Практическое задание № 1

Этап 1. Разбиение на группы и выбор сферы деятельности

Вы должны распределиться на группы по 3-4 человека и выбрать одну из предлагаемых
сфер деятельности или предложить свою сферу, которую захотите исследовать:
1. Поставщик услуг связи (интернет-провайдер);
2. Сфера деятельности страховых компаний;
3. Деятельность микрофинансовых организаций;
4. Деятельность негосударственных пенсионных фондов;
5. Деятельность банков (кредитных организаций);
6. Деятельность профессиональных участников рынка ценных бумаг;
7. Своя сфера.

Этап 2. Исследование сферы деятельности

При выполнение данного этапа вам необходимо выполнить следующие действия:
1. Составить описание сферы деятельности (что из себя представляет? чем
занимается?)
2. Изучить и описать кто регулирует деятельность организаций в данной сфере
деятельности.
3. Изучить и описать какие используются нормативные акты и законы в данной сфере
деятельности.
4. Изучить и описать какие существуют требования к ИБ в данной сфере
деятельности.
5. Изучить и описать типовые инциденты ИБ в данной сфере деятельности. Привести
пример последнего наиболее ярко освещаемого в СМИ инцидента.

Этап 3. Анализ угроз для выбранной сферы деятельности

На данном этапе вам предстоит выбрать организацию из вашей сферы деятельности для
анализа рисков ИБ. Можно использовать вымышленную организацию.
Для организации вы должны описать структуру (уязвимую), которую затем вы будете
анализировать.
Описание структуры состоит из основных пунктов:
 Наличие автоматизированных рабочих мест, серверов и т.д.
 Наличие СЗИ на рабочих станциях, серверах и т.д. (межсетевое экранирование,
VLAN, средства АВЗ (антивирусной защиты) и др.)
 Система подготовки и переподготовки специалистов и пользователей
информационной среды.
  Организационная часть (наличие службы ИБ, взаимодействие с внешними
контрагентами и др.)
Следующим шагом вам необходимо перейти на сайт: https://bdu.fstec.ru/threat и выбрать
наиболее подходящие к выбранной вами организации угрозы для внутреннего и внешнего
нарушителя (10-15 угроз для внутреннего и для внешнего нарушителя).
Затем вы должны обосновать свой выбор, а также разделить угрозы на актуальные и не
актуальные.
Структура приведена как пример, не нужно дословно брать каждый пункт.

Этап 4. Эталонная ИТ-инфраструктура целевой организации

На этом этапе вам предстоит разработать эталонную инфраструктуру организации в
выбранной сфере деятельности. Следует отрисовать ИТ-инфраструктуру организации,
указать средства защиты, протоколы обмена информацией, сегменты сетей, отдельно
выделить демилитаризованную зону. Схемы следует отрисовывать в MS Visio. Пример
потенциальной схемы приведен ниже:

Далее следует повторно проанализировать актуальные угрозы безопасности

информации (внутренний и внешний нарушитель), которые были определены на этапе 3,
и определить организационные и технические меры, которые позволят закрыть данные
угрозы, тем самым обеспечив безопасность вашей ИТ-инфраструктуры. Каждое
выбранное решение следует обосновать. Следует помнить, что руководители организаций
не всегда готовы выделять неограниченный бюджет на защиту информации. Поэтому
технические средства защиты следует выбирать с умом в соотношение цена /
возможности. При выборе решений следует обращать внимание, что защиту необходимо
обеспечить как от внутреннего нарушителя, так и внешнего.
В качестве результатов работы по 4 этапу на выходе у вас должна быть следующая
информация:
1. Схема эталонной ИТ-инфраструктуры целевой организации;
2. Организационные меры защиты с обоснованием выбора того или иного решения;
3. Технические меры защиты с обоснованием выбора того или иного решения
(преимущества решения, цена, возможности);
4. Вывод по этапу, в котором также следует в явном виде указать стоимость
внедрения комплексной системы защиты информации.