Из перечисленных подходов первые пять обеспечивают закрытие единичных сценариев защиты конфиденциальных данных от утечки.

Подход 7 требует длительного кропотливого внедрения и отладки (1-3 года), чтобы начать получать качественные результаты.

Только подход 6 позволяет получать значимый результат (выявление источников утечки информации, предотвращение распространения стратегических планов компании) в первые же недели после внедрения системы Data Loss Prevention (DLP).

Оставшиеся подходы 8-10 дополнят системы DLP за счет снижения рисков утечки в результате кражи/потери ноутбуков или дисков. При этом совместно с DLP-системами используют также подходы 4 для дополнительного контроля над портами компьютеров и 5 для ретроспективного анализа инцидентов.

Приложение

Это важно!

Защищая информационные ресурсы от недоверенного подрядчика, определите уровень и зону его доступа. Возможно, достаточно предоставить доступ к части аппаратного обеспечения (на конфигурирование, не к данным), так как силами организации это более сложно или менее неэффективно.

Определите порядок доступа к важным данным. Объедините всех людей, которые работают с ними от внешней организации, в единый блок.

Выстроив защищенную инфраструктуру, назначьте ответственных за выдачу, отзыв и обновления сертификатов и ключей шифрования от вашей организации и полностью передайте все права на шифрование им.

«Считайте затраты»

– Передавая систему информационной безопасности компании на аутсорсинг, следует учитывать стоимость контракта, риски оттока специалистов в компанию-аутсорсер, и соответственно, количество времени и денег, которые придется потратить на поиск новых сотрудников, а также затраты на ведение договора. Кроме того, нужно принимать во внимание стоимость контроля исполнителя, особенно в случае аутсорсинга информационной безопасности. Существует три основных этапа передачи системы ИБ на аутсорсинг. Это – проектирование комплексной системы информационной безопасности (КСИБ). Совместный процесс проектирования дает обеим сторонам необходимые данные для понимания проблем и задач, связанных с управлением ИБ.

Следующий этап – внедрение КСИБ. Проведение пуско-наладочных работ позволяет узнать все особенности внедренной системы, что дает обеим сторонам детальное понимание принципов работы компонентов КСИБ, а также позволяет эффективно распределить роли участников.

И, наконец, техническое обслуживание КСИБ. Этот этап позволяет заказчику понять, насколько целесообразной и обоснованной будет передача процесса управления ИБ на аутсорсинг. Сюда также необходимо добавить процессы написания проектов, организационно-распорядительной документации, инструкций, регламентов и т.д. Написание политики информационной безопасности компании, как правило, является самостоятельным процессом, в котором, впрочем, есть место и для аутсорсинга ИБ.

Павел Ерошкин,
начальник Управления информационной безопасности компании «Техносерв»