Построение системы управления ИБ (СУИБ) на промышленных предприятиях

• Владислав Крылов, консультант по информационной безопасности, рассказывает о СУИП на промышленных предприятиях.  

• Обсуждаются цели внедрения СУИП, ключевые составляющие и жизненный цикл СУИП.  

• СУИП - это комплекс организационной структуры и ресурсов для управления информационной безопасностью.  

• СОИБ фокусируется на технических и операционных аспектах защиты информации.  

• Взаимодействие СУИП и СОИБ важно для обеспечения метрик и принятия управленческих решений.  

• Управление информационными рисками: систематическое выявление и оценка рисков.  

• Устойчивость к инцидентам: готовность к реагированию и восстановлению после инцидентов.  

• Усиление процессов безопасности: постоянный мониторинг и улучшение процессов управления информационной безопасностью.  

• Оптимизация бизнес-процессов: адаптация СУИП к реальным бизнес-процессам организации.  

• ГОСТ Р ИСО/МЭК 27001-2021 и международный стандарт ISO/IEC 27001:2018.  

• Рекомендации от Национального института стандартов и технологий США NIST SP 800-53.  

• Европейский регламент по защите данных GDPR.  

• Регламенты: высокоуровневые документы, определяющие стратегические направления и принципы управления информационной безопасностью.  

• Процедуры: документированные шаги и инструкции для выполнения действий в рамках СУИП.  

• Персонал: сотрудники как защитники и потенциальные источники угроз, важность создания культуры безопасности.  

• Технические средства: системы обнаружения и предотвращения атак, антивирусы, как инструменты для контроля и управления.  

• Три этапа: подготовка, внедрение и поддержка.  

• Важность определения целей и задач, оценки текущего состояния и положения дел в компании.  

• Разработка политик, регламентов и обучение сотрудников.  

• Внедрение технических средств для получения метрик и реагирования на инциденты.  

• Постоянное улучшение и апдейты СУИП.  

• Мониторинг сетевой активности и пользователей.  

• Проведение аудитов и улучшений.  

• Важность оценки эффективности СУИП.  

• Постановка задач: определение ключевых бизнес-процессов и целевых показателей.  

• Определение поверхности применения СУИП: инвентаризация активов и анализ регламентов.  

• Выявление рисков и оценка компетентности персонала.  

• Назначение ответственных лиц и определение зон ответственности сотрудников.  

• Пример внедрения на сталь-литейном заводе.  

• Ключевые бизнес-процессы: отливка стали и продажи.  

• Целевые показатели: непрерывное производство и отсутствие потерь.  

• Недопустимые события: прекращение процесса отливки стали.  

• Инвентаризация корпоративных информационных систем и СТП.  

• Анализ комплектности текущих регламентов и их соответствие требованиям регуляторов.  

• Формирование топологии сети и выявление уязвимых элементов.  

• Оценка компетентности персонала и распределение ролей.  

• Определение должностей, заинтересованных в реализации СУИП.  

• Формирование ролевой модели по подразделениям.  

• Разработка регламентов и инструкций.  

• Обучение сотрудников: внешнее и внутреннее.  

• Технические средства: мониторинг и управление учетными записями.  

• Стратегия управления рисками и политика информационной безопасности.  

• Инструкции пользователей и планы действий в внештатных ситуациях.  

• Внешнее и внутреннее обучение.  

• Проведение киберучений и использование систем мониторинга.  

• Управление учетными записями и распределение полномочий.  

• На следующей неделе пройдет конференция АСУТП-КВО, где Ольга Копейкина выступит с докладом о привилегированных пользователях.  

• Последний этап жизненного цикла СУИБ — сопровождение, включающий мониторинг и оценку сетевой активности и действий пользователей.  

• Мониторинг и оценка включают сравнительный анализ текущего состояния дел с целевыми показателями.  

• Внутренний аудит проводится для проверки выполнения регламентов и эффективности эксплуатации технических средств.  

• Внешний аудит проводится сторонними экспертами для беспристрастной проверки.  

• Периодичность внутренних и внешних аудитов определяется регламентами.  

• Улучшение включает докупку средств защиты, обновление антивирусных баз и актуализацию политик.  

• Оптимизация процессов требует оперативного внесения изменений в регламенты и политики.  

• Важно оставаться в курсе новых нормативных документов и требований.  

• Внедрение системного подхода к информационной безопасности минимизирует риски.  

• Культура безопасности в компании повышает доверие клиентов и партнеров.  

• Динамичность и адаптивность СУИБ важны для адаптации к изменяющимся условиям.  

• Рекомендация телеграм-каналов для чтения по тематике ИБ.  

• Внедрение СУИБ без регламентированных бизнес-процессов затруднено.  

• СУИБ включает как технические средства, так и документацию, которая должна быть понятной и полезной для сотрудников.  

• Стоимость СУИБ варьируется от нуля до бесконечности и зависит от бюджета и реалий компании.  

• Регламенты и политики СУИБ сложно оценить, но можно нанять консалтинг для их разработки.  

• Внедрение СУИБ требует понимания текущих процессов и условий эксплуатации.  

• Безопасность и прибыль взаимосвязаны, но безопасность не может приносить прибыль напрямую.  

• Внедрение СУИ позволяет избежать инцидентов и обеспечить непрерывность бизнес-процессов.  

• Это улучшает прибыль организации, предотвращая потери и убытки.  

• Внедрение СУИ требует затрат, но предотвращает инциденты и убытки.  

• Примеры конкурентов показывают важность внедрения СУИ.  

• Регулярное обновление системы требует дополнительных затрат.  

• Трудозатраты зависят от текущих регламентов и внедренных мер безопасности.  

• Внедрение может занять от одного дня до нескольких лет.  

• Важно провести полную инвентаризацию и оценить необходимость дополнительных мер.  

• Подход основан на предотвращении инцидентов и убытков.  

• Срок окупаемости зависит от тяжести возможных инцидентов и бизнес-процессов.  

• Внедрение защитных мер предотвращает убытки и улучшает бизнес-процессы.  

• Основные документы: стратегия управления рисками и политика ИБ.  

• Минимальный набор документов включает стратегию управления рисками и политику ИБ.  

• Дальнейшие меры защиты зависят от инвентаризации активов и потребностей компании.  

• При внедрении СУИ можно обратиться к интегратору для помощи.  

• Интегратор имеет опыт внедрения подобных систем.  

• Благодарность за внимание и приглашение к обратной связи.  

• Контакты для связи и участия в мероприятиях.  

• Отдельное спасибо команде за организацию мероприятия.