Информационная безопасность

Защита информационных ресурсов Компании является сегодня обязательным требованием бизнеса. Высокая ценность информации обуславливает необходимость обеспечения ее конфиденциальности, целостности и доступности, а также работоспособности информационных систем. Для обеспечения информационной безопасности (ИБ) Компании необходимо применять комплексный подход, предусматривающий работу в правовом, организационном и техническом направлениях. Эффективное обеспечение ИБ возможно только при создании системы обеспечения информационной безопасности (СОИБ), охватывающей все направления деятельности Компании. СОИБ представляет собой совокупность мер организационного и программно-технического уровня, направленных на защиту информационных ресурсов Компании. Цели проектирования СОИБ Реализация мер защиты соответствующих реальным угрозам ИБ Компании. Соответствие разрабатываемой СОИБ и нормативной базы определенным критериям (законодательство, стандарты, внутренние требования). Централизация процессов управления и мониторинга ИБ в Компании. Контроль над службами и системами ИБ, гибкое распределение уровней доступа и управления. Стандартизация, унификация и оптимизация информационно-управляющих ресурсов обеспечения безопасности всех связанных служб и подразделений. Архитектура СОИБ СОИБ имеет сложную многокомпонентную, многоуровневую распределенную архитектуру. Компоненты СОИБ тесно интегрированы в информационную инфраструктуру организации. Помимо программных и технических средств обеспечения ИБ архитектура СОИБ включает в себя также систему организационных мероприятий и ИТ-процессов. В состав СОИБ как правило входят следующие компоненты и подсистемы: Подсистема защиты периметра сети Подсистема безопасного межсетевого взаимодействия Подсистема регистрации и учета событий Подсистема обеспечения целостности Подсистема управления доступом Подсистема обнаружения и предотвращения атак Подсистема анализа защищенности Подсистема криптографической защиты данных Подсистема инфраструктуры открытых ключей Подсистема антивирусной защиты Подсистема управления информационной безопасностью Подсистема предотвращения утечек информации Подсистема резервного копирования и восстановления данных Этапы проектирования СОИБ В рамках проведения работ по проектированию и внедрению СОИБ Компания ЗИКС выполняет полный комплекс работ. 1. Обследование объекта информатизации Планирование проведения работ по обследованию. Разработка регламента взаимодействия между Заказчиком и Исполнителем. Разработка программы и методики проведения обследования. Проведение обследования инфраструктуры Заказчика, включая пожелания Заказчика по функционалу, принципам реализации и дальнейшей эксплуатации СОИБ. Заполнение опросных листов сотрудниками Компании с целью получения исходных данных о корпоративной информационной системе,используемом оборудовании, существующих нормативных документах и регламентов для последующей систематизации и анализа. Систематизация полученных данных и разработка отчета по результатам обследования. 2. Создание концепции информационной безопасности Определение основных целей и задач. Определение общей стратегии построения СОИБ. Выработка требований и подходов к реализации СОИБ. 3. Техно-рабочее (техническое проектирование) СОИБ Разработка технического задания и требований к СОИБ. Техническое проектирование и разработка проектной документации. Разработка рабочей и эксплуатационной документации. Разработка организационно-распорядительной документации. Положительные эффекты от проектирования Снижение затрат на внедрение за счет эффективного использования существующих средств и систем защиты информации для построения СОИБ. Интеграция СОИБ с существующими процессами управления ИБ и ИТ. Реализация универсальной, гибкой и масштабируемой СОИБ. Наличие четкого описания и регламентирования всех внутренних процессов, связанных с обеспечением ИБ Компании. Контактная информация ООО «Компания ЗИКС»124498, Москва, Зеленоград, Георгиевский пр-д, дом 5Тел.: +7 (499) 645-5555Факс: +7 (499) 645-5555info@czics.ruwww.czics.ru

Введение В современном высокотехнологичном мире на первый план выходит проблема защищенности корпоративных информационных систем. Каждый новый инцидент подтверждает: когда конфиденциальная информация уязвима, потенциальный ущерб деятельности и репутации компании достигает колоссальных размеров. Защита компании от внешних угроз – сложная и затратная задача, особенно когда возникает необходимость соответствовать растущему количеству правовых стандартов и требований регуляторов, разрабатываемых для предотвращения подобных угроз. Однако незащищенная система обойдется еще дороже. В попытках найти компромисс многие компании решают эту задачу по частям, выбирая разные инструменты для каждой системы, отдела или региона. В результате им приходится увеличивать бюджет и нанимать большое количество высокооплачиваемых специалистов, которые вручную тестируют и настраивают все системы.Снизить временные и денежные затраты позволит система анализа защищенности.Комплексное программное решение автоматизирует процесс поиска уязвимостей и контроля соответствия техническим стандартам в ИТ-инфраструктуре любого масштаба.Компания ЗИКС предлагает услугу по реализации системы анализа защищенности и соответствия стандартам ISO 15408 и ISO 17799 для организаций любого размера. Реализация системы анализа защищенности и соответствия стандартам позволяет достичь следующих целевых эффектов: Контроль эффективности процессов информационной безопасности Оценка защищенности информационных систем Инвентаризация активов и контроль изменений Контроль политик безопасности Компании Задачи, решаемые системой анализа защищенности и соответствия стандартам: Проактивная защита корпоративных ресурсов с помощью автоматического мониторинга информационной безопасности Автоматизация процессов контроля соответствия отраслевым и международным стандартам Оценка эффективности подразделений ИТ и ИБ с помощью расширяемого набора метрик безопасности и KPI Снижение затрат на аудит и контроль защищенности, подготовку ИТ и ИБ проектов Автоматизация процессов инвентаризации ресурсов, управления уязвимостями, контроля соответствия политикам безопасности и контроля изменений Комплексный анализ сложных систем, включая сетевое оборудование Cisco, платформ Windows, Linux, Unix, СУБД Microsoft SQL, Oracle, сетевые приложения и Web-службы собственной разработки Встроенная поддержка основных стандартов, таких как ГОСТ ИСО/МЭК 17799, ГОСТ ИСО/МЭК 27001, SOX, PCI DSS, NSA, NIST, CIS Максимальная автоматизация процессов снижает трудозатраты и позволяет оперативно контролировать состояние защищенности систем Поддержка базы знаний командой профессиональных консультантов, признанных экспертов отрасли Контроль эффективности процессов ИБ В большинстве компаний многие из распространенных средств защиты уже используются или находятся на этапе внедрения. Так, трудно представить сейчас корпоративную сеть, в которой механизмы межсетевого экранирования, антивирусной защиты или установки обновлений не были реализованы в том или ином виде. В связи с этим, одним из наиболее важных моментов становится оценка эффективности существующих процессов ИБ с помощью метрик безопасности. Расширяемый набор метрик, входящих в систему анализа защищенности, позволяет контролировать текущее состояние и динамику изменений распространенных процессов информационной безопасности. В ходе внедрения набор метрик может быть адаптирован под нужды Заказчика. Так, например, при внедрении решений класса DLP или контроля за действиями пользователей, можно контролировать количество и процент рабочих станций, на которых установлен агент системы. Данная простая метрика позволяет эффективно отслеживать прогресс проекта, а возможность рассчитывать её значение для различных групп компьютеров подразделений – проводить анализ работы ИТ и ИБ специалистов. Важной характеристикой метрик безопасности является то, что они измеряются в абсолютных значениях (количество узлов, изменений и несоответствий), что позволяет легко спроецировать их на трудозатраты или перевести в денежное выражение. Ниже приведены популярные метрики, контролируемые с помощью системы анализа защищенности: Количество и процент рабочих станций с установленным антивирусным пакетом. Количество и процент рабочих станций с обновленными антивирусными базами. Количество нестандартных серверных портов и приложений на рабочих станциях/серверах. Среднее время (задержка) развертывания критических обновлений. Количество и процент систем, содержащих критические уязвимости. Процент охвата систем корпоративными и международными стандартами. Уровень соответствия (несоответствия) различных систем корпоративным и международным стандартам. Количество и процент систем, работающих с системами сбора и корреляции событий безопасности. Количество уязвимостей, возникающих в течение определенного промежутка времени (месяц, квартал, год). Количество уязвимостей, устраняемых в течение определенного промежутка времени (месяц, квартал, год). Количество уязвимостей, требующих устранения. Среднее время устранения уязвимостей для различных подразделений. Количество изменений конфигураций различных систем. Оценка защищенности Система анализа защищенности основана на базе профессионального сканера уязвимостей. Существующие механизмы контроля были значительно дополнены за счет добавления модулей анализа безопасности баз данных и системных проверок.Сочетание в одном продукте функций сетевых и системных сканеров, а также средств оценки защищенности СУБД и Web-приложений, позволяют получать максимально достоверную картину защищенности сети. Рисунок 1 – Механизм оценки системы анализа защищенности 1. Сетевой сканер Основой системы анализа защищенности являет высокопроизводительный сетевой сканер, который позволяет быстро и эффективно обнаруживать сетевые узлы, открытые порты, идентифицировать операционную систему и серверные приложения. Распределенная архитектура позволяет размещать сканирующий модуль в непосредственной близости от объекта сканирования, что дает возможность снижать нагрузку на магистральные каналы связи. 2. Тестирование на проникновение Эвристические механизмы анализа позволяют выявлять уязвимости в сетевых службах и приложениях, работая с минимальным уровнем привилегий (режим тестирования на проникновение – penetration testing), позволяя получить оценку защищенности сети со стороны злоумышленника. Разработанные экспертами интеллектуальные алгоритмы и механизмы поиска уязвимостей, эффективность которых доказана независимыми исследованиями, максимально приближенны к тем, которые используются реальными нарушителями, что позволяет не только идентифицировать ошибки в эксплуатации систем, но и обнаруживать новые, ещё неизвестные уязвимости реализации сетевых приложений. 3. Анализ безопасности баз данных Специализированные модули позволяют получить экспертную оценку защищенности популярных СУБД, таких как Microsoft SQL Server 2000/2005/2008/2012, Oracle 9i,10g. Проверки затрагивают все аспекты безопасности СУБД, такие как: настройки сетевого взаимодействия система аутентификации механизмы разграничения доступа права и привилегии пользователей управление обновлениями Анализ безопасности СУБД «изнутри» позволяет выявить уязвимости, которые либо невозможно, либо крайне сложно идентифицировать методами тестирования на проникновение. 4. Анализ безопасности Web-приложений Модуль анализа безопасности Web-приложений позволяет идентифицировать уязвимости в наследуемых приложениях и приложениях собственной разработки. Эвристические механизмы позволяют обнаруживать большинство типичных ошибок, допускаемых при разработке Web-приложений: внедрение операторов SQL (SQL Injection), межсайтовое выполнение сценариев (Cross-Site Scripting, XSS) и др. 5. Системные проверки При наличии доступа к механизмам удаленного управления узлом модуль сканирования может использовать их для глубокой проверки безопасности операционной системы и приложений. Данный метод позволяет с минимальным использованием ресурсов получить комплексную оценку защищенности, а также провести анализ параметров, недоступных в режиме теста на проникновение.База знаний включает в себя системные проверки для большинства распространенных операционных систем линек Windows, Linux и Unix, а также специализированного оборудования, такого как маршрутизаторы и коммутаторы Cisco IOS, межсетевые экраны Cisco PIX и Cisco ASA.Некоторые системы анализа защищенности не требуют развертывания программных модулей на узлах, что упрощает эксплуатацию и снижает совокупную стоимость владения. Все проверки проводятся удаленно с использованием встроенных механизмов удаленного администрирования. При поддержке узлом нескольких протоколов (например, Telnet и SSH) система выбирает наиболее безопасный из них, что

Инфраструктура открытых ключей (PKI – Public Key Infrastructure) представляет собой совокупность программных и аппаратных средств, организационно-технических мероприятий и обслуживающего персонала, обеспечивающих создание доверенной среды между субъектами информационного взаимодействия. Механизмы PKI реализуются посредством использования технологии открытых ключей и сертификатов. Целью применения PKI является построение комплексной системы защиты информации, использующей криптографические средства, и формирование на ее основе корпоративного защищенного документооборота.PKI обеспечивает единую идентификацию, аутентификацию и авторизацию пользователей системы, приложений и процессов, гарантирует доступность, целостность и конфиденциальность информации. Это позволяет обеспечить контроль доступа и целостности информации, защиту электронной почты, информационных ресурсов, виртуальных частных сетей (VPN) и беспроводных сетей,  информации на рабочих станциях.PKI, как правило, представляет собой систему, основными компонентами которой являются удостоверяющий и регистрационный центры (УЦ и РЦ), а также пользователи, взаимодействующие между собой посредством этих центров. УЦ является основным компонентом PKI и используется для выпуска ключей подписи и сертификатов, для управления политиками безопасности организации и всем жизненным циклом сертификатов. РЦ является необязательным компонентом PKI, который реализует механизмы аутентификации пользователей и составления запроса на сертификацию. Обычно реализуется в виде веб-интерфейса. ‍ Решаемые задачи Защита конфиденциальной информации от несанкционированного доступа. Организация защищенной электронной почты (с применением механизмов шифрования и электронно-цифровой подписи). Защищенный обмен данными между пользователями и корпоративными web-ресурсами и порталами. Контроль прохождения транзакций, документов или почтовых сообщений. Шифрование файлов на рабочих станциях и серверах. Шифрование трафика. Алгоритм внедрения В рамках создания инфраструктуры открытых ключей ООО «Компания ЗИКС» выполняет полный комплекс работ: Этап 1. Предпроектное обследование инфраструктуры Заказчика Планирование проведения работ по обследованию. Разработка регламента взаимодействия между Заказчиком и Исполнителем. Сбор информации об источниках событий, подключаемых к Системе. Определение списка действий, событий и их источников. Определение объема событий поступающих с источника событий. Этап 2. Проектные услуги Разработка технического задания на Систему. Разработка технического (техно-рабочего) проекта на Систему. Разработка эксплуатационной документации (инструкции по эксплуатации Системы, инструкции администраторов и операторов). Разработка программы и методики испытаний. Разработка регламентных документов (регламенты и политики управления инцидентами ИБ). Этап 3. Услуги внедрения Разработка плана-графика проведения работ. Проведение пусконаладочных работ (установка всех компонентов системы, настройка источников событий и правил обработки). Опытная эксплуатация (тестирование функциональных возможностей Системы, отработка регламентов управления инцидентами). Проведение приемосдаточных испытаний. Этап 4. Услуги технической поддержки Техническая поддержка Системы (5×8 или 24х7) согласно выбранному уровню. Консультирование по вопросам функционирования поддерживаемой Системы. Этап 5. Обучение специалистов заказчика Обучение производится в сертифицированном обучающем центре и/или в режиме консультаций специалистов заказчика во время внедрения и опытной эксплуатации. Положительные эффекты от внедрения Уменьшение рисков, связанных с НСД к информации. Реализация защищённых механизмов аутентификации, сетевого взаимодействия. Обеспечение неотрицания авторства, неизменности передаваемых по сети данных. Повышение степени доверия клиентов и поставщиков за счет подтверждения подлинности через доверенный УЦ. Использование ключевой инфраструктуры в системах шифрования данных. Контактная информация ООО «Компания ЗИКС»124498, Москва, Зеленоград, Георгиевский пр-д, дом 5Тел.: +7 (499) 645-5555Факс: +7 (499) 645-5555info@czics.ruwww.czics.ru

Аттестация и сертификация информационных систем и объектов информатизации Под аттестацией (сертификацией) объектов информатизации понимается комплекс организационно-технических мероприятий, в результате которых посредством специального документа – Аттестата (сертификата) соответствия – подтверждается, что объект соответствует требованиям регламентов, национальных и международных стандартов и иных нормативно-технических документов по защите информации. Обязательной аттестации (сертификации) подлежат объекты информатизации и средства, в том числе иностранного производства, предназначенные для обработки информации, составляющей государственную тайну, управления экологически опасными объектами, ведения секретных переговоров. В остальных случаях аттестация(сертификация) носит добровольный характер (добровольная аттестация/сертификация) и может осуществляться по желанию заказчика. Перечень объектов информатизации и средств, подлежащих обязательной аттестации (сертификации), разрабатывается ФСТЭК России и согласовывается с Межведомственной комиссией по защите государственной тайны. Говоря о категориях информации, можно выделить: Государственные информационные ресурсы. Персональные данные граждан. Специальные категории персональных данных граждан (относительно расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни). Информационные ресурсы негосударственных организаций. Цели проведения аттестации и сертификации Соответствие требованиям нормативно-правовой базы в области защиты информации. Обеспечение необходимого уровня безопасности. Содействие формированию рынка защищенных информационных технологий и средств их обеспечения. Этапы проведения аттестации и сертификации В рамках оказания услуг по аттестации Компания ЗИКС выполняет полный комплекс работ по аттестации (сертификации). Пример последовательности выполнения работ приведен для процедуры аттестации: 1. Планирование и подготовка к проведению аттестационных испытаний Определение перечня объектов информатизации, подлежащих аттестации. Категорирование и классификация объектов информатизации. Составление технических паспортов на объекты информатизации. Определение возможных каналов утечки информации. Определение перечня мероприятий по исключению возможных каналов утечки информации. Проведение мероприятий по защите информации (поставка, установка и настройка средств защиты информации). Анализ разработанной документации по защите информации на объекте с точки зрения ее соответствия требованиям нормативной и методической документации. Разработка комплекта организационно-распорядительной документации на объект информатизации (приказы,распоряжения, инструкции, руководства). Разработка программы и методики аттестационных испытаний. 2. Проведение аттестационных испытаний Проведение испытаний объектов информатизации на соответствие требованиям по защите информации от утечки по техническим каналам. Проведение испытаний объектов информатизации на соответствие требованиям по защите информации от несанкционированного доступа. Оформление протокола по результатам аттестационных испытаний. 3. Оформление результатов аттестационных испытаний: Составление заключения по результатам аттестационных испытаний. Выдача аттестата соответствия. Результаты работ по аттестации и сертификации Заказчику выдается Аттестат (сертификат)соответствия объекта информатизации требованиям по безопасности информации. Аттестат (сертификат) соответствия выдается владельцу аттестованного объекта информатизации на 3 года (системы, средства) органом, проводящим аттестацию. При этом в течение этого периода должны обеспечиваться неизменность условий функционирования объекта информатизации и технологии обработки защищаемой информации. ‍ Контактная информация ООО «Компания ЗИКС»124498, Москва, Зеленоград, Георгиевский пр-д, дом 5Тел.: +7 (499) 645-5555Факс: +7 (499) 645-5555info@czics.ruwww.czics.ru

При планировании работ по созданию систем обеспечения информационной безопасности (СОИБ) или приведении СОИБ в соответствие с требованиями законодательства возникает задача подготовки нормативно-методической (НМД) и организационно-распорядительной документации (ОРД). Комплекс НМД и ОРД устанавливает основные критерии для построения СОИБ, а также регулирует все возникающие вопросы по обеспечению информационной безопасности (ИБ) Компании. Разработка и внедрение НМД и ОРД необходимы для нормального функционирования СОИБ, для единого понимания корпоративной стратегии развития ИБ всеми сотрудниками Компании. В состав НМД и ОРД, как правило, входят следующие виды документов: Концепции ИБ Политики ИБ Стандарты Компании Положения Методические рекомендации Инструкции Регламенты Приказы Цели разработки НМД и ОРД Подготовка нормативной базы на предмет соответствия определенным критериям (законодательство, стандарты, внутренние требования). Регламентирование всех внутренних процессов и видов деятельности Компании в области защиты информации. Подготовка фундамента для внедрения и сопровождения СОИБ. Этапы разработки НМД и ОРД Разработка НМД и ОРД, как правило, происходит в несколько этапов: 1. Планирование и подготовка к проведению работ Разработка регламента взаимодействия Заказчика и Исполнителя. Формирование рабочей группы проекта. Разработка программы проведения работ. Определение границ работ. Определение критериев оценки. Разработка опросных листов. 2. Обследование корпоративной информационной системы Анализ существующих документов Компании. Выполнение работ по исследованию текущего состояния информационной среды и информационной безопасности Компании. Заполнение опросных листов. 3. Систематизация и анализ собранных в ходе обследования исходных данных Анализ применяемых в Компании программно-технических средств. Анализ организационно-распорядительных документов по информационной безопасности на соответствие требованиям российских и зарубежных стандартов в области информационной безопасности. Анализ рисков информационной безопасности. Моделирование действий внутреннего и внешнего злоумышленника (при необходимости). 4. Разработка НМД и ОРД Подготовка отчета с описанием обнаруженных замечаний и несоответствий в документации Заказчика. Выработка рекомендаций по корректировке документации Заказчика на соответствие требованиям российских и зарубежных стандартов в области информационной безопасности. Разработка НМД и ОРД. Положительные эффекты от разработки НМД и ОРД Наличие четкого описания и регламентирования всех внутренних процессов, связанных с обеспечением ИБ Компании. Разграничение зон ответственности и полномочий сотрудников Компании при выполнении прямых должностных обязанностей. Определение вариантов реагирования и распределения ответственности в случае нарушения регламентов. Соответствие документальной базы Компании и внедренной СОИБ определенным критериям (законодательство, стандарты, внутренние требования). Контактная информация ООО «Компания ЗИКС»124498, Москва, Зеленоград, Георгиевский пр-д, дом 5Тел.: +7 (499) 645-5555Факс: +7 (499) 645-5555info@czics.ruwww.czics.ru

Современные автоматизированные системы управления технологическим процессом (АСУ ТП)– это сложнейшие комплексы, состоящие из персональных и панельных компьютеров, контроллеров, активного и пассивного оборудования. АСУ ТП существенно отличаются от традиционных корпоративных информационных систем. Здесь используются специализированные решения, поддерживающие уникальные протоколы специфические технологии. Но самое главное – отличается защищаемый ресурс. В АСУ ТП главным защищаемым ресурсом являются технологические процессы и их непрерывность. Однако, как и любые другие программно-технические продукты, АСУ ТП имеют множественные проблемы безопасности. При этом риски гораздо более высоки – нарушение безопасности может привести к большому экономическому ущербу, техногенным катастрофам и даже человеческим жертвам.Это приводит к необходимости пересмотра подходов к защите критических важных объектов и функционирующих на них АСУ ТП.К тому же необходимость обеспечения безопасности АСУ ТП обусловлена требованиями законодательства. Нарушение законодательства обезопасности критической информационной инфраструктуры наравне с дисциплинарной, гражданско-правовой и административной будет предусмотрена уголовная ответственность.В состав мер по обеспечению безопасности, описанных в приказе ФСТЭК №31 от 14 марта 2014 года «Об утверждении Требований к обеспечению защиты информации в автоматизированных системах управления производственными и технологическими процессами на критически важных объектах, потенциально опасных объектах, а также объектах, представляющих повышенную опасность для жизни и здоровья людей и для окружающей природной среды», входят следующие блоки требований: Идентификация и аутентификация субъектов доступа и объектов доступа. Управление доступом субъектов доступа к объектам доступа. Ограничение программной среды. Защита машинных носителей информации, на которых хранится и (или) обрабатывается защищаемая информация. Регистрация событий безопасности. Антивирусная защита. Обнаружение (предотвращение) вторжений. Контроль (анализ) защищенности защищаемой информации. Обеспечение целостности АСУ ТП и защищаемой информации. Обеспечение доступности защищаемой информации. Защита среды виртуализации. Защита технических средств. Защита АСУ ТП, ее средств, систем связи и передачи данных. Безопасная разработка прикладного и специального программного обеспечения разработчиком. Управление обновлениями программного обеспечения. Планирование мероприятий по обеспечению защиты информации. Обеспечение действий в нештатных (непредвиденных) ситуациях. Информирование и обучение пользователей. Анализ угроз безопасности информации и рисков от их реализации. Выявление инцидентов и реагирование на них. Управление конфигурацией информационной системы и ее системы защиты. Цели обеспечения безопасности АСУ ТП Обеспечение доступности и корректного функционирования сервисов АСУ ТП. Снижение рисков экономического ущерба и техногенных катастроф вследствие атак на АСУ ТП. Соответствие требованиям законодательства в части обеспечения защиты информации в АСУ ТП. Этапы обеспечения безопасности АСУ ТП В рамках оказания услуг по реализации системы обеспечения безопасности АСУ ТП Компания ЗИКС выполняет полный комплекс работ: 1. Планирование и подготовка к проведению работ Разработка регламента взаимодействия Заказчика и Исполнителя. Формирование рабочей группы проекта. Разработка программы и методики проведения аудита информационной безопасности. Определение границ аудита информационной безопасности. Разработка опросных листов. 2. Проведение обследования и оценка соответствия стандартам и нормативным документам Интервьюирование сотрудников и заполнение опросных листов с целью получения исходных данных об автоматизированной системе, используемом оборудовании, существующих нормативных документах и регламентов для последующей систематизации и анализа. Выполнение работ по обследованию сетевой инфраструктуры и подсистем информационной безопасности объекта, анализ функцийи конфигураций ПО и оборудования. 3. Систематизация и анализ собранных в ходе обследования исходных данных Экспертиза НМД, ОРД, действующих политик безопасности и организационных и технических мер на соответствие требованиям российских и зарубежных стандартов в области ИБ. Анализ технологических и бизнес-процессов Определение и анализ критичных систем и активов Анализ рисков информационной безопасности. Моделирование действий внутреннего и внешнего злоумышленника (при необходимости) 4. Проектирование системы обеспечения безопасности АСУ ТП АСУ ТП Разработка организационно-распорядительной документации. Разработка технического задания. Разработка технического (технорабочего) проекта. Разработка эксплуатационной документации. Макетирование системы обеспечения безопасности на стендах Исполнителя. 5. Реализация системы обеспечения безопасности АСУ ТП Выполнение поставки комплекса технических средств. Проведение пусконаладочных работ (установка всех компонентов системы, настройка источников событий и правил обработки). Проведение опытной эксплуатации (тестирование функциональных возможностей Системы, отработка регламентов управления инцидентами). Проведение приемосдаточных испытаний. 6. Техническая поддержка и сопровождение системы обеспечения безопасности АСУ ТП Техническая поддержка Системы (5×8 или 24х7) согласно выбранному уровню. Консультирование по вопросам функционирования поддерживаемой Системы Проведение работ по масштабированию или модернизации Системы. Основные вендоры Wallix. Stonesoft Check Point Cisco ArcSight (HP) McAfee Symantec Trend Micro Лаборатория Касперского Positive Technologies ИнфоТеКС InfoWatch Код Безопасности Аладдин Р.Д. Алтэкс-Софт Партнеры Yokogawa Газэнергострой Контактная информация ООО «Компания ЗИКС»124498, Москва, Зеленоград, Георгиевский пр-д, дом 5Тел.: +7 (499) 645-5555Факс: +7 (499) 645-5555info@czics.ruwww.czics.ru

Видеоконференцсвязь – передача голосового и видео потока между двумя и более объектами с применением программно-аппаратных средств коммуникации. Данный вид взаимодействия во многих случаях предусматривает передачу видеопотока в открытом виде. В этом случае потенциальный злоумышленник может осуществить несанкционированный доступ к передаваемым данным, таким образом нарушив конфиденциальность, целостность и доступность конфиденциальной информации. Компания ЗИКС предлагает услугу по реализации системы видеоконференцсвязи в защищенном исполнении с применением технических средств шифрования данных основных российских и зарубежных производителей, таких как McAfee Inc., Check Point Software Technologies Inc., Cisco Inc., Инфотекс, С-Терра СиЭсПи и др. Основные характеристики Возможность передачи качественного видео и аудио потока в защищенном канале связи на высоких скоростях от 64 Кб/с до 5 Мб/с. Простота и удобство создания видеоконференций с помощью пульта дистанционного управления или программного обеспечения. Масштабируемость системы за счет простой установки программно-технических средств ВКС в филиалах. Возможность создания как двусторонних (два участника), так и многоточечных видеоконференций (множество участников). Возможность централизованного управления из единой точки. Основные схемы проведения видеоконференций Компания ЗИКС выполняет работы по внедрению систем видеоконференцсвязи в защищенном исполнении различного масштаба — от коробочных решений для малых офисов до построения сложных территориально-распределенных систем видеоконференцсвязи с применением самых современных решений и продуктов для крупных предприятий. Основные схемы построения систем видеоконференцсвязи в защищенном исполнении: Режим «точка-точка»Двусторонняя видеосвязь между двумя участниками конференции. Одна из самых простых схем реализации видеоконференцсвязи, не требующая дорогостоящего оборудования. Режим «точка-многоточие»Проведение двусторонней видеосвязи, когда с одной стороны выступает один или группа участников (ведущие), которая активна все время, а другие участники (выступающие) переключаются в активное состояние по очереди, при этом выступающие участники видят и слышат ведущего и друг друга. Режим «многоточие-многоточие»Проведение видеосвязи с несколькими участниками, имеющими равноправные права в сеансе видеосвязи. При таком варианте, как правило, один из участников назначается ведущим и отвечает за переключение остальных участников в активное или пассивное состояние. Положительные эффекты от реализации ВКС в защищенном исполнении Обеспечение конфиденциальности, целостности и доступности передаваемого голосового и видео потока за счет применения технических средств шифрования данных. Возможность взаимодействия с сотрудниками удаленных подразделений, корпоративными клиентами и партнерами в режиме реального времени. Экономия на командировочных и транспортных расходах сотрудников Компании. Увеличение производительности труда и оперативности управления. Эффективная совместная работа удаленных команд, налаживание корпоративных коммуникаций между сотрудниками. Ускорение процессов принятия решений и механизмов их реализации в чрезвычайных ситуациях. Основные производители Avaya, Inc. Polycom Cisco System, Inc. Panasonic Corp. Контактная информация ООО «Компания ЗИКС»124498, Москва, Зеленоград, Георгиевский пр-д, дом 5Тел.: +7 (499) 645-5555Факс: +7 (499) 645-5555info@czics.ruwww.czics.ru

Аудит информационной безопасности позволяет получить объективную и независимую оценку о текущем уровне защищенности информационных систем и ресурсов Компании. Различают несколько видов аудита информационной ‍безопасности: Внешний – проведение аудита информационной безопасности силами сторонней Компании подрядчика. Внутренний – проведение аудита информационной безопасности силами внутренних подразделений Компании. Цели проведения аудита информационной безопасности Получение объективных данных о текущем уровне защищенности корпоративной информационной системы Компании. Оценка соответствия информационных систем требованиям российских и зарубежных стандартов в области информационной безопасности, а также внутренним нормативным документам Компании. Формирование рекомендаций по устранению выявленных недостатков в информационных системах Компании. Этапы проведения аудита информационной безопасности В рамках проведения аудита информационной безопасности Компания ЗИКС выполняет полный комплекс работ. 1. Планирование и подготовка к проведению работ Разработка регламента взаимодействия Заказчика и Исполнителя. Формирование рабочей группы проекта. Разработка программы и методики проведения аудита информационной безопасности. Определение границ аудита информационной безопасности. Разработка опросных листов. 2. Обследование корпоративной информационной системы Выполнение работ по обследованию сетевой инфраструктуры и подсистем информационной безопасности Компании, в том числе с помощью инструментального анализа программно-технических средств и систем. Заполнение опросных листов сотрудниками Компании с целью получения исходных данных о корпоративной информационной системе,используемом оборудовании, существующих нормативных документах и регламентов для последующей систематизации и анализа. 3. Систематизация и анализ собранных в ходе обследования исходных данных Экспертиза применяемых в Компании программно-технических средств. Экспертиза организационно-распорядительных документов по информационной безопасности на соответствие требованиям российских изарубежных стандартов в области информационной безопасности. Анализ рисков информационной безопасности. Моделирование действий внутреннего и внешнего злоумышленника (при необходимости). 4. Разработка Аналитического отчета по результатам проведения аудита информационной безопасности Описание выявленных уязвимостей и недостатков в информационных системах Компании, а также в организационно-распорядительныхдокументах по информационной безопасности. Выработка рекомендаций по минимизации рисков возможного нарушения конфиденциальности, целостности и доступности информации. Выработка рекомендаций по совершенствованию корпоративной информационной системы, а также подсистем информационнойбезопасности. Выработка рекомендаций по корректировке организационно-распорядительных документов по информационной безопасности на соответствие требованиям российских и зарубежных стандартов в области информационной безопасности, таких как: Внутренние нормативные документы и регламенты Компании; Российские и международные стандарты ГОСТ Р ИСО/МЭК 27001, ГОСТ Р ИСО/МЭК 15408, PCI DSS; Требования действующего Российского законодательства в области информационной безопасности; Рекомендации компаний-производителей оборудования и программного обеспечения. Положительные эффекты от проведения работ по аудиту информационной безопасности Получение наиболее полной, целостной и объективной картины о текущем уровне защищенности информационных систем Компании, а также о достаточности принятых мер по обеспечению информационной безопасности. Оценка необходимого бюджета на устранение выявленных недостатков в информационных системах Компании. Компания ЗИКС гарантирует неразглашение собранных в ходе аудита информационной безопасности конфиденциальных данных. Перед началом проведения работ подписывается соглашение о конфиденциальности. ‍ Контактная информация ООО «Компания ЗИКС»124498, Москва, Зеленоград, Георгиевский пр-д, дом 5Тел.: +7 (499) 645-5555Факс: +7 (499) 645-5555info@czics.ruwww.czics.ru

Развитие и рост предприятий тесно связан с ростом инфраструктуры информационных систем, а также с влиянием данных систем на бизнес-процессы предприятия. В связи с этим растут и требования, предъявляемые к защите ИТ-систем, что определяет необходимость постоянной корректировки и пересмотра правил, обеспечивающих функционирование системы информационной безопасности (ИБ). Разработка концепции и политики ИБ позволяет определить правильное использование информационных ресурсов и является неотъемлемой частью совершенствования системы ИБ, которая включает в себя следующие задачи: Определение целей и задач системы ИБ. Определение основных угроз. Описание функциональной структуры системы ИБ. Определение путей достижения целей защиты. Разграничение зоны ответственности подразделений Компании за обеспечение ИБ. Цели разработки концепции и политики ИБ Обеспечение конфиденциальности, целостности и доступности информационных ресурсов. Обеспечение защиты подсистем, задач и технологических процессов от угроз ИБ. Обеспечение защиты управляющей информации от угроз ИБ. Обеспечение защиты информации от угроз утечки по техническим каналам. Этапы разработки концепции и политики ИБ Разработка концепции и политики ИБ, как правило, происходит в несколько этапов и соответствует стадиям и этапам разработки остальной нормативно-методической и организационно-распорядительной документации: 1. Планирование и подготовка к проведению работ Разработка регламента взаимодействия Заказчика и Исполнителя. Формирование рабочей группы проекта. Разработка программы проведения работ. Определение границ работ. 2. Обследование корпоративной информационной системы Анализ существующих документов Компании. Выполнение работ по исследованию текущего состояния информационной среды и ИБ Компании. Заполнение опросных листов сотрудниками Заказчика и Исполнителя. 3. Систематизация и анализ собранных в ходе обследования исходных данных Анализ применяемых в Компании программно-технических средств. Анализ существующих концепции и политики ИБ на соответствие требованиям российских и зарубежных стандартов в области ИБ. Анализ рисков ИБ. 4. Разработка концепции и политики ИБ Разработка концепции ИБ с отражением основных требований к системе ИБ  и нормативному обеспечению системы ИБ Заказчика. Разработка политики ИБ с детализацией основных технических характеристик системы защиты информации и ее оптимизация под бизнес-процессы Заказчика. Корректировка концепции и политики ИБ при необходимости снижения затрат на реализацию. Положительные эффекты от разработки концепции и политики ИБ Наличие четкого описания и регламентирования всех внутренних процессов, связанных с обеспечением ИБ Компании. Определение границ системы управления ИБ и детализация целей ее создания. Управление рисками, связанными с нарушением ИБ. Выбор контрмер, обеспечивающих режим ИБ. Соответствие документальной базы Компании и внедренных систем обеспечения ИБ определенным критериям (законодательство, стандарты, внутренние требования). Контактная информация ООО «Компания ЗИКС»124498, Москва, Зеленоград, Георгиевский пр-д, дом 5Тел.: +7 (499) 645-5555Факс: +7 (499) 645-5555info@czics.ruwww.czics.ru