DA31020223 – Evaluare initiala de conformitate cu prevederile Legii 362/2018 + evaluare risc

Evaluare initiala de conformitate cu prevederile Legii 362/2018 (Gap Analysis), servicii de evaluare riscuri de securitatea informatiei (Analiza de Risc+Plan de Masuri) 1. SERVICII DE EVALUARE INIȚIALĂ DE CONFORMITATE ÎN RAPORT CU PREVEDERILE LEGII NR. 362/2018 Serviciile de evaluare de conformitate cu prevederile Legii nr. 362/2018 propuse de SAFETECH INNOVATIONS oferă o soluție completă de evaluare a riscurilor privind securitatea informației, pe baza metodologiilor și cerințelor legale. Serviciile vor fi furnizate conform cerințelor legislative în vigoare, precum și a celor mai bune practici și standarde internaționale, cum ar fi: - Legea nr. 362/2018; - Asociația de audit și control a sistemelor informaționale - ISACA; - Institutul Național de Standarde și Tehnologie - NIST; - Standardele ISO 27001; ISO 27002. - Centrul pentru controale critice de securitate pentru securitatea Internetului (The Center for Internet Security - CIS). Următoarele activități vor fi realizate în cadrul proiectului: - Identificarea practicilor actuale de securitate ce răspund cerințelor Legii nr. 362/2018 - Documentarea practicilor actuale de securitate - Analiza conformității practicii actuale cu cerințele Legii nr. 362/2018 privind asigurarea unui nivel comun ridicat de securitate a rețelelor și a sistemelor de informații 2. SERVICII DE EVALUARE RISCURI DE SECURITATE A INFORMATIEI Acest tip de serviciu oferă asigurare și încredere organizației, deoarece identifică domeniile care necesită atenție și oferă recomandări pentru acțiuni corective. Pentru a avea o opinie cu privire la existența, adecvarea și eficacitatea mediului de control, echipa de audit va desfășura următoarele activități: - Planificare și management de proiect - Colectarea de informații - Interviuri cu toate părțile interesate - Analiza peisajului tehnic și a relației acestuia cu organizația - Evaluarea controalelor tehnice, organizaționale și fizice existente în companie sau a lipsei acestora în raport cu cerințele de conformitate. - Documentarea constatărilor și, acolo unde este cazul, a riscurilor și recomandărilor pentru abordarea acestora. Acest serviciu propune o abordare de sus în jos, pornind de la organigramă și perspectiva managementului și implicarea în securitatea informațiilor, evaluează rolul securității în organizație prin politici, proceduri și orientări și verifică implementarea acestora prin controale tehnice. Evaluare tehnica a vulnerabilitatilor si riscurilor din cadrul retelei IT Acesta activitate va fi executata prin 2 metode, scanarea de vulnerabilitati la nivelul componentelor informatice din arhitectura IT&C, precum si analiza traficului din interiorul retelei. Scanarea de vulnerabilități Pentru determinarea posibilelor vulnerabilitati existente, in executarea scanarii de vulnerabilitati se realizeaza urmatoarele activitati: - Identificarea sistemelor de operare - Identificarea patch-urilor de securitate lipsa pe un anumit sistem de operare - Determinarea vulnerabilitatilor cunoscute la nivelul sistemelor de operare - Identificarea porturilor deschise - Identificarea serviciilor care ruleaza pe un anumit port - Determinarea vulnerabilitatilor cunoscute la nivelul serverelor de aplicatii - Determinarea vulnerabilitatilor cunoscute pentru bazele de date - Determinarea vulnerabilitatilor cunoscute la nivelul serviciilor active identificate - Identificarea vulnerabilitatilor la nivel de transport intre servere si/sau modulele componente - Identificarea problemelor de configurare a serviciilor active Serviciile vor consta în scanarea de vulnerabilități pentru infrastructura internă (servere fizice si virtuale cu adresa IP accesibile din retea) și pentru statiile de lucru și desktopuri, precum si a infrastructurii expuse in internet, utilizând instrumente software dedicate, cum ar fi Nessus de la Tenable, un lider global în software de gestionare a vulnerabilităților. folosind principii de ethical hacking și propria metodologie bazată pe standardele OWASP și SANS, simulăm atacurile computerizate din perspectiva unui hacker către o rețea, sistem, aplicație sau site web. Testul constă în utilizarea unor tehnici utilizate în general de hackeri pentru a obține acces neautorizat la sistemele dvs. cibernetice. Apoi vă raportăm constatările împreună cu planul de remediere. În urma acestui serviciu inițial, veți avea: - O documentare a practicii actuale de securitate a informației in cadrul organizației - O analiză de risc privind securitatea informației; - Un set de măsuri pentru reducerea nivelului de risc; - Un plan de masuri de securitate a informației, care să vă ghideze în următorii pași concreți. - Raport de stestare de securitate, cat și un plan de măsuri de remediere - Identificate măsuri pentru reducerea nivelului de risc;