Информационная безопасность

Услуги по аудиту информационной безопасности, позволяющему получить независимую и объективную оценку защищенности информационных систем организации, определить имеющиеся проблемы с информационной безопасностью в компании – заказчике, разработать эффективную стратегию и программу построения системы обеспечения информационной безопасности.

Аудит информационной безопасности может включать в себя анализ механизмов безопасности организационного уровня, политики безопасности организации и организационно-распорядительной документации, процессов управления безопасностью и оценку их соответствия требованиям нормативных документов и адекватности существующим рискам, а также проведение тестирования на проникновение, в ходе которого производится моделирование действий возможного нарушителя по преодолению защиты внешнего периметра и внутренней ИТ-инфраструктуры организации.

Аудит информационной безопасности может быть проведен по следующим направлениям:

• Оценка соответствия международному стандарту ISO/IEC 27001:2013;
• Оценка соответствия требованиям 152-ФЗ «О персональных данных»;
• Оценка соответствия СТО БР ИББС-1.2-2014;
• Оценка текущего состояния информационной безопасности организации;
• Анализ защищенности внешнего периметра корпоративной сети;
• Анализ защищенности внутренней ИТ-инфраструктуры;
• Анализ защищенности бизнес приложений.

Корпоративные ноу-хау или карты геологической разведки месторождений полезных ископаемых, персональные данные, переписка топ-менеджмента и бухгалтерская документация — информация является самым важным активом, потеря которого может нанести колоссальный ущерб бизнесу.
Планирование информационной безопасности предприятия включает оценку рисков утечки данных с учетом как внешних факторов, так и внутренние угрозы (инсайд). Мы обеспечиваем защиту информационных активов заказчиков через контроль возможных каналов утечки информации, шифрование трафика и данных при хранении, блокирование несанкционированного доступа к информационным ресурсам, управление правами пользователей в соответствии с их положением внутри организации.

Используемые решения

• Элементы информационной безопасности
• Шифрование данных
• Защита важной информации и предотвращение утечек
• Управление неструктурированными данными

Защита персональных данных сотрудников сегодня является актуальной задачей, как для коммерческих, так и для государственных организаций. В 2006 году был принят закон №152-ФЗ «О персональных данных», согласно которому каждая организация, обрабатывающая персональные данные своих сотрудников, клиентов или партнеров, обязана обеспечить конфиденциальность этой информации.

Мы предлагаем полный комплекс решений и услуг на всех этапах создания системы защиты персональных данных (СЗПДн). Наше предложение позволит Вашей компании выполнить требования законодательства в области защиты персональных данных, а также быть готовой пройти любую проверку контролирующих органов (Роскомнадзор, ФСТЭК и ФСБ России).

Этапы работ по созданию системы защиты персональных данных мы строим следующим образом:

• Первый этап. Аудит соответствия информационной системы организации требованиям законодательства РФ
• Второй этап. Разработка технического проекта системы защиты персональных данных
• Третий этап. Разработка организационно-распорядительной документации
• Четвертый этап. Внедрение системы защиты персональных данных
• Пятый этап. Проведение оценки соответствия (аттестации) ИСПДн различных классов требованиям безопасности информации
• Шестой этап. Сервисное сопровождение СЗПДн, консультации персонала по вопросам ее функционирования и порядка обеспечения защиты ПДн

Наши специализированные решения для информационной безопасности ИТ-инфраструктуры обеспечивают защиту систем, лежащих в самой основе любой организации.
Нарушение безопасности информационной инфраструктуры и связанные с этим сбои работоспособности влекут значительные финансовые и репутационные потери. Проникновение злоумышленника в корпоративную сеть, получение неограниченных прав на управление ИТ-инфраструктурой, установка вредоносного ПО с непредсказуемым функционалом — вот чем грозит пренебрежение информационной безопасностью в данной сфере.

Используемые решения

• Проверка подлинности пользователей
• Защищенный доступ к инфраструктуре и информационным системам
• Управление учетными записями и доступом
• Защита виртуальных инфраструктур
• Комплексная защита от направленных атак

Системы мониторинга и управления информационной безопасностью позволяют вовремя обнаружить вторжение, блокировать попытки несанкционированного доступа, связать воедино различные события, чтобы получить единую картину защищенности.

Никакие методы обеспечения информационной безопасности не будут эффективны, если компания не контролирует происходящее внутри сети. Для автоматизации этих мер мы предлагаем набор технических средств, которые позволяют значительно повысить зрелость процессов управления ИБ.

Используемые решения

• Управление событиями ИБ
• Контроль привилегированных пользователей
• Мониторинг действий пользователей
• Контроль печати
• Цифровое расследование инцидентов

Данные решения направлены на оптимизацию управления инцидентами ИБ, их расследование, контроль пользователей с повышенными привилегиями, управление доступом в сети, дополнительное отслеживание действий работников при работе с важной информацией, и так далее. Положительный эффект для компании очевиден: снижение операционных издержек на ИБ, сбор качественной информация для анализа рисков, повышенная скорость реакции на инциденты, дополнительный контроль работников.

Противодействие внутреннему и внешнему мошенничеству сегодня является одним из главных приоритетов при обеспечении безопасности информационных систем. Мы предлагаем программные средства, использующие специализированные технологии защиты информации для контроля действий пользователей и блокирования мошеннических операций на самых первых шагах.

Самые распространенные виды мошенничества включают в себя махинации при выдаче кредитов и приеме депозитов, хищение денег с неактивных банковских счетов, хищение и продажа баз данных и внутренней информации компании, легализацию средств, полученных преступным путем. Все это не только наносит прямые финансовые потери, но и грозит ухудшением бизнес-репутации, снижением доверия со стороны инвесторов, партнеров, государственных регулирующих органов.

Мы предлагаем решения, обеспечивающие надежную защиту информации от противоправных действий сотрудников и внешних злоумышленников. Эти системы отслеживают поведение пользователей, контролируют следование установленным процедурам, оповещают сотрудников безопасности об отклонениях от шаблонов. Решения КРОК дополняют традиционные методы защиты (проверки службы безопасности, двойной контроль операций, мониторинг журналов событий), превентивно блокируя возможность мошенничества уже на первых шагах.

Корпоративные бизнес-приложения традиционно входят в список самых популярных целей киберпреступников, поэтому обеспечение их безопасности является важным элементом защиты информационных систем всей организации.
Взлом защиты прикладных информационных систем позволяет получить доступ к основным бизнес-инструментам компании, персональным данным ее клиентов, ключевой бизнес-информации. С развитием направленных атак (advanced persistent threat, APT) именно эти приложения становятся первой целью киберпреступников. Недобросовестные конкуренты используют подобные атаки для похищения ноу-хау лидеров рынка, саботажа работы интернет-магазинов и банковских личных кабинетов. Злоумышленники могут подменить сайт компании, разместить на нем вредоносное ПО для хищения персональных данных клиентов, либо компрометирующую информацию. Негативный эффект напрямую сказывается на рыночных позициях, инвестиционной привлекательности и общем доверии к компании, а репутационный ущерб не поддается измерению.

• Защита приложений
• Защита баз данных
• Аудит безопасности кода
• Сканеры безопасности

Сетевая безопасность –
Базовые технологии для обеспечения безопасности сетей — это межсетевое экранирование (Firewall), виртуальные частные сети (VPN), обнаружение и предотвращение сетевых вторжений (IDS/IPS) — обеспечивают защищенный обмен информацией между всеми участниками бизнес-процессов: партнерами, клиентами, удаленными филиалами и мобильными сотрудниками.

Меры обеспечения сетевой информационной безопасности подразумевает защиту корпоративных информационных ресурсов от проникновения и кражи данных, постоянный контроль всех событий в сетевой инфраструктуре, обнаружение сбоев в работе оборудования и анализ их причин. Системы работают по принципу проактивной защиты, ликвидируя потенциальные конфликты и угрозы ещё до их возникновения. Это обеспечивает постоянную доступность корпоративных сетей, сервисов и приложений, увеличивает скорость коммуникаций и выполнения задач, повышает мобильность сотрудников и служит эффективной защитой от большинства современных киберугроз.

Средства обеспечения сетевой безопасности

• Межсетевые экраны нового поколения
• Виртуальные частные сети
• Обнаружение и предотвращение сетевых вторжений
• Системы для противодействия DDoS-атакам

Мы помогаем отслеживать выполнение стандартов и норм при обеспечении корпоративной информационной безопасности и выстраивании сложных процессов по защите важных данных — в том числе, персональных.

Таковые нормы могут как носить обязательный характер (федеральные законы о защите информации, нормативно-методические документы регуляторов, требования отраслевых стандартов), так и служить рекомендациями (стандарты ISO и ГОСТ, СТО БР ИББС, CobIT и т.д.). Несоблюдение данных требований грозит компании негативными последствиями разной степени тяжести — от репутационного ущерба до отзыва лицензии и даже уголовного преследования руководства.

• Слагаемые compliance management от КРОК
• Комплексный аудит на соответствие требованиям законодательства
• Сертификация системы управления информационной безопасностью

Небезопасное применение автоматизированных систем управления технологическими процессами (АСУ ТП) может открыть возможность несанкционированного доступа к управлению процессами предприятия с самыми разными негативными последствиями — от финансовых потерь и остановками производства до  экологических катастроф с человеческими жертвами.

Современные промышленные предприятия применяют АСУ ТП, основанные на традиционных информационных технологиях (операционные системы Windows/Linux, сетевые протоколы на основе IP, сетевые коммуникации между офисными и промышленными сегментами, удаленный доступ, беспроводные сети). Интеграция офисных систем и сетей с системами управления технологическим процессами позволяет развивать производство, но ослабляет барьер между предприятием и злоумышленниками.

Для ликвидации подобных угроз мы предлагаем владельцам и операторам промышленных предприятий комплексный подход к обеспечению информационной безопасности. Он охватывает все процессы проектирования, внедрения, эксплуатации и модернизации промышленных систем. Подход учитывает специфику и особенности промышленных систем, основывается на требованиях и рекомендациях международных стандартов и российских нормативных документов по обеспечению информационной безопасности промышленных систем.

• Решения
• Аудит безопасности и защищенности информационных систем
• Планирование управления информационной безопасностью
• Комплексная система обеспечения информационной безопасности

Данное решение включает полный цикл работ по проектированию и внедрению системы защиты информации, позволяющей обеспечить защиту информационных активов, выполнить требования регуляторов и снизить информационные риски. Гибкость решения позволяет выполнить как законодательные требования в области защиты информации, так и требования заказчика, максимально используя при этом уже имеющиеся у заказчика средства защиты информации.

Возможные компоненты системы:

• Подсистема межсетевого экранирования и VPN – подсистема представляет собой набор решений, направленных на обеспечение защиты информационного обмена на уровне сети и межсетевого взаимодействия. Использование данной системы позволяет обеспечить управляемый доступ к информационным ресурсам, а также защиту трафика от несанкционированного ознакомления и модификации;
• Подсистема защиты от несанкционированного доступа к хранимой и обрабатываемой информации, в том числе защита виртуальных инфраструктур;
• Подсистема обнаружения и предотвращения атак – позволяет вести непрерывный мониторинг сетевой активности, выявляя и предотвращая компьютерные атаки на корпоративную информационную систему и ее элементы;
• Подсистема анализа защищенности – обеспечивает анализ защищенности элементов информационной системы на всех уровнях ИС;
• Подсистема защиты от утечек – система, которая на основе централизованных политик осуществляет идентификацию, мониторинг и защиту данных во время их использования, передачи и/или хранения;
• Подсистема антивирусной безопасности – обеспечивает защиту информационных ресурсов от проникновения и воздействия вредоносного ПО, закладок и апплетов;
• Подсистема веб-фильтрации и защиты от спама – система позволяет защитить от спама корпоративную почтовую систему, а также осуществлять фильтрацию веб-трафика, контролируя доступ к веб-сайтам.
• Подсистема защиты от DDoS-атак – осуществляет блокировку вредоносного трафика, направленного на вывод информационной системы или интернет-сервиса из строя за счет перегрузки вычислительных ресурсов либо полосы пропускания каналов связи.
• Подсистема мониторинга и управления информационной безопасностью – осуществляет сбор и корреляцию событий информационной безопасности со всех компонентов КСИБ.

При проектировании комплексной системы обеспечения информационной безопасности мы руководствуемся надежностью, качеством, функциональными возможностями средств защиты информации, а также полной совместимостью компонентов решения. Используются только проверенные и хорошо зарекомендовавшие себя продукты лучших мировых производителей. В состав решения также входит разработка всей необходимой организационно-распорядительной документации, регламентирующей вопросы обеспечения информационной безопасности. В результате система защиты позволяет выполнить все аспекты обеспечения информационной безопасности вашего предприятия.

Мы осуществляем подготовку предприятий и организаций («под ключ»), которым необходимо получить лицензии ФСБ России на следующие виды деятельности:

• распространение шифровальных (криптографических) средств;
• техническое обслуживание шифровальных (криптографических) средств;
• предоставление услуг в области шифрования информации;
• разработка, производство шифровальных (криптографических) средств, защищенных с использованием шифровальных (криптографических) средств информационных и телекоммуникационных систем.

В состав услуги входит подготовка полного комплекта документов, необходимых для получения лицензии, сопровождение во время лицензирования.