1. Анализ подходов к классификации объектов защиты в корпоративных информационных системах

В данном разделе приводится описание подходов к классификации объектов защиты, описанных в международных и национальных стандартах в области информационной безопасности, а также подходов к классификации объектов защиты, применяемых коммерческими организациями. Проводится сравнительный анализ рассматриваемых подходов по выбранным критериям.

1. Показатели для оценки подходов к классификации объектов защиты

Классификация объектов защиты КИС коммерческих организаций ­– это процесс, направленный на:

• выявление активов, представляющих ценность для организации, и их последующая защита;

• сокращение расходов на обеспечение информационной безопасности и их перераспределение в пользу более ценных;

• оценку возможного ущерба от нарушения ИБ объектов защиты для последующей оценки рисков ИБ;

• определение приоритетности защиты объектов защиты для последующего обеспечения непрерывности бизнеса за счет резервирования объектов защиты, критичных с точки зрения реализации бизнес-процессов.

Исходя из описанных выше целей, для оценки рассматриваемых подходов к классификации объектов защиты, будем использовать следующие качественные показатели:

• полнота описания процесса и составляющих его процедур – деятельность по классификации объектов защиты должна рассматриваться в качестве единого процесса с выделенными процедурами, должны быть предъявлены требования к реализации процесса и составляющих его процедур;

• полнота используемой терминологии – используемая терминология должна быть конкретизирована и иметь однозначное толкование;

• однозначность используемого классификационного признака (критериев классификации объектов защиты) – в подходе должны быть явно определены классификационные признаки, используемые при категорировании объектов защиты;

• однозначность выделенных классов объектов защиты – в подходе должен быть однозначно определен перечень классов объектов защиты или описан порядок и принципы его формирования в соответствии с используемым классификационным признаком, должны быть определены виды информации, наиболее вероятно принадлежащие тому или иному классу;

• гибкость подхода – должна допускаться адаптация методологии с учетом специфики бизнеса конкретной организации;

• простота реализации процесса – подход к классификации объектов защиты должен быть легко реализуем на практике процедуры, реализуемые в рамках процесса, не должны быть чрезмерно сложными и содержать большое количество действий.

Для качественной субъективной оценки подходов к классификации объектов защиты по описанным выше показателям, введем уровни:

• высокий;

• средний;

• низкий.

Проведем анализ основных подходов к классификации объектов защиты.

2. Анализ подходов к классификации объектов защиты, описанных в российских и международных стандартах и стандартах

Национальные и зарубежные стандарты по информационной безопасности являются основой для организации защиты информации в коммерческих организациях, так как данные стандарты реализуют требования законодательства и вбирают лучшие мировые и национальные практики в области информационной безопасности.

Рассмотрим подходы к классификации объектов защиты, описанные в следующих стандартах:

• ГОСТ Р ИСО/МЭК 17799-2005 «Информационная технология. Практические правила управления информационной безопасностью»;

• NIST SP 800-30 «Guide for Conducting Risk Assessments»;

• NIST SP 800-60 «Guide to Mapping Types of Information Systems to Security»;

• СТО БР ИББС 1.0-2010 «Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Общие положения»;

• ITIL v3.