1. Введение

1.1. Общие положения

Представленные методические указания описывают работу программного продукта Digital Security Office 2006.

Digital Security Office 2006 – программный комплекс, предназначенный для управления информационной безопасностью и построения эффективной системы управления информационной безопасностью.

Digital Security Office 2006 включает в себя систему анализа и управления информационными рисками ГРИФ и систему разработки и управления политикой безопасности информационной системы КОНДОР.

Методические указания включают:

1. Описание работы с программным продуктом Digital Security Office 2006.

2. Описание алгоритмов программ, входящих в состав Digital Security Office 2006.

3. Лабораторные работы по программному продукту Digital Security Office 2006.

4. Тесты по программному продукту Digital Security Office 2006.

В результате изучения методических указаний и выполнения лабораторных работ пользователь программы получает все необходимые знания для работы с программным продуктом Digital Security Office 2006.

1.3. Принятые сокращения

Таблица 1.3-1. Принятые сокращения

Сокращение	Расшифровка
ИБ	Информационная безопасность
ИС	Информационная система
ИТ	Информационные технологии
ОС	Операционная система
ПО	Программное обеспечение

4. Программный комплекс Digital Security Office 2006

Digital Security Office 2006 - законченное решение для комплексного управления информационной безопасностью компании.

Digital Security Office 2006 включает в себя систему анализа и управления информационными рисками ГРИФ и систему разработки и управления политикой безопасности информационной системы КОНДОР.

4.1. Программа Кондор

КОНДОР - система разработки и управления политикой безопасности ИС компании на основе стандарта ISO 17799. Это современный и удобный инструмент для разработки всех основных положений политики ИБ компании и управления процессом внедрения этих положений на практике.

4.1.1. Общее описание

С помощью программы КОНДОР проводится аудит ИС компании на соответствие стандарту ISO 17799. На основе данных, полученных в результате проведения аудита, разрабатывается политика безопасности компании и система управления информационной безопасностью.

4.1.2. Международный стандарт управления информационной безопасностью ISO 17799

Стандарт управления информационной безопасностью ISO 17799 является стандартом верхнего уровня, описывающим безопасность ИС в целом и принципы управления процессом обеспечения ИБ. Требования стандарта ISO 17799 описывают комплексный подход к обеспечению ИБ.

Стандарт состоит из десяти разделов, содержащих требования к процессу управления ИБ.

Разделы стандарта ISO 17799:

1. Политика безопасности

2. Организационные меры

3. Управление ресурсами

4. Безопасность персонала

5. Физическая безопасность

6. Управление коммуникациями и процессами

7. Контроль доступа

8. Разработка и сопровождение систем

9. Непрерывность ведения бизнеса

10. Соответствие системы требованиям

Краткое описание тем разделов стандарта:

Раздел "Политика безопасности" содержит вопросы о существующей в компании политике безопасности: положения политики, порядок внесения изменений, утверждение политики.

Раздел "Организационные меры" содержит вопросы о принятых в компании организационных мерах по обеспечению ИБ и об ответственности за ее обеспечение.

Раздел "Управление ресурсами" содержит вопросы о процедуре учета ресурсов и о классификации и категоризации информации.

Раздел "Безопасность персонала" содержит вопросы о процедуре приема сотрудников на работу, об уровне осведомленности персонала по вопросам ИБ и о действиях, осуществляемых персоналом в случае возникновения инцидентов в области ИБ.

Раздел "Физическая безопасность" содержит вопросы о физическом контроле доступа к ресурсам, содержащим ценную информацию, и о физических угрозах оборудованию ИС компании.

Раздел "Управление коммуникациями и процессами" содержит вопросы о процедурах внесения изменений в среду выполнения бизнес-операций, об антивирусной защите, о контроле целостности, резервном копировании информации и восстановлении из резервных копий, о правилах обращении с информацией и программным обеспечением при передаче, о безопасности электронной коммерции и электронного офиса. Вопросы раздела отражают процесс безопасной обработки и передачи информации.

Раздел "Контроль доступа" содержит вопросы о правах и привилегиях пользователей при доступе к ресурсам компании, о политике сетевых служб, о парольной политике, о мониторинге процедур повышенного риска, о доступе мобильных и удаленных пользователей к ресурсам компании. Вопросы раздела отражают распределение доступа к ценным ресурсам компании.

Раздел "Непрерывность ведения бизнеса" содержит вопросы о планах обеспечения непрерывности ведения бизнеса, о восстановлении системы после сбоев, о тренингах персонала по действиям в случае аварийных ситуаций.

Раздел "Соответствие системы требованиям" содержит вопросы о лицензионных соглашениях приобретенного программного обеспечения; о соответствии системы стандартам ИБ; о критериях сохранения улик; о проверках, проводимых в ИС (например, проверка технического соответствия, сторонний аудит).

Раздел "Разработка и сопровождение систем" содержит вопросы о проверках входных и выходных данных систем, о системе криптографической защиты информации, о правилах внесения изменений в исполняемые файлы и библиотеки, о правилах работы с тестовой средой, о приобретении программных продуктов.