Продолжительность: 1 день

Курс предназначен:

• руководителям служб и подразделений ИТ верхнего и среднего уровней, руководителям внутренних служб обеспечения безопасности;
• руководителям подразделений защиты информации (CSIO), ответственным за состояние информационной безопасности в организации, аналитикам, экспертам и консультантам по компьютерной безопасности;
• администраторам средств защиты, контроля и управления безопасностью, ответственным за сопровождение и администрирование средств защиты информации;
• специалистам, ответственным за разработку нормативно-методических и организационно-распорядительных документов по вопросам защиты информации, менеджерам, ответственным за работу с персоналом по вопросам обеспечения информационной безопасности

Основные цели:

• объективная оценка текущего состояния информационной безопасности вашей компании;
• вычисление потенциального экономического ущерба, возникающего в результате покушения на деловую информацию;
• создание корпоративной систему защиты информации;
• проверка адекватности и эффективности политики безопасности компании;
• расчет необходимых затрат на совершенствование корпоративной системы защиты информации и повышение уровня информационной безопасности компании.

Программа курса:

1. Актуальность аудита информационной безопасности
   • Правильная оценка состояния и управления информационной безопасности в фирме
   • Новые средства успешного развития компании
   • Методики аудита безопасности и их особенности (NIST (США), GAO and FISCAM (США), CASPR, OWASP, SCIP, SET, Best Practice (Symantec, ISS, Cisco Sуstems, IBM, Microsoft)
   • Отличительные особенности аудита информационной безопасности в России
   • Соответствие и взаимодействие международного и российского подходов и методов аудита безопасности (ISO 15408, ISO 17799(BS 7799), BSI и CoBit, SAC, COSO, SAS 55/78, РД Гостехкомиссии РФ)
2. Типы аудита безопасности компании
   1. Комплексный анализ КИС и подсистемы информационной безопасности компании на методологическом, организационно-управленческом, технологическом и техническом уровнях. Анализ рисков.
      • Комплексная оценка соответствия типовым требованиям РД регулирующих органов РФ к системе информационной безопасности предприятия.
      • Комплексная оценка соответствия типовым требованиям международных стандартов ISO 17799, ISO 15408 к системе информационной безопасности предприятия.
      • Комплексная оценка соответствия специальных требований Заказчика к системе информационной безопасности предприятия.
      • Анализ рисков. Уровень управления рисками на основе качественных оценок рисков.
      • Анализ рисков. Уровень управления рисками на основе количественных оценок рисков.
      • Инструментальное исследование элементов инфраструктуры компьютерной сети и корпоративной информационной системы на наличие уязвимостей.
      • Инструментальное исследование защищенности точек доступа предприятия в Internet.
   2. Разработка комплексных рекомендаций по различным видам обеспечения режима информационной безопасности компании.
      • Разработка концепции обеспечения информационной безопасности предприятия.
      • Разработка фирменной политики мероприятий по защите информации на организационно-управленческом, правовом, технологическом и техническом уровнях.
      • Разработка плана с целью создания необходимой системы безопасности.
      • Анализ и создание методологического, организационно-управленческого, технологического, инфраструктурного и технического обеспечения режима информационной безопасности предприятия.
   3. Организационно-технологический анализ КИС.
      • Оценка аналогичности стандартным требованиям актов регулирующих органов РФ к системе информационной безопасности предприятия в области организационно-технологических норм.
      • Проверка документов предприятия, относящихся к категории "конфиденциально", на соответствие требованиям концепции информационной безопасности; положению о коммерческой тайне, прочим внутренним требованиям предприятия по обеспечению конфиденциальности информации.
      • Исследование и оценка элементов информационной безопасности объекта.
      • Создание элементов концепции информационной защиты предприятия.
   4. Экспертиза решений и проектов автоматизации и системной интеграции.
      • Экспертиза решений и проектов автоматизации на соответствие требованиям по обеспечению информационной безопасности экспертно-документальным методом.
      • Экспертиза проектов подсистем информационной безопасности на соответствие требованиям по безопасности экспертно-документальным методом.
   5. Работы по анализу документооборота и поставке типовых комплектов организационно-распорядительной документации.
      • Анализ документооборота предприятия категории "конфиденциально" на соответствие требованиям концепции информационной безопасности, положению о коммерческой тайне, прочим внутренним требованиям предприятия по обеспечению конфиденциальности информации.
      • Укомплектование стандартной организационно-распорядительной документации в соответствии с рекомендациями корпоративной политики ИБ предприятия на организационно-управленческом и правовом уровне.
   6. Поддержка практической реализации плана защиты.
      • Разработка технического проекта модернизации средств защиты КИС по результатам проведенного комплексного аналитического исследования корпоративной сети.
      • Разработка системы поддержки принятия решений по обеспечению информационной безопасности предприятия на основе CASE-систем и программных СППР.
      • Подготовка предприятия к аттестации.
      • Подготовка "под ключ" предприятия к аттестации объектов информатизации заказчика на соответствие требованиям РД РФ.
      • Подготовка предприятия к аттестации КИС на соответствие требованиям по безопасности международных стандартов ISO 15408, ISO 17799, стандарта ISO 9001 при обеспечении требований информационной безопасности предприятия.
      • Разработка организационно-распорядительной и технологической документации.
      • Разработка расширенного перечня сведений ограниченного распространения как части политики безопасности.
      • Разработка пакета организационно-распорядительной документации (ОРД) в соответствии с рекомендациями корпоративной политики ИБ предприятия на организационно-управленческом и правовом уровне.
      • Комплект типовой организационно-распорядительной документации в соответствии с рекомендациями корпоративной политики ИБ предприятия на организационно-управленческом и правовом уровнях.
   7. Повышение квалификации и переподготовка специалистов.
      • Тренинги в области организационно-правовой составляющей защиты информации.
      • Основы экономической безопасности.
      • Тренинги в области технологии защиты информации.
      • Тренинги по применению технических средств защиты информации.
      • Меры безопасности при порпытке взлома информационных систем.
   8. Сопровождение системы информационной безопасности после проведенного аудита безопасности оператора связи.
   9. Периодическая оценка состояния информационной безопасности оператора связи.
      • Основные цели и задачи системы защиты информации
      • Модели построения системы информационной безопасности
      • Алгоритмы и методы аудита безопасности
      • Определение границ исследования
      • Построение модели информационной технологии компании
      • Выбор контрмер (firewall, VPN, IDS, PKI, антивирусы, СЛЗИ, СЗИ от НСД, средства централизованного управления безопасностью)
      • Управление информационными рисками
      • Оценка достигаемой защищенности
3. Реорганизация и совершенствование корпоративной системы безопасности
   • Основные цели и задачи системы защиты информации
   • Шаблоны построения системы информационной безопасности
   • Алгоритмы и методы аудита безопасности
   • Определение границ исследования
   • Построение модели информационной технологии компании
   • Выбор контрмер (firewall, VPN, IDS, PKI, антивирусы, СЛЗИ, СЗИ от НСД, средства централизованого управления безопасностью)
   • Управление информационными рисками
   • Оценка достигаемой защищенности
4. Инструментальные средства аудита безопасности компании (COBRA (Великобритания), RiskPAC (CSCI), CRAMM (Великобритания), MARION (Франция), RiskWatch (США), Авангард (ИСА РАН)
5. Примеры аудита безопасности отечественных компаний