Ақпараттық қауіпсіздік · зертханалық жұмыс №2

QazTech

Ақпараттық активтерді түгендеу және жіктеу — Scope ішіндегі ресурстарды тіркеп, иесін белгілеп, құпиялылық класы мен CIA маңыздылығын бағалау.

Кіріс · №1 ISMS Scope және басым жүйелер

№2 фокус Asset Register және CIA бағасы

Шығыс · №3 Ең маңызды активтерге қауіп іздеу

Жалпы логика

Сегіз жұмыс — бір үздіксіз тізбек

1 → 2 → … → 8 №2 №1 шекарасын алады және №3 қауіп тізіліміне активтерді береді.

Әр жұмысты басыңыз — толық ақпарат ашылады. Қазіргі жұмыс — 02.

№2 зертханалық жұмыс

Ақпараттық активтерді түгендеу және жіктеу

Мақсат: ақпараттық активтерді анықтау, иесін белгілеу, құпиялылық санатына бөлу және CIA критерийлері бойынша маңыздылығын бағалау.

Анықтау ＋

Scope ішіндегі барлық құнды ресурсты атау: дерек, бағдарлама, жабдық, желі, адам, ғимарат. Жүйе мен оның ішіндегі дерек — екі бөлек актив.

Иесі және класс ＋

Әр жолда Asset Owner, орналасу орны және деңгей: Public, Internal, Confidential немесе Restricted.

CIA 1–5 ＋

Confidentiality, Integrity, Availability. Σ = C + I + A. Ең жоғары бес қосынды — басым активтер, №3 жұмыстың кірісі.

Қысқаша теория

Ақпараттық актив деген не?

Ақпараттық актив — ұйым үшін құндылығы бар ақпарат немесе оны сақтау, өңдеу, беру және қорғауға қатысатын ресурс. Тізілімге кемінде 15 актив, алты санаттың әрқайсысынан енуі тиіс.

Санатты басыңыз — QazTech мысалы ашылады

Ақпарат＋

Клиенттер базасы, қызметкерлердің дербес деректері, коммерциялық құпия, backup көшірмелері. Дерек пен оны өңдейтін бағдарлама бір актив емес.

Бағдарлама＋

Сайт, CRM, бухгалтерлік жүйе, пошта, бұлттық сервистер. Бағдарлама тоқтаса процесс тоқтайды — Availability жиі жоғары.

Жабдық＋

AD сервер, файлдық сервер, қызметкер ноутбуктары. Жоғалуы немесе бұзылуы дерекке қол жеткізуді үзеді.

Желі＋

VPN шлюзі, корпоративтік Wi‑Fi. Филиал мен қашықтан жұмыс осы арнаға тәуелді.

Адам＋

АҚ маманы, рөлдік білім. Адам кетсе немесе қателессе, бақылау мен процедура әлсірейді.

Физикалық＋

Сервер бөлмесі. Есік, өрт, электр — цифрлық бақылаудан бұрын физикалық қолжетімділік.

Ақпаратты жіктеу

Public · Internal · Confidential · Restricted

Деңгейді басыңыз — кім көре алатыны және QazTech мысалы

Public＋

Жариялау зиян келтірмейді. Кез келген адам көре алады.

Мысал: корпоративтік сайттың ашық беттері (A03).

Internal＋

Тек ұйым ішінде. Сыртқа шықпауы тиіс, бірақ қызметкерлердің кең тобына ашық.

Мысал: AD сервер, Wi‑Fi, ноутбуктер, пошта инфрақұрылымы.

Confidential＋

Шектеулі рөлдер. Жарияланса бизнеске, клиентке немесе қаржыға зиян.

Мысал: клиенттер базасы, бухгалтерия, CRM, файлдық сервер.

Restricted＋

Ең қатаң деңгей: need-to-know. Қолжетімділік атаулы және журналға түседі.

Мысал: қызметкерлердің дербес деректері, коммерциялық құпия, backup, сервер бөлмесі.

1елеусіз

2төмен

3орташа

4жоғары

5сыни

Практикалық тапсырмалар

Не істеу керек?

Тапсырманы басыңыз — кеңес пен күтілетін нәтиже ашылады

11Кемінде 15 актив, 6 санат＋

Ақпарат, бағдарлама, жабдық, желі, адам және физикалық инфрақұрылым. CRM деректері мен CRM бағдарламасын бір жолға қоспаңыз — қорғау талабы әртүрлі.
12Owner, орны, класс＋

Asset Owner — бизнес-шешім қабылдайтын рөл (Sales Manager, IT Manager). Орын: бас офис, филиал, бұлт, сервер бөлмесі. Класс: Public, Internal, Confidential, Restricted.
13CIA бойынша 1–5 балл＋

C — жарияланса қаншалықты зиян. I — бұрмаланса процесс қаншалықты бұзылады. A — тоқтаса жұмыс қаншалықты тоқтайды. 4 және 5 ұпайдың себебін бір сөйлеммен жазыңыз.
14Σ есептеп, топ-5 таңдау＋

Σ = C + I + A. Ең үлкен бес қосынды — басым активтер. Тең ұпайда бизнес-салдары ауырырақ активті жоғары қойыңыз.
15Топ-5: жоғалу, бұрмалану, тоқтау＋

Әр актив үшін үш салдар: дерек жоғалса, өзгертілсе және жүйе қолжетімсіз болса бизнеске не болады. Бұл №3 қауіп пен №4 тәуекелдің негізі.

Үлгі · QazTech · 16 актив

Asset Register және CIA

Σ = C + I + A. Жасыл жолақ — ең маңызды 5 актив (Σ = 14). A01–A03 тапсырма үлгісімен сәйкес.

ID	Актив	Түрі	Owner	Орын	Класс	C	I	A	Σ
A01	Клиенттер БҚ	Ақпарат	Sales Manager	CRM, бас офис / бұлт	Confidential	5	5	4	14
A02	AD сервер	Жабдық	IT Manager	Сервер бөлмесі	Internal	4	5	5	14
A03	Сайт	Бағдарлама	IT	Сыртқы хостинг	Public	2	4	5	11
A04	Қызметкерлердің дербес деректері	Ақпарат	HR Manager	HR жүйесі, бас офис	Restricted	5	5	3	13
A05	Бухгалтерлік жүйе	Бағдарлама	Finance Manager	Қаржы бөлімі	Confidential	5	5	4	14
A06	Файлдық сервер	Жабдық	IT Manager	Сервер бөлмесі	Confidential	5	4	4	13
A07	Электрондық пошта	Бағдарлама	IT Manager	Microsoft 365	Internal	4	4	5	13
A08	VPN шлюзі	Желі	IT Manager	Желі периметрі	Internal	4	4	5	13
A09	Корпоративтік Wi‑Fi	Желі	IT	Офис және 2 филиал	Internal	3	3	4	10
A10	Қызметкер ноутбуктары	Жабдық	IT Manager	Офис / қашық	Internal	4	3	3	10
A11	Backup көшірмелері	Ақпарат	IT Manager	Офсайт + сервер бөлмесі	Restricted	5	5	4	14
A12	CRM жүйесі	Бағдарлама	Sales Manager	Бұлт / бас офис	Confidential	4	5	5	14
A13	АҚ маманы	Адам	CEO	Бас офис	Internal	3	4	4	11
A14	Сервер бөлмесі	Физикалық	Office Manager	Бас офис	Restricted	4	4	5	13
A15	Бұлттық сервистер	Бағдарлама	IT Manager	Провайдер	Confidential	4	4	5	13
A16	Коммерциялық құпия	Ақпарат	Commercial Director	Файлдық сервер	Restricted	5	5	3	13

Тапсырма 14–15 · қосынды және салдар

Ең маңызды 5 актив

Тапсырма 14: Σ = C + I + A. Ең үлкен қосынды — 14, сондықтан осы бесеуі таңдалды. Жолды басыңыз — тапсырма 15.

A01Клиенттер БҚ5 + 5 + 4 = 14＋

ЖоғалуыСату мен қолдау клиентті тани алмайды. Қалпына келтіру қымбат, бір бөлігі қайта жиналмайды.

БұрмалануыҚате байланыс, шарт және берешек. Клиент сенімі мен қаржылық дау.

ҚолжетімсізКүнделікті жұмыс баяулайды. Қысқа үзіліс поштамен жабылады, сондықтан A = 4, бірақ C және I = 5: сыртқа шығу мен бұрмалау ауырырақ.
A02AD сервер4 + 5 + 5 = 14＋

ЖоғалуыБарлық тіркелгі мен құқық жоғалады. Қалпына келтірмей компания жүйеге кіре алмайды.

БұрмалануыАртық құқық немесе жалған тіркелгі — бүкіл жүйелерге жол. I = 5.

ҚолжетімсізКіру тоқтайды: пошта, файл, CRM. A = 5. Класс Internal, C = 4: ең құпия деректер бөлек актив (A01, A16).
A05Бухгалтерлік жүйе5 + 5 + 4 = 14＋

ЖоғалуыЕсеп, салық және жалақы негізі жоғалады. Қалпына келтіру мерзімі заңдық мерзімнен ұзақ болуы мүмкін.

БұрмалануыЖасанды төлем, қате есеп, тексеру және айыппұл. I = 5.

ҚолжетімсізТөлемдер кешігеді. A = 4: бір күндік үзіліс ауыр, бірақ дерек бұзылмаса қалпына келеді.
A11Backup көшірмелері5 + 5 + 4 = 14＋

ЖоғалуыRansomware немесе сервер өртенсе, қалпына келтіру жолы жоқ. Көшірмеде құпия дерек бар — класс Restricted, C = 5.

БұрмалануыЗақымдалған көшірмеден қалпына келтіру деректерді одан әрі бүлдіреді. I = 5.

ҚолжетімсізКүнделікті жұмыс тоқтамайды, бірақ инцидент кезінде RTO бұзылады. A = 4.
A12CRM жүйесі4 + 5 + 5 = 14＋

ЖоғалуыБағдарламасыз процесс жүрмейді, тіпті дерек сақталса да. Қайта енгізу апталар алады.

БұрмалануыҚате мәртебе, қайталанған мәміле, жоғалған тапсырыс. I = 5.

ҚолжетімсізСату және қолдау сол күні тоқтайды. A = 5. C = 4: дерек құпиялылығы A01-де, мұнда жүйенің өзі бағаланады.

Күтілетін нәтиже · талдау

Не тапсыру керек?

Әр нүктені басыңыз — не дайын болып саналады

1Asset Register, 15+ жол＋

ID, атауы, түрі, Owner, орны, класы. Алты санат түгел. QazTech үлгісінде 16 жол: A01–A16. «Клиенттер БҚ» — дерек (ақпарат), CRM жүйесі — бөлек бағдарлама.
2CIA бағалау кестесі＋

Әр активке C, I, A (1–5) және Σ. Сайт: C = 2, A = 5 — ашық, бірақ қолжетімділік сыни. Клиенттер базасы: C = 5, I = 5, A = 4 — құпиялылық пен тұтастық басым.
3Топ-5 талдауы＋

A01, A02, A05, A11, A12 — бәрінің Σ = 14. Әрқайсысында жоғалу, бұрмалану және қолжетімсіздіктің бизнес-салдары жазылған. Σ = 13 болған A04 және A16 заңдық жағынан ауыр, бірақ осы әдіс бойынша топ-5-ке Σ кіргізеді.

Бақылау сұрақтары

Өзін-өзі тексеру

Сұрақты басыңыз — жауап ашылады

16Ақпараттық актив деген не?＋

Ұйым үшін құндылығы бар ақпарат немесе оны сақтау, өңдеу, беру және қорғауға қатысатын ресурс: ақпарат, бағдарлама, жабдық, желі, адам, физикалық инфрақұрылым.
17Asset Owner міндеті қандай?＋

Иесі активтің құндылығын, жіктелуін, кім көретінін және қорғау талабын бекітеді. IT жүйені қолдайды, ал бизнес-шешімді Owner қабылдайды. Мысалы, клиенттер базасының иесі — Sales Manager.
18Public және Restricted айырмашылығы неде?＋

Public — жариялауға болады (сайт). Restricted — ең жоғары құпиялылық, тек need-to-know (дербес дерек, коммерциялық құпия, backup). Арасында Internal және Confidential бар.
19CIA бағалау не үшін жүргізіледі?＋

Қай активті бірінші қорғау керектігін көру үшін. Жоғары Σ тәуекел талдауы мен treatment басымдығын береді: №3 қауіптер, №4 матрица, №5 жоспар осы бестіктен басталады.
20Активтің құны тек ақшамен өлшене ме?＋

Жоқ. Құнға бедел, заңдық жауапкершілік, операцияның үздіксіздігі және клиент сенімі кіреді. Сондықтан балл бизнес-салдармен негізделіп, тек бағамен қойылмайды.