2.Организация проведение деловой игры

2.1.Этапы игры и методика их выполнения

Деловая игра может быть представлена в форме отдельных функционально завершенных работ, выполняемых в определенной последовательности (рис.2). Содержание этих работ определяется концепцией создаваемой системой защиты информации для АКБ. В нашем случае для АКБ «X-trimBank» была использована модель защиты на основе требований стандарта ГОСТ ИСО/МЭК 17799-2006. По каждому этапу результаты работы представляются в форме таблиц, графиков и диаграмм. В результате их анализа делаются выводы, позволяющие обратить внимание на основные и наиболее важные для последующих работ значения анализируемых показателей.

2.2.Инвентаризация и классификация информационных активов

Основная цель этапа - изучение бизнес-процессов организации, инвентаризация и классификация информационных активов АКБ «X-trimBank». К активам, связанным с информационными системами, относят:

1. Базы данных (основные и резервные копии): Клиенты, Счета, Сотрудники, Кредиты, Депозиты, Расчетно-кассовое обслуживание, Ипотека, Ценные бумаги, Валютные операции, Мобильный банкинг, Межбанковские переводы, Отчетность, Бухгалтерский учет, Материальные активы, Нематериальные активы.

2. Системную документацию по АСУ, программному обеспечению, операционным системам.

3. Руководства и инструкции должностных лиц по работе с информационными системами.

4. Инструкции по обеспечению информационной безопасности.

5. Учебные материалы по функциональным процедурам, выполняемым сотрудниками АКБ.

6. Планы по обеспечению непрерывности функционирования информационного обеспечения.

7. Документированная политика информационной безопасности АКБ.

8. Документация по процедурам действий должностных лиц при сбоях информационных систем, нарушении режимов работы и архивирования информации.

9. Активы программного обеспечения (инсталляции и установленное ПО): операционные системы прикладное программное обеспечение , АСУ банковскими процессами, системное программное обеспечение, инструментальные средства разработки и утилиты.

10. Учебные базы данных АСУ АКБ.

11. Периодически обновляемые образы системных разделов дисков АРМ и серверов.

12. Антивирусное ПО (инсталляции и установленное).

13. Средства криптографической защиты информации (СКЗИ): системы идентификации и аутентификации пользователей; системы шифрования дисковых данных; системы шифрования данных, передаваемых по сетям; системы аутентификации электронных данных; средства управления ключевой информацией).

14. Компьютерное оборудование (процессоры, мониторы, переносные компьютеры, модемы), оборудование связи (маршрутизаторы, автоматические телефонные станции с выходом в сеть общего пользования, факсы, автоответчики), магнитные носители (ленты и диски).

15. Другое техническое оборудование (источники бесперебойного питания, кондиционеры).

16. Система видеонаблюдения (видеокамеры и регистраторы).

17. Услуги: связь, ИНТЕРНЕТ, основные коммунальные услуги ( отопление, освещение, электроэнергия, кондиционирование).

В результате выполнения этого этапа определяются приоритеты активов по их ценности. Модель классификации информационных активов необходимо представить в форме кортежа

<A, F, H, V > (1)

где

А (active) – информационный актив филиала АКБ «X-trimBank».

F (form)– форма представления актива (база данных, бумажный документ, программное обеспечение и т.д.).

H (holder) –владелец актива и его ответственность за актив и/или процессы работы с активом.

V (value)– оценка ценности активов в форме терм-переменной, принимающей значения «высокая», «средняя», «низкая». Возможна и количественная оценка ценностей активов при его утрате и последующем восстановлении..

Результаты представляются в форме таблицы, ранжированной по уровню ценности активов. По результатам анализа таблицы делаются выводы о ценности информационных активов и ответственных за их безопасность. Результаты представляются в электронных таблицах и в форме графиков. По результатам анализа делаются выводы.

Пример по инвентаризации и классификации актива.

1.Наименование: База данных «Клиенты».

1.2.Форма представления актива:

-электронная;

-бумажная.

1.3.Ценность актива-) – высокая (ПДН).

1.4.Владелец актива в электронной форме:

• Начальники отделов ( специалисты) по работе с физическими и юридическими лицами (отвечают за правильность записей в доступных для них полях БД ).

• Старший кассир-операционист (отвечают за правильность записей в доступных для них полях БД).

• Начальник отдела АСУ банка (за обеспечение целостности БД).

• Начальник информационного отдела банка (за обеспечение механизма доступности к БД).

• Непрерывность бизнеса обеспечивается совместными действиями отдела АСУ (обеспечение непрерывной работы СУБД), информационного отдела (доступность каналов связи и работа оборудования и ПО), службой информационной безопасности (мониторинг системы информационной безопасности)

• Инженер АСУ филиала банка (обеспечение конфиденциальности и доступности к СУБД).

1.5.Владелец актива в бумажной форме:

• Специалисты по работе с физическими и юридическими лицами (отвечают за правильность оформления документов и передачи их в архив).