Автоматизируем процессы информационной безопасности и пытаемся не сойти с ума

01июля 2021

Новости

Автоматизируем процессы информационной безопасности и пытаемся не сойти с ума

Ни для кого из специалистов по информационной безопасности не  является секретом, что количество нормативной документации в области защиты информации очень велико. Регламентированы многие процессы, выделены множественные направления для защиты, ставится большое количество задач по обеспечению соответствия требованиям по защите информации и проведению оценки соответствия. А вместе с тем количество нормативной документации, направленной на регулирование обеспечения защиты персональных данных, объектов критической информационной инфраструктуры растет в геометрической прогрессии.

С одной стороны, очень удобно, что регуляторы пытаются нормировать максимальное количество процессов по обеспечению защиты информации. Но с другой, у организаций, которые должны строить систему защиты учитывая требования от нескольких регуляторов (например, требования от Банка России, ФСТЭК и ФСБ) возникает периодический диссонанс и путаница, и сами требования не всегда носят явный характер и оставляют пространство для размышлений по поводу способа реализации.

И здесь возникают вопросы из категории: «все ли требования мы учли?», «какое средство приобрести, чтобы оно закрывало максимальное количество требований?», «какую документацию доработать или сформировать, чтобы внедрить и контролировать соблюдение процедур защиты информации?» и т. д.

Систематизация процесса

Известно, чтобы построить эффективную систему защиты информации и соответствовать требованиям регуляторов, необходимо произвести ряд действий, направленных на систематизацию процесса:

  • провести обследование своих текущих систем на предмет соответствия требованиям;
  • прописать или доработать процедуры обеспечения информационной безопасности;
  • внедрить средства защиты;
  • провести обучение самого слабого звена в цепочке передачи и обработки информации (персонала);
  • провести оценку соответствия реализованных мер.

Часть организаций во многом делает всё самостоятельно и привлекает сторонних специалистов лишь на последних этапах построения системы. Другая же — активно привлекает сторонних специалистов для проведения работ по защите информации: это может быть как полная передача ИБ на аутсорс, так и периодические работы по приведению системы защиты информации в соответствие требованиям регуляторов.

Прикладные вопросы — автоматизация

К работам по оценке соответствия требованиям регуляторов систем защиты информации, реализованных в организациях, эксперты компании «ICL Системные Технологии» привлекались не раз: производили обследование текущих информационных систем и организационно-распорядительной документации организации, выделяли пул требований нормативной документации регуляторов, которым организация должна соответствовать, проходили опросы с текущими сотрудниками, проводили оценку соответствия, писали рекомендации. Все эти рутинные задачи отличаются объемом наполнения полученной информации и количеством времени, затраченным на их исполнение. А вместе с тем мер различных требований нормативных документов очень много (один лишь ГОСТ Р 57580.1-2017 содержит около 408). Здесь, после нескольких повторений затратных по времени действий в полуавтоматическом режиме, появляется логичное решение — автоматизировать их без ущерба новым требованиям ГОСТа, чем мы и занялись.

В качестве исходных процессов для автоматизации выбрали следующие:

  • подбор средств защиты, закрывающих определенные требования нормативных документов (будь то меры, описанные в ГОСТ Р 57580.1, Приказе 21 ФСТЭК, Приказе 17 ФСТЭК, Приказе 239 ФСТЭК и т. д.);
  • выделение мер, закрывающих уже имеющиеся или планируемые к приобретению средства защиты информации;
  • оценку соответствия требованиям нормативных документов.

Это позволит сократить временные затраты на проведение работ, а также даст инструмент, который позволит оперативно отвечать на многие запросы заказчиков.

Работы поделили на 4 этапа.

Прочитайте об этих этапах в полной версии статьи на SecurityLab.

Будьте в курсе

Подпишитесь на рассылку и получайте новые новости
На сайте icl.ru используются cookie-файлы. Оставаясь на сайте, вы даете свое согласие на использование нами cookie-файлов. Если, прочитав данное сообщение, вы не согласны, просим вас покинуть сайт.