3. Анализ подхода к классификации объектов защиты в соответствии со стандартами сто бр иббс

Стандарты СТО БР ИББС описывают подходы и предъявляют требования к проектированию систем обеспечения информационной безопасности, включающие:

• системы информационной безопасности;

• системы менеджмента информационной безопасности.

Требования, предъявляемые в стандартах СТО БР ИББС, обязательны для исполнения в организациях банковской сферы Российской Федерации.

Терминология. В стандартах СТО БР ИББС используется развернутая терминология. К классификации объектов защиты имеют отношение следующие термины [4]:

• информация (сведения независимо от формы их представления);

• документ (зафиксированная на материальном носителе информация с реквизитами, позволяющими ее идентифицировать);

• информационный актив (документ, имеющий ценность для организации, находящийся в ее распоряжении, представленный на любом материальном носителе в пригодной для обработки, хранения и передачи форме);

• объект среды информационного актива (материальный объект среды использования и/или эксплуатации информационного актива);

• актив (все, что имеет ценность для организации, включая персонал, финансовые средства, оборудование, информацию, банковские процессы, а также банковские продукты и услуги).

Требования к организации процесса. В соответствии со стандартами СТО БР ИББС, системы менеджмента информационной безопасности представляют собой совокупность процессов, реализуемых в виде циклической модели Деминга: «планирование – реализация – проверка – совершенствование». Указанная модель предполагает непрерывную модернизацию процессов управления информационной безопасности, направленную на повышение их эффективности.

Областью действия систем обеспечения информационной безопасности (систем информационной безопасности и систем менеджмента информационной безопасности) являются защищаемые информационные активы, а также соответствующие им объекты среды, то есть оборудование, ПО и автоматизированные банковские системы.

Стандартом СТО БР ИББС 1.0 определяется необходимость составления описи структурированных по классам защищаемых информационных активов. При составлении описи устанавливаются связи между объектами защиты, в частности, связь между активами банковскими процессами (технологическими, платежными) и автоматизированными банковскими системами, используемыми для их автоматизации.

Все защищаемые информационные активы должны быть проклассифицированы по типам в соответствии со степенью тяжести последствии от потери их значимых свойств информационной безопасности (конфиденциальности, целостности и доступности). При этом в организации должен быть определен и поддерживаться в актуальном состоянии перечень типов информационных активов.

Анализ подхода к классификации объектов защиты. В результате проведенного анализа, была дана следующая характеристика подхода к классификации объектов защиты:

• полнота описания процесса и составляющих его процедур: низкая (процесс классификации не выделен, процедуры в рамках процесса не выделены);

• полнота используемой терминологии: высокая;

• однозначность используемого классификационного признака: недостаточная (не описаны пороговые значения, позволяющие отнести объект защиты к одному из выделенных классов);

• однозначность выделенных классов объектов защиты: низкая;

• гибкость подхода: высокая;

• простота реализации процесса: высокая.