Открытое акционерное общество «АНДЭК» основано в 2001 году и специализируется на обеспечении информационной безопасности. Компания осуществляет полный комплекс работ по проектированию и внедрению системы защиты информации, а так же предоставляет техническую поддержку и сопровождение созданной системы, обучение специалистов.
В настоящее время «АНДЭК» выполняет следующие виды работ:
- обследование информационных систем предприятий и организаций для оценки состояния их информационной безопасности, определение степени соответствия требованиям российских и международных стандартов;
- интеграцию в инфраструктуру предприятий решений ведущих мировых производителей аппаратных и программных продуктов в области информационной безопасности;
- проектирование, разработку и внедрение средств защиты информации и систем информационной безопасности;
- разработку программного обеспечения, выполнение научно-исследовательских и опытно-конструкторских работ, внедрение и поддержку технологий и решений, обеспечивающих высокий уровень защиты при передаче, хранении данных;
- построение корпоративных информационных систем на основе бизнес-приложений ведущих мировых и отечественных разработчиков;
Сегодня «АНДЭК» предлагает решения по обеспечению информационной безопасности, объединяющие в единое целое лучшие разработки партнеров — лидеров российского и мирового рынков программного обеспечения в области IT-безопасности. Среди партнеров компании «АНДЭК»: Computer Associates Inc, Aladdin Software Security R. D., Rainbow Technologies Inc., Check Point Software Technologies Ltd., Network Research Lab Ltd, Информзащита, Элвис +, Инфосистемы Джет, Infotecs и другие.
Деятельность ОАО «АНДЭК» осуществляется на основе лицензий Государственной технической комиссии при Президенте РФ (на деятельность по технической защите конфиденциальной информации № 0116 от 20.08.2003 г; на деятельность по разработке и (или) производству средств защиты конфиденциальной информации № 0073 от 20.08.2003 г), а также лицензии Управления ФСБ по г. Москве и Московской области на осуществление работ, связанных с использованием сведений, составляющих государственную тайну (регистрационный номер 5340 от 17.10.2003 г). Компания «АНДЭК» прошла сертификацию на соответствие процессов разработки и внедрения программного обеспечения стандарту качества ISO 9001:2000 в российской системе сертификации ГОСТ и в немецкой системе DAR.
Решение задачи защиты информации, циркулирующей в корпоративной сети компании, обеспечивается за счет принятия комплекса тесно взаимосвязанных организационных и технических мер.
Принятие организационных мер, таких как: разработка концепции информационной безопасности и формирование пакета организационно-распорядительной документации (ОРД), реализующей эту концепцию, позволит руководству компании сформировать четкое понимание вопроса что именно, от каких угроз, какими методами и кто именно должен защищать, а также получить уверенность в адекватности принимаемых технических мер по защите информации. В пакет ОРД входят политика информационной безопасности, профили защиты, разработанные для каждого типа объектов информационной инфраструктуры, регламентирующие документы и инструкции для всех сотрудников компании, разработанные в соответствии с общепринятыми мировыми и российскими стандартами. Так как требования к защите информационной системы меняются в течении всего ее жизненного цикла, необходимо проводить периодическую проверку соответствия текущего состояния сети разработанным документам и вносить в них соответствующие корректировки. Помимо подготовки документации, частью организационных мер также является определение необходимого уровня подготовки специалистов служб ИТ и безопасности и своевременное проведение обучения и повышения квалификации.
Этапы работ по обеспечению информационной безопасности
Работы по обеспечению информационной безопасности корпоративной сети можно подразделить на несколько основных этапов.
Первым этапом проводится обследование состояния защищенности Информационной Системы, то есть, общий аудит ИС совместно с активным аудитом внешнего контура, либо один из видов обследования. По результатам обследования выносятся рекомендации по улучшению информационной безопасности корпоративной сети.
Обследование состояния защищенности информационной системы
Активный аудит
Это обследование направлено на определение возможности проникновения внешнего нарушителя в корпоративную сеть.
Работы по активному аудиту включают в себя:
- Моделирование действия нарушителя
- Выявление уязвимостей
- Выдача отчетов и рекомендаций
В рамках направления активного аудита в комплексе работ по проектированию и реализации мер по обеспечению информационной безопасности заказчика осуществляется техническая поддержка заказчика высококвалифицированными специалистами.
Техническая поддержка может заключаться в:
- настройке используемых заказчиком программно-аппаратных средств;
- периодической проверке защищенности ресурсов;
- консалтинге и быстром реагировании на вероятный инцидент;
- услугах по аутсорсингу в области администрирования сетевой безопасности.
Общий аудит
Наряду с активным аудитом, который является начальным этапом обследования, для формирования более полноценного представления о состоянии защищенности сети, также проводится общий аудит. Целями общего аудита являются:
- Получение общей картины состояния информационной инфраструктуры предприятия. Эта информация содержит в себе описание всех информационных потоков и процессов предприятия, описанных в соответствии со стандартом IDF0.
- Выявление критичных с точки зрения информационной безопасности сведений и потоков данных, обрабатываемых в информационной системе предприятия.
- Оценка уровня защищенности информационной системы в соответствии с современными международными стандартами.
- Формирование единой концепции информационной безопасности предприятия.
Консалтинг, проектирование и интеграция
По итогам обследования состояния защищенности корпоративной сети «АНДЭК» проводит работы по следующему этапу — консалтинг и разработка предложений. На этом этапе выносятся расширенные рекомендации по улучшению защищенности ИС, формируется концепция информационной безопасности, выполняется разработка или приведение к стандартизованному виду существующей организационно-распорядительной документации, разрабатываются технические задания и проекты на интеграцию СОИБ в информационную инфраструктуру, разрабатывается программа обучения для специалистов заказчика.
На основе результатов аудита и разработанной организационно-распорядительной документации осуществляется проектирование Системы обеспечения информационной безопасности. Проектирование СОИБ осуществляется на базе требований, сформулированных в задании по безопасности каждого объекта информационной системы и самой ИС в целом. СОИБ изначально строится на базе программных и аппаратных решений мировых и российских производителей, при необходимости может быть дополнена модулями собственной разработки.
В целях ознакомления с функционалом предлагаемых решений проводится опытная интеграция программно-аппаратного комплекса на некритичном участке сети, либо пилотное внедрение базового комплекса средств защиты информации на выделенном сегменте сети. В рамках опытной интеграции может устанавливаться весь предлагаемый комплекс средств защиты информации, либо отдельные продукты. Типовая пилотная реализация СОИБ основана на продуктах eTrust Single Sign-On, eTrust Access Control и eTrust Audit от компании Computer Associates Inc.
Работы по внедрению СОИБ в корпоративную сеть целесообразно проводить поэтапно. Это позволяет грамотно распределить финансовые, временные и человеческие ресурсы.
В условия дальнейшего сопровождения входят следующие возможности:
- получение консультаций по телефону, электронной почте, выезд специалистов компании в заказчику несколько раз в течении года;
- оповещение о выходящих обновлениях программного обеспечения;
- обучение специалистов заказчика сертифицированными преподавателями;
- Обучение является профильно-ориентированным, направленным на подготовку слушателей к использованию конкретных продуктов предлагаемого решения, в соответствии со своими служебными обязанностями;
- проведение аудита информационной инфраструктуры и внесение соответствующих корректив в нормативно-правовые и организационно распорядительные документы.
Семейство программных продуктов eTrust охватывает весь комплекс вопросов, связанных с централизованным управлением информационной безопасностью современного предприятия, обеспечивает всестороннюю защиту электронного бизнеса, в том числе обнаружение сетевых атак, антивирусную защиту, анализ рисков и многое другое.
Продукты линейки eTrust позволяют:
- централизовать контроль и управление всеми критичными ресурсами и процессами;
- быстро и эффективно внедрять самые передовые технологии обеспечения информационной безопасности предприятия;
- повысить производительность информационной инфраструктуры предприятия;
- сократить затраты на администрирование и поддержку корпоративной вычислительной сети;
- активно противостоять практически всем видам атак;
- минимизировать риски, которым подвергается корпоративная информационная система.
Решения eTrust представляет собой тесно интегрированный комплекс программных средств, который защищает всю вычислительную инфраструктуру предприятия, от браузера до мэйнфрейма. Решение eTrust совместимо с действующими стандартами защиты данных, гарантирует возможность взаимодействия с существующими механизмами внутренней безопасности и с такими же механизмами партнеров по сетевому взаимодействию.
