Додаток №1( до 1 теми) Інформаційна безпека

Інформація та допоміжні процеси, системи і мережі є важливими бізнес-ресурсами системи управління інформаційною безпекою (СУІБ). Визначення, досягнення, підтримка та вдосконалення інформаційної безпеки може бути суттєвим для підтримки конкурентоспроможності, готівкового обігу, рентабельності, комерційної репутації та відповідності законодавству .

Організації та їхні інформаційні системи й мережі натрапляють на загрози безпеці від широкого кола джерел, включаючи комп’ютерне шахрайство, шпіонаж, саботаж, вандалізм, форс-мажорні обставини – пожежу або повінь тощо. Причини порушень типу зловмисних кодів, комп’ютерного хакерства і атак типу відмови в обслуговуванні стали більш поширеними і значно досконалішими.

Інформаційна безпека є важливою як для державного і приватного секторів бізнесу, так і для захисту критичних інфраструктур. В обох секторах інформаційна безпека буде працювати як фактор сприяння, наприклад, в електронному урядуванні або електронному бізнесі, або для уникнення чи зменшення відповідних ризиків. Взаємозв’язок загальнодоступних і приватних мереж та спільне використання інформаційних ресурсів збільшують труднощі в досягненні контролю доступу. Тенденція до розподіленого оброблення даних може також послабити ефективність централізованого, фахового контролю.

Багато інформаційних систем не проектувалися як безпечні. Безпека, яка може бути досягнута за допомогою технічних засобів, є обмеженою і має підтримуватись відповідним управлінням та процедурами. Визначення, які заходи безпеки треба застосовувати на місці, вимагає ретельного планування та уваги до дрібниць. Управління інформаційною безпекою вимагає щонайменше участі всього персоналу організації. Воно може також вимагати співучасті від акціонерів, постачальників, третіх сторін, користувачів або інших зовнішніх сторін. Рекомендації фахівців із сторонніх організацій також можуть стати в нагоді.

Відправна точка інформаційної безпеки

Низку заходів безпеки можна розглядати як хорошу відправну точку для впровадження інформаційної безпеки. Вони або базуються на основних законодавчих вимогах, або розглядаються як звичайна практика інформаційної безпеки.

Заходи безпеки, які вважаються важливими для організації з законодавчої точки зору, містять, залежно від застосованого законодавства:

1. захист даних та конфіденційність персональних даних (див. 15.1.4);

2. захист організаційних записів (див. 15.1.3);

3. права інтелектуальної власності (див. 15.1.2).

Заходи безпеки, які вважаються звичайною практикою інформаційної безпеки, містять:

a) документ щодо політики інформаційної безпеки (див. 5.1.1);

b) розподіл обов’язків щодо інформаційної безпеки (див. 6.1.3);

c) проінформованість, освіта і навчання щодо інформаційної безпеки (див. 8.2.2);

d) коректне оброблення у прикладних програмах (див. 12.2);

e) управління технічною вразливістю (див. 12.6);

f) управління безперервністю бізнесу (див. 14);

g) управління інцидентами інформаційної безпеки та вдосконаленням (див. 13.2).

Ці заходи безпеки застосовують у більшості організацій та у більшості середовищ.

Треба зазначити, що, хоча всі заходи безпеки в цьому стандарті є важливими і повинні бути розглянутими, важливість кожного заходу повинна визначатися з позицій певного ризику, з яким стикається організація. Отже, хоча вищевикладений підхід розглядається як хороша відправна точка, він не замінює вибору заходів безпеки, основаного на оцінці ризику.