1.2. Система менеджмента информационной безопасности

Менеджмент информационной безопасности, согласно стандарту ГОСТ Р ИСО/МЭК 27001-2006, состоит из всех мероприятий, направленных на достижение и поддержку соответствующих уровней конфиденциальности, целостности и доступности [14]. К этому должны быть добавлены и рассмотрены неотказуемость, учетность, подлинность и надежность.

Менеджмент информационной безопасности включает:

• планирование, реализацию и мониторинг обеспечения безопасности;

• обеспечение того, чтобы меры безопасности учитывали требования;

• обеспечение того, чтобы кадровая, физическая и информационная безопасность соответствовали целям;

• обеспечение того, чтобы вопрос инцидентов разрешался в соответствии со структурой менеджмента;

• обеспечение того, чтобы персонал был образованным, обученным и сознавал свои обязанности и роли в отношении обеспечения безопасности;

• обеспечение соответствия политикам, стандартам и процедурам;

• аудит и проверку соответствия механизмов и целей безопасности.

Система менеджмента информационной безопасности (СМИБ) представляет модель для создания, внедрения, функционирования, мониторинга, анализа, поддержки и улучшения защиты информационных активов для достижения деловых целей, основанную на оценке риска и на принятии уровней риска организации, разработанную для эффективного рассмотрения и управления рисками [13]. Анализ требований для защиты информационных активов и применение соответствующих средств управления, чтобы обеспечить необходимую защиту этих информационных активов, способствует успешной реализации СМИБ.

В ГОСТ Р ИСО/МЭК 27001-2006 «Методы и средства обеспечения безопасности. Системы менеджмента информационной безопасности» [14] при структурировании всех процессов СМИБ рекомендуется использовать процессный подход для СМИБ, представленный в виде модели «Планирование (Plan) – Осуществление (Do) – Проверка (Check) – Действие (Act)» (PDCA). Связи между представленными процессами представлены на рис. 1.1.

В рамках процесса «Планирование» (разработка СМИБ) осуществляется разработка политики, установление целей, процессов и процедур СМИБ, относящихся к менеджменту риска и улучшению информационной безопасности, для достижения результатов, соответствующих общей политике и целям организации.

Процесс «Осуществление» (внедрение и обеспечение функционирования СМИБ) подразумевает внедрение и применение политики информационной безопасности, мер управления, процессов и процедур СМИБ.

Процесс «Проверка» (проведение мониторинга и анализа СМИБ) - оценка, в том числе, по возможности, количественная, результативности процессов относительно требований политики, целей безопасности и практического опыта функционирования СМИБ и информирование высшего руководства о результатах для последующего анализа.

Процесс «Действие» (поддержка и улучшение СМИБ) – проведение корректирующих и превентивных действий, основанных на результатах внутреннего аудита или другой соответствующей информации, и анализа со стороны руководства в целях достижения непрерывного улучшения СМИБ.

Рис. 1.1. Связи между процессами модели PDCA

В качестве части СМИБ организации должны быть определены риски, связанные с информационными активами организации. Достижение информационной безопасности требует управления риском и охватывает риски физические, человеческие и технологические, относящиеся к угрозам, касающимся всех форм информации внутри организации или используемой организацией.

Организация должна предпринимать следующие шаги по внедрению, контролю, поддержке и улучшению её СМИБ:

а) определение информационных активов и связанных с ними требований безопасности;

б) оценка рисков информационной безопасности;

в) выбор и реализация соответствующих средств управления для управления недопустимыми рисками;

г) контроль, поддержка и повышение эффективности средств управления безопасностью, связанных с информационными активами организации.

Для гарантии эффективной непрерывной защиты информационных активов организации с помощью СМИБ необходимо постоянно повторять шаги (а) - (г), чтобы выявлять изменения рисков, стратегии организации или деловых целей.

Таким образом, управление (менеджмент) рисками является одной из основных составляющих СМИБ.