Анализ защищённости

Анализ защищённости — оценка защищённости информационных систем и сетевой инфраструктуры путём выявления технических уязвимостей. В отличие от аудита информационной безопасности, который фокусируется на организационных мерах и соответствии требованиям регуляторов, анализ защищённости направлен на практическое тестирование технических мер защиты информации и обнаружение реальных уязвимостей.

Оценка защищённости информационных систем ФСТЭК является обязательной процедурой при расчёте показателя защищённости КЗИ по приказу ФСТЭК №117 и входит в перечень мер защиты информации по приказам ФСТЭК 17, 21, 239. Для объектов критической информационной инфраструктуры оценка уровня защищённости информационных систем проводится не реже одного раза в год.

Этапы анализа защищённости:

Планирование — определение границ тестирования, согласование методологии и инструментария, формирование перечня проверяемых систем и сервисов. Учитываются требования к тестируемой системе (ГИС, ИСПДн, объект КИИ) и актуальные угрозы из Банка данных угроз ФСТЭК (БДУ ФСТЭК).

Автоматизированное сканирование уязвимостей — применяются сертифицированные сканеры безопасности для быстрого выявления известных уязвимостей в сетевых сервисах, веб-приложениях, операционных системах, СУБД. Результаты сканирования верифицируются для исключения ложных срабатываний. Используется база данных БДУ ФСТЭК России для идентификации уязвимостей, актуальных для российского ИТ-ландшафта.

Ручной анализ конфигураций — проверка настроек средств защиты информации: правил межсетевых экранов, политик контроля доступа, настроек антивирусной защиты, конфигурации систем обнаружения вторжений. Оценивается корректность сегментации сети, наличие избыточных прав доступа, качество парольной политики, актуальность обновлений программного обеспечения.

Тестирование механизмов безопасности — проверка идентификации и аутентификации, разграничения доступа, регистрации событий безопасности, резервного копирования. Оценивается устойчивость к типовым атакам: перебор паролей, эксплуатация известных уязвимостей, попытки обхода средств защиты.

Формирование отчёта — результаты классифицируются по уровням критичности (критический, высокий, средний, низкий) в соответствии с CVSS. Для каждой уязвимости указываются: описание, затронутые активы, потенциальный ущерб, рекомендации по устранению с указанием приоритета. Формируется расчёт показателя защищённости для приказа ФСТЭК №117.

КРЕДО-С проводит оценку защищённости информационных систем с использованием собственной методологии, основанной на стандартах NIST SP 800-115, OWASP, БДУ ФСТЭК. Лицензии ФСТЭК и ФСБ России, опыт работы с информационными системами всех классов защищённости.