1. Анализ физической и логической архитектуры компьютерной системы, а также используемых схем автоматизированной обработки информации:

• анализ аппаратных средств и их конфигурации (сетевого оборудования локальных и глобальных коммуникаций);

• анализ программного обеспечения и схемы распределения его компонентов между узлами сети;

• анализ протоколов взаимодействия (используемых стеков протоколов TCP/IP, SPX/IPX, NetBIOS/NetBEUI);

• анализ сетевого трафика на различных уровнях сетевой модели взаимодействия;

• анализ технологии использования мобильных программ (JAVA, ActiveX, JavaScript,VBScript); з согласованности аппаратной и программной конфигурации узлов сети;

• анализ согласованности аппаратной и программной конфигурации узлов сети;

• анализ подсистем защиты информации на различных уровнях программно-аппаратных средств.

2. Выявление на основе проведенного анализа уязвимых элементов, через которые возможна реализация угроз информации:

уязвимых элементов аппаратных средств и каналов связи (локальных сетей, сетевых устройств концентрации и маршрутизации, каналов межсетевого взаимодействия, а также каналов взаимодействия с глобальными сетями);

уязвимых элементов операционных систем (Windows, NetWare, UNIX);

уязвимых элементов используемых систем управления базами данных (Oracle, Microsoft SQL Server, Informix и др.);

уязвимых элементов прикладного программного обеспечения (электронного документооборота, справочных систем, электронной бухгалтерии);

уязвимых элементов сетевых программных средств (групповой работы, утилит администрирования, мобильных программ);

уязвимых элементов подсистем информационно-компьютерной безопасности.

3. Определение, анализ и классификация всех возможных угроз информации в компьютерных системах:

• угроз несанкционированного использования компьютерных ресурсов (хищения, подлога, разрушения и потери информации, отказов в работе программно-аппаратных средств)

• угроз некорректного использования компьютерных ресурсов (нарушений физической и логической целостности данных, нарушений работоспособности компьютерных систем);

• угроз проявления ошибок пользователей, операторов и администраторов, а также ошибок, допущенных в процессе разработки программно-аппаратных средств;

• угроз безопасности сетевого взаимодействия (безопасности информационного обмена, а также нарушений протоколов взаимодействия);

• угроз несанкционированного изменения состава компьютерной системы и ее компонентов (изменений параметров конфигурирования, внедрения вредоносных программ и др. несанкционированных элементов);

• угроз нанесения ущерба физическим способом (хищения носителей информации, нарушений системы электроснабжения; перехвата электромагнитных излучений и др.).

4. Оценка текущего уровня информационно-компьютерной безопасности и определение риска:

• оценка ценностей (всех объектов и субъектов, которым может быть нанесен ущерб);

• прогнозирование частоты и вероятности проявления угроз на основе накопленной статистики и условий эксплуатации компьютерных сетей;

• непосредственное вычисление риска, зависящего от полученных выше параметров;

• выработка рекомендаций по снижению риска до приемлемого уровня.

5. Разработка политики безопасности как совокупности концептуальных решений, направленных на эффективную защиту информации и ассоциированных с ней ресурсов:

• формирование стратегических целей обеспечения информационно-компьютерной безопасности и определение требований

• защищаемой информации;

• разработка концепции защиты от реализации преднамеренных угроз;

• разработка концепции защиты от реализации случайных угроз;

• составление общего плана восстановления на случай воздействия на компьютерные ресурсы;

• разработка организационных мероприятий по созданию условий безопасной обработки информации;

6. Формирование полного перечня детальных требований к системе информационно-компьютерной безопасности в соответствии с необходимыми классами защищенности:

требований к подсистемам аутентификации и разграничения доступа;

• требований к подсистеме защиты от вирусоподобных программ;

• требований к подсистеме криптографической защиты;

• требований к подсистеме контроля эталонного состояния информации и рабочей среды;

• требований к подсистемам резервирования информации и восстановления работоспособности компьютерных средств;

• требований к подсистемам регистрации и сигнализации;

• требований к подсистеме обеспечения безопасности сетевого взаимодействия.

7. Непосредственная разработка системы защиты информации с учетом всех предъявленных требований и влияющих на защиту факторов:

• формирование детальных спецификаций на компоненты системы информационно-компьютерной безопасности;

• проектирование комплексных систем защиты информации для рабочих станций, серверов, а также компьютерной сети в целом;

• выбор сертифицированных средств защиты информации и обоснование принятых решений;

• проектирование уникальных подсистем информационно-компьютерной безопасности, не содержащих концептуальных недоработок;

• реализация разработанных проектов;

• интеграция подсистем информационно-компьютерной безопасности, их комплексная настройка и проверка работоспособности;

• оценка качества системы защиты информации по комплексным методикам, а также отечественным и международным стандартам.