IQusion — чинний ліцензіат Держспецзв’язку з оцінювання захищеності інформації

Що означає ця ліцензія

IQusion працює у цій сфері з 2017 року, а актуальне оновлення офіційного переліку підтверджує збереження статусу ліцензіата після більш ніж дев’яти років роботи. Для замовників такий статус має практичне значення у проєктах, де законодавство або нормативна процедура передбачає залучення виконавця, який має право здійснювати відповідний вид діяльності у сфері технічного захисту інформації.

Ліцензійні умови, затверджені постановою Кабінету Міністрів України № 821, встановлюють вимоги до організації таких робіт, зокрема до кадрового, організаційного та технологічного забезпечення виконавця. Чинний статус ліцензіата підтверджує право компанії здійснювати відповідний вид діяльності у сфері технічного захисту інформації відповідно до встановлених ліцензійних умов.

Формулювання «інформація, що не становить державної таємниці» не означає, що йдеться лише про відкриту інформацію. Об’єктом оцінювання можуть бути системи, в яких обробляються персональні дані, службова, конфіденційна, комерційна та інша інформація з обмеженим доступом. Правовий режим інформації та конкретні вимоги до її захисту визначаються окремо для кожного об’єкта.

Роботи, пов’язані із захистом державної таємниці, належать до іншої категорії та не охоплюються цим видом ліцензії.

Що може включати оцінювання захищеності

Об’єктами оцінювання можуть бути інформаційні та інформаційно-комунікаційні системи, їхні програмні й технічні компоненти, засоби захисту, а також документація, що визначає архітектуру, налаштування та порядок експлуатації системи.

Конкретний склад робіт залежить від призначення системи, її архітектури, категорій інформації, застосовних нормативних вимог та процедури, для якої необхідні результати оцінювання.

Робота, як правило, починається з визначення об’єкта та меж оцінювання. Аналізуються склад і взаємодія компонентів, інформаційні потоки, умови експлуатації, застосовані механізми захисту та комплект документації.

Окрема увага приділяється відповідності між тим, як система має бути захищена відповідно до документації, і тим, як ці механізми реалізовані фактично.

Залежно від завдання можуть перевірятися:

• проєктна, технічна, організаційно-розпорядча та експлуатаційна документація;
• механізми ідентифікації та автентифікації користувачів;
• керування доступом і розмежування повноважень;
• реєстрація та журналювання подій;
• механізми контролю цілісності;
• резервне копіювання та відновлення;
• фактичні налаштування програмних і технічних засобів захисту;
• виконання заявлених функцій безпеки у визначених умовах.

Якщо це передбачено завданням та відповідною нормативною процедурою, можуть проводитися експертні випробування за погодженою програмою і методикою.

Результати робіт документуються із фіксацією висновків, виявлених невідповідностей та, залежно від процедури, рекомендацій або вихідних даних для подальшого усунення недоліків.

Що отримує замовник

Практична цінність оцінювання полягає в тому, щоб отримати об’єктивне розуміння фактичного стану захищеності системи та виявити розбіжності між вимогами, документацією і реальною реалізацією механізмів захисту.

Це дозволяє:

• виявити невідповідності до завершення проєкту;
• визначити пріоритетність необхідних доопрацювань;
• узгодити документацію з фактичною архітектурою та конфігурацією системи;
• знизити ризик дорогих змін на завершальних етапах створення або модернізації системи;
• підготувати систему та необхідні матеріали до подальших процедур, якщо вони передбачені нормативними вимогами.

Саме тому залучати фахівців доцільно не лише після завершення створення системи, а й на етапі її проєктування або модернізації. У такому разі виявлені вимоги та зауваження можна врахувати в архітектурі, конфігурації засобів захисту й документації ще до введення системи в експлуатацію.

Досвід IQusion

IQusion має чинну ліцензію на цей вид діяльності з 4 січня 2017 року. За цей час вимоги до інформаційних систем, технологічні підходи та нормативне середовище суттєво змінювалися, однак потреба у професійній та формалізованій оцінці реалізованих механізмів захисту залишається актуальною.

Команда IQusion може долучатися до проєкту на ранньому етапі, допомагаючи визначити застосовні вимоги, об’єкт і межі оцінювання, перелік необхідних вихідних матеріалів та оптимальну послідовність робіт для нової або модернізованої інформаційної системи.

Джерела

• Перелік суб’єктів з оцінювання захищеності інформації, що не становить державної таємниці
• Постанова Кабінету Міністрів України № 821 від 16 листопада 2016 року