Экспертиза проектов систем с точки зрения ИБ — это комплекс изыскательских мероприятий по изучению проектной документации информационных систем и выявлению недостатков и недоработок в организации информационной безопасности. Экспертиза может быть проведена как на этапе подготовки проекта, так и в процессе реализации проекта.

На основании предоставленных данных о планируемой или фактической структуре системы информационной безопасности, используемом оборудовании и программном обеспечении, а также необходимости соответствия защиты информационной системы нормам законодательства РК (или каким-либо другим требованиям), наши специалисты представят отчет о целесообразности и обоснованности заложенных в проект решений и соответствии требуемому уровню обеспечения безопасности. При составлении рекомендаций учитываются все технические особенности информационной системы, а также особенности используемых для ее защиты решений.

Зачем это нужно?

Экспертиза проекта позволяет на начальной стадии провести детальную оценку всех элементов, обеспечивающих защиту будущей системы, что дает возможность максимально точно рассчитать необходимые затраты на достижение требуемого уровня информационной безопасности. В случае, если экспертиза проводится на более позднем этапе, она позволяет выявить недостатки в организации защиты информационных систем и внести необходимые изменения, по возможности минимизировав затраты и сведя к минимуму последствия ошибок, допущенных в проекте.

В случае выявления неполного соответствия проекта системы безопасности заданным требованиям, или наоборот, избыточности заложенных в него решений, наши специалисты предложат возможные решения по исправлению выявленных недостатков и улучшению защиты, либо решение по упрощению системы с целью уменьшения затрат при сохранении требуемого уровня обеспечения информационной безопасности.

Кроме того, результаты экспертизы проекта информационной системы с точки зрения информационной безопасности могут использоваться в качестве:

• независимой экспертной оценки эффективности запланированных или используемых средств обеспечения информационной безопасности.
• независимой экспертной оценки эффективности работы подрядчика, выбранного для проведения работ по реализации проекта системы информационной безопасности.

Результат

Результатом экспертизы проекта является отчет, содержащий полный перечень выявленных недостатков в структуре обеспечения ИБ и рекомендации по их устранению.

Отчет состоит из трех частей:

• Резюме — обобщенные выводы экспертов без углубления в технические детали, но с акцентом на соответствие проекта требованиям и обоснованность применения тех или иных решений. Этот раздел предназначен для высшего руководства Организации.
• Общий отчет — представляет собой подборку наиболее важных с точки зрения соответствия проекта заданным требованиям безопасности недостатков. Данный раздел адресован руководителям технических подразделений и подразделений информационной безопасности.
• Детальный отчет — раздел, содержащий подробную техническую информацию о выявленных недостатках, потенциальной опасности, которую они несут, и рекомендации по их устранению. Он будет полезен техническим специалистам и специалистам подразделений информационной безопасности, которые будут заниматься их устранением, либо подрядчикам занимавшимся проектированием системы.

Как долго проводятся работы и сколько это стоит?

Стоимость и сроки проведения экспертизы варьируются в зависимости от сложности и масштаба информационной системы.