Процесс управления информационной безопасностью

Основные понятия

Безопасность (Security) - комплексная характеристика, включающая конфиденциальность, целостность и доступность, для Активов, информации, данных и ИТ-услуг в Организации.

Конфиденциальность (Confidentiality) - принцип безопасности, который требует, чтобы к данным получал доступ только уполномоченный персонал.

Целостность (Integrity) – принцип безопасности, который гарантирует, что данные и Конфигурационные элементы, изменены (модифицированы) только уполномоченным персоналом и действиями.

Целостность рассматривает все возможные причины модификации, включая отказы программного обеспечения и оборудования, экологические события, и человеческое вмешательство.

Доступность (Availability) – способность Конфигурационной единицы или ИТ-услуги выполнить её согласованную функцию, когда это требуется.

Доступность определена:

• Надежностью,

• Сопровождаемостью,

• Обслуживаемостью,

• Производительностью,

• Безопасностью.

Управление информационной безопасностью (Information Security Management - ISM) – Процесс который гарантирует Конфиденциальность, Целостность и Доступность активов, информации, данных и ИТ-услуг Организации.

Управление информационной безопасностью обычно составляет часть организационного подхода к Управлению безопасности, которое имеет более широкое содержание, чем Поставщика ИТ-услуг, и включает обработку бумажных документов, доступ в здания, телефонные звонки и т.п., для совершенных Организаций.

Система управления информационной безопасностью (Information Security Management System -ISMS) – Система Политики, Процессов, Стандартов, Руководств и инструментальных средств, которые гарантируют Организации достижение целей Управления информационной безопасностью.

Стандарт ISO 27001 является официальным стандартом, в соответствии с которым организации могут пройти независимую сертификации их Систем управления информационной безопасностью (ISMS)

Схема системы управления информационной безопасностью

Политика информационной безопасности (Information Security Policy) – Политика, которая определяет, направляет организационной подход к Управлению информационной безопасностью.

Предназначение управления информационной безопасностью состоит в том, чтобы обеспечить центр для всех аспектов безопасности ИТ и управлять всеми действиями безопасности ИТ.

Основная цель процесса Управления информационной безопасностью состоит в том, чтобы обеспечить соответствие безопасности ИТ с безопасностью бизнеса и гарантировать, что информационной безопасностью эффективно управляют в рамках всех услуг и действий Управления услугами.

Для большинства организаций цели безопасности выполнены когда:

• Информация доступна и пригодна для использования когда это требуется, и системы, которые обеспечивают это, могут соответственно сопротивляться атакам и восстанавливаться после отказов или предотвратить отказы (доступность).

• Информация предоставляется или открыта только тем, кто имеет право ее знать (конфиденциальность).

• Информация закончена, точна и защищена от несанкционированного изменения (целостность).

Процесс управления информационной безопасностью

Контроли безопасности для угроз и инцидентов