Файл: ГОСы шпоры.docx

12.1 Обеспечение конфиденциальности, доступности и целостности информационных активов организации на основе положений стандарта ГОСТ Р ИСО/МЭК 17799-2005: классификация и управление активами; вопросы безопасности, связанные с персоналом организации; управление информационной безопасностью организации; контроль доступа к информационным активам; управление непрерывностью бизнеса.

Информацию следует классифицировать в зависимости от её ценности и чувствительности для организации.

С юзерами: обучение, проверка при приеме, ИБ в договоре, соглашение о конфиденциальности, информирование юзеров о проблемах.

У юзеров должны быть минимально необходимые права на доступ к активам.

12.2 Понятие «Политика информационной безопасности организации». Цель Политики. Документальное оформление Политики: структура, основное содержание разделов.

Политика ИБ организации.

Термин "Политика" в ЗИ может рассматриваться как:

1. Широкое значение - политика ИБ - совокупность технических, организационных, административных, юридических, физических мер, методов, средств, правил и инструкций, четко регламентирующих все вопросы обечпечения ИБ.

2. Узкое - политика ИБ - документ в системе упарвления ИБ опганизации, который может рассматриватся в качестве одного из ключевых механизмов ИБ.

В соответствии с ГОСТ 27001 в оргенизации вводятся регламентные документы по обеспечению ИБ 4х уровней:

1. Концептуальные документы, в которыхрассматриваются общие вопросы обеспечения ИБ организации вцелом. Рассматривается область действия документа, область действия и т.д.

2. Частные политики по обеспечению ИБ - рассматриваются отдельные направления обеспечения ИБ, документ является более подробным и более детальным. Пример - частная политики антивирусной защиты, ...предоставления доступа к ИР, ...использования сети интернет, ...обеспечения работы с персоналом при работе с ИС.

3. Регламенты по обеспечению ИБ - конкретный документ(инструкция, методика), в котором четко описываются действия пользователя или администратора системы при работе с определенным ТС или процессом.

4. "Свидительства о выполненной работе" по обеспечению ИБ - справки, отчеты, акты, аналитические справки.

В 27001 приведено около 68 документов из всех групп.

Политика ИБ - документ, в котором описываются правила обеспечения ИБ.

Обычно, в политике ИБ описываются:

1. Термины и определения.

2. Общие положения - назначение документа, цели, задачи, правовая основа. Здесь же - ответственность.

3. Объекты защиты (структура,состав, размещение обхектов защиты), категории ИР, которые подлежат защите.

4. Угрозы ИБ. Основные угрозы, источники угроз, пути реализации угроз, модель нарушителя, каналы утечки и тд.

5. Основные принципы построения системы обеспечения ИБ.

6. Меры, методы и средства обеспечения ИБ - описываются технические мероприятия и средства их обеспечения.

7. Контроль защищенности инфы.

8. Изменения (как вносятся).

12.3 Последовательность разработки Политики информационной безопасности организации. Пересмотр и оценка Политики.

Разработка ПБ – длительный и трудоемкий процесс, требующего высокого профессионализма, отличного знания нормативной базы в области ИБ и, помимо всего прочего, писательского таланта. Этот процесс обычно занимает многие месяцы и не всегда завершается успешно. Координатором этого процесса является специалист, на которого руководство организации возлагает ответственность за обеспечение ИБ. Эта ответственность обычно концентрируется на руководителе Отдела информационной безопасности, Главном офицере по информационной безопасности (CISO), Главном офицере безопасности (CSO), ИТ-директоре (CIO), либо на руководителе Отдела внутреннего аудита. Этот специалист координирует деятельность рабочей группы по разработке и внедрению ПБ на протяжении всего жизненного цикла, который состоит из пяти последовательных этапов, описанных ниже.

1. Первоначальный аудит безопасности

Аудит безопасности – это процесс, с которого начинаются любые планомерные действия по обеспечению ИБ в организации. Он включает в себя проведение обследования, идентификацию угроз безопасности, ресурсов, нуждающихся в защите и оценку рисков. В ходе аудита производится анализ текущего состояния ИБ, выявляются существующие уязвимости, наиболее критичные области функционирования и наиболее чувствительные к угрозам ИБ бизнес процессы.

2. Разработка

Аудит безопасности позволяет собрать и обобщить сведения, необходимые для разработки ПБ. На основании результатов аудита определяются основные условия, требования и базовая система мер по обеспечению ИБ в организации, позволяющих уменьшить риски до приемлемой величины, которые оформляются в виде согласованных в рамках рабочей группы решений и утверждаются руководством организации.

Разработка ПБ с нуля не всегда является хорошей идеей. Во многих случаях можно воспользоваться существующими наработками (3), ограничившись адаптацией типового комплекта ПБ к специфическим условиям своей организации. Этот путь позволяет сэкономить многие месяцы работы и повысить качество разрабатываемых документов. Кроме того, он является единственно приемлемым в случае отсутствия в организации собственных ресурсов для квалифицированной разработки ПБ.

3. Внедрение

С наибольшими трудностями приходится сталкиваться на этапе внедрения ПБ, которое, как правило, связано с необходимостью решения технических, организационных и дисциплинарных проблем. Часть пользователей могут сознательно, либо бессознательно сопротивляться введению новых правил поведения, которым теперь необходимо следовать, а также программно-технических механизмов защиты информации, в той или иной степени неизбежно ограничивающих их свободный доступ к информации. Администраторов ИС может раздражать необходимость выполнения требований ПБ, усложняющих задачи администрирования. Помимо этого могут возникать и чисто технические проблемы, связанные, например, с отсутствием в используемом ПО функциональности, необходимой для реализации отдельных положений ПБ.

На этапе внедрения необходимо не просто довести содержание ПБ до сведения всех сотрудников организации, но также провести обучение и дать необходимые разъяснения сомневающимся, которые пытаются обойти новые правила и продолжать работать по старому.

Чтобы внедрение завершилось успешно, должна быть создана проектная группа по внедрению ПБ, действующая по согласованному плану в соответствии с установленными сроками выполнения работ.

4. Аудит и контроль

Соблюдение положений ПБ должно являться обязательным для всех сотрудников организации и должно непрерывно контролироваться. Рассмотрение различных форм и методов контроля, позволяющих оперативно выявлять нарушения безопасности и своевременно реагировать на них, выходят за рамки данной статьи.

Проведение планового аудита безопасности является одним из основных методов контроля работоспособности ПБ, позволяющего оценить эффективность внедрения. Результаты аудита могут служить основанием для пересмотра некоторых положений ПБ и внесение в них необходимых корректировок.

5. Пересмотр и корректировка

Первая версия ПБ обычно не в полной мере отвечает потребностям организации, однако понимание этого приходит с опытом. Скорее всего, после наблюдения за процессом внедрения ПБ и оценки эффективности ее применения потребуется осуществить ряд доработок. В дополнение к этому, используемые технологии и организация бизнес процессов непрерывно изменяются, что приводит к необходимости корректировать существующие подходы к обеспечению ИБ. В большинстве случаев ежегодный пересмотр ПБ является нормой, которая устанавливается самой политикой.

13. Механизмы менеджмента информационной безопасности.

13.1 Управление информационной безопасностью предприятия на основе положений гост р исо/мэк 27001-2006.

ГОСТ Р ИСО/МЭК 27001-2006 является копипастой международного стандарта управления безопасностью ISO/IEC 27001 и предназначен для разработки Системы Менеджмента Информационной Безопасности (СМИБ) организации вне зависимости от ее сферы деятельности. В данном стандарте собраны описания лучших мировых практик в области управления информационной безопасностью. 27001 устанавливает требования к системе менеджмента информационной безопасности для демонстрации способности организации защищать свои информационные ресурсы.

Стандарт 27001 определяет процессы, представляющие возможность бизнесу устанавливать, применять, пересматривать, контролировать и поддерживать эффективную систему менеджмента информационной безопасности; устанавливает требования к разработке, внедрению, функционированию, мониторингу, анализу, поддержке и совершенствованию документированной системы менеджмента информационной безопасности в контексте существующих бизнес рисков организации.