Ақпараттық қауіпсіздік · зертханалық цикл

QazTech

Зертханалық жұмыстардың жалпы логикасы — барлық жұмыстар бір ортақ кейс арқылы орындалады, әр келесі жұмыс алдыңғы нәтижені пайдаланады.

8 жұмыс Контексттен аудитке дейін
№1 фокус Ұйым контексті және ISMS Scope
Қағида Нәтиже → келесі жұмыстың кірісі

Жалпы логика

Сегіз жұмыс — бір үздіксіз тізбек

1 → 2 → … → 8 Әр жұмыс алдыңғы нәтижені негіз етеді. Құжаттар бір-бірімен байланысты.

Әр жұмысты басыңыз — толық ақпарат ашылады

Ортақ кейс

QazTech ЖШС

150қызметкер
1+2бас офис және филиалдар
IT + АҚбөлім және маман

Инфрақұрылым

  • Корпоративтік сайт, электрондық пошта, CRM
  • Бухгалтерлік жүйе, Active Directory, файлдық сервер
  • Wi‑Fi, VPN, бұлттық сервистер, ноутбуктер

Деректер мен тәуекел аймағы

  • Клиенттердің дербес деректері өңделеді
  • Коммерциялық құпия ақпарат сақталады
  • Филиалдар мен қашықтан қолжетімділік бар

№1 зертханалық жұмыс

Ұйымның АҚ контексті және ISMS шекарасы

Мақсат: ұйым қызметін ақпараттық қауіпсіздік тұрғысынан талдау; мүдделі тараптарды, ішкі/сыртқы факторларды және ISMS қолданылу шекарасын анықтау дағдысын қалыптастыру.

C — Confidentiality ＋
Құпиялылық: ақпаратқа рұқсатсыз қолжетімділіктің болмауы. QazTech үшін — клиенттік деректер, CRM және файлдық сервердің қорғалуы.
I — Integrity ＋
Тұтастық: деректердің өзгертілмеуі мен дұрыстығы. Бухгалтерия мен AD жазбаларының бұрмаланбауы маңызды.
A — Availability ＋
Қолжетімділік: қажетті сәтте жүйелердің жұмыс істеуі. Пошта, CRM, VPN істен шықса бизнес тоқтайды.

Қысқаша теория

ISMS дегеніміз не?

ISMS (Information Security Management System) — ақпараттың құпиялылығын, тұтастығын және қолжетімділігін басқаруға бағытталған жүйе. Ұйым қауіпсіздік шараларын таңдаудан бұрын өзінің бизнес-контекстін, мүдделі тараптарын және басқару шекарасын түсінуі тиіс.

Не үшін Scope керек?

  • Басқару аясын нақтылайды
  • Ресурстарды дұрыс бөлуге көмектеседі
  • Аудит пен саясаттың шекарасын бекітеді

Неден бастау?

  • Бизнес және процестер
  • Мүдделі тараптар
  • Ішкі / сыртқы факторлар (SWOT)

SWOT принципі

Ішкі күш / әлсіздік · Сыртқы мүмкіндік / қауіп

SWOT бөлігін басыңыз — бизнеске ықпалы ашылады

S Strengths · ішкі＋
  • Backup бар
  • IT мамандары бар
  • АҚ жауапты маманы тағайындалған

Күшті жақтар — тәуекелді төмендететін ішкі ресурс. Backup ransomware кезінде recovery-ге көмектеседі; IT/АҚ кадры бақылауды жүргізе алады.

W Weaknesses · ішкі＋
  • MFA толық емес
  • Ескі БҚ бар
  • Филиалдарда біркелкі емес бақылау

Әлсіздіктер — шабуылшы пайдаланатын осал жерлер. MFA жоқ болса аккаунт ұрлау оңайырақ; ескі БҚ — белгілі CVE тәуекелі.

O Opportunities · сыртқы＋
  • Қызметкерлерді оқыту
  • SIEM енгізу
  • Бұлттық қауіпсіздік сервистері

Мүмкіндіктер — сыртқы ортадағы жақсарту жолдары. Оқыту фишингті азайтады; SIEM инциденттерді ерте анықтауға көмектеседі.

T Threats · сыртқы＋
  • Фишингтің өсуі
  • Ransomware
  • Жеткізушілер тәуекелі

Қауіптер ұйымнан тыс келеді. Оларды жою қиын, бірақ treatment (саясат, backup, vendor control) арқылы әсерін шектеуге болады.

Практикалық тапсырмалар

Не істеу керек?

Тапсырманы басыңыз — кеңес пен күтілетін нәтиже ашылады

  • 1Ұйым профилін сипаттау＋
    QazTech қызмет бағытын, негізгі бизнес-процестерін, АЖ-ларды және өңделетін ақпарат түрлерін жазыңыз. Нәтиже: қысқа ұйым профилі (кейінгі жұмыстардың негізі).
  • 2Мүдделі тараптар (≥7)＋
    Әр тарап үшін: қауіпсіздік талабы + орындалмаса салдар. Мысал: клиент → дербес деректер → бедел/құқықтық тәуекел.
  • 3SWOT: 5 ішкі + 5 сыртқы＋
    Ішкі → S/W, сыртқы → O/T. Тек тізім емес — бизнеске ықпалын бір сөйлеммен түсіндіріңіз.
  • 4ISMS Scope жазу＋
    Кіреді: бөлімдер, жүйелер, адамдар, филиалдар, сервистер. Кірмейді: не және неліктен (мысалы, жеке подрядчик жүйесі).
  • 53 басым жүйе＋
    Ең маңызды 3 АЖ таңдап, неліктен маңызды екенін CIA және бизнес-процесс арқылы негіздеңіз (мысалы CRM, AD, бухгалтерия).

Үлгі кесте

Мүдделі тараптар және талаптар

Тарапты басыңыз — талап пен салдар ашылады

  • Клиент ＋
    Қауіпсіздік талабыДербес деректерді қорғау
    ОрындалмасаСенім мен беделдің төмендеуі, шағымдар
  • Басшылық ＋
    Қауіпсіздік талабыМаңызды жүйелердің қолжетімділігі
    ОрындалмасаҚаржылық шығын, операциялық үзіліс
  • Қызметкерлер ＋
    Қауіпсіздік талабыҚауіпсіз және тұрақты жұмыс ортасы
    ОрындалмасаӨнімділіктің төмендеуі, қателіктер
  • IT бөлімі ＋
    Қауіпсіздік талабыИнфрақұрылымның тұтастығы мен бақылауы
    ОрындалмасаИнциденттердің көбеюі, жауаптың кешігуі
  • Реттеуші орган ＋
    Қауіпсіздік талабыДербес деректер және заң талаптарын сақтау
    ОрындалмасаАйыппұл, тексеру, құқықтық тәуекел
  • Серіктестер / жеткізушілер ＋
    Қауіпсіздік талабыКоммерциялық деректердің құпиялылығы
    ОрындалмасаКелісімшарттың бұзылуы, ынтымақтастықтың үзілуі
  • АҚ маманы ＋
    Қауіпсіздік талабыСаясат пен бақылаулардың орындалуы
    ОрындалмасаISMS әлсіздігі, аудит сәтсіздігі

Күтілетін нәтиже · QazTech үлгісі

Не тапсыру керек?

Әр нүктені басыңыз — толық үлгі мәтін ашылады

  • 1Ұйым профилі＋
    Ұйым

    QazTech ЖШС — IT және бизнес-сервистер саласындағы компания. 150 қызметкер, бас офис және 2 филиал.

    Негізгі бизнес-процестер

    Клиенттерді тарту және қолдау (CRM); жобалық/қызметтік жеткізу; есеп және қаржы (бухгалтерлік жүйе); ішкі байланыс (пошта); қолжетімділік пен сәйкестендіру (Active Directory).

    Ақпараттық жүйелер

    Корпоративтік сайт, электрондық пошта, CRM, бухгалтерлік жүйе, Active Directory, файлдық сервер; Wi‑Fi, VPN, бұлттық сервистер, қызметкерлер ноутбуктары.

    Өңделетін ақпарат

    Клиенттердің дербес деректері; коммерциялық құпия (келісімшарт, баға, жоба); қызметкерлер деректері; қаржылық және есептік жазбалар.

    АҚ ұйымдастыру

    IT бөлімі және ақпараттық қауіпсіздікке жауапты маман бар — ISMS енгізу мен қолдау үшін бастапқы ресурс.

  • 2Мүдделі тараптар кестесі＋
    Тарап Қауіпсіздік талабы Орындалмаса салдар
    Клиент Дербес және коммерциялық деректерді қорғау Сенім жоғалуы, шағым, келісімшартты үзу
    Басшылық Маңызды жүйелердің қолжетімділігі, беделді қорғау Қаржылық шығын, операциялық тоқтау
    Қызметкерлер Тұрақты және қауіпсіз жұмыс ортасы Өнімділік төмендеуі, қателіктер
    IT бөлімі Инфрақұрылым тұтастығы, бақылау және логтар Инциденттер көбейеді, recovery кешігеді
    АҚ маманы Саясат пен бақылаулардың орындалуы ISMS әлсіздігі, аудит сәтсіздігі
    Реттеуші орган Дербес деректер және заң талаптарын сақтау Айыппұл, тексеру, құқықтық тәуекел
    Серіктестер / жеткізушілер Коммерциялық құпияның сақталуы Келісімшарт бұзылуы, ынтымақтастық үзілуі
  • 3SWOT талдауы＋
    S — күшті жақтар Backup бар; IT мамандары бар; АҚ маманы тағайындалған; корпоративтік AD орталықтандырылған; VPN қолданылады.
    W — әлсіз жақтар MFA толық емес; ескі БҚ бар; филиалдарда біркелкі емес бақылау; қызметкерлердің АҚ хабардарлығы төмен болуы мүмкін; SIEM жоқ.
    O — мүмкіндіктер Қызметкерлерді оқыту; SIEM енгізу; бұлттық қауіпсіздік сервистері; саясат пен процедураларды ресімдеу; vendor risk бақылауын күшейту.
    T — қауіптер Фишингтің өсуі; ransomware; жеткізушілер арқылы бұзу; деректердің сыртқа шығуы; реттеуші талаптардың күшеюі.

    Ықпал: W+T комбинациясы (MFA жоқ + фишинг) аккаунт ұрлау тәуекелін өсіреді; S (backup) ransomware әсерін азайтуға көмектеседі.

  • 4ISMS Scope мәтіні＋
    Scope (кіреді)

    QazTech ЖШС бас офисі және 2 филиалы; барлық қызметкерлер мен подрядчиктердің ұйымдық жүйелерге қолжетімі; корпоративтік сайт, электрондық пошта, CRM, бухгалтерлік жүйе, Active Directory, файлдық сервер; Wi‑Fi, VPN, бекітілген бұлттық сервистер және компания ноутбуктары; клиенттік дербес және коммерциялық деректерді өңдеу процестері; IT бөлімі мен АҚ маманының басқару рөлдері.

    Scope-тан тыс (кірмейді)

    Қызметкерлердің жеке құрылғыларындағы жеке аккаунттар (BYOD ресми бекітілмесе); үшінші тараптың толық меншігіндегі жүйелер (тек интеграция нүктесі бақыланады); физикалық күзеттің ғимараттық жүйелері (егер АҚ-дан бөлек басқарылса); сыртқы маркетинг агенттігінің жеке инфрақұрылымы.

    Негіздеме

    Scope бизнеске тікелей әсер ететін жүйелер мен деректерді қамтиды. Тыс қалғандар ұйым толық бақылай алмайтын немесе АҚ басқаруынан тыс аймақтар — олар жеке келісім/бақылау арқылы шектеледі.

  • 53 басым актив бойынша негіздеме＋
    1. CRM

    Клиент базасы мен сату/қолдау процесі осында. C жоғары (дербес/коммерциялық дерек), A жоғары (қолжетімсіз болса клиенттермен жұмыс тоқтайды). Сондықтан №2 Asset Register-де бірінші кезекте тұрады.

    2. Active Directory

    Барлық корпоративтік қолжетімділіктің орталығы. Компрометация бүкіл жүйелерге жол ашады — C/I/A үшеуі де сыни. MFA және құқықтарды шектеу осы активтен басталады.

    3. Бухгалтерлік жүйе / файлдық сервер

    Қаржылық тұтастық пен құжаттар мұрағаты. I және C жоғары: өзгерту немесе сыртқа шығу — заңдық және қаржылық салдар. Backup пен қолжетімділік бақылауы міндетті.

Бақылау сұрақтары

Өзін-өзі тексеру

Сұрақты басыңыз — жауап ашылады

  • 6ISMS дегеніміз не?＋
    ISMS — ақпараттың құпиялылығын, тұтастығын және қолжетімділігін жүйелі басқаруға арналған ұйымдық жүйе: саясат, процестер, бақылау шаралары және үздіксіз жақсарту.
  • 7CIA триадасының үш қасиетін түсіндіріңіз.＋
    C — құпиялылық; I — тұтастық; A — қолжетімділік. Үшеуі де ақпараттық қауіпсіздіктің негізгі мақсаттары.
  • 8ISMS Scope не үшін қажет?＋
    Басқару шекарасын анықтайды: қай бөлім/жүйе/филиал кіреді немесе кірмейді. Ресурс, жауапкершілік, саясат және аудит осы аяда жүргізіледі.
  • 9SWOT-та ішкі және сыртқы факторлар қалай ажыратылады?＋
    Ішкі — S және W (ұйым өзгерте алады). Сыртқы — O және T (ортадан келеді, бейімделу керек).
  • 10Мүдделі тараптардың талаптары тәуекелдерге қалай әсер етеді?＋
    Талаптар басым активтер мен тәуекелдерді көрсетеді. Талап орындалмаса салдар күшейеді — сондықтан risk treatment пен саясат осы талаптарға сай таңдалады.