Анализ деятельности органа криптографической защиты

Цель проведения анализа деятельности ОКЗ

Значительное количество предприятий использует сертифицированные средства криптографической защиты информации (СКЗИ) для защиты своих данных в контуре безопасности и за его пределами.

Приказ ФАПСИ от 13 июня 2001 №152 устанавливает особые требования к проведению возмездных работ с применением СКЗИ.

Данная услуга будет полезна компаниям, желающим оценить работу ОКЗ, выявить несоответствия применимому законодательству, проанализировать проблемы рабочих процессов и внутренней нормативной документации.

1. Для владельца органа криптографической защиты положительное заключение по итогам анализа может быть использовано как конкурентное преимущество.
2. Для предприятий, ищущих надёжного поставщика, услуга может быть полезна в качестве инструмента объективного контроля соответствия потенциального партнёра.

Обеспечение безопасности информации средствами криптографической защиты

Законодательство Российской Федерации содержит требования к использованию криптографии в различных технологических процессах, а также при передаче различной конфиденциальной информации по открытым каналам связи (например – по сети Интернет).

Для того чтобы обеспечить надёжную защиту данных компаниям приходится выделять значительные трудовые и финансовые ресурсы, создавать новые внутренние процессы и привлекать внешние организации.

Эффективность защиты каждого отдельного канала связи зависит от общих усилий всех компаний, задействованных в обеспечении его безопасности.

Недостаточное внимание к организации критичных процессов в одной компании может привести к непредсказуемым последствиям у её контрагентов, такие угрозы схожи с атаками на цепочку поставок.

Поэтому важно уделять внимание регулярному аудиту безопасности, в особенности оценке соответствия для критичных поставщиков услуг.

Орган криптографической защиты

Приказ ФАПСИ №152 определяет ОКЗ как инструмент разработки и непосредственной реализации всех мероприятий по безопасному хранению, обработке и передаче защищаемой информации с использованием криптографических средств защиты.

Документ устанавливает значительное количество обязанностей для сотрудников такого подразделения.

В их зону ответственности, в числе прочего, входят:

• Обучение пользователей СКЗИ
• Поэкземплярный учёт СКЗИ
• Учёт владельцев защищаемой информации и пользователей СКЗИ
• Разработка схемы организации криптографической защиты информации

Выполнение всех этих функций требует тщательного подхода и внимательного документирования.

Этапы проведения анализа

1. В ходе анализа деятельности органа криптографической защиты будет запрошена и рассмотрена вся документация, связанная с функциями подразделения.

Помимо локальных нормативных актов (внутренних регламентов и инструкций) будет проведена оценка актов, журналов, протоколов, которые должны формироваться в ходе работы органа.

1. После анализа документации, с целью объективной оценки существующих процессов, будут запрошены письменные или устные ответы на вопросы по существу оценённых документов.

На данном этапе могут быть выявлены несоответствия между процедурами, работающими “де-факто”, и отражёнными в локальных документах “де-юре”.

По итогам работ, вся полученная информация будет отражена в общем отчёте, содержащем следующие разделы:

• Оценка соответствия деятельности ОКЗ требованиям законодательства РФ
• Перечень выявленных несоответствий
• Рекомендации в отношении выявленных несоответствий
• Заключение по итогам оценки соответствия

Почему RTM Group?

• Огромный опыт проведения оценок соответствия требованиям российского законодательства, а также иностранным стандартам;
• Опыт аудита применения СКЗИ в разных отраслях и областях применения (защита персональных данных, защита платёжной информации, электронный документооборот)
• Высокое качество услуг, консультационная поддержка по завершении проекта.
• Мы обладаем лицензиями:
  • Лицензия ФСТЭК России на деятельность по технической защите конфиденциальной информации
  • Лицензия ФСТЭК России на деятельность по разработке и производству средств защиты конфиденциальной информации
  • Лицензия ФСБ России на работу со средствами криптозащиты