К финансовым организациям предъявляются требования по анализу уязвимостей и тестированию на проникновение, согласно Положениями Банка России № 683-П (п. 3.2), № 757-П (п. 1.4.5), а также ГОСТ Р 57580.1-2017. Аналогичные требования обязаны выполнять операторы персональных данных (ПДн) и субъекты критической информационной инфраструктуры (КИИ), это зафиксировано в приказах № 21, 235 и 239 ФСТЭК России.
Для реализации этих требований специалисты «Диасофт» предлагают сервис «под ключ», позволяющий обеспечить полный цикл управления уязвимостями и выполнить требования законодательства.
В рамках сервиса формируется и документируется процесс обработки уязвимостей, порядок и сроки их устранения, фиксируются контрольные процедуры. Отдельно определяется область инфраструктуры, попадающая под действие перечисленных выше нормативных документов.
Инструментальные проверки включают тестирование на проникновение (пентесты), которое представляет собой имитацию действий потенциального злоумышленника внутри или за пределами защищенного периметра. В фокусе исследования – возможность использования тех или иных уязвимостей, возможная глубина атаки и работа средств защиты при ее проведении.
Также сервис включает анализ уязвимостей, который позволяет оценить, насколько организация готова к атакам злоумышленников, и тестирование методами социальной инженерии. Акцент делается на решении задачи по своевременному устранению уязвимостей и повышению уровня осознанности сотрудников.
Выполнение инструментальных оценок защищенности и тестирования на проникновения в составе сервиса «Диасофт» включает:
- определение/выявление/верификацию области проверки;
- согласование практик и инструментов, недопустимых событий при проверке;
- фиксацию сроков;
- формирование и фиксацию процесса управления уязвимостями;
- фиксацию требований к отчету.
При тестировании на проникновение основным результатом работы сервиса является документированный процесс управления уязвимостями и отчет, который может быть однократным или периодическим. Отдельной частью отчета является перечень мер по повышению уровня зрелости процесса управления уязвимостями, применения средств защиты информации. Соблюдение рекомендаций позволит выполнить требования комплаенса и отчетности в области информационной безопасности.
Для получения более подробной информации о «Сервисе ИБ» заполните форму обратной связи.