Информационная безопасность как сервис

Система обеспечения информационной безопасности эффективна лишь тогда, когда она комплексная, т.е. когда уделяется достаточное внимание двум её составляющим: организационно-методологической и технической. Реализация этих аспектов требует наличия в штате специалистов различного профиля. При этом кадровый рынок России испытывает общемировую тенденцию нехватки экспертов в области информационной безопасности. Согласно статистике компании ESG в 2018 году 51% организаций испытывали данную проблему (45% в 2017 году). Решением ситуации является аутсорсинг функций службы безопасности (https://www.esg-global.com/blog/cybersecurity-job-fatigue).

Цель:

Снижение рисков организации, связанных с реализацией угроз информационной безопасности.

Выполняемые работы:

Мы начинаем с проведения комплексного аудита информационной безопасности, осуществляем независимую оценку состояния системы обеспечения информационной безопасности применительно и к технической стороне, и к организационно-методологической. В результате всестороннего анализа мы формируем матрицу рисков информационной безопасности, валидируем её с руководителями и кураторами со стороны Заказчика и первым из процессов внедряем процесс управления рисками.

В дальнейшем мы реализуем те процессы информационной безопасности, которые закрывают самые критичные риски ИБ, актуальные на текущий момент для Заказчика

Базовый набор процессов информационной безопасности:

  • Управление рисками ИБ

Базовый процесс, выявляющий основные риски и потребности Заказчика в безопасности.

Очень важно запустить этот процесс в числе первых, параллельно с первичным аудитом, тогда у нас будет общее понимание как эффективно реализовывать процессы безопасности, сколько времени это занимает и в какой последовательности действовать.

  • Управление процессами ИБ

Для эффективного внедрения и поддержания процессов безопасности мы выделяем своего менеджера проектов, взаимодействующего с Заказчиком и нашим Центром Компетенций.

  • Разработка и согласование ВНД

Описываем как должно быть с точки зрения безопасности.

На выходе мы даём описание работающих процессов, подсказки сотрудникам и исполнителям, как действовать чтобы меры безопасности были максимально эффективны.

  • Донесение требований ИБ до ответственных

Люди – основной фактор успеха. Мы не только на бумаге описываем что ответственные работники должны делать, но и регулярно в доступной форме объясняем как написанное претворять в жизнь на благо Компании.

  • Повышение осведомленности сотрудников

Люди – также и основной источник угроз. По статистике 80% инцидентов ИБ происходит по вине работников организаций (инсайдеров). Большая часть нарушений безопасности инсайдеров происходит не по злому умыслу, а по незнанию. Правильное обучение сотрудников основам информационной безопасности – залог успеха, экономит ресурсы и реально помогает на практике.

  • Идентификация, аутентификация и авторизация

Технические меры обеспечения безопасной передачи паролей и ключей доступа нейтрализуют одни из самых распространённых атак злоумышленников.

  • Антивирусная защита

Антивирусная защита – базовая мера защиты, дешевая и эффективная. Мы помогаем выбрать правильный антивирус и обеспечить контроль полноты покрытия этой защитой рабочих станций и серверов там, где это необходимо.

  • Управление полномочиями

Очень важно придерживаться принципа минимизации полномочий – выдавать сотрудникам доступ, достаточный для выполнения должностных обязанностей и не более того. Сделать этот процесс простым и безболезненным для Клиента – одно из наших ноу-хау.

  • Управление уязвимостями

Любые информационные системы обладают техническими уязвимостями. Производители программного обеспечения неустанно работают над их устранением, выпускают обновления и патчи. Мы помогаем наладить процесс выявления этих уязвимостей и их установки таким образом, чтобы минимизировать простои бизнеса.

  • Управление изменениями

Современные информационные системы сложны и постоянно изменяются по требованиям бизнеса и расширяют свой функционал. Помогаем выстроить этот процесс таким образом, чтобы он не выходил из под контроля.

  • Резервное копирование

Всякое бывает, вирусы-шифровальщики, злоумышленники или нерадивые сотрудники удаляют данные. Даже в самом плохом случае должна быть возможность восстановить данные.

  • DRP/BCP

Одного резервного копирования мало. Помогаем выстроить процесс, когда каждый в организации знает, что делать в случае сбоя и обеспечить работу Компании в любой нештатной ситуации.

  • Аудиты ИБ

Регулярно проводим проверки текущего уровня безопасности, как своими силами, так и привлекая независимых экспертов, чтобы всегда отвечать на актуальные угрозы.

  • Комплаенс

Обеспечиваем соответствия внешним требованиям по безопасности: 152-ФЗ, PCI DSS, ISO 27x, GDPR и др. После приведения к соответствию помогаем пройти сертификационные аудиты и получить сертификаты соответствия.

  • Техническая защита сети

Шифрование каналов связи, разграничение сетевых сегментов – без этого полноценная безопасность невозможна.

  • Мониторинг ИБ

Выстраиваем систему технических средств для сбора событий в ИТ-инфраструктуре, выявление событий безопасности и обеспечиваем контроль за самыми критичными из них в режиме 24/7.

  • Защита от атак из Интернет

Интернет – один из самых актуальных источников угроз безопасности. Часто без Интернет работа невозможна, помогаем жить и работать в современном мире.

  • Управление инцидентами ИБ

Мало узнать, что инцидент произошёл. Важно выявить источник, по возможности нейтрализовать его и выработать комплекс мер по предотвращению повторений в будущем.

  • Криптографическая защита

Часто носители с информацией (флешки, портативные жесткие диски, ноутбуки и телефоны) попадают в руки злоумышленников. Если эти данные зашифрованы, беды можно избежать – данные не могут быть прочитаны без знания ключа шифрования.

  • BYOD

В современных организациях уже нельзя обязать всех использовать только корпоративную технику. Мобильные телефоны и даже ноутбуки находятся в собственности сотрудников и возникают технические и юридические особенности применения корпоративных стандартов безопасности.

  • Страхование рисков ИБ

Ущерб от некоторых рисков безопасности можно перенести на страховые компании. Данное направление в РФ только начинает развиваться, но перспективы огромны.

  • Кадровая безопасность

Нередко бывает, что сотрудник изначально устраивается в организацию с целью совершить преступление, либо его подсылает конкурент. Это можно выявить на основании информации о прошлом сотрудника.

  • Физическая и объектовая безопасность

Иногда злоумышленники появляются из сфер высоких технологий и могут просто проникнуть в помещение и похитить информацию или технику, либо поставить подслушивающее устройство. Помогаем обеспечить безопасность и на физическом уровне.

  • Безопасность при работе с контрагентами

К сожалению, не всем партнёрам надо доверять. А если и доверять, то сначала всё равно нужно проверить. И в этом мы тоже оказываем содействие!

 

Результаты работ:

  • Постоянное отслеживание уровня рисков бизнеса от реализации угроз информационной безопасности
  • Предиктивное снижение указанных рисков
  • Обеспечение соответствия требованиям регуляторов
  • Реализация активных методов защиты от различных атак
  • Повышение осведомленности персонала в вопросах информационной безопасности
  • Страхование рисков информационной безопасности
Наши преимущества
365
дней в году, 24 часа в сутки мы обеспечиваем бесперебойную и безопасную работу компаний
40
эксперта-профессионала в нашей команде
300
Опыт более 300 реализованых проектов
У нас есть собственное распределенное защищенное облако
Мы обладаем лицензиями ФСТЭК России и ФСБ России
Информационная безопасность и непрерывность бизнеса
получить консультацию