Проектирование систем защиты информации

Анализ информационных потоков и определение требований

Проводим аудит инфраструктуры для выявления критичных зон. На этом этапе специалисты исследуют не только внутренние процессы компании, но и взаимодействие с внешними сервисами — облачными платформами, CRM-системами или API-интерфейсами партнеров.

Особое внимание уделяется классификации данных: персональные сведения клиентов, финансовые транзакции, коммерческие тайны требуют разных уровней защиты. Для прогнозирования угроз применяются методологии OCTAVE и FAIR, которые помогают оценить как вероятность инцидентов, так и их потенциальный ущерб.

На этом этапе выполняем следующие виды работ:

1. Картируем маршруты данных. Анализируем, как информация перемещается между отделами, серверами и внешними сервисами.
2. Определяем классы данных. Выделяем конфиденциальные категории — персональные данные клиентов, финансовые отчеты, коммерческие тайны.
3. Оцениваем риски. Используем методологии OCTAVE, FAIR или NIST SP 800-30 для прогнозирования вероятных угроз (утечки через e-mail, атаки на сетевой периметр, инсайдерские действия).

Результат этапа — техническое задание с перечнем требований к защите. Для компаний, обрабатывающих персональные данные, обязательно учитываем ст. 19 ФЗ-152 «О персональных данных».

Выбор средств защиты информации (СЗИ)

Подбираем технические средства (ТСЗИ), ориентируясь на выявленные риски и бюджет клиента. В таблице ниже — примеры решений для типовых задач:

Для каждого решения проверяем совместимость с ПО заказчика и требованиями действующего законодательства.

Разработка архитектуры системы защиты

Создаем многоуровневую архитектуру, основанную на принципах минимальных привилегий и эшелонированной защиты. Проводим сегментирование сети:

• Разделяем корпоративную инфраструктуру на изолированные VLAN для отделов.
• Критичные серверы (базы данных, CRM) размещаем в отдельном сегменте сети с ограниченным доступом через межсетевые экраны.

Для управления правами сотрудников внедряем ролевую модель, где доступ к данным привязываем к должностным обязанностям. Например, сотрудник отдела кадров получает доступ только к персональным данным, а разработчик — к тестовым средам.

Обеспечиваем отказоустойчивость через резервирование каналов связи: настраиваем автоматическое переключение между основным и резервным дата-центрами при сбоях.

Для облачных решений проектируем схемы шифрования данных по ГОСТ 34.12-2015 перед передачей в публичное облако. Интегрируем SIEM-платформы (например, MaxPatrol) для централизованного сбора событий безопасности: отслеживаем попытки несанкционированного доступа, аномальную активность в журналах.

Подготовка документации

Разрабатываем 3 типа документов, адаптированных под специфику бизнеса клиента:

1. Техническая документация: схемы сети, настройки оборудования, параметры резервного копирования.
2. Регламенты для ИТ-отдела: инструкции по обновлению ПО, мониторингу угроз, восстановлению данных.
3. Политики для сотрудников: правила работы с паролями, запрет на использование USB-накопителей, порядок отчетности об инцидентах.

Все документы соответствуют требованиям ФСТЭК (Приказ №21 от 18.02.2013). Для медицинских организаций дополнительно учитываем ФЗ-323 «Об основах охраны здоровья граждан».

Внедрение, настройка и обучение персонала

Внедряем систему в три этапа. Начинаем внедрение с создания пилотной зоны: разворачиваем СЗИ на тестовом контуре (например, в одном филиале) для проверки совместимости с ERP-системой и корпоративным ПО. Постепенная интеграция: переносим решение на всю инфраструктуру, минимизируя простои. Например, настраиваем межсетевые экраны в нерабочие часы, чтобы исключить простои.

Прописываем правила фильтрации трафика, настраиваем VPN для удаленных сотрудников, проводим обучение ответственного персонала организации.

После завершения всех работ подписываем акт ввода в эксплуатацию и передаем чек-листы для еженедельного аудита системы.

Аттестация рабочих мест и оборудования

Проводим комплексную проверку системы на соответствие требованиям ТЗ и нормам ФЗ-152. Ключевые критерии:

• Соответствие ТЗ. Сверяем параметры системы с изначальными требованиями.
• Устойчивость к атакам. Выполняем пентесты — имитируем APT-атаки, SQL-инъекции, фишинг.
• Работоспособность резервов. Проверяем восстановление данных из резервных копий (backup).

Для объектов, подпадающих под ФЗ-152, проводим аттестацию объектов информатизации с выдачей аттестата соответствия.

Преимущества обращения в УЦ ПРОФИ

Центр информационной безопасности УЦ ПРФОФИ реализует проекты «под ключ» — от анализа инфраструктуры до постгарантийного сопровождения. Являемся лицензиатом ФСТЭК и ФСБ России.

Наши решения гарантированно снижают риски утечек за счет использования сертифицированных СЗИ, глубокой интеграции системы защиты в бизнес-процессы и большого опыта наших сотрудников

Оставьте заявку на сайте, чтобы получить систему, адаптированную под ваш бюджет и отрасль.