Обеспечение безопасности и меры защиты информации в государственных информационных системах

Обеспечение безопасности и меры защиты информации в государственных информационных системах

Код курса БТ25, 2 дня

Статус

Авторский курс Учебного центра "Информзащита"

Аннотация

Создание курса продиктовано необходимостью решения задач по организации обработки и защите информации в государственных информационных системах (ГИС).

Главная цель учебного курса – помочь специалистам различных категорий (обладателям информации, заказчикам, заключившим государственный контракт на создание ГИС) и операторам ГИС выполнить и документально подтвердить выполнение требований по обеспечению защиты информации в ГИС.

Особое внимание в курсе уделяется вопросам выполнения требований по технической защите, анализу и классификации информационных систем, разработке внутренних организационно-распорядительных документов, описанию системы защиты ГИС.

В течение двух дней подробно рассматривается весь комплекс вопросов, начиная от определения того, что относится к ГИС и их классификации, до организационных мероприятий и технических мер по обеспечению безопасности ГИС.

Аудитория

• Руководители подразделений и специалисты организаций-операторов ГИС.
• Руководители и сотрудники структурных подразделений заказчиков, заключивших государственный контракт на создание ГИС;
• Руководители подразделений и специалисты организаций, обрабатывающих информацию, являющуюся государственным информационным ресурсом по поручению обладателя информации;
• Руководители и сотрудники организаций, предоставляющих операторам вычислительные ресурсы (мощности) для обработки информации на основании заключенного договора;
• Руководители подразделений и специалисты организаций, привлекаемых для проведения работ по созданию (проектированию) информационных систем в защищенном исполнении и (или) систем защиты информации.

Предварительная подготовка

Слушателю нужно иметь представление  об основах защиты информации в Российской Федерации, об основных документах и нормативных актах, регламентирующих деятельность ФСТЭК России в области ТЗИ, в том числе, защите государственных информационных систем, международном опыте организации защиты информации, о системе организации государственного управления в области ТЗИ ограниченного доступа, о способах, средствах и возможных последствиях реализации угроз безопасности информации ограниченного доступа в организации.

В результате обучения

Вы приобретете знания:

• о нормативных, правовых и организационных основах обеспечения безопасности государственных информационных систем;
• об организационно-правовых основах технической защиты государственных информационных систем;
• о проектировании защиты государственных информационных систем в соответствии с заданными требованиями.

Вы сможете:

• выбирать современные методы и средства защиты соответственно поставленным задачам.

Пакет слушателя

• Фирменное учебное пособие.
• Раздаточный материал, в том числе, нормативно-правовая база в электронном виде, определяющая требования по обеспечению безопасности их обработки.

Дополнительно

После успешной сдачи зачета выпускники получают свидетельства об обучении Учебного центра «Информзащита».

Выпускники Учебного центра могут получать бесплатные консультации специалистов центра в рамках пройденного курса.

Программа курса

Раздел № 1. Требования к организации защиты информации, содержащейся в ГИС

• Общие требования.
• Формирование требований к защите информации, содержащейся в ГИС (учет требований  ГОСТ Р 51583 и ГОСТ Р 51624), анализ целей и задач в информационной системе, определение информации, подлежащей обработке, анализ нормативных правовых актов.
• Классификация информационной системы. Основания и порядок пересмотра  класса ГИС.
• Формирование модели угроз безопасности ГИС. Учет структурно-функциональных характеристик, угроз безопасности, возможностей нарушителей, возможных уязвимостей,  способов реализации угроз безопасности информации, а также последствий от нарушения свойств безопасности.
• Формирования технического задания  с учетом требований ГОСТ 34.602, ГОСТ Р 51583 и ГОСТ Р 51624, положения политик обеспечения информационной безопасности обладателя информации (заказчика) в случае их разработки по ГОСТ Р ИСО/МЭК 27001.

Раздел № 2. Разработка системы защиты информации

• Проектирование системы защиты ГИС, разработка эксплуатационной документации на СЗИ.
• Учет взаимодействия ГИС с иными информационными системами.
• Разработка эксплуатационной документации на СЗИ с учетом ГОСТ 34.601, ГОСТ 34.201 и ГОСТ Р 51624.

Раздел № 3. Внедрение системы защиты информации

• Установка и настройка СЗИ.
• Разработка организационно-распорядительных документов по защите.
• Внедрение организационных мер защиты информации. Реализация правил разграничения доступа, введение ограничений на действия пользователей.
• Предварительные испытания СЗИ с учетом ГОСТ 34.603 (проверка работоспособности СЗИ, принятие решения о возможности опытной эксплуатации).
• Опытная эксплуатация СЗИ, проверка функционирования СЗИ, готовность пользователей и администраторов к эксплуатации системы.
• Анализ уязвимостей ГИС, включая анализ уязвимостей средств защиты информации, технических средств и программного обеспечения информационной системы. Действия в случае выявления уязвимостей.
• Приемочные испытания СЗИ с учетом ГОСТ 34.603.

Раздел № 4. Аттестация информационной системы и ввод ее в действие

• Аттестация, случаи распространение аттестата соответствия на другие сегменты информационной системы.
• Повторная аттестация в случае окончания срока действия аттестата соответствия.
• Ввод в действие информационной системы.

Раздел № 5. Обеспечение защиты информации в ходе эксплуатации аттестованной информационной системы

• Управление системой защиты, выявление инцидентов и реагирование на них, управление конфигурацией, контроль.

Раздел № 6. Обеспечение защиты информации при выводе из эксплуатации аттестованной информационной системы или после принятия решения об окончании обработки информации

• Архивирование информации, уничтожение данных и остаточной информации с машинных носителей.

Раздел № 7. Требования к мерам защиты информации, содержащейся в информационной системе

• Идентификация и аутентификация субъектов доступа и объектов доступа.
• Управление доступом субъектов доступа к объектам доступа.
• Ограничение программной среды.
• Защита машинных носителей информации.
• Регистрация событий безопасности.
• Антивирусная защита.
• Обнаружение (предотвращение) вторжений.
• Контроль (анализ) защищенности информации.
• Обеспечение целостность информационной системы и информации.
• Обеспечение доступности информации.
• Защита среды виртуализации.
• Защита технических средств.
• Защита информационной системы, ее средств и систем связи и передачи данных.

Итоговое занятие.