Обеспечение требований ФЗ №256-ФЗ «О безопасности объектов топливно-энергетического комплекса»

Федеральный закон «О безопасности объектов топливно-энергетического комплекса» от 21 июля 2011 года накладывает ряд обязательств субъектов (законных владельцев объектов) топливно-энергетического комплекса (далее ТЭК).

К таким объектам относятся объекты:

• электроэнергетики;
• нефтедобывающей, нефтеперерабатывающей, нефтехимической;
• газовой, угольной, сланцевой и торфяной промышленности.

ФЗ №256-ФЗ регламентирует требования к обеспечению безопасности информационных систем объектов ТЭК (статья 11). В рамках этих требований, субъекты ТЭК должны создать и обеспечить функционирование системы защиты информации и информационно-телекоммуникационных сетей от неправомерного доступа, уничтожения, модифицирования, блокирования информации и иных неправомерных действий на своих объектах.

ЗАО «ДиалогНаука» предлагает следующие услуги по обеспечению требований ФЗ №256-ФЗ:

1. Проведение обследования информационных систем, информационно-телекоммуникационных сетей и автоматизированных систем управления технологическими процессами (АСУ ТП) объектов ТЭК

Целями обследования являются:

• изучение объекта защиты и сбор исходных данных для определения необходимых мер по защите информации;
• определение текущего уровня защищенности систем;
• оценка возможных последствий реализации угроз информационной безопасности.

При обследовании осуществляется сбор информации и изучение защищаемого объекта, действующих процессов и используемых систем. На основе собранной информации выполняется:

• анализ технологических и бизнес-процессов;
• идентификация и (при необходимости) классификация ценных активов;
• определение и анализ уязвимостей;
• анализ и оценка рисков информационной безопасности информационных систем и АСУ ТП объекта ТЭК;
• моделирование угроз информационной безопасности;
• моделирование нарушителя информационной безопасности;
• определение уровня значимости (для АСУ ТП);
• определение целевого уровня защищенности системы;
• разработка рекомендаций/требований по обеспечению мер защиты информации.

2. Проектирование системы защиты информации, информационно-телекоммуникационных сетей и АСУ ТП объектов ТЭК

Проектирование систем защиты выполняется на основе результатов моделирования угроз информационной безопасности. В зависимости от рассматриваемых угроз, при проектировании системы защиты реализуются меры безопасности, направленные на:

• идентификацию и аутентификацию, управление доступом;
• ограничение программной среды;
• защиту машинных носителей информации;
• регистрацию событий безопасности;
• антивирусную защиту;
• обнаружение (предотвращение) вторжений;
• контроль (анализ) защищенности информации;
• целостность и контроль целостности системы и информации;
• доступность технических средств и информации;
• защиту среды виртуализации;
• защиту технических средств и оборудования;
• защиту системы и ее компонентов;
• безопасную разработку прикладного и специального программного обеспечения разработчиком;
• управление обновлениями программного обеспечения;
• планирование мероприятий по обеспечению защиты информации;
• обеспечение действий в нештатных (непредвиденных) ситуациях;
• информирование и обучение пользователей;
• анализ угроз безопасности информации и рисков от их реализации;
• выявление инцидентов и реагирование на них (управление инцидентами);
• управление конфигурацией информационной системы и ее системы защиты;
  и другие.

При проектировании системы защиты информации так же разрабатывается комплект организационно-распорядительной документации (далее ОРД), обеспечивающий реализацию организационных мер защиты и поддержку следующих процессов:

• предоставление и управления доступом;
• контроль защищенности системы;
• управление инцидентами;
• резервирование;
• управление конфигурациями;
• управление непрерывностью;
• информирование и обучение пользователей по вопросам ИБ;
• планирование и регламентирование действий в нештатных ситуациях;
  и другие

При проектировании систем защиты АСУ ТП так же учитываются и реализуются требования Приказа ФСТЭК России №31 от 14 марта 2014 г. «Об утверждении Требований к обеспечению защиты информации в автоматизированных системах управления производственными и технологическими процессами на критически важных объектах, потенциально опасных объектах, а также объектах, представляющих повышенную опасность для жизни и здоровья людей и для окружающей природной среды».

Подробнее ознакомиться с услугами по защите АСУ ТП можно по ссылке.

3. Ввод в действие системы (средств) защиты информации, информационно-телекоммуникационных сетей и АСУ ТП

ЗАО «ДиалогНаука» осуществляет работы по внедрению системы или отдельных средств защиты. Работы проводятся опытными квалифицированными специалистами, обладающих сертификатами соответствующих компаний-разработчиков.

4. Сопровождение систем защиты информации, информационно-телекоммуникационных сетей и АСУ ТП объектов ТЭК

• консультации по базовой установке, штатной работе и обновлению средств защиты;
• проведение периодического контроля, оценки рисков и моделирования угроз информационной безопасности, пересмотра политик безопасности и мер обеспечения информационной безопасности, пересмотр и доработка ОРД;
• проведение работ по масштабированию или модернизации систем защиты;
• проведение работ по адаптации систем защиты под изменения в бизнес- или технологических процессах объекта ТЭК.

5. Инструментальный контроль защищенности и тесты на проникновение

Наша компания осуществляет работы по проведению инструментального контроля защищенности с использованием специализированных средств, позволяющих не только выявить существующие в системе уязвимости, но и построить подробную карту угроз информационной безопасности и определить практически реализуемые вектора сетевых атак на систему. Так же, специализированные средства позволяют идентифицировать, визуализировать и приоритезировать риски информационной безопасности, снижая тем самым вероятность влияние человеческого фактора при проведении оценки и анализа рисков.

Так же специалисты ЗАО «ДиалогНаука» выполняют тесты на проникновения (penetration testing), позволяющие получить адекватную оценку уровня защищенности на основе смоделированных в реальных условиях атак на защищаемые системы или отдельные активы.

Подробнее с услугами в области тестирования на проникновения можно ознакомиться по ссылке.