Аттестация и эксплуатация систем защиты информации информационных систем (САИС)

Курс предназначен для руководителей и специалистов подразделений ответственных за выполнение требований по защите информации в информационных системах организации. В курсе подробно рассматривается содержание и порядок выполнения работ на стадиях и этапах информационных систем с учетом требований:

Указа Президента Республики Беларусь от 16 апреля 2013 г. № 196 «О некоторых мерах по совершенствованию защиты информации».
Закона Республики Беларусь от 10 ноября 2008 г. № 455-З «Об информации, информатизации и защите информации».
Приказа Оперативно-аналитического центра при Президенте Республики Беларусь от 30 августа 2013 г. № 62 (в редакции приказа Оперативно-аналитического центра при Президенте Республики Беларусь от 11.10.2017 № 64) «О некоторых вопросах технической и криптографической защиты информации».
других нормативных правовых актов Республики Беларусь об информации, информатизации и защите информации,
положении отечественных и международных стандартов в области информационной безопасности.

В рамках курса основное внимание уделяется практическим вопросам разработки документации на систему защиты информации информационной системы. Слушателям будут предоставлены шаблоны следующей документации на информационную систему:

техническое задание
задание по безопасности
технический (эскизный) проект
рабочая документация
программа и методика предварительных, приёмочных и аттестационных испытаний
политика информационной безопасности и локальные нормативные правовые акты
акты и протоколы по результатам испытаний

Тренер курса

Вячеслав Аксёнов, IT Security Architect.

Опыт работы в сфере информационной безопасности более 15 лет, в качестве специалиста, инженера, аудитора, менеджера, руководителя проекта, архитектора и консультанта. Преподаватель авторских курсов по информационной безопасности.

Образование: радиоинженер-педагог + магистратура и аспирантура по направлению информационная безопасность, профессиональная переподготовка в РФ по направлению информационная безопасность, Certificate of Cloud Security Knowledge, Lead Implementer ISO/IEC 27001:2013.

Опыт успешно реализованных проектов в сферах:

проектирование, создание и аттестация систем защиты информации в соответствии с требованиями законодательства;
разработка, внедрение и оценка соответствия систем (управления) информационной безопасности в соответствии с требованиями отечественных и международных стандартов в области ИБ;
обследование и оценка защищенности информационных систем;
оценка рисков информационной безопасности;
разработка стратегии создания/совершенствования информационной безопасности организации;
аудит информационной безопасности.

Программа курса

1. Стадии создания информационных систем:

Формирование требований.
Разработка концепции.
Техническое задание.
Эскизный проект.
Технический проект.
Рабочая документация.
Ввод в действие.
Сопровождение.

2. Проведение обследования информационной системы:

Сбор информации об информационной системе:

состава используемых в системе аппаратных средств и программного обеспечения;
сведений о пользователях (субъектах) информационной системы;
сведений о взаимодействии с внешними системами (объектами);
сведений о взаимодействии объектов системы между собой;
перечня обрабатываемой в системе информации.

Проведение анализа документации на информационную систему и систему защиты информации.
Проведение анализа распределения ответственности в организации за обеспечение защиты информации.
Разработка модели угроз информационной безопасности, включая модель нарушителя.

3. Проектирование системы защиты информации:

Классификация информации, хранящейся и обрабатываемой в информационной системе, в соответствии с законодательством.
Анализ структуры информационной системы и информационных потоков в целях определения состава (количества) и мест размещения элементов системы (аппаратных и программных), ее физических и логических границ.
Отнесение информационной системы к классу типовых информационных систем в порядке, установленном СТБ 34.101.30-2017.
Определение требований к системе защиты информации в частном техническом задании на систему защиты информации или в задании по безопасности на информационную систему.

4. Создание системы защиты информации:

Разработка политики информационной безопасности организации.
Разработка локальных нормативных правовых актов, направленных на реализацию политики информационной безопасности организации, в соответствии с требованиями, изложенными в задании по безопасности или частном техническом задании.
Внедрение средств технической защиты информации, необходимых для реализации требований, изложенных в задании по безопасности или частном техническом задании, проверка работоспособности и совместимости этих средств.
Реализация организационных мер по защите информации в соответствии с требованиями политики информационной безопасности организации.
Опытная эксплуатация системы защиты информации.

5. Обеспечение технической и криптографической защиты информации в информационных системах:

Защита информации от несанкционированного доступа.
Мониторинг и управление событиями безопасности.
Межсетевое экранирование.
Обнаружение и предотвращение вторжений.
Защита среды виртуализации.
Антивирусная защита.
Обнаружение уязвимостей и контроль соответствия.
Контроль целостности.
Защита от утечки конфиденциальной информации.
Контроль доступа к периферийным устройствам.
Криптографическая защита информации.

6. Аттестация системы защиты информации и ввод в действие информационной системы:

Анализ исходных данных.
Предварительное ознакомление с информационной системой и системой защиты информации.
Разработка программы и методики аттестации.
Проведение обследования информационной системы и системы защиты информации.
Проверка правильности отнесения информационной системы к классу типовых информационных систем, выбора и применения средств защиты информации.
Анализ состава и структуры комплекса технических средств и программного обеспечения информационной системы, информационных потоков, состава и структуры комплекса технических средств и программного обеспечения системы защиты информации.
Анализ разработанной документации и локальных нормативных правовых актов собственника (владельца) информационной системы на предмет их соответствия требованиям законодательства об информации, информатизации и защите информации, в том числе техническим нормативным правовым актам.
Проверка закрепления ответственности персонала за организацию и обеспечение выполнения требований по защите информации.
Проведение испытаний системы защиты информации на предмет выполнения установленных требований безопасности и корректности функционирования данной системы.
Проверка отсутствия либо невозможности использования нарушителем уязвимостей информационной системы.
Оформление технического отчета и протокола испытаний.
Оформление аттестата соответствия.
Ввод в действие информационной системы.

7. Эксплуатация (сопровождение) ИС

Контроль за соблюдением требований, установленных в нормативных правовых актах, в том числе в технических нормативных правовых актах, локальных нормативных правовых актах собственника (владельца) информационной системы.
Контроль за порядком использования объектов информационной системы.
Мониторинг функционирования системы защиты информации.
Выявление угроз, которые могут привести к сбоям, нарушению функционирования информационной системы.
Резервное копирование информации, содержащейся в информационной системе.
Обучение (повышение квалификации) субъектов информационной системы.
Предоставление сведений о состоянии технической защиты информации в информационной системе.
Обеспечение защиты информации в случае прекращения эксплуатации информационной системы.