Принципы построения центра противодействия киберугрозам

Центр противодействия киберугрозам (ЦПК) — организационная структура, которая осуществляет мониторинг факторов, способствующих реализации недопустимых событий, реагирует на эти факторы и минимизирует негативные последствия действий злоумышленников. Мониторингу подлежат только системы, которые являются целями злоумышленников при реализации недопустимых событий или служат источниками таких событий. Это позволяет сократить время и финансовые затраты на построение защиты. Таким образом, ЦПК включает в себя набор программных и программно-аппаратных средств, персонал, утвержденные процессы и процедуры.

Для создания эффективно функционирующего ЦПК необходимо провести оценку зрелости информационной безопасности в организации. Для получения максимально полной оценки рекомендуется построить операционную модель информационной безопасности и с помощью различных методик, например CMMI (Capability Maturity Model Integration), оценить зрелость процессов. Такая модель является абстрактным описанием применяемых способов и порядка реализации корпоративной стратегии в повседневной деятельности компании, используется для более четкого определения областей деятельности и помогает понять, как наилучшим образом организовать людей, технологии и процессы для достижения поставленных стратегических целей.

Операционная модель состоит из трех уровней:

• стратегический, отвечающий за долгосрочное общее планирование и управление деятельностью ЦПК;
• операционный, отвечающий за деятельность, ведущуюся по принятым планам;
• технологический, отвечающий за системы и данные, поддерживающие операционную и стратегическую деятельность.

На основании проведенной оценки уровня зрелости информационной безопасности разрабатывается целевая архитектура ЦПК в виде трех представлений:

• процессное представление, которое будет учитывать все необходимые для функционирования ЦПК процессы;
• представление организационной структуры, которое будет учитывать роли работников, необходимые для выполнения процессов, определенных в процессном представлении;
• технологическое представление, которое будет учитывать системы (технологии), обеспечивающие поддержание всех процессов, определенных в процессном представлении.

На основании целевой архитектуры в рамках программы кибертрансформации организации разрабатывается программа построения ЦПК, которая включает в себя список инициатив (выполнение которых обеспечит достижение целевого состояния) с кратким описанием каждой, и план-график, показывающий последовательность выполнения инициатив и вложения денежных средств.

Программа кибертрансформации ЦПК, как правило, состоит из нескольких этапов: построение базового ЦПК, модернизация базового ЦПК и проведение киберучений. Пример поэтапного создания ЦПК представлен в таблице ниже.

Таким образом, программа кибертрансформации должна включать в себя ряд инициатив (мероприятий), которые необходимо выполнить для того, чтобы ЦПК достиг целевого состояния. Такие мероприятия могут включать в себя:

• создание новых или доработку существующих процессов информационной безопасности;
• создание новых взаимосвязей процессов информационной безопасности;
• создание и (или) внедрение новых или доработку старых систем (технологий);
• создание новых и (или) изменение старых ролей работников;
• другие задачи, выполнение которых необходимо для достижения целевого состояния.

Все указанные работы должны быть сгруппированы и распределены во времени.

После окончания работ по кибертрансформации организации необходимо провести цикл киберучений, в результате которого должна быть подтверждена возможность ЦПК своевременно предотвращать все утвержденные недопустимые события.