Как строить ИБ между аттестациями или что такое CDM?

Не секрет, что у нас во многих государственных и муниципальных учреждениях информационная безопасность живет волнами - от аттестации до аттестации. Сначала мы строим систему защиты (например, по 17-му приказу), потом проводим ее аттестацию и... забываем на некоторое время. Средства защиты работают, что-то ловят, обновляются, но полноценного непрерывного мониторинга состояния защищенности государственных и муниципальных информационных систем не происходит. Отчасти по причине нехватки кадров и финансирования, отчасти из-за исторической направленности ФСТЭК только на выстраивание защитной стены без дальнейшего отслеживания ее состояния.

Необходима новая модель  обеспечения безопасности, которая позволила бы выстраивать трехуровневую систему ИБ - допоявления атаки на границе защищемого объекта, в процессе ее реализации и уже после компрометации. Учитывая изменение ландшафта угроз и появление целенаправленных (APT) атак, эта задача становится все более насущной и необходимой. Но... если коммерческое предприятие в состоянии эту модель у себя реализовать, то с государственными учреждениями все не так просто. Им нужна помощь.

Понимая это, в США недавно стартовала новая программа под названием CDM (Continuous Diagnostics and Mitigation), которая и отличается тем, что позволяет обеспечить непрерывный мониторинг и нейтрализацию угроз американским государственным органам. По описанию CDM напоминает российскую систему СОПКА, смотрящим за которой является ФСБ. Но в отличие от СОПКИ CDM лучше описан и базируется на коммерческих решениях, доступных на рынке.

Программа CDM покрывает 15 областей, разбитых на 3 фазы:

1. Фаза 1
• HWAM – Hardware Asset Management - Управление физическими активами
• SWAM – Software Asset Management - Управление ПО
• CSM – Configuration Settings Management - Управление конфигурацией
• VUL – Vulnerability Management - Управление уязвимостями
2. Фаза 2
• TRUST –Access Control Management (Trust in People Granted Access) - Управление контролем доступа
• BEHV – Security-Related Behavior Management - Управление поведением, связанным с ИБ
• CRED – Credentials and Authentication Management - Управление аутентификацией и учетными записями
• PRIV – Privileges Boundary Protection (Network, Physical, Virtual) - Управление информационными потоками через различные границы
3. Фаза 3
• Управление событиями ИБ
• Реагирование на события ИБ
• Аудит и мониторинг
• Документирование, политики и т.п.
• Управление качеством 
• Управление рисками.