12. Идентификация ИТ-сервисов |
|
|
|
|
|
|
|
|
ИТ-процессы в соотвествии с Cobit |
2 |
14 |
18 |
19 |
20 |
22 |
PO1 |
Разработка стратегического плана развития ИТ |
+ |
|
|
|
|
|
PO4 |
Определение ИТ процессов, организационной структуры и |
+ |
|
|
|
|
|
взаимосвязей |
|
|
|
|
|
||
|
|
|
|
|
|
|
|
PO9 |
Оценка и управление ИТ рисками |
|
+ |
+ |
|
|
|
DS4 |
Обеспечение непрерывности ИТ сервисов |
|
|
|
|
|
+ |
DS5 |
Обеспечение безопасности систем |
|
+ |
|
+ |
+ |
|
DS11 |
Управление данными |
|
|
|
+ |
|
|
DS12 |
Управление физической безопасностью и защитой от воздействия |
|
+ |
|
+ |
|
+ |
окружающей среды |
|
|
|
||||
|
|
|
|
|
|
|
|
ME1 |
Мониторинг и оценка эффективности ИТ |
+ |
|
|
|
|
|
ME2 |
Мониторинг и оценка системы внутреннего контроля |
|
+ |
|
|
|
|
13. Определение RTO и RPO ИТ-сервисов.
|
№ ИТ-цели в |
|
Название ИТ- |
|
|
|
|
RTO |
RPO |
||
|
соответствии с |
|
процесса в |
|
|
Пояснение высокоуровневой цели ИТ-контроля/комментарий |
|
|
|||
|
CobIT |
|
соответствии с CobIT |
|
|
|
|
|
|
||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Разработка |
|
|
|
Позволяет убедится в том, |
что ИТ-ресурсы управляются в соответствии с |
8+ часов |
12 часов |
|
|
PO1 |
|
стратегического |
плана |
|
|
|
||||
|
|
|
бизнес-стратегией и приоритетами. |
|
|
|
|||||
|
|
|
развития ИТ |
|
|
|
|
|
|||
|
|
|
|
|
|
|
|
|
|
||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Формализация |
ИТ |
|
Позволяет убедится, что процессы, административные политики и процедуры |
8+ часов |
12 часов |
|||
|
|
|
процессов, |
организации |
|
|
|
||||
|
PO4 |
|
|
не устарели и предоставляют документацию, необходимую для обеспечения |
|
|
|||||
|
|
и взаимоотношений с |
|
|
|
||||||
|
|
|
|
правильного использования. |
|
|
|
|
|||
|
|
|
бизнесом |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|||
|
PO9 |
|
Оценка и |
управление |
|
Стратегии минимизации рисков направлены прежде всего на приведение |
8+ часов |
4 часа |
|||
|
|
ИТ рисками |
|
|
остаточных рисков к приемлемому уровню. |
|
|
|
|||
|
|
|
|
|
|
|
|
||||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Обеспечение |
|
|
Позволяет избежать последствий перебоев в предоставлении ИТ услуг для |
≈0 |
≈0 |
|||
|
DS4 |
|
непрерывности |
ИТ |
|
|
|
||||
|
|
|
корпоративных функций и процессов. |
|
|
|
|||||
|
|
|
сервисов |
|
|
|
|
|
|
||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
||
|
DS5 |
|
Обеспечение |
|
|
Комплекс организационных и технических мер, |
направленных на защиту |
≈0 |
≈0 |
||
|
|
безопасности систем |
|
данных. |
|
|
|
|
|||
|
|
|
|
|
|
|
|
||||
|
|
|
|
|
|
|
|
|
|||
|
DS10 |
|
Управление |
|
|
Эффективное управление проблемами требует выявления и классификации |
≈0 |
4 часа |
|||
|
|
|
проблемами |
|
|
всех проблем, анализа их первопричин и последующего решения. |
|
|
|||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Эффективное управление |
данными помогает |
обеспечить качество, |
4 часа |
4 часа |
|
DS11 |
|
Управление данными |
|
|
|
|||||
|
|
|
оперативность и доступность корпоративных данных. |
|
|
||||||
|
|
|
|
|
|
|
|
|
|||
|
|
|
|
|
|
|
|
|
|
|
|
|
Управление |
|
|
Сокращает перебои в работе организации, вызванные физическими угрозами, |
≈0 |
4 часа |
DS12 |
физическим |
|
|
связанными с компьютерным оборудованием и персоналом. |
|
|
|
оборудованием |
|
|
|
||
|
|
|
|
|
||
|
|
|
|
|
|
|
|
Мониторинг |
и |
оценка |
|
8+ часов |
4 часа |
ME1 |
Мониторинг позволяет эффективно управлять производительностью ИТ. |
|
|
|||
эффективности ИТ |
|
|
||||
|
|
|
|
|||
|
|
|
|
|
|
|
|
Мониторинг |
и |
оценка |
Заключается в обеспечении эффективной и результативной деятельности в |
4 часа |
4 часа |
ME2 |
системы внутреннего |
сфере ИТ и совместимости с требованиями законодательства и регулирующих |
|
|
||
|
контроля |
|
|
норм. |
|
|
|
|
|
|
|
|
|
14. Разработка BCP ИТ-сервисов.
|
Номер |
|
|
|
|
|
|
|
детальной цели |
|
Название детальной цели контроля |
|
|
Описание детальной цели контроля |
|
|
ИТ-контроля |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Организовать управление ИТ безопасностью на максимально возможном |
||
|
DS5.1 |
|
Управление ИТ безопасность |
|
организационном уровне, чтобы действия по обеспечению безопасности |
||
|
|
|
|
|
соответствовали требованиям бизнеса. |
||
|
|
|
|
|
|
||
|
|
|
|
|
Преобразовать бизнес требования, а также требования в отношении рисков и |
||
|
DS5.2 |
|
План по ИТ безопасности |
|
соответствия требованиям в общий план по ИТ безопасности, учитывающий |
||
|
|
|
|
|
инфраструктуру и корпоративную культуру обеспечения безопасности. |
||
|
|
|
|
|
|
||
|
ME1.3 |
|
Мониторинг и оценка эффективности ИТ |
|
Данный процесс включает в себя определение индикаторов эффективности, |
||
|
|
|
систематическую и своевременную отчетность об эффективности. |
||||
|
|
|
|
|
|||
|
|
|
|
|
|
|
|
|
|
|
Надзор |
|
Мониторинг |
и оценка |
результативности внутреннего управленческого |
|
ME2.2 |
|
|
контроля ИТ. |
|
||
|
|
|
|
|
|
||
|
|
|
|
|
|
|
|
|
DS10.2 |
|
Отслеживание и разрешение проблем |
|
Управление |
проблемами |
предполагает ведение мониторинга постоянного |
|
|
|
воздействия проблем и выявленных ошибок на сервисы для пользователей. |
||||
|
|
|
|
|
|||
|
|
|
|
|
|
||
|
|
|
|
|
Предусмотреть процедуру окончательного решения проблемы либо после |
||
|
DS10.3 |
|
Закрытие проблем |
|
подтверждения о ее успешном устранении либо после соглашения с бизнес- |
||
|
|
|
|
|
пользователями о методах ее альтернативного (обходного) решения. |
||
|
|
|
|
|
|
|
|
15. Разработка Плана тестирования BCP
|
ID |
|
|
Описание |
|
|
Высокоуровневая цель |
|
|
|
|
|
|
|
|
|
|
|
|
|
Оценка |
|
||||
|
|
|
|
|
|
|
Детальная цель контроля |
|
|
Контроль |
|
|
эффективности |
|
||||||||||||
|
риска |
|
|
угрозы |
|
|
|
контроля |
|
|
|
|
|
|
|
|
||||||||||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
контролей |
|
|||||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
||
|
|
|
|
|
|
|
DS5 |
Обеспечение |
безопасности |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|||
|
|
|
|
|
|
|
систем Организовать управление |
|
Преобразовать бизнес требования, а также |
|
|
|
|
|
|
|||||||||||
|
|
|
|
|
|
|
ИТ |
безопасностью |
на |
|
требования в отношении рисков и |
|
|
|
|
|
|
|||||||||
|
RSK- |
|
Несанкциониров |
|
максимально |
|
возможном |
|
соответствия требованиям в общий план |
|
25.02.A2 |
2 |
|
|||||||||||||
001 |
|
|
анный доступ |
|
|
организационном уровне, |
чтобы |
|
по ИТ безопасности, учитывающий |
|
|
|||||||||||||||
|
|
|
|
|
|
|
|
|
|
|
||||||||||||||||
|
|
|
|
|
|
|
действия |
по |
обеспечению |
|
инфраструктуру |
и |
корпоративную |
|
|
|
|
|
|
|||||||
|
|
|
|
|
|
|
безопасности |
соответствовали |
|
культуру обеспечения безопасности. |
|
|
|
|
|
|
||||||||||
|
|
|
|
|
|
|
требованиям бизнеса. |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
DS10.3 |
Предусмотреть |
|
процедуру |
|
|
|
|
|
|
|||
|
|
|
|
Сбой |
|
|
|
|
|
|
|
|
|
окончательного решения проблемы либо |
|
|
|
|
|
|
||||||
|
RSK- |
|
|
|
|
|
|
|
|
|
|
после подтверждения о |
ее |
успешном |
|
|
|
|
|
|
||||||
|
|
программного |
|
|
DS10 Управление проблемами |
|
|
20.04.C1 |
1 |
|
||||||||||||||||
002 |
|
|
|
|
|
устранении |
либо после |
|
соглашения с |
|
|
|||||||||||||||
|
|
обеспечения |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
||||||||
|
|
|
|
|
|
|
|
|
|
|
|
|
бизнес-пользователями о методах ее |
|
|
|
|
|
|
|||||||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|||||||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
альтернативного (обходного) решения. |
|
|
|
|
|
|
||||||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
||||||
|
|
|
|
Не |
|
|
|
|
|
|
|
|
|
ME1.3 Разработать общую методологию |
|
|
|
|
|
|
||||||
|
RSK- |
|
установленные |
|
|
ME1 |
Мониторинг |
и |
оценка |
|
мониторинга и |
подход |
к |
определению |
|
|
|
|
|
|
||||||
|
|
своевременно |
|
|
|
масштаба, |
методологии |
|
и |
процесса |
|
30.02.A5 |
3 |
|
||||||||||||
004 |
|
|
|
|
эффективности ИТ |
|
|
|
|
|
|
|
||||||||||||||
|
|
обновления |
и |
|
|
|
|
|
оценки ИТ решений и оказания услуг, а |
|
|
|
|
|
|
|||||||||||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|||||||||
|
|
|
|
заплатки |
|
|
|
|
|
|
|
|
|
также мониторинга вклада ИТ в бизнес. |
|
|
|
|
|
|
||||||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Заключение.
В ходе лабораторной работы был изучен вид работ по классификации инцидентов информационной безопасности на основании методологии Cobit 4.0.
Оценены значения RTO и RPO; был проведен анализ воздействия на деятельность предприятия (BIA).