Наш подход к ИБ

Современные организации обладают, как правило, сложной, территориально распределенной корпоративной информационной системой и большим количеством критичных информационных ресурсов и работают в условиях растущих репутационных рисков и непрерывно меняющихся внешних требований к защите информации.

В такой ситуации обеспечить безопасность и защиту информации в информационных системах при адекватных расходах возможно лишь при использовании системного подхода, который подразумевает последовательное внедрение в компании комплексной системы информационной защиты и безопасности (КСИБ).

Наличие КСИБ позволяет снизить правовые, финансовые, репутационные и операционные риски, связанные с безопасностью информации, обеспечить соответствие всем актуальным для организации требованиям, оптимизировать организационную структуру и финансовые расходы на обеспечение информационной безопасности.

КСИБ включает в себя набор взаимосвязанных организационных мер, программно-технических средств и процессов управления на всех уровнях деятельности организации: стратегическом, тактическом и операционном.

LETA предлагает полный спектр услуг и решений, необходимых для построения КСИБ. Среди них можно выделить три основных направления:

услуги и решения по управлению ИБ;
услуги по обеспечению ИБ;
услуги по обеспечению соответствия требованиям.

Услуги и решения по управлению ИБ направлены на построение в организации эффективных процессов управления, которые обеспечивают:

предоставление максимально полной и достоверной информации о состоянии информационной безопасности на всех уровнях управления организацией;
эффективный обмен информацией между всеми заинтересованными сторонами: руководством организации, акционерами, клиентами и партнерами, регулирующими органами и органами по сертификации;
принятие правильных и своевременных решений на всех уровнях управления организацией в условиях внешних и внутренних изменений;
оптимизацию финансовых расходов на информационную безопасность.

Услуги и решения по обеспечению ИБ направлены на защиту информации и информационной системы организации от внешних и внутренних угроз информационной безопасности, в том числе:

угроз несанкционированного доступа и несанкционированного использования информационных ресурсов;
угроз утечки и разглашения конфиденциальной информации;
угроз, возникающих при взаимодействии с сетью, безопастностью в Интернете и другими внешними сетями;
угроз нарушения целостности или доступности информационных ресурсов;
других угроз информационной безопасности.

Услуги и решения по обеспечению соответствия требованиям направлены на защиту информации в соответствии с актуальными требованиями законодательства РФ, контролирующих, регулирующих и сертификационных органов, в том числе:

c Законом № 152 ФЗ «О персональных данных»;
стандартом международных платежных систем PCI DSS;
стандартом Банка России СТО БР ИББС;
международным стандартом ISO IEC 27001:2005;
другими требованиями в области информационной безопасности.

Комплексный проект по обеспечению ИБ может включать нескольких связанных друг с другом решений из разных направлений.

Методология выполнения проектов

В рамках реализуемых проектов компания LETA проводит полный цикл работ по построению систем информационной безопасности:

обследование и анализ состояния информационной безопасности организации;
проектирование систем, моделирование процессов, разработка документации;
поставка оборудования, внедрение процессов и систем, обучение персонала;
сопровождение систем и процессов ИБ.

При выполнении проектов по информационной безопасности особое внимание мы уделяем взаимодействию и обучению специалистов Заказчика, т.к. наличие квалифицированных специалистов является ключевым фактором для успешного внедрения и последующего эффективного функционирования внедряемых процессов и систем.

При внедрении программно-технических решений мы широко используем технологии виртуализации, что позволяет сократить количество физических серверов, требуемых для установки ПО, и существенно повысить масштабируемость, безопасность и отказоустойчивость решения.

Предпроектное обследование и анализ состояния информационной безопасности организации

Обследование проводится с целью анализа состояния информационной безопасности организации и уточнения требований к внедряемому решению. Оно включает в себя сбор и обработку информации об организационной структуре, процессах и процедурах, программно-технических решениях, имеющихся у Заказчика, а также об актуальных для него внешних и внутренних требованиях. По результатам этапа обследования разрабатывается проектное (техническое) задание на внедрение требуемых организационных мер, программно-технических средств и процессов управления информационной безопасностью организации.

Также, в случае необходимости, на этом этапе могут быть разработаны политики информационной безопасности, определяющие основные требования к обеспечению ИБ в организации.

Проектирование систем и моделирование процессов

На этапе проектирования разрабатывается технический проект внедряемого решения. Проектирование выполняется в соответствии с требованиями ГОСТ 32.

Также, в случае необходимости, на этом этапе проводится проектирование (моделирование) процессов и процедур и их тестирование, что позволяет обнаружить и устранить возможные проблемы и узкие места на раннем этапе, избежать ошибок и значительных изменений на этапе внедрения и, таким образом, снизить риски проекта.

При проектировании систем, входящих в состав интеграционного решения, проводится пилотное тестирование на площадке Исполнителя с целью проверки совместимости входящих в него технических решений, а также, в случае необходимости, разработки и тестирования входящих в него дополнительных программных компонентов (коннекторов, скриптов и т.п.).

Поставка оборудования, внедрение процессов и систем, обучение персонала

На этапе внедрения осуществляется поставка и развертывание программно-технических средств на площадках Заказчика в соответствии с разработанным техническим проектом, а также, в соответствии с разработанными моделями процессов и процедур, проводится обучение персонала Заказчика и формируется необходимая рабочая документация (регламенты, инструкции, перечни, схемы и т.п.).

В случае, если техническое решение затрагивает бизнес-процессы организации в значительной степени, внедрение проводится постепенно с выделением пилотной зоны на площадке Заказчика и последующим поэтапным распространением решения на всю область деятельности, охватываемую проектом.

По завершении этапа внедрения проводятся тестовые испытания внедренного решения в соответствии с разработанными на этапе проектирования программой и методикой испытаний и приемка систем в промышленную эксплуатацию.

Сопровождение систем и процессов ИБ

Для обеспечения максимальной надежности и доступности внедренного решения LETA IT-company предлагает услугу по расширенной технической поддержке, которая включает в себя поддержку по телефону, а также возможные выезды к Заказчику.

Услуга по сопровождению внедренного решения может также включать в себя консультационную поддержку и инспекционные визиты для оценки эффективности функционирования внедренных процедур и программно-технических средств и устранения выявленных проблем.

Управление проектами

Проектная деятельность Исполнителя основана на лучших мировых практиках (PMI PMBoK), а также на собственном опыте реализации проектов. Все проекты Исполнителя реализуются в соответствии с Корпоративной системой управления проектами (далее — КСУП). При реализации проекта Руководитель проекта и все участники проектной команды должны чётко следовать регламентированным в КСУП требованиям. Профессионализм участников проектных команд и строгое соблюдение формализованных требований позволяет обеспечить высокое качество оказываемых консалтинговых услуг и услуг по внедрению технических средств.

Главными критериями успешного выполнения проектов служат уровень удовлетворённости Заказчика качеством оказываемых услуг и сбалансированность ключевых показателей по сроку, бюджету и содержанию проекта.

В рамках коммуникаций при реализации проекта Руководители проектов со стороны Исполнителя и Заказчика являются ключевым звеном.

Схема коммуникаций приведена ниже.

Контроль качества

Контроль качества проектов Исполнитель реализовывает четырьмя независимыми контурами:

двухступенчатый внутренний контроль качества проекта осуществляется:
- руководителем проекта;
- руководством Департамента внедрения и консалтинга.
двухступенчатый внешний контроль качества проекта включает:
- внешний контроль качества отделом качества;
- измерение восприятия Заказчиком достигнутого в проекте качества.

Первые два контрольных контура, которые курируют руководители, ответственные за выполнение проекта, решают задачу максимально быстрого обнаружения возможных отклонений от запланированных показателей проекта, а также позволяют оперативно разрешать возникающие при выполнении проекта нестандартные ситуации и принимать предупреждающие и корректирующие меры.

Для получения максимально объективной информации по проекту, независимой от исполнителей работ, проводится независимый контроль качества сотрудниками отдела качества, подчиненными непосредственно Руководству Исполнителя. Такие аудиты качества проводятся в ходе проекта с момента его инициации и вплоть до закрытия для проверки исполнения требований, установленных:

в нормативных документах по управлению проектами;
в договорной документации;
в иных документах, которые могут содержать требования, в том числе порождаемых в ходе проекта.

Кроме контроля исполнения установленных требований выполняется измерение восприятия клиентом достигнутого качества результатов проекта. Такие проверки выполняются сотрудниками отдела качества методом интервьюирования представителей Заказчика, курирующих проект (при личной встрече либо в ходе телефонного разговора). Проверки могут проводиться по результатам этапов проекта и обязательно после завершения проекта, после подписания последнего акта выполненных работ. В случае возникновения непредвиденных ситуаций, которые не удается разрешить силами проектной команды, Руководство Исполнителя может принять решение о независимом измерении восприятия Заказчиком сложившейся ситуации.

Результаты независимых аудитов качества и измерений восприятия Заказчика по достигнутому качеству выносятся на рассмотрение комитета по качеству под председательством Генерального директора Исполнителя. Помимо принятия оперативных мер реагирования, информация проверок используется Руководством Исполнителя для принятия решений по совершенствованию деятельности и улучшению качества услуг.

Также сотрудники Заказчика, курирующие проект, могут высказать свою претензию по телефону или, оформив ее в письменном виде, отправить по электронной почте непосредственно в отдел качества Исполнителя, который обязан незамедлительно организовать ее рассмотрение и не позднее 10 дней дать официальный ответ на поданную претензию.