Аналіз і оцінка захищеності інформації

Аналіз і оцінка захищеності інформації проводяться в системі управління компанією з метою визначення її інформаційної архітектури, оцінки та виявлення потенційних загроз інформації при існуючій організації процесів її обробки та захисту.

Етапи аналізу й оцінки захищеності інформації:

Інформаційне обстеження

Інформаційне обстеження проводиться з метою виявлення існуючих інформаційних завдань і потоків у системі управління компанією, визначення інформаційної архітектури та підготовки вихідних даних по її оптимізації з урахуванням вимог безпеки.

У результаті інформаційного обстеження формуються взаємозалежні структурні або об’єктно-орієнтовані діаграми, що візуально відбивають інформаційну архітектуру системи управління, що дозволяє проводити аналіз безпеки і розробляти рекомендації з модернізації інформаційної архітектури системи.

Технічне обстеження

Ціль технічного обстеження полягає у визначенні складу й архітектури комп'ютерної мережі, конфігурації засобів обчислювальної техніки, пошуку й аналізі вразливостей технічних елементів автоматизованої системи. Для виявлення дефектів у системі захисту від зовнішніх мережевих загроз проводиться віддалене сканування елементів автоматизованої системи.

Технічне обстеження дозволяє одержати:
  • перелік дефектів у настроюваннях обладнання, мережевих сервісів, операційних систем, прикладного програмного забезпечення;
  • опис виявлених дефектів, їхню локалізацію й оцінку можливих наслідків використання порушником;
  • рекомендації з нейтралізації дефектів, зміни конфігурації і настроювань елементів автоматизованої системи, використовуваних захисних механізмів, інсталяції одновлень встановленого програмного забезпечення тощо.

Аудит інформаційної безпеки

На етапі проведення робіт із загального аудиту інформаційної інфраструктури вирішується ряд наступних завдань:
  • Збір вихідних даних про інформаційну систему підприємства, функцій і особливостей, про використовувані технології автоматизованої обробки та передачі даних (з урахуванням найближчих перспектив розвитку), про наявні організаційно-розпорядницькі документи по забезпеченню інформаційної безпеки.
  • Виявлення функціональних підсистем ІС, критичних інформаційних потоків і властивостей циркулюючої інформації в ІС, з погляду забезпечення її конфіденційності, цілісності та доступності.
  • Формування переліку підсистем ІС кожного підрозділу підприємства  Замовника з категоруванням критичної інформації та схемами інформаційних потоків.
  • Оцінка стану інформаційної інфраструктури з погляду РД ФСТЕК, ISO 17799.
За підсумками аналізу зібраної в процесі загального і активного аудиту інформації формується звіт про результати аудиту, і виносяться основні рекомендації з модернізації інформаційної системи.

Аналіз інформаційних ризиків

Аналіз інформаційних ризиків полягає в ідентифікації інформаційних ресурсів, визначенні їхньої цінності та можливого збитку при реалізації загроз інформаційної безпеки. При аналізі інформаційних ризиків використовуються моделі інформаційної системи, побудовані в ході інформаційного та технічного обстеження системи управління підприємством, орієнтовані на проблему забезпечення безпеки інформації.

При аналізі інформаційних ризиків використовуються спеціальні інструментальні засоби, засновані на структурних методах системного аналізу і проектування та методики, що основуються на міжнародних стандартах ISO 17799, CobiT, РД ФСТЕК, ДСТСЗІ СБУ.