System

• Управление доступом
  • Замкнутые контуры для подсистем, работающих с чувствительными данными
  • Ограничение доступа к системам из внешних источников
  • Ведение единого реестра учетных записей
  • Ведение единого реестра сертификатов
  • Системы и процессы управления учётными записями на базе единого реестра
  • Системы и процессы централизованного контроля доступа
  • Cистема управления мобильными устройствами (MDM) для контроля доступа к корпоративным данным и приложениям на мобильных устройствах
  • VPN и шифрование для безопасного удалённого доступа к корпоративным ресурсам
  • Автоматическое выявление и ограничение использования незарегистрированных или неавторизованных устройств в корпоративной сети
  • Ротация токенов доступа
  • Ротация сертификатов
  • Аудит
    • Журналирование всех операций доступа к системам и данным
    • Журналирование попыток аутентификации
    • Журналирование изменений учетных записей
    • Журналирование смены паролей
    • Журналирование управление привелегиями
  • Authentication
    • Factors
      • Knowledge
      • Possession
      • Inherence
    • Practices
      • Автоматическое удаление или деактививация учётных записей после увольнения или изменения должности сотрудников
      • Аудит и пересмотр учётных записей с повышенными привилегиями на регулярной основе
      • Блокировка учетных записей после неудачных попыток входа
      • Система аутентификации пользователей для доступа к системам
      • Многофакторная аутентификация (MFA)
      • Требования к сложности паролей и их регулярное обновление
  • Authorization
    • Mehods
      • Role-based access control(RBAC)
      • Attribute-based access control(ABAC)
      • Сontextual access control
    • Concepts
      • Least Privilege
      • Separation of Duties
      • Zero Trust
      • Security in the Open
      • Just-In-Tim
    • Practices
      • Системы и процессы отзыва прав доступа
• Безопасность данных
  • Политика классификации данных и актуализация в соответствии с действующим законодательством
  • Шифрование на уровне базы данных
  • Шифрование на уровне файловой системы
  • Шифрование при передаче данных по сети
  • Механизмы управления ключами шифрования
  • Регулярное резервное копирование данных
  • Хранение резервых копий в защищенном хранилище
  • Шифрование резервных копий
  • Ограниечение доступа к резервным копиям
  • Регулярное тестирование процесса восстановления данных из резервных копий
  • Учёт персональных данных, процедуры обработки и хранения для различных типов данных (общедоступные, конфиденциальные, критически важные)
  • Мониторинг доступа к данным на основе их классификации и использование меткок безопасности для маркировки данных
  • Процессы и системы Data Governance для управления данными
  • Системы или процессы безопасного уничтожения данных
  • Системы или процессы контроля целостности данных
  • Системы или процессы контроля сохранности данных
  • Системы или процессы анонимизации данных
  • Инструкция по процессу восстановления данных
  • Маскирование данных
    • Токенезация данных
  • Аудит
    • Журналирование всех операций с данными
    • Журналирование доступа к конфиденциальным ресурсам
    • Журналирование изменений конфигурации системы
• Защита инфраструктуры
  • Межсетевое экранирование для ограничения входящего и исходящего трафика
  • Сегментация сети на логические зоны (DMZ, корпоративная сеть, гостевая сеть) для ограничения доступа к критическим ресурсам
  • IDS/IPS-системы для обнаружения и предотвращения сетевых атак
  • Мониторинг сетевого трафика на предмет аномалий и возможных атак, например, DDoS
  • Регулярное сканирование уязвимостей операционных систем, приложений и сетевых устройств
  • Антивирусные программы и системы EDR (Endpoint Detection and Response) на серверах и рабочих станциях
  • Отключение неиспользуемых служб и портов на серверах, рабочих станциях и сетевом оборудовании
  • Механизмы контроля целостности системных файлов и журналирование доступа к системным ресурсам
  • Автоматизированное сканирования облачных инфраструктур на соответствие рекомендациям безопасности
  • Автоматическое обновление сигнатур защиты от вредоносных программ
  • Фильтрация трафика между сетевыми сегментами
  • Системы или процессы контроля периметра доступа
  • Версионирование данных
  • Аудит
    • Журналирование изменений политик безопасности
    • Журналирование доступа к системным журналас
    • Журналирование попыток сканирования уязвимостей
    • Журналирование перезагрузок системы
    • Журналирование обнаружения вредоносных активностей
• Управление инцидентами
  • Cистема мониторинга безопасности (SIEM) для корреляции событий и анализа аномалий в режиме реального времени
  • Автоматические оповещения об инцидентах и подозрительной активности (например, попытках несанкционированного доступа)
  • План реагирования на инциденты, включающий анализ, эскалацию и восстановление системы? Проводится ли обучение сотрудников по его использованию
  • Симуляция инцидентов (учения) для проверки готовности сотрудников к реагированию на кибератаки
  • Ведение статистики по всем зарегистрированным инцидентам и использование результатов анализа для корректировки политики безопасности
  • Внутренние и внешние аудиты безопасности, и обновляются ли политики и процедуры на основе результатов этих аудитов
• Защита периметра
  • Системы контроля доступа — биометрия, СКУД — в серверных помещениях
  • Инвентаризация всего оборудования и контроль его состояния с использованием систем управления активами
  • Безопасные методы удаления данных перед утилизацией оборудования или передачей его в другие подразделения