УИБ Тема 1

Нормативная база управления ИБ: Стандарты серии 27000

УИБ Тема 1

Нормативная база управления ИБ: Стандарты серии 27000

27032:2012 Руководство по обеспечению кибербезопасности

27033–1:2009 Безопасность сетей. Часть 1. Общие положения и концепции (готовится новая редакция)

27033–2:2012 Руководство по проектированию и внедрению системы обеспечения безопасности сетей

27033–3:2010 Базовые сетевые сценарии – угрозы, методы проектирования и средства 27033 управления

27033–4:2014 Обеспечение безопасности межсетевых взаимодействий при помощи шлюзов безопасности

27033–5:2013 Обеспечение безопасности связи в сетях на основе использования виртуальных частных сетей

27033–6 Защита беспроводного доступа к IP-сетям

27034–1:2011/Cor1:2014 Безопасность приложений. Часть 1. Обзор и основные концепции в области обеспечения безопасности приложений

27034–5 Протоколы и структура управляющей информации для обеспечения безопасности приложений (XML-схема)

27034–6 Руководство по обеспечению безопасности конкретных приложений

УИБ Тема 1

Нормативная база управления ИБ: Стандарты серии 27000

27035:2011 Управление инцидентами безопасности (заменил ISO/IEC ТR 18044) (готовится 3 новых части)

коммуникационных технологий

27037:2012 Руководство по идентификации, сбору и/или получению и обеспечению сохранности свидетельств, представленных в электронной форме (на основе BS 10008:2008)

27038:2014 Спецификация для изданий, представленных в электронной форме

27789:2013 Аудит электронных медицинских записей 27799:2008 Управление ИБ в сфере здравоохранения

29147:2014 Обнаружение уязвимостей 30111:2013 Процессы устранения уязвимостей

20004:2012 Усовершенствование анализа уязвимостей ПО на базе ISO/IEC 15408 и ISO/IEC 18045

18045:2008 Методология оценки безопасности ИТ (стандарт, сопровождающий ISO/IEC 15408)

УИБ Тема 1

Нормативная база управления ИБ: Стандарты серии 27000

52

Концептуальные подходы к управлению ИБ

Нормативная база управления ИБ: Стандарты серии ГОСТ Р ИСО/МЭК 27000:

1.ГОСТ Р ИСО/МЭК 27001-2006 ИТ. Методы и средства обеспечения безопасности. Системы менеджмента информационной безопасности. Требования.

2.ГОСТ Р ИСО/МЭК 17799-2006 ИТ. Методы и средства обеспечения безопасности. Практические правила менеджмента информационной безопасности.

3.ГОСТ Р ИСО/МЭК 27004-2011 ИТ. Методы и средства обеспечения безопасности. Менеджмент информационной безопасности. Измерения.

4.ГОСТ Р ИСО/МЭК 27005-2010 ИТ. Методы и средства обеспечения безопасности. Менеджмент риска информационной безопасности.

5.ГОСТ Р ИСО/МЭК 27006-2008 ИТ. Методы и средства обеспечения безопасности. Требования к органам, осуществляющим аудит и сертификацию систем менеджмента информационной безопасности.

6.ГОСТ Р ИСО/МЭК 27033-1-2011 ИТ. Методы и средства обеспечения безопасности. Безопасность сетей. Часть 1. Обзор и концепции.

53

Концептуальные подходы к управлению ИБ

Нормативная база управления ИБ: Стандарты «управление ИБ ИТТ»

1.ГОСТ Р ИСО/МЭК 13335-1-2006 ИТ. Методы и средства обеспечения безопасности. Часть 1. Концепция и модели менеджмента безопасности информационных и телекоммуникационных технологий.

2.ГОСТ Р ИСО/МЭК ТО 13335-3-2007 ИТ. Методы и средства обеспечения безопасности. Часть 3. Методы менеджмента безопасности информационных технологий.

3.ГОСТ Р ИСО/МЭК 13335-4-2006 ИТ. Методы и средства обеспечения безопасности. Часть 4. Выбор защитных мер.

4.ГОСТ Р ИСО/МЭК ТО 13335-5-2006 ИТ. Методы и средства обеспечения безопасности. Часть 5. Руководство по менеджменту безопасности сети.

5.ГОСТ Р ИСО/МЭК ТО 18044 – 2007 ИТ. Методы и средства

Концептуальные подходы к управлению ИБ Термины и определения

Определения –пояснения

•Control – исторически первый из применяемых в информационных технологиях (ИТ) терминов, отражающий самые простейшие операции в области управления, в большей степени с точки зрения технического аспекта деятельности.

•Management – термин, который первоначально употреблялся в отношении управления человеческими ресурсами; в настоящее время встречается в сочетании с множеством понятий из области ИТ и имеет смысл организации и регулирования какой-либо деятельности, т. е. ее администрирования.

•Governance – термин, который стал активно использоваться применительно к ИТ только в последнем десятилетии; под ним обычно понимается руководство по организации и контролю за какой-либо деятельностью. Это слово

Концептуальные подходы к управлению ИБ Термины и определения

Определения – пояснения

•Менеджмент –

•как особый вид профессионально осуществляемой (осуществляемой профессионалами – профессиональными управляющими) деятельности, направленной на достижение определенных целей путем рационального использования материальных и трудовых ресурсов с применением определенных научных подходов, принципов, функций и методов;

•объединение управленческой деятельности с кадровой политикой;

•состояние всей управленческой инфраструктуры в различных масштабах;

•процесс оптимизации человеческих, материальных и финансовых ресурсов для достижения организационных целей;

•теория и практика научного и хозяйственного управления организацией в условиях рынка;

•система научных знаний, составляющих теоретическую базу практического опыта в области управления и имеющих междисциплинарный характер;

•совокупность лиц, идентифицируемых с менеджерами, а также с органами или аппаратом управления и т. п.

57

Концептуальные подходы к управлению ИБ Термины и определения

Определения –пояснения

•Менеджмент –

•способ (манера) обращения с людьми, власть и искусство управления, особого рода административные навыки, орган управления;

•совокупность принципов, форм, методов, приемов и средств управления производством и производственным персоналом с использованием достижений науки управления ;

•искусство управления интеллектуальными, финансовыми, материальными ресурсами ;

•эффективное и результативное достижение целей организации посредством планирования, организации, лидерства (руководства) и контроля над организационными ресурсами ;

•скоординированная деятельность по руководству и управлению организацией [ГОСТ Р ИСО 9000-2001].

Поэтому иногда делают вывод, что понятие менеджмента шире, чем просто управление.

58

Концептуальные подходы к ИБ Термины и определения

Управление: процессный подход (улучшение процессов)

Процессный подход: циклическая модель (для структурирования всех процессов управления и для обеспечения учета всех значимых элементов процессного подхода) PDCA (от англ. Plan- Do-Check-Act – планируй – выполняй – проверяй – действуй»)

Циклическая модель:

Предложена и развита двумя американскими учеными и специалистами в теории управления качеством. Шухарт (Walter A. Shewhart) (1939 г. «Статистические методы с точки зрения управления качеством»)

Пропагандировалась: Деминг (William Edwards Deming) в качестве основного способа достижения непрерывного улучшения процессов (цикл PDSA).

59

Более правильно рассматривать управление ИБ как совокупность целенаправленных действий,

осуществляемых для обеспечения нормального функционирования основных процессов и, в конечном счете, достижения бизнес-целей организации посредством обеспечения защищенности ее информационной сферы.

Определение:

«информационная сфера» - представляет собой совокупность информации, информационной инфраструктуры (состоит из банков данных и знаний, систем связи и т. п.), субъектов, осуществляющих сбор, формирование, распространение, хранение и использование информации, а также системы регулирования возникающих при этом отношений.

60

Концептуальные подходы к управлению ИБ Термины и определения

Управление ИБ – Управление обеспечением ИБ

Различают:

Управление ИБ организации Управление ИБ технологии (ИТТ)

Определение:

«Управление ИБ организации» - управление ИБ организации как циклический процесс, состоящий из совокупности целенаправленных действий, осуществляемых для достижения заявленных бизнес-целей организации посредством обеспечения защищенности ее информационной сферы, и включающий :

• осознание необходимости ОИБ,

• постановку задачи по ОИБ,

• оценку текущей ситуации и состояния объекта управления,

• планирование мер по обработке рисков ИБ,

• реализацию, внедрение и оценку эффективности

соответствующих защитных мероприятий и средств управления,

• распределение ролей и ответственности в области ОИБ,

• обучение и мотивацию сотрудников, выбор управляющих и

корректирующих воздействий и их реализацию.

61

Концептуальные подходы к управлению ИБ

Управление ИБ организации

Управление (обеспечением) ИБ организации

– это не разовое мероприятие. Его следует рассматривать

как непрерывную деятельность по постоянному поддержанию требуемого организацией уровня ИБ, так как правильно управляемая ИБ – инструмент успешного ведения бизнеса.

Основным предметом управления ИБ в организации являются следующие области деятельности:

•планирование работ по ОИБ, включая разработку и продвижение соответствующей документации;

•поддержка и участие в эксплуатации защитных мер;

•осуществление контроля за ОИБ и уровнем ИБ;

•совершенствование работ по ОИБ на основе собственного опыта и лучших практик.

62

Концептуальные подходы к управлению ИБ Управление ИБ организации

В целом процесс управления ИБ организации, носящий циклический характер, заключается в следующем:

•описание объектов управления и защищаемых активов организации и сбор данных об их состоянии;

•выявление и формализация возможных угроз ИБ и анализ рисков ИБ;

•оценка защищенности объектов управления (с выявлением уязвимостей) и ее сравнение с требованиями по ОИБ организации, сформулированными в Политике ИБ организации (ПолИБ);

•формирование управляющих воздействий;

•оценка результирующей деятельности по управлению ИБ. Определение:

«Политика ИБ организации» - документация, определяющая высокоуровневые цели, содержание и основные направления и устанавливающая правила, процедуры, практические приемы и

руководящие принципы обеспечения ИБ активов организации,

Концептуальные подходы к управлению ИБ Управление ИБ организации

Цель управления ИБ в организации:

заключается в гарантировании того, что соответствующие мероприятия по обеспечению ИБ осуществляются таким образом, что в текущий момент надлежащим образом:

1)снижены риски ИБ;

2)осуществляются инвестиции в обеспечение ИБ;

3)руководство ознакомлено со всеми осуществляемыми мероприятиями;

4)верно сформулированы критерии оценки