Границу обозначу сразу
Что беру и чего не беру
Беру: нормативные требования, модель угроз и модель нарушителя, политику информационной безопасности и регламенты, разграничение доступа, реагирование на инциденты, защиту персональных данных, аудит соответствия, обучение персонала, экономику мероприятий.
Не беру: написание кода, настройку средств защиты, тестирование на проникновение, криптографические расчёты, конфигурирование оборудования. Это профильная инженерная работа.
Если по методичке технический раздел обязателен, скажите заранее: я выстрою структуру так, чтобы организационная часть стыковалась с вашей технической, и укажу, какие исходные данные из неё понадобятся.
Модель угроз — ядро практической части
Главный рабочий инструмент направления. Процедура описана в методическом документе ФСТЭК, а сами угрозы берутся из банка данных угроз безопасности информации — это готовый каталог, а не ваши фантазии.
- Определяете объекты защиты и границы информационной системы: что именно защищаем.
- Описываете характеристики системы: состав, архитектура, подключения, обрабатываемая информация.
- Определяете негативные последствия, к которым может привести реализация угроз.
- Строите модель нарушителя: виды нарушителей, их возможности и мотивация.
- Отбираете актуальные угрозы из банка данных, обосновывая актуальность каждой.
- Формируете перечень и сопоставляете с мерами защиты.
Каждый шаг документируется. На выходе получается документ, который в реальной организации и составляет основу системы защиты, а в работе — полноценную вторую главу.
Персональные данные: удобная и живая тема
Регулирование обработки персональных данных в последние годы ужесточалось, надзорная практика обширна, а нарушения встречаются почти в каждой организации. Отсюда обилие материала.
| Что анализируется | По какому критерию |
|---|---|
| Уведомление об обработке | Подано ли, соответствует ли фактической обработке |
| Согласия субъектов | Форма, состав сведений, конкретность, отзывность |
| Локальные акты | Наличие политики, положения, перечня обрабатываемых данных |
| Организация доступа | Перечень допущенных лиц, разграничение прав |
| Сроки и уничтожение | Установлены ли сроки хранения, как оформляется уничтожение |
| Уровень защищённости | Определён ли, соответствуют ли ему меры |
Аудит по такому чек-листу даёт конкретный результат: перечень несоответствий, который в третьей главе превращается в план устранения.
Типичная структура
| Глава | Что в ней |
|---|---|
| Первая, нормативно-теоретическая | Требования законодательства и регуляторов, подходы к организации защиты, классификация угроз |
| Вторая, аналитическая | Характеристика объекта и его информационной системы, модель угроз и нарушителя, аудит соответствия, выявленные несоответствия |
| Третья, проектная | Комплект организационных документов, план мероприятий со сроками и ответственными, расчёт затрат и оценка эффекта |
За что заворачивают
- Угрозы придуманы. Не взяты из банка данных ФСТЭК и не обоснованы.
- Нет модели нарушителя. Угрозы есть, а кто их реализует — неизвестно.
- Пересказ законов вместо анализа. Вторая глава из цитат.
- Меры защиты не связаны с угрозами. Перечислены сами по себе.
- Нет расчёта затрат. Мероприятия предложены без денег.
- Устаревшие документы регуляторов. Приказы обновляются.
Не выбрали тему? Собрал подборку из 45 тем по этому направлению — курсовые, дипломные и магистерские, — и у каждой указал источники и в чём подвох: темы работ по направлению «Информационная безопасность».
Что делаю по этому направлению
Защита персональных данных, модель угроз и модель нарушителя, политика информационной безопасности и комплект организационных документов, разграничение прав доступа, реагирование на инциденты, безопасность критической информационной инфраструктуры в организационной части, аудит соответствия требованиям, обучение и осведомлённость персонала, организация коммерческой тайны, экономика защиты информации.
Модель угроз оформляю документом по методике ФСТЭК, расчёт затрат и эффекта отдаю в Excel с формулами.