Информационная безопасность / Derbin - Obespecheniye informatsiooonoy bezopasnosti 2013

11.2.2. НАЗНАЧЕНИЕ COBIT И РОЛЬ ДЛЯ АУДИТА ИБ

CobiT (Control Objectives for Information and Related Technology («Задачи информаци-онных и смежных технологий») – пакет открытых (около 40) международных и националь-ных стандартов и руководств в области управления IT, аудита и IT-безопасности с анали-зом и оценкой лучших из международных технических стандартов, стандартов управления качеством, аудиторской деятельности и практических требований.

Задачи CobiT:

ликвидация разрыва между руководством компании с их видением бизнесцелей и IT-департаментом;

организация конструктивного диалога между топ-менеджерами; руководителями среднего звена (IT-директором, начальниками отделов); непосредственными исполнителями (инженерами, программистами и т. д.) и аудиторами.

CobiT содержит:

описание целей и принципов управления, объектов управления, всех ITпроцессов (задач), требований к ним, инструментария для их реализации и практических рекомендаций по управлению IT-безопасностью;

показатели (метрики) для оценки эффективности реализации системы управления IT, которые используются аудиторами IT-систем: показатели качества и стоимости обработки информации, характеристики еѐ доставки получателю, показатели, относящиеся к субъективным аспектам обработки информации (стиль, удобство интерфейсов);

показатели, описывающие соответствие IT-системы принятым стандартам и требованиям, достоверность информации, еѐ действенность, конфиденциальность, целостность и доступность

243

11.2.3. ОСНОВНЫЕ ПРИНЦИПЫ COBIT 5

Рекомендации по внедрению COBIT. Модель зрелости процессов.

Взаимодействие между целями (заинтересованных сторон, ИТ) и процессами. Краткое пояснение про взаимодействие и соответствие другим стандартам и практикам (ISO 38500, ITIL\ISO 20000, ISO 27001, TOGAF, CMMI, PMBOK и PRINCE2)

244

11.2.4. ОПИСАНИЕ ПРОЦЕССОВ COBIT 5 (Enabling Processes)

Все процессы разбиты на группы (домены):

-Evaluate, Direct and Monitor (EDM)

-Align, Plan and Organise (APO)

-Build, Acquire and Implement (BAI)

-Deliver, Service and Support (DSS)

-Monitor, Evaluate and Assess (MEA)

Каждый процесс представлен в табличном виде и описан по следующей схеме:

-Process identification (идентификаторы процесса: префикс и номер, название,

область (governance или management), домен)

-Process description (краткое описание)

-Process purpose statement (назначение процесса)

-Goals cascade information (связь с целями ИТ)

-Process goals and metrics (цели и метрики процесса)

-RACI chart (матрица распределения ответственности)

-Detailed description of the process practices (подробное описание процесса,

включая входы и выходы)

-Related guidance (связанные стандарты)

245

11.3.3. СИСТЕМА COBRA – ПРОГРАММНЫЙ ПРОДУКТ ДЛЯ ПРОВЕРКИ РИСКОВ

БАЗОВОГО УРОВНЯ ТРЕБОВАНИЙ СТАНДАРТА ISO 17799

Разработана в компании С & A Systems Security Ltd. и обеспечивает анализ соответствия информационной системы компании положениям стандарта, а также автоматизацию анализа рисков.

Оценка соответствия производится путем проверки ответов на вопросы из следующих групп:

1.Классификация активов (материальных и информационных ценностей), их учет, классификация и управление ими.

2.Планирование непрерывности ведения бизнеса (разработка планов, их тестирования и распределения ответственности).

3.Управление компьютерами и операциями - процессами и сервисами безопасности.

4.Соответствие информационной инфраструктуры требованиям, инструкциям и рекомендациям.

5.Безопасность персонала - распределение ответственности по реализации положений ПБ между сотрудниками, а также порядок приема сотрудников.

6.Физическая безопасность и безопасность среды, организация физической защиты на территории, охраны, контроля физического доступа, энергетической и противопожарной безопасности.

7.Организация безопасности (организация службы ИБ, создание форумов по безопасности, порядок взаимодействия со сторонними экспертами по безопасности и распределение ролей в ходе реализации мероприятий по защите информации между сотрудниками.

8.Политика безопасности - определить положение ПБ в системе мер по обеспечению ИБ организации, а также оценить структуру этого документа и его применяемость на практике.

9.Управление доступом к системе - вопросы контроля и разграничения доступа, а также категорирования защищаемой информации.

10.Разработка и поддержка системы на протяжении всего жизненного цикла, оценка применяемых технологий анализа рисков.

На основании сведений, полученных в ходе выполнения всех вопросников или некоторой их части, COBRA автоматически генерирует отчет со структурой:

1.Введение. Содержит общую информацию о сгенерированном отчете.

2.Обзор проверки соответствия. В разделе детализируется информация об использованном вопроснике, выделяются использованные модули и категории вопросов.

3.Анализ несоответствий с указанием ссылок на соответствующие разделы стандарта ISO 17799.

4.Требования по улучшению и рекомендации по устранению обнаруженных несоответствий.

5.Перечень вопросов, которые были использованы при построении отчета, и соответствующих

11.3.4. СИСТЕМА КОНДОР – ПРОГРАММНЫЙ ПРОДУКТ ДЛЯ ПРОВЕРКИ РИСКОВ БАЗОВОГО УРОВНЯ ИБ СТАНДАРТА ISO 17799

Система КОНДОР (разработчиккомпания Digital Security) - русскоязычный аналог системы COBRA . Концепции аналогичны: на основании ответов на вопросы генерируется отчет. Вопросы структурированы в следующие разделы:

•политика безопасности;

•организационные меры;

•управление ресурсами;

•безопасность персонала;

•физическая безопасность;

•управление процессами;

•контроль доступа;

•непрерывность бизнеса;

•соответствие системы;

•разработка систем.

По числу вопросов КОНДОР проще, чем COBRA.

Возможности по анализу рисков у текущей версии системы отсутствуют.

Наименее проработанным компонентом системы КОНДОР является генератор отчетов. Отчет представляет собой перечень разделов стандарта с указанием тех из них, с которыми выявлено соответствие. При построении диаграммы в отчете полученные данные анализируются исключительно с количественной точки зрения. Просмотр отчета достаточно неудобен и требует навигации в четырех направлениях, то же самое можно сказать о справочной системе. К некоторым из положений стандарта доступны краткие комментарии, имеется возможность построения диаграмм, показывающих степень соответствия системы требованиям стандарта. Рекомендации или выводы частично отсутствуют