Динамично, грамотно, гибко!

Николай Дмитриев, руководитель отдела внедрения компании InfoWatch

Задачи ИБ-служб уже не удается решать с помощью коробочных продуктов. Сложность проектов выросла настолько, что без соответствующих компетенций и уровня экспертизы сложно достичь успеха при внедрении ИБ-продуктов. Рассмотрим несколько факторов, которые необходимо учитывать при внедрении.

ИТ-инфраструктура

ИТ-инфраструктуры компаний стали индивидуализированными, а соответственно, требования к их защите различаются. За пять лет номенклатура ИТ- и ИБ-продуктов выросла в несколько раз, что отразилось на интеграции систем ИБ в ИТ-инфраструктуру компаний. В наибольшей степени это относится к компонентам EndPoint, устанавливаемым на рабочих станциях. Обеспечение совместимости множества ИБ-программ на рабочей станции – серьезный вызов для программиста.

Еще один важный момент – интеграция ИТ-инфраструктуры с системами ИБ и бизнеса. В требованиях заказчика все чаще встречаются SIEM, терминальные и файловые серверы, средства аутентификации, CRM, ERP, CAD, системы документооборота и т.д. Приходится обеспечивать интеграцию с ними и защищать находящуюся в них информацию.

Наконец, многие распределенные инфраструктуры объединены слабыми каналами передачи данных. Следует настраивать передачу данных так, чтобы не затрагивать бизнес-процессы. Как вариант – ограничить скорость отдачи с EndPoint и/или отправлять данные в центральную базу данных лишь ночью.

Настройка и проверка

Еще пять лет назад схема внедрения ИБ-решений была такой: пришли, установили, проверили, ушли. Сегодня эту схему заменила новая: пришли, установили, проверили, настроили, остались.

«Остались» диктуется динамичным развитием ИТ-технологий, а необходимость настройки – существенно выросшими нормативными требованиями к защите информации и активным включением бизнеса в этот процесс. Появляются действующие, а не пылящиеся на полках, регламенты передачи, хранения и использования информации, в соответствии с которыми требуется не только настраивать системы, но и порой проверять соблюдение регламентов с помощью ИБ-решений.

Человеческий фактор

Отлично, если у заказчика есть четкое понимание того, что надо защищать. Ситуация похуже: он понимает необходимость защиты, но не знает, что и как защищать. Самый худший вариант: у заказчика есть четкое представление о том, как нужно защищать, но на деле так не получится. Приходится переубеждать, искать компромиссы.

Комплексный подход к защите информации позволяет выявить проблемы, дать рекомендации, сформулировать требования к защите информации и предложить решение – не только программно-аппаратное, но и организационно-правовое. Для реализации проекта инженера и руководителя проекта недостаточно – заказчику и исполнителю необходимо сформировать команды, в которые войдут технари, аналитики, эксперты и представители бизнеса.

В ходе проекта нужно работать и с требованиями заказчика. Они меняются, и это нормально, ведь аппетит приходит во время еды. Руководитель проекта должен выслушивать заказчика, управлять изменениями, ожиданиями и прогнозировать риски, базируясь на опыте, знаниях и методологиях. Для достижения результата в оговоренные сроки нужно быть практиком с большим багажом реализации аналогичных проектов. Иначе будет потрачено много времени, а до внедрения дело так и не дойдет.

К чему готовиться

Масштабируемость ИБ-угроз. Каждый день появляются новые угрозы, и хотя от всего защититься не получится, можно существенно снизить уровень опасности, поняв, что именно нужно защищать.

Интеграция ИБ с ИТ. Некоторые компании начали объединять отделы ИБ и ИТ, выделяя им общий бюджет и разграничивая права. У бизнеса уже есть понимание того, что ему не обойтись без ИТ, приходит и понимание необходимости ИБ. В будущем ИТ и ИБ не смогут обходиться друг без друга, ведь одним из направлений атак является именно ИТ-инфраструктура, а для ее защиты нужен квалифицированный персонал.

Рост ценности информации. Информация стала ценным активом и для бизнеса, и для злоумышленников, и для спекуляций. Например, можно проникнуть в компанию, зашифровать информацию на файловом сервере и оставить следы для связи. Пара дней простоя, и собственник решит заплатить, а потом вложиться в защиту информации.

Законодательная база. Законодательство постоянно развивается, появляются новые законы. А закон соблюдать надо! Спрогнозировать изменения, чтобы быть к ним готовыми, сложно, но возможно, и комплексный подход «консалтинг+техника» становится весьма актуальным.

Порядок и защита. Для обеспечения защиты сначала надо навести порядок в ИТ-инфраструктуре: провести аудит значимой для бизнеса и всей компании информации; понять, где она находится и где должна находиться, кто к ней имеет доступ, а кто должен иметь; разложить информацию по папкам, серверам, системам документооборота; выяснить маршруты ее движения в соответствии с бизнес-процессом; провести аудит нормативной документации; все это зафиксировать, дать рекомендации и приступить к выбору программно-аппаратных средств и организационно-правовых мер.

Тэги: 
Оцените материал:
Total votes: 25

Другие статьи
Поделиться:
 
 
Комментарии в Facebook
 

Вы сообщаете об ошибке в следующем тексте:
Нажмите кнопку «Сообщить об ошибке», чтобы отправить сообщение. Вы также можете добавить комментарий.