Security Vision выпустила новую версию продукта для автоматизации процессов и обеспечения комплаенса — SGRC 2.0. Конструкторы, low code/no code, автоматизация любых процессов и построение ресурсно-сервисной модели с количественной моделью оценки рисков и комплаенса — теперь это и многое другое достижимо с продуктом Security Vision SGRC 2.0.

Ядром Security Vision SGRC 2.0 служит ресурсно-сервисная модель, которая позволяет детально воссоздать информационную структуру предприятия и охватывает все уровни организации, от фундаментальных бизнес-процессов до технических активов, обеспечивая целостное представление о деятельности компании. Анализ может проводиться как для всей организации, так и для отдельных информационных систем как на высоком уровне для совокупностей объектов, так и детально для конкретного рабочего места, принтера или телефона.

Ресурсно-сервисная модель позволяет описать все необходимые объекты, начиная с фундаментальных сущностей, которыми оперирует бизнес, и заканчивая техническими активами, которые являются необходимыми ресурсами для реализации бизнес-активов.

Модуль Risk Management в составе Security Vision SGRC 2.0 охватывает весь жизненный цикл процесса управления рисками, начиная с этапа определения среды и описания бизнес и ИТ-компонентов инфраструктуры. Последующие этапы анализа и оценки рисков поддерживают качественный и количественный методы оценки. Сервис позволяет аналитику провести оценку полностью самостоятельно либо собрать данные от экспертов с помощью опросных листов, используя подход модуля управления соответствием. Модуль Risk Management включает в себя справочники из Банка данных угроз безопасности информации ФСТЭК и позволяет реализовывать моделирование угроз и сценарии реализации рисков на основе уже готового и взаимосвязанного набора данных.

Модуль Compliance Management в составе Security Vision SGRC 2.0 предлагает инструменты для проверки соответствия стандартам и лучшим практикам, охватывающие как организацию в целом, так и отдельные бизнес-активы, подразделения, бизнес-процессы или другие элементы инфраструктуры. Система обеспечивает гибкость в выборе методики оценки, предоставляя возможность использовать стандарты из пакета экспертиз или применять собственные методики.

Благодаря платформе процесс оценки становится автоматизированным, что значительно сокращает количество рутинных операций и позволяет более эффективно собирать и обрабатывать информацию, объединяя все необходимые данные в одном окне для удобного доступа и анализа. Аудит может включать проведение аудитов информационной безопасности, тестирование на проникновение, анализ политик безопасности и процедур управления доступом и предлагает пользователю наиболее используемые стандарты, фреймворки и лучшие практики.

Модуль КИИ в составе Security Vision SGRC 2.0 — решение, предназначенное для исполнения требований ФЗ-187 «О безопасности критической информационной инфраструктуры Российской Федерации» и других связанных с ним нормативных документов. Процесс управления исполнения требованием с помощью модуля КИИ состоит из следующих этапов:

  • в модуль включаются новые активы, такие как информационные системы и критические бизнес-процессы, для последующей классификации как объектов критической информационной инфраструктуры (ОКИИ) и оценки рисков;
  • далее проводится процедура классификации информационных систем как объектов критической информационной инфраструктуры. Для этого создаются специальные формы и задания, направленные на устранение несоответствий и уточнение данных;
  • для информационных систем, классифицированных как ОКИИ, проводится моделирование потенциальных угроз с целью оценки их уязвимости и разработки мер защиты;
  • в финале создаётся визуальное представление потенциальных угроз, позволяющее оценить степень риска и разработать эффективные меры защиты. Этот отчёт может быть сохранен для последующего использования.

Security Vision Business Continuity Management, входящее в Security Vision SGRC 2.0 — это решение автоматизации процесса обеспечения непрерывности и восстановление деятельности (ОНиВД) после наступления чрезвычайных ситуаций. Продукт находится на стыке технологий: затрагивает как процессы ИБ, оперируя последствиями реализации угроз, связанных с отказом работоспособности информационных систем, оборудования, утраты ключевых поставщиков, персонала или помещений, так и процессы ИТ, анализируя информационную модель предприятия, обслуживающие ресурсы, метрики работоспособности активов и процедуры восстановления.

Решение обеспечивает реализацию процесса на всех стадиях его жизненного цикла:

  • на этапе «Анализ воздействия на бизнес и оценка риска» посредством опроса владельцев ресурсов собирается информация о бизнес-процессах и их зависимости от различных ресурсов компании. Целью этого процесса было определение операционных, юридических и финансовых последствий сбоев и выявление ключевых метрик;
  • на этапе «План обеспечения непрерывности бизнеса» продукт позволяет систематизировать планы обеспечения непрерывности конкретных бизнес-процессов по конкретным типам чрезвычайных ситуаций;
  • на этапе «Определение и внедрение процедур непрерывности бизнеса» используется встроенная система заявок, в которой можно поставить и проконтролировать выполнение задач на приведение инфраструктуры в соответствии утверждённым планам обеспечения непрерывности.

Также реализована возможность проводить регулярные тестирования планов непрерывности с оценкой достижения ключевых показателей эффективности.

SGRC 2.0 включает в себя возможность гибкого управления доступом, позволяющую адаптировать процесс оценки под любую организацию: система поддерживает создание ролей с индивидуальными настройками прав доступа к данным, отчётам и функционалу. Пользователь может совмещать несколько ролей, расширяя свои полномочия. Конструктор ролей позволяет легко настраивать систему под конкретные требования бизнеса.