Информационные системы персональных данных (ИСПДн)
Защита персональных данных по приказу ФСТЭК № 21 с учётом уровня защищённости.
Разрабатываем проект системы защиты информации – от обследования и модели угроз до технического и рабочего проекта, по которому систему можно построить. Определяем, какие меры защиты нужны, какими средствами реализуются и как встраиваются в вашу инфраструктуру.
Проект – это то, что превращает требования в работающую систему защиты. Без него закупка средств идёт вслепую, а внедрение – методом проб и ошибок. Хороший проект экономит на всех последующих этапах и снимает вопросы на аттестации.
Система защиты информации не покупается набором продуктов – она проектируется. Проект определяет, от чего защищаемся, какими мерами, какими средствами и как всё это работает вместе.
Место проектирования в общем цикле: обследование и категорирование → модель угроз и ТЗ → проектирование СЗИ → внедрение → аттестация → эксплуатация.
Проектирование опирается на модель угроз и техническое задание и превращает их в конкретные проектные решения. Модель угроз и ТЗ отвечают на вопрос «что защищать и каким требованиям соответствовать»; проект СЗИ – на вопрос «какими именно средствами и как это построить». На выходе – документация, по которой систему защиты строят: что закупить, как настроить, как разместить, как эксплуатировать. Всё последующее – внедрение, аттестация, эксплуатация – опирается на проект.
Мы выполняем весь цикл, поэтому проектирование ведём с прицелом на реализуемость: проект должен не только пройти проверку, но и построиться в реальной инфраструктуре и в рамках бюджета.
Защита персональных данных по приказу ФСТЭК № 21 с учётом уровня защищённости.
Проектирование системы защиты в соответствии с требованиями ФСТЭК к государственным и муниципальным информационным системам и их классом защищённости.
Проектирование систем безопасности значимых объектов КИИ с учётом категории значимости.
Защита технологических систем с учётом требований к непрерывности и безопасности управления производственными и технологическими процессами.
Защита конфиденциальной информации, коммерческой тайны, систем, для которых требования определяются заказчиком или отраслевыми нормами.
Изучаем инфраструктуру, границы системы, потоки информации, применяемые и планируемые средства, действующие меры защиты.
На основе статуса системы, модели угроз и ТЗ определяем состав требований: какие меры защиты обязательны, до какого уровня и класса.
Определяем технические и организационные меры под каждое требование: защита от несанкционированного доступа, межсетевое экранирование, сегментация, антивирусная защита, обнаружение вторжений, криптографическая защита, регистрация событий, контроль целостности и другие.
Подбираем сертифицированные средства под меры, инфраструктуру и бюджет. Обосновываем выбор: сертификаты, соответствие требованиям, совместимость, импортозамещение. Готовим спецификацию.
Проектируем, как средства размещаются и связываются между собой, как встраиваются в инфраструктуру, как не мешают работе защищаемых систем.
Готовим документацию в составе, соответствующем стадийности проектирования: технический проект (проектные решения, схемы, спецификации, обоснование) и рабочую документацию (параметры настройки, инструкции, план внедрения) – в объёме, необходимом для построения системы и её аттестации. Объём и стадии согласуем под задачу: где-то достаточно технорабочего проекта, где-то требуется полное разделение стадий.
Частая ошибка – считать, что защита это набор технических средств. Требования ФСТЭК устроены иначе: значительная часть мер организационные, и без них технические не засчитываются и не работают. В проекте мы прорабатываем оба слоя:
Средства защиты, их настройка, архитектура, интеграция.
Порядок доступа, распределение ролей, регламенты, управление учётными записями, реагирование, контроль.
Сведения о системе: назначение, состав, обрабатываемая информация, архитектура, границы
Статус: ИСПДн, ГИС, КИИ, АСУ ТП – и результаты категорирования или классификации
Модель угроз и техническое задание, если разработаны
Сведения об инфраструктуре: сеть, оборудование, действующие средства защиты
Применимые требования: регуляторные, отраслевые, корпоративные
Ограничения: бюджет, сроки, требования к непрерывности работы
Изучаем систему, определяем статус и состав применимых требований.
Если их нет – разрабатываем и, при необходимости, согласуем с регулятором. Если есть – берём за основу.
Определяем меры защиты, подбираем и обосновываем средства, проектируем архитектуру.
Готовим технический и рабочий проект в необходимом объёме.
Проходим проект с вами, при необходимости с учётом требований регулятора, дорабатываем.
Передаём проект. При необходимости переходим к внедрению, а затем к аттестации.
Результаты обследования и перечень применимых требований
При необходимости – модель угроз и техническое задание
Проектные решения по техническим и организационным мерам защиты
Обоснованный выбор сертифицированных средств защиты и спецификацию
Архитектуру системы защиты и схему её встраивания в инфраструктуру
Технический и рабочий проект в объёме, достаточном для внедрения и аттестации
План внедрения
Проект, пригодный для следующих этапов без смены исполнителя
Зависят от масштаба и сложности системы и от того, какие этапы уже пройдены. На объём влияет:
Статус и класс системы, масштаб инфраструктуры, число площадок
Наличие модели угроз, ТЗ, результатов категорирования или проектирование с нуля
Наличие технологического контура (АСУ ТП)
Глубина проекта: технический проект или технический и рабочий
Необходимость согласования с регулятором
Несколько примеров проектов – обезличенных в соответствии с соглашениями о конфиденциальности. Они показывают типовые классы задач, а не полный перечень: проектирование под конкретную систему всегда ведётся индивидуально.
Спроектировали систему защиты автоматизированной системы управления: сформировали границы оценки угроз, разработали модель угроз и модель нарушителя, подготовили техническое задание в соответствии с приказами ФСТЭК, спроектировали комплекс технических и организационно-правовых мер. Обеспечено непрерывное функционирование АСУ в условиях угроз безопасности информации.
Для учреждения здравоохранения с распределённой инфраструктурой провели аудит, категорирование информационных систем и автоматизированных систем, разработали модели угроз и нарушителя и спроектировали систему защиты – с условием, что меры не должны влиять на качество и скорость оказания медицинской помощи.
Спроектировали и реализовали защиту распределённой сети предприятия, включая сегментацию и защиту филиальных площадок отечественными средствами.
Наименования заказчиков не разглашаются в соответствии с соглашениями о конфиденциальности.
Поставка – это закупка и установка конкретных продуктов. Проектирование – это решение о том, какие меры и средства вообще нужны, как они работают вместе и как встраиваются в инфраструктуру. Закупка без проекта часто приводит к тому, что средства куплены, но систему из них собрать не удаётся или она не проходит аттестацию.
Нет, мы их разработаем в составе работ или отдельно и, если требуется, согласуем с ФСТЭК. Проектирование опирается на них, поэтому они в любом случае должны быть – но заниматься этим отдельным подрядчиком не обязательно.
Мы проектируем под требования, по которым система будет аттестовываться, и выполняем аттестацию сами, поэтому проект готовится сразу с прицелом на неё. Это снижает риск замечаний на аттестации, потому что документы и решения изначально согласованы между собой.
Да. Проект самодостаточен: по нему можно строить систему любым исполнителем. Но если реализацию, аттестацию и сопровождение ведём мы, переход между этапами происходит без потерь и без перекладывания ответственности между подрядчиками.
Учтём. Проектирование начинается с обследования того, что уже есть: действующие и закупленные средства по возможности встраиваются в проект, если они сертифицированы и подходят под требования. Менять имеет смысл только то, что не проходит по требованиям или несовместимо, – и это мы обосновываем, а не предлагаем закупку с нуля по умолчанию.
Да. Подбираем отечественные сертифицированные средства и, если у вас есть иностранные решения, проектируем переход на отечественные с учётом совместимости и непрерывности защиты.
Расскажите о системе – её статус, масштаб, что уже сделано, какие требования применимы. Проведём обследование и предложим проектные решения и план.
