Чек‑лист проверки достаточности применяемых средств защиты

13.01.2023

09/10/25

Б-152

Статья представляет чек-лист для комплексной оценки достаточности средств защиты информации, охватывающий базовую защиту, актуальные угрозы, сертификацию, настройку встроенного функционала и особенности используемых технологий, а также выявляющий критические недостатки и формирующий рекомендации для руководства.

1) Базовый набор средств защиты

2) Актуальные угрозы

Содержание

3) Сертификация и оценка соответствия

4) Настройка встроенного функционала

5) Особенности используемых технологий

Итоговая фиксация

Красные флаги

1) Базовый набор средств защиты

2) Актуальные угрозы

Содержание

3) Сертификация и оценка соответствия

4) Настройка встроенного функционала

5) Особенности используемых технологий

Итоговая фиксация

Красные флаги

1) Базовый набор средств защиты

Межсетевой экран установлен и функционирует.
Антивирусное ПО работает и регулярно обновляется.
Сканер безопасности внедрен и запускается по расписанию.
ПО для резервного копирования реализует процесс бэкапирования для восстановления систем.

Комментарий: отсутствие хотя бы одного элемента из этого списка говорит о недостаточности применяемых средств защиты.

2) Актуальные угрозы

Проверено, нейтрализуют ли средства защиты актуальные угрозы безопасности.
Оценены векторы атак, на которые текущая СЗИ не реагирует.
Подобраны альтернативные или более оптимизированные решения для закрытия выявленных угроз.

Что зафиксировать: список угроз → соответствующее средство защиты → статус защиты.

3) Сертификация и оценка соответствия

Для государственных информационных систем (ГИС) применяются только сертифицированные СрЗИ (требование законодательства).
Для иных систем используется сертифицированное ПО либо решения, прошедшие оценку соответствия.
Проверено наличие документов, подтверждающих сертификацию/оценку соответствия.

Что зафиксировать: перечень СрЗИ, наличие сертификата или акта оценки соответствия, срок действия подтверждающего документа.

4) Настройка встроенного функционала

Использован встроенный функционал защиты в ОС и прикладном ПО.
Проверена корректность настройки модулей безопасности в системах.
Уточнено, сертифицированы ли используемые ОС/средства (например, Astra Linux сертифицирована ФСТЭК и выполняет требования по виртуализации и контейнеризации).

Что зафиксировать: список ОС/ПО с активированными функциями защиты, наличие сертификата.

5) Особенности используемых технологий

Оценены новые векторы атак, связанные с применяемыми технологиями (например, виртуализация).
Проверено наличие защиты на всех уровнях используемой технологии.
Зафиксированы дополнительные меры для снижения рисков (патчи, специализированные СрЗИ для защиты среды виртуализации и т. д.).

Что зафиксировать: технология → потенциальный вектор атаки → мера защиты.

Итоговая фиксация

Подготовлен список всех применяемых СрЗИ и подтверждение их статуса (наличие, актуальность, сертификат).

Зафиксированы выявленные пробелы в применяемых средствах защиты и определены меры по их устранению.

Сформирован отчет о достаточности средств защиты для руководства.

Красные флаги

Отсутствие базового набора средств защиты (межсетевой экран, антивирус, сканер, средство резервного копирования).
СрЗИ не закрывают актуальные угрозы.
Отсутствие сертификации/акта оценки соответствия там, где это требуется.
Игнорирование встроенного функционала защиты.
Использование технологий (например, виртуализация) без адекватной защиты от связанных рисков.

Ввод оборотных штрафов за утечки откладывается минимум до 1 июля 2023 года

Подписывайтесь на наш Telegram-канал, чтобы быть в курсе последних новостей и событий!

бизнес

юридические вопросы

маркетинг

Материалы по теме