Если автоматизированная система уже эксплуатируется, но при проверке выясняется, что отдельные требования информационной безопасности не выполнены, начинать нужно не с закупки новых средств защиты, а с определения того, какие требования действительно применимы к системе.
Набор мер зависит от назначения системы, характера обрабатываемой информации, используемых технологий и действующих нормативных требований.
Какие несоответствия встречаются чаще всего
Не определены актуальные требования
Система развивается, состав оборудования и программного обеспечения меняется, а требования безопасности продолжают применяться по старой схеме или вообще не пересматриваются.
Документация не соответствует фактической системе
В документах указана одна архитектура, а в реальной эксплуатации уже появились новые серверы, рабочие станции, сетевые сегменты или внешние подключения.
Часть защитных мер не реализована
Например, отсутствуют необходимые ограничения доступа, журналирование, контроль действий пользователей, сегментация или другие меры, которые предусмотрены для конкретной системы.
Средства защиты есть, но настроены формально
Наличие установленного средства защиты само по себе не означает, что требование выполнено: важны его настройки, область применения и фактическая работа в составе системы.
С чего начать проверку
- определить назначение автоматизированной системы;
- уточнить, какие данные и процессы она обрабатывает;
- определить применимые нормативные требования;
- сопоставить документацию с фактической архитектурой;
- проверить реализованные организационные и технические меры;
- выявить требования, которые выполнены частично или не выполнены;
- сформировать перечень необходимых доработок.
Если система обрабатывает персональные данные
В этом случае необходимо отдельно учитывать требования, связанные с обработкой и защитой персональных данных. 152-ФЗ требует принимать необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа и других неправомерных действий.
На практике это означает, что недостаточно установить отдельное средство защиты: нужно проверить весь процесс обработки данных и набор применяемых мер.
Когда возникают требования ФСБ
Отдельные требования ФСБ могут быть актуальны, если в системе применяются средства криптографической защиты информации или для конкретного контура предусмотрено использование СКЗИ.
В таком случае необходимо учитывать не только наличие криптографических средств, но и корректность их применения в конкретной информационной системе.
Почему нельзя устранять замечания по отдельности
Если закрывать каждое замечание отдельно, не учитывая архитектуру системы, можно получить набор локальных решений, которые формально устраняют отдельные проблемы, но не создают целостной системы защиты.
Поэтому удобнее сначала составить общую картину: какие требования применяются, какие меры уже реализованы, какие требуют доработки и в какой последовательности их лучше внедрять.
Как выглядит нормальный план устранения несоответствий
- перечень выявленных несоответствий;
- нормативное основание для каждого требования;
- приоритет устранения проблемы;
- необходимые организационные меры;
- необходимые технические изменения;
- ответственные за выполнение;
- повторная проверка после доработок.
Когда нужен специалист
Если система развивалась поэтапно, документация устарела, а требования безопасности применялись частично, самостоятельно определить объём необходимых доработок бывает сложно.
В этом случае специалист может провести обследование, сопоставить фактическое состояние системы с применимыми требованиями и сформировать последовательный план устранения несоответствий.
Вывод
Несоответствие требованиям безопасности не всегда означает, что автоматизированную систему нужно полностью перестраивать. Часто достаточно определить реальные пробелы, актуализировать документацию, скорректировать настройки и внедрить недостающие меры защиты.
