Существующие требования по предотвращению утечек информации/охране конфиденциальности информации: обзор соответствующих стандартов и законодательства РФ
СТО БР ИББС 1.0-2014 и рекомендации в области стандартизации Банка России «Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Предотвращение утечек информации» (РС БР ИББС-2.9-2016)
Цели и необходимость принятия мер по обеспечению конфиденциальности обрабатываемой информации
Обзор наиболее громких утечек в банковской сфере за текущий год. Выводы.
Планы по стандартизации банковской отрасли РФ: ГОСТ для финсектора и готовящиеся рекомендации в сфере ИБ (РС БР ИББС)
Контрольные точки проекта, предшествующие успешной эксплуатации систем мониторинга и контроля - от самой идеи до реализации
Цели внедрения процесса защиты от утечек: задачи, потребности и возможности организации
С чего начать: определение текущего уровня обеспечения защиты от утечек информации в организации
Планирование процесса защиты от утечек: будущий процесс, вопросы управления и эксплуатации
Обоснование и защита бюджета на проект по защите от утечек
Влияние уровня зрелости информационной безопасности организации на этапы проекта
Качественное обоснование необходимости внедрения защитных мер (качественная оценка)
Вариант расчета потенциального ущерба «в деньгах» (количественная оценка)
Примеры аргументов для обоснования ИБ-проектов: скрипты
Подготовка организационной части процесса защиты от утечек: разбор мер, указанных в РС БР ИББС-2.9-2016 и альтернативные примеры: классификация и категорирование информации
Классификация информационных активов: сколько и какие категории информации обязательно должны быть в организациях БС РФ. Поддержание в актуальности.
Категорирование (отнесение информации к той или иной категории) - как реализовать? Примеры из практики Идентификации и формирование перечня категорий информации конфиденциального характера
Формирование перечня информации конфиденциального характера: необходимое и достаточное
Правила отнесения информации к информации конфиденциального характера
11:30 - 11:45 Перерыв на кофе
11:45 - 13-15
Подготовка организационной части процесса защиты от утечек: разбор мер, указанных в РС БР ИББС-2.9-2016 и альтернативные примеры: учет информационных активов и объектов среды информационных активов
Учет и хранение информационных активов. Маркировка, грифование
Учет средств вычислительной техники, с помощь которой производится обработка информационных активов
Что должно быть в правилах работы с информационными активами? Вопросы практической реализации
Модель угроз утечки информации конфиденциального характера: вопросы практического применения в организациях банковской системы РФ
Модель нарушителя: понять, от кого исходит наибольший риск утечки
Потенциальные каналы утечек, основные и возможные
Разбор различных вариантов моделей угроз, создание карт информационных потоков
Создание/адаптация модели угроз для конкретной организации, работа с моделью угроз
Пилотирование технических решений по защите от утечек: цели и задачи
Пилот как средство обоснования проекта
Определиться с функционалом и совместимостью
Надо ли уведомлять о пилоте?
Подготовка организационной части процесса защиты от утечек: разбор мер, указанных в РС БР ИББС-2.9-2016 и альтернативные примеры: мониторинг и контроль потенциальных каналов утечки
Создание ролевой модели доступа к информации конфиденциального характера и каналам передачи данных
Обеспечение мониторинга и контроля: стандартные каналы связи и каналы связи в «зоне риска»
Обзор характеристик, рекомендуемых к наличию для технических средств защиты от утечек
Мониторинг и контроль vs. блокировка — в каких случаях что именно будет применимо?
13:15 - 13:30 Перерыв на кофе
13:30 - 15:00
Реализация процесса мониторинга и контроля: необходимое и достаточное
Внедрение и сопутствующие процедуры
Автоматизация процесса мониторинга и контроля и требования
Процесс в рамках Системы Менеджмента Информационной безопасности (СМИБ)
Контроль процесса: вопросы обеспечения выполнения
Вопросы юридической легитимности применения подобных систем. Как сделать процесс легитимным?
На основании чего мы защищаем информацию?
Система мониторинга и контроля (DLP) как официальное средство защиты информации
Система мониторинга и контроля и тайна связи
Система мониторинга и контроля и Конституционные права граждан РФ (тайна личной жизни)
Рекомендации по обеспечению легитимности процессов мониторинга и контроля, использования DLP-систем
Юридические практики РФ, основанные на рекомендованном варианте обоснования легитимности
Мировые практики и дело Барбулеску vs. Румыния (Европейский суд по правам человека)
Эффективный процесс защиты от утечек: настойка и донастройка систем мониторинга и контроля
Практическая работа с системой
Снижение количества ложноположительных срабатываний - как обеспечить процедуру
Работа с инцидентами: проработка вопросов реагирования на инциденты
РС БР ИББС-2.5 «Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Менеджмент инцидентов информационной безопасности»
«Форензика» - рекомендации из проекта стандарта Банка России «Сбор и анализ технических данных при реагировании на инциденты информационной безопасности при осуществлении переводов денежных средств» (СТО БР ИББС −1.3.)
Реагирование на инциденты, выявляемые системой мониторинга и контроля (DLP)
Предотвращение инцидентов, выявляемых за счет анализа событий с помощью системы мониторинга и контроля (DLP)
Выстраивание процесса реагирования на инциденты, выявляемые системой мониторинга и контроля (DLP)
Режим коммерческой тайны - быть или не быть?
Что дает организации режим коммерческой тайны?
Когда режим коммерческой тайны считается установленным
Вопросы привлечения к ответственности за разглашение конфиденциальной информации
Ответственность по ТК РФ
Ответственность по КоАП РФ
Ответственность по ТК РФ
Примеры из судебной практики РФ
Выводы и итоги
Лектор: ведущий эксперт по информационной безопасности InfoWatch, эксперт BISA.
Данный веб-сайт использует файлы cookie. Продолжая работу, вы соглашаетесь с использованием файлов cookie
с целью предложения контента, персонализированной рекламы и услуг, отвечающих вашим интересам,
а также для анализа посещаемости сайта.