13. Определение rto и rpo ит-сервисов

ID ИТсервиса

ID BOP

Бизнес-операция

ID Угрозы

Угроза

RTO, ч.

RPO, ч.

S1

BOP-1

Администрирование web-сервера

T-SY-1

Угроза вирусного заражения

2 ч.

4 ч.

T-BD-2

DDoS-атака на сервер

T-P-1

Персонал записывает пароли на бумаге

S1

BOP-2

Мониторинг web-сервера

T-SY-1

Угроза вирусного заражения

4 ч.

6 ч.

T-EQ-2

Ошибки в настройке системы

S2

BOP-3

Мониторинг работы сервера

T-SY-1

Угроза вирусного заражения

4 ч.

6 ч.

T-EQ-2

Ошибки в настройке системы

T-CC-1

Ошибки конфигурирования

S3

BOP-4

Внесение данных в БД

T-SY-1

Угроза вирусного заражения

4 ч.

4 ч.

T-BD-1

Угроза уязвимостей СУБД

T-P-2

Персонал забывает пароли

S4

BOP-5

Принятие заказов

T-SY-1

Угроза вирусного заражения

4 ч.

6 ч.

S5

BOP-6

Удаленное централизованное управление установкой и обновлением

ПО

T-SY-1

Угроза вирусного заражения

2 ч.

6 ч.

T-BD-4

НСД

T-EQ-3

Слабые пароли

T-P-2

Персонал забывает пароли

S3

BOP-7

Регистрация и идентификация пользователей

T-EQ-1

Пользователь совершает действия, не предусмотренные инструкциями

4 ч.

4 ч.

T-CC-2

Обход злоумышленником защиты сетевого экрана

ID детальной цели ИТконтроля

Детальная цель контроля (CobIT 4.1)

Описание детальной цели контроля

DS 5.1.

Управление ИТ-безопасностью

Организовать управление ИТ-безопасностью на максимально возможном организационном уровне, чтобы действия по обеспечению безопасности соответствовали требованиям бизнеса

DS 5.6.

Определение инцидентов в сфере безопасности

Четко определеить и сообщить характеристики потенциальных инцидентов в сфере безопасности, чтобы их можно было классифицировать и устранить в процессе управления проблемами и инцидентами

DS 3.5.

Мониторинг и отчетность

Осуществлять постоянный мониторинг производительности и мощностей ИТ ресурсов. Полученные данные должны служить обеспечению и настройке текущей производительности ИТ и учитывать такие вопросы как устойчивость, вероятность инцидентов, текущая и проектная эксплуатационная нагрузка, планы хранения ресурсов

DS 5.3.

Управление идентификацией

следует убедиться в том, что все пользователи (внутренние, внешние и временные) и их деятельность в ИТ системах

(приложениях, ИТ среде, системных операциях) может быть однозначно идентифицирована

AI 2.2.

Детальный дизайн приложений

Подготовить детальный дизайн приложения и технические требования к программному обеспечению

AI 3.3.

Обслуживание инфраструктуры

Разработать стратегию. И план обслуживания инфраструктуры и убедиться что изменения находятся под контролем в соответствии с принятой в организации процедурой управления. Включить в план периодические оценки соответствия бизнес-целям

DS 5.4.

Управление учетными записями пользователей

Обеспечить управление запросами6 созданием, приостановкой, изменением и ликвидацией учетных записей пользователей и связанных с ними полномочий с помощью комплекса процедур

DS 5.6.

Определение инцидентов в сфере безопасности

Четко определить и сообщить характеристики потенциальных инцидентов в сфере безопасности, чтобы их можно было классифицировать и устранить в процессе управления проблемами и инцидентами

DS 5.10.

Сетевая безопасность

Применять технологии обеспечения безопасности и соответствующие процедуры управления (межсетевые экраны6 устройства для безопасности, сетевой сегментации и системы обнаружения вторжений) для авторизации доступа и контроля информационных межсетевых потоков

DS 7.2.

Проведение тренингов и обучение

Обучение и тренинг основываются на выявленных потребностях, определении целевые групп и их состава, эффективных механизмах организации учебного процесса и контролем успеваемости.