Лабораторная работа №1 по дисциплине: "Планирование и управление информационной безопасностью" ДО СИБГУТИ. Вариант №5

Лабораторная работа 1
Знакомство с возможностями программного комплекса Microsoft Security Assessment Tool (MSAT)
По дисциплине: Планирование и управление информационной безопасностью.
1 Цель

Ознакомиться и получить практические навыки работы с программные продукты для оценки рисков.

2 Теоретические положения

Инструмент оценки безопасности Microsoft Security Assessment Tool (MSAT) — это бесплатное средство, разработанное чтобы помочь организациям оценить уязвимости в ИТ-средах, предоставить список расставленных по приоритетам проблем и список рекомендаций по минимизации этих угроз. MSAT — это простой, экономичный способ приступить к усилению безопасности вычислительной среды предприятия. Начните процесс, сделав снимок текущего состояния безопасности, и затем используйте MSAT для постоянного отслеживания способности инфраструктуры отвечать на угрозы.
В корпорации Microsoft основным приоритетом является безопасность сетей, бизнес-серверов, компьютеров конечных пользователей, мобильных устройств и данных наших клиентов. Мы намерены предоставлять средства безопасности, подобные MSAT, чтобы помочь клиентам повысить безопасность бизнеса.
Понимание рисков
MSAT разработан, чтобы помочь в определении и устранении угроз безопасности в ИТ-среде. Это средство применяет целостный подход к измерению уровня безопасности и охватывает такие темы, как персонал, процессы и технологии.
MSAT предоставляет следующие возможности:
• понятную, исчерпывающую и постоянную осведомленность об уровне безопасности;
• инфраструктуру эшелонированной защиты, соответствующую отраслевым стандартам;
• подробные, постоянные отчеты, сравнивающие базовые показатели с достигнутыми успехами;
• проверенные рекомендации и расставленные по приоритетности действия для улучшения безопасности;
• структурированные рекомендации от Microsoft и отрасли.
Процесс MSAT
MSAT состоит из более чем 200 вопросов, охватывающих инфраструктуру, приложения, операции и персонал. Вопросы, связанные с ними ответы и рекомендации выводятся из общепринятых практических рекомендаций, стандартов, таких как ISO 17799 и NIST-800.x, а также рекомендаций и предписаний от группы надежных вычислений Microsoft и других внешних источников по безопасности.
Оценка разработана для определений бизнес-рисков организации и мер безопасности, развернутых для их смягчения. Концентрируясь на распространенных проблемах, вопросы были разработаны для предоставления высокоуровневой оценки рисков, заключенных в технологии, процессах и персонале, поддерживающих бизнес.
Начиная с серии вопросов о бизнес-модели компании, средство создает профиль бизнес-риска (BRP), измеряя риск, связанный с действиями компании, согласно отраслевым и бизнес-моделям, определенным BRP. Вторая серия вопросов предназначена для составления списка мер безопасности, развернутых компанией с течением времени. Вместе эти меры безопасности образуют уровни защиты, предоставляя большую защищенность от угроз безопасности и конкретных уязвимостей. Каждый уровень вносит вклад в комбинированную стратегию глубокой защиты. Их сумма именуется индексом глубокой защиты (DiDI). Затем BRP и DiDI сравниваются, чтобы измерить распределение угроз по областям анализа — инфраструктуре, приложениям, операциям и людям.
Вдобавок к измерению соответствия защиты угрозам безопасности это средство также измеряет зрелость безопасности организации. Зрелость безопасности относится к эволюции надежной безопасности и поддерживаемых практик. На нижнем уровне существуют немногие способы защиты и действия заключаются в реагировании. На верхнем уровне установленные и проверенные процессы позволяют компании действовать проактивно и при необходимости отвечать более эффективно и единообразно.
Для среды предлагаются способы управления рисками путем учета существующих технологий, текущего уровня безопасности и стратегий глубокой защиты. Предложения разработаны, чтобы пользователь смог перейти к проверенным на практике удачным решениям.
Эта оценка — включая вопросы, измерения и рекомендации — разработана для организаций среднего размера, содержащих от 50 до 1500 настольных систем. Она предназначена для широкого охвата областей потенциального риска в среде, а не для предоставления глубокого анализа конкретных технологий или процессов. Как следствие, средство не может оценивать эффективность примененных мер безопасности. Это средство следует использовать как предварительное руководство, помогающее в разработке базовых показателей для концентрации на конкретных областях, требующих более пристального внимания. Исходя из руководства, предоставленного MSAT, и реализованных действий по обеспечению безопасности, средство можно запускать так часто, как нужно, для получения дальнейшей информации о прогрессе относительно базовых показателей, установленных в отчете MSAT.
Обзор средства оценки
Данное средство безопасности Microsoft Security Assessment Tool разработано для помощи в определении и устранении угроз безопасности в вычислительной среде. Это средство применяет целостный подход к измерению уровня безопасности, охватывая такие темы, как персонал, процессы и технологии. Находки соединены с предписаниями и рекомендованными усилиями по смягчению рисков, включая ссылки на дополнительные отраслевые руководства, по мере необходимости. Эти руководства могут помочь в пополнении знаний о конкретных целях и методах, которые могут помочь в изменении уровня безопасности ИТ-среды.
Оценка состоит из более чем 200 вопросов, разбитых на четыре категории.
• Инфраструктура;
• Приложения;
• Эксплуатация;
• Персонал.
Вопросы, составляющие опросную часть средства, и связанные с ними ответы извлечены из общепринятых практических рекомендаций по безопасности как общих, так и конкретных. Предлагаемые вопросы и рекомендации основаны на общепринятых стандартах, таких как ISO 17799 и NIST-800.x, а также рекомендациях и предписаниях от группы надежных вычислений Microsoft и других внешних источников по безопасности.
3 Выполнение работы
3.1 Характеристика информационной безопасности ПАО «Ростелеком»

Лабораторная работа 1 24.04.2021 25.04.2021 Зачет Уважаемый Мирошниченко Иван Алексеевич, Отчет зачтен. Киселев Антон Анатольевич.