5.8. Управление безопасностью в проекте

Управление безопасностью в проекте (Project Safety Management) — решение основных вопросов, связанных с безопасностью, здоровьем и окружающей средой.

Особенность эффективной реализации системы управления информационной безопасностью заключается в еѐ способности функционировать в двух основных направлениях: организационном и технологическом.

Основу организационной модели управления информационной безопасностью составляет подход, который характеризуется применением системы процессов взаимосвязанных в рамках модели PDCA в соответствии с рекомендациями стандарта BS ISO/IEC 27001:2005 и практиками по внедрению BS ISO/IEC 17799:2005. В случае банковской системы, это стандарт Банка России СТО БР ИББС-1.0 ―Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Общие положения‖. Данная модель наиболее полно отражает потребностям организаций в управлении, поскольку является прозрачной, переносимой и не требует для внедрения в организации серьѐзных капиталовложений.

Зрелая система управления информационной безопасностью организации подразумевает перманентную процедуру анализа и оценки рисков, сравнение показателей по периодам и внесение соответствующих изменений в процедуры информационной безопасности.

Периодической переоценке должны подлежать следующие основные позиции:

Состояние информационной системы, включая определение номенклатуры информационных ресурсов и правила их объединения в рабочие группы.

Информация, обрабатываемая информационной системой, включая категорирование по уровню критичности с точки зрения бизнеса и вероятную материальную оценку ущерба в случае возможной дискредитации информации, принадлежащей определѐнной категории.

Организация работы пользователей информационной системы, которая включает определение принадлежности групп пользователей к определѐнным информационным ресурсам, количество пользователей в группе, категории доступной информации, виды и права доступа к информации, определение доступности информации (время простоя при попытке доступа к информации в каждой из групп пользователей).

Функционирование организации, определение бизнес-процессов и их привязку к информационным ресурсам и категориям обрабатываемой информации.

Средств защиты, организацию физической защиты доступа к информационным ресурсам, организацию защиты информации, организацию защиты рабочих мест, мониторинг затрат на информационную безопасность.

Уровень защищѐнности информационной системы, пересмотр организационных мер, физическую защиту доступа к информационным ресурсам, безопасность персонала, управление коммуникациями и

процессами, процедуры контроля доступа, возможность внесения изменений в исполняемые файлы и библиотеки информационных ресурсов, функционирование и поддержание в актуальном состоянии плана обеспечения непрерывного ведения бизнеса, соответствие документированным требованиям политики безопасности.

В свою очередь, технологическая составляющая должна характеризоваться системным подходом к проектированию и опираться на функционирующую систему управления информационной безопасностью организации. Данный подход позволяет наиболее полно применять принцип декомпозиции, необходимый при проектировании сложных систем.

Согласно принципу декомпозиции технологическую составляющую системы информационной безопасности условно можно разделить на следующие высокоуровневые подсистемы: безопасность инфраструктуры; безопасность информации; доступность средств обработки информации; безопасность при проведении операций с информацией.

Оценка риска является первым шагом реализации программы обеспечения информационной безопасности. Безопасность не рассматривается "сама по себе", но как набор политик и соответствующих средств контроля, предназначенных для обеспечения бизнес-процессов и уменьшения соответствующих рисков. Таким образом, определение бизнес-рисков, связанных с информационной безопасностью – отправная точка цикла управления риском (информационной безопасностью).

Сотрудники организации должны участвовать в различных аспектах программы информационной безопасности и обладать соответствующими навыками и знаниями. Необходимый уровень профессионализма сотрудников может быть, достигнут с помощью тренингов, проводить которые могут как специалисты организации, так и внешние консультанты.

Политики в области информационной безопасности являются основанием принятия определенных процедур и выбора средств (механизмов) контроля (управления). Для информационной безопасности, как и для других областей внутреннего контроля, требования политик напрямую зависят от результатов оценки уровня риска.

Всесторонний набор адекватных политик, доступных и понятных пользователям, является одним из первых шагов в установлении программы обеспечения информационной безопасности.

Общий подход к созданию политик информационной безопасности должен предусматривать (1) краткие (лаконичные) политики высокого уровня и (2) более детальную информацию, представленную в практических руководствах и стандартах. Политики предусматривают основные и обязательные требования, принятые высшим менеджментом. В то время как практические руководства не являются обязательными для всех бизнес-подразделений.

Руководящая группа должна быть ответственна за разработку политик информационной безопасности организации во взаимодействии с менеджерами бизнес-подразделений, внутренними аудиторами и юристами.

Компетентность пользователей является обязательным условием для успешного обеспечения информационной безопасности, а также позволяет гарантировать, что средства контроля работают должным образом.

Руководящая группа должна обеспечить стратегию постоянного обучения сотрудников, так или иначе влияющих на информационную безопасность организации. Группа должна сосредоточить усилия на всеобщем понимании рисков, связанных с информацией, обрабатываемой в организации, а также политиках и методах (средствах) контроля, направленных на уменьшение этих рисков.

Как и любой вид деятельности, информационная безопасность подлежит контролю и периодической переоценке, чтобы гарантировать адекватность (соответствие) политик и средств (методов) контроля поставленным целям.

Контроль должен быть сосредоточен, прежде всего, на наличии средств и методов контроля и их использования, направленного на уменьшение рисков и оценке эффективности программы и политик информационной безопасности, улучшающих понимание пользователей и сокращающих количество инцидентов. Эффективность работы руководящей группы может быть оценена, основываясь, например, на следующих показателях (но, не ограничиваясь ими): число проведенных тренингов и встреч; число выполненных оценок риска (рисков); число сертифицированных специалистов; отсутствие инцидентов, затрудняющих работу сотрудников организации; снижение числа новых проектов, внедренных с задержкой из-за проблем информационной безопасности; полное соответствие или согласованные и зарегистрированные отклонения от минимальных требований информационной безопасности; снижение числа инцидентов, влекущих за собой несанкционированный доступ, потерю или искажение информации.

Контроль, безусловно, позволяет привести организацию в соответствие с принятыми политикам информационной безопасности, однако полные выгоды от контроля не будут достигнуты, если полученные результаты не используются для улучшения программы обеспечения информационной безопасности. Анализ результатов контроля предоставляет специалистам в области информационной безопасности и менеджерам бизнес-подразделений средства переоценки ранее идентифицированных рисков, определения новых проблемных участков, переоценки достаточности и уместности существующих средств и методов контроля (управления) и действий по обеспечению информационной безопасности, определения потребностей в новых средствах и механизмах контроля, переадресации контрольных усилий (контролирующих действий).

Важно гарантировать, что специалисты в области информационной безопасности не "отстают" от разрабатываемых методов и инструментов (приложений) и располагают самой последней информацией об уязвимости информационных систем и приложений, высший менеджмент гарантирует, что располагает для этого необходимыми ресурсами.