Обеспечение кибербезопасности и управление киберриском в банках

Курс предназначен для руководителей и сотрудников, отвечающих за обеспечение кибербезопасности, управление киберрисками в Банке. Курс также будет интересен IT-аудиторам, аналитикам по вопросам кибербезопасности, администраторам средств защиты, контроля и управления безопасностью, специалистам, ответственных за разработку необходимых нормативно-методических и организационно-распорядительных документов по вопросам кибербезопасности и защиты информации.

В курсе рассматриваются:

Практические подходы к сбору и анализ информации о киберугрозах и уязвимостях информационной инфраструктуры Банка.
Интеграция управления киберриском в общую систему корпоративного управления и управления рисками Банка.
Практические аспекты противодействия киберугрозам и мониторинга кибербезопасности информационной инфраструктуры Банка.
Особенности обеспечения кибербезопасности на критически важных объектах информационной инфраструктуры Банка.

ПРОГРАММА КУРСА

1. Классификация, виды и сценарии атак информационной инфраструктуры Банка.

Атаки на защитные механизмы операционных систем.
Управление скомпрометированными системами.
Вирусы и вредоносное программное обеспечение.
Использование социальной инженерии.
Атаки, направленные на отказ в обслуживании.
Перехват сеанса.
Атаки на web-сервер, web-приложение.
Атаки в беспроводных сетях.
Атаки связанные с переполнением буфера.

2. Сбор и анализ информации о киберугрозах и уязвимостях информационной инфраструктуры Банка.

Обзор цели.
Сбор информации.
Обнаружение цели.
Исследование цели.
Анализ уязвимостей.
Социальная инженерия.

3. Использование специальных инструментов для поиска информации об уязвимостях.

Использование анализатора сетевого трафика Wireshark.
Использование Netcat.
Использование Nmap.
Обнаружение уязвимостей с использованием OpenVAS.
Проверка защиты против атаки с использованием социальной инженерии.
Эксплуатация уязвимостей с использованием Metasploit и Armitage.
Обнаружение и эксплуатация уязвимостей веб-приложений.
Комплексная оценка защищенности информационной инфраструктуры Банка.

4. Интеграция управления киберриском в общую систему корпоративного управления и управления рисками Банка.

Взаимодействие подразделений Банка и распределение обязанностей по управлению киберриском.
Разработка процедур управления киберриском.
Разработка локальных правовых актов по управлению киберриском.
Интеграция управления киберриском в общую систему рискменеджмента.
Оценка эффективности управления киберриском.

5. Противодействие киберугрозам.

Уровни защиты: периметр, сеть, среда виртуализации, системы, приложения, данные, персонал.
Инвентаризация авторизованного и неавторизованного оборудования.
Инвентаризация авторизованного и неавторизованного программного обеспечения.
Безопасная конфигурация программного и аппаратного обеспечения ноутбуков, рабочих станций и серверов.
Безопасная конфигурация сетевого оборудования.
Ограничение и контроль сетевых протоколов, портов и служб.
Контроль и защита беспроводных устройств.
Непрерывный анализ и устранение уязвимостей.
Защита от вредоносного кода.
Безопасность прикладного ПО.
Возможность восстановления данных.
Ведение, мониторинг и анализ журналов регистрации событий безопасности.
Оценка навыков по безопасности и проведение тренингов для подтверждения эффективности.
Возможность реагирования на инциденты информационной безопасности.
Тестирование на проникновение, упражнения и учения.
Контроль использования административных привилегий.
Контроль доступа на основе минимально необходимых прав.
Мониторинг и контроль учетных записей.
Предотвращение утечки данных.
Защита периметра.
Архитектура безопасности сети.

6. Мониторинг кибербезопасности информационной инфраструктуры Банка.

Сбор и фильтрация информации мониторинга.
Определение стратегии. Источники собираемых свидетельств.
Анализ сетевого трафика.
Анализ информации средств и систем защиты информации.
Анализ журналов регистрации событий.
Корреляция и интерпретация информации.
Отчетность.
Проверка соблюдения процедур обеспечения кибербезопасности работниками Банка.
Контроль и пересмотр процедур мониторинга.

7. Обеспечение кибербезопасности на критически важных объектах информационной инфраструктуры Банка.

Обзор отечественных и международных требований по обеспечению кибербезопасности критически важной инфраструктуры Банка.
Правовое регулирование отношений в области обеспечения кибербезопасности критически важной инфраструктуры Банка.
Разработка системы безопасности критически важной инфраструктуры Банка.

ТРЕНЕРЫ КУРСА

Вячеслав Аксёнов, IT Security Architect.

Опыт работы в сфере информационной безопасности более 15 лет, в качестве специалиста, инженера, аудитора, менеджера, руководителя проекта, архитектора и консультанта. Преподаватель авторских курсов по информационной безопасности.

Образование: радиоинженер-педагог + магистратура и аспирантура по направлению информационная безопасность, профессиональная переподготовка в РФ по направлению информационная безопасность, Certificate of Cloud Security Knowledge, Lead Implementer ISO/IEC 27001:2013.

Опыт успешно реализованных проектов в сферах:

проектирование, создание и аттестация систем защиты информации в соответствии с требованиями законодательства;
разработка, внедрение и оценка соответствия систем (управления) информационной безопасности в соответствии с требованиями отечественных и международных стандартов в области ИБ;
обследование и оценка защищенности информационных систем;
оценка рисков информационной безопасности;
разработка стратегии создания/совершенствования информационной безопасности организации;
аудит информационной безопасности.

Дмитрий Смоляк, Security Engineer | Penetration Tester

Опыт работы в сфере информационной безопасности более 8 лет.

Образование: специалист по защите информации + магистратура и аспирантура по направлению информационная безопасность, Offensive Security Certified Professional, HP Accredited Solutions Expert - ArcSight Analyst, HP Accredited Technical Professional - ArcSight Security, HP Accredited Technical Professional - ArcSight Administrator.

Опыт успешно реализованных проектов в сферах:

проектирование и внедрение систем мониторинга событий информационной безопасности;
проектирование, создание и аттестация систем защиты информации в соответствии с требованиями законодательства;
оценка защищенности информационных систем;
тестирование на проникновение;
аудит информационной безопасности;
испытания средств защиты информации в соответствии с требованиями законодательства.