40.Системы информационной безопасности

Принципы построения системы информационной безопасностиСистема информационной безопасности охватывает все компоненты информационной инфраструктуры, описанные в настоящем проекте, и обеспечивает конфиденциальность, целостность и доступность информации. Система информационной безопасности обеспечивает безопасное функционирование бизнес-процессов и не препятствует работе пользователей с информационнымиресурсамиСистемаинформационной безопасности строится на основе международного стандарта по обеспечению информационной безопасности ISO 17799 («Нормы и правила при обеспечении безопасности информации»). Стандарт ISO 17799 содержит общие рекомендации по организации системы информационной безопасности, обеспечивающей базовый уровень безопасности информационных систем, характерный для большинства организаций. При этом стандарт описывает вопросы, которые должны быть рассмотрены при проектировании системы информационной безопасности, и не накладывает ограничений на использование конкретных средств обеспечения безопасности компонентов инфраструктуры. Стандарт ISO 17799 содержит следующие разделы, описывающие различные аспекты безопасности информационных систем:

Стратегия информационной безопасности — описывает необходимость иметь поддержку высшего руководства компании путем утверждения стратегии информационной безопасности; Организационные вопросы — дает рекомендации по форме управления организации, оптимальной для реализации системы информационной безопасности; Классификация информационных ресурсов — описывает необходимые меры по обеспечению безопасности информационных ресурсов и носителей информации;

Управление персоналом — описывает влияние человеческого фактора на информационную безопасность и меры, направленные на снижение соответствующего риска; Обеспечение физической безопасности — описывает мероприятия по обеспечению физической безопасности компонентов информационной инфраструктуры;Администрирование информационных систем — описывает основные аспекты безопасности при работе с серверами, рабочими станциями и другими информационными системами; Управление доступом — описывает необходимость четкого разграничения прав и обязанностей при работе с информацией;

Разработка и сопровождение информационных систем — описывает основные механизмы обеспечения безопасности информационных систем;

Обеспечение непрерывности бизнеса — описывает мероприятия по обеспечению непрерывной работы организаций;Обеспечение соответствия предъявляемым требованиям — описывает общие требования к системам информационной безопасности и мероприятия по проверке соответствия систем информационной безопасности этим требованиям.

Выбор мер и средств обеспечения информационной безопасности делается на основе анализа рисков, которым подвергаются компоненты информационной инфраструктуры. Критериями информационной безопасности являются сохранение конфиденциальности, целостности и доступности ее информационных ресурсов. При этом потеря любого из вышеперечисленных качеств информации должна рассматриваться как нарушение информационной безопасности.Анализ рисков и структура нарушения информационной безопасностиСистема информационной безопасности предусматривает обеспечение защиты компонентов информационной инфраструктуры от рисков нарушения безопасности ИТ-ресурсов и связанных с ними ИТ-сервисов.Система информационной безопасности представляет собой интегрированный комплекс административных мер и программно-технических средств по обеспечению безопасности информационных ресурсов. Для реализации системы информационной безопасности принципиальной составляющей является административная часть системы, в которую входят:процесс обеспечения информационной безопасности, входящий в систему администрирования и обеспечивающий контроль над функционированием системы информационной безопасности (см. раздел СА настоящего проекта);

политика информационной безопасности, которая определяет основные положения и сферу действия системы информационной безопасности; политики безопасности использования информационных сервисов, которые определяют конкретные требования по обеспечению безопасности компонентов информационной инфраструктуры безопасности;

процедуры обеспечения политик безопасности, описывающие средства и мероприятия по реализации требований политик безопасности и контролю их выполнением (разрабатываются на этапе реализации системы информационной безопасности).