов и сопровождение подготовки к аттестации. Аттестационные работы выполняются в установленном порядке самостоятельно либо совместно с аккредитованной лабораторией.
Да. После обследования определяем, какие компоненты можно сохранить, что необходимо перенастроить и какие средства требуется заменить или добавить.
Да. Проектируем решения на базе отечественных сертифицированных продуктов с учетом требований заказчика, совместимости и задач импортозамещения.
Можно, но состав документов должен соответствовать фактической архитектуре и настройкам системы. Поэтому перед разработкой проводится сбор исходных данных или обследование.
ОБСУДИТЬ ПРОЕКТ
Получите план защиты информационной системы
Опишите тип системы, текущую задачу и планируемые сроки. Специалисты IST уточнят исходные данные и предложат последовательность работ.