Сегодня поделимся опытом реализации проектов обеспечения безопасности КИИ от Павла Расстриги, руководителя направления защиты информации, Акстел-Безопасность.
Болью в КИИ является процедура категоризации, она часто не завершена или проведена неверно🥲.
Этапы реализации проектов с временными рамками:
1. Аудит активов. Категорирование ОКИИ (проводится за 4 месяца). На этом этапе заказчик больше всего боится, что найдется значимый объект КИИ, и данный страх стоит заранее развеять. Этап сопровождается следующими работами:
- Обследование субъектов КИИ и их ИТКС;
- Формирование перечня ОКИИ;
- Регистрация ЗОКИИ;
- Категорирование ОКИИ;
- Понимание уровня ИБ в Компании;
- Потребность в формировании подразделения ИБ;
- Актуальность построения КСУИБ в Компании;
- Выбор методов защиты.
2. Проектирование и согласование (проводится от 2 до 6 месяцев). Проблемой на этом этапе становится отсутствие рабочей документации. Проводятся следующие работы:
- ТП и РД;
- Определение УБИ;
- Аргументация УБИ для бизнеса;
- Формирование требований к защите ЗОКИИ;
- Разработка организационных и технических мер;
- Выбор СЗИ, дополнение мер ЗИ.
3. Внедрение системы безопасности, приемочные испытания, и разработка ОРД длятся от 6 до 15 месяцев. Стандартный состав системы безопасности🔒: двухфакторная аутентификация, IPS и NGWF, WAF, СКЗИ, сканер уязвимостей, SIEM, УПД защита от НСД. Также применяется альтернативный набор: защита почты, песочница, СКПДУ, NAD, DLP. При наличии большого количества узлов уместно консолидировать данные с помощью дополнительного ПО. На данном этапе проводятся следующие работы:
Обеспечение безопасного функционирования ЗОКИИ;
- Построение отказоустойчивых каналов связи;
- Выявление уязвимостей сети;
- Мониторинг безопасности сети;
- Обеспечение безопасной работы сотрудников;
- Соответствие требованиям законодательства.
4. Подключение к НКЦКИ, обучение и эксплуатация длится от 6 до 12 месяцев. Этот этап может показаться заказчику не важным. Но если сотрудники не обучены и не умеют работать с СЗИ, то вся проделанная ранее работа бесполезна.