40.Системы анализа и управления информационными рисками

По отношению к выявленным рискам возможны следующие действия:

- ликвидация риска (например, за счет устранения причины);

- уменьшение риска (например, за счет использования дополнительных защитных средств);

- принятие риска (и выработка плана действия в соответствующих условиях);

- переадресация риска (например, путем заключения страхового соглашения).

Процесс управления рисками можно разделить на следующие этапы:

- Выбор анализируемых объектов и уровня детализации их рассмотрения.

- Выбор методологии оценки рисков.

- Идентификация активов.

-Анализ угроз и их последствий, выявление уязвимых мест в защите.

-Оценка рисков.

-Выбор защитных мер.

-Реализация и проверка выбранных мер.

-Оценка остаточного риска.

Анализ рисков информационной безопасности осуществляется с помощью построения модели информационной системы организации. Рассматривая средства защиты ресурсов с ценной информацией, взаимосвязь ресурсов между собой, влияние прав доступа групп пользователей, организационные меры, модель исследует защищенность каждого вида информации.

В результате работы алгоритма программа представляет следующие данные:

1. Инвентаризация;

2. Значения риска для каждого ценного ресурса организации;

3. Перечень всех уязвимостей, которые стали причиной полученного значения риска;

4. Значения риска для ресурсов после задания контрмер (остаточный риск);

5. Эффективность контрмер;

6. Рекомендации экспертов.

Для того, чтобы оценить риск информации, необходимо проанализировать защищенность и архитектуру построения информационной системы.

Владельцу информационной системы требуется сначала описать архитектуру своей сети:

• все ресурсы, на которых хранится ценная информация; • все сетевые группы, в которых находятся ресурсы системы (т.е. физические связи ресурсов друг с другом); • отделы, к которым относятся ресурсы; • виды ценной информации; • ущерб для каждого вида ценной информации по трем видам угроз; • бизнес-процессы и информация, которая в них участвует; • группы пользователей, имеющих доступ к ценной информации; • класс группы пользователей; • доступ группы пользователей к информации; • характеристики этого доступа (вид и права); • средства защиты информации; • средства защиты рабочего места группы пользователей.

41.Системы разработки и управления политикой безопасности

КОНДОР 2006 – эффективная система разработки и управления политикой безопасности информационной системы компании на основе лучших международный стандартов - ISO 17799:2000, ISO 17799:2005, ISO 27001. Это современный и удобный инструмент для разработки всех основных положений политики информационной безопасности Вашей компании и управления процессом внедрения этих положений на практике.

Международный стандарт менеджмента безопасности ISO/IEC 17799 разработан на базе британского BS 7799, который предназначен для управления информационной безопасностью организации вне зависимости от ее сферы деятельности.

КОНДОР 2006 содержит также новую версию стандарта – ISO 17799:2005, описывающую такие аспекты управления информационной безопасности, как:

- политика безопасности - организационные методы обеспечения информационной безопасности - управление ресурсами - пользователи информационной системы - физическая безопасность - управление коммуникациями и процессами - контроль доступа - приобретение, разработка и сопровождение информационных систем - управление инцидентами информационной безопасности - управление непрерывностью ведения бизнеса - соответствие системы требованиям

При помощи модуля редактора баз, Вы сможете редактировать базы, включенные в комплект поставки, а также самостоятельно создавать требуемые Вам базы стандартов.

КОНДОР 2006 в простой и удобной форме поможет разработать с нуля, проанализировать существующую политику безопасности, разработать и внедрить изменения и дополнения в соответствии с лучшими международными стандартами.

Система КОНДОР 2006 состоит из баз лучших стандартов управления информационной безопасностью (ISO 17799:2000, ISO 17799:2005, ISO 27001, СТО БР ИББС-1.0-2006*), представленных в виде перечня требований. Анализируя выполнение каждого требования, Вы получаете полную картину - какие в Вашей системе положения выполняются, а какие нет. У каждого положения стандарта задан по умолчанию вес, который характеризует степень критичности данного положения для поддержания необходимого уровня защищенности. Значения весов проставлены на основе опыта экспертов Digital Security. Учитывая, что универсальные значения весов не могут учесть все особенности различных компаний, в программе предусмотрена возможность изменения весов при работе с положениями стандарта.

После того, как даны все ответы, для анализа дальнейших действий в системе КОНДОР 2006 предусмотрен модуль управления контрмерами. В нем отражаются все невыполненные в Вашей компании положения стандартов. Причем Вы можете задать пороговое значение весов, чтобы отображались только критичные для Вас положения стандарта, которые не выполнены. После задания контрмеры к невыполненному положению Вы видите соотношение стоимости данной контрмеры и величины, на которую изменилось значение критичности всех невыполненных требований. Таким образом, Вы можете расставить приоритеты и заранее оценить эффективность планируемых мероприятий при разработке или работе с уже существующей политикой информационной безопасности Вашей компании.