III. Анализ характеристик деятельности фирмы

Проводится анализ организационно-технологических характеристик деятельности фирмы, отраженных в МДФ, и данных из иерархического ряда карт КИПР на возможный ущерб от той или иной угрозы безопасности с последующим уточнением основных приоритетов, целей и задач обеспечения ИБ (конфиденциальности, сохранности, доступности и эффективности информационных ресурсов) в структуре информационных потоков и ресурсов фирмы. Здесь в качестве рабочего инструмента могут выступать "информационные кубики" на основании которых лежат соответствующие КИПР, а по слоям - оценки степени их приоритетности, конфиденциальности, оперативности и т.д..

ІV. Разработка технологического обеспечения ИБ - в виде иерархического перечня документов (политика ИБ, руководства, технологии и инструкции) с учетом требований к уровню качества защитных мероприятий для каждого уровня управления фирмы на базе соответствующего "информационного кубика". Здесь также вырабатываются порядок ввода в действие средств и технологий защиты, порядок мониторинга состава средств и пересмотра защитных мероприятий.

V. Построение модели обеспечения информационной безопасности (МОИБ), аналогичной схеме МДФ, которая с учетом результатов аналитических работ, проведенных по пп. I-IV будет включать в себя следующие организационно-структурные уровни:

(i) Уровень политики обеспечения ИБ в виде системы требований, норм и правил, на основе которых регулируются (добываются, хранятся, распределяются) критические информационные ресурсы и потоки:

- Высшие цели и приоритеты деятельности фирмы в области ИБ (i1);

- Организационное обеспечение выработки политики фирмы в области ИБ (отдельные подсистемы обеспечения ИБ с критериями качества их функционирования, обязанности персонала, санкции и т.п.) (i2);

- Информационные модели принятия решений данного уровня с учетом действующей нормативно-правовой базы, технико-экономических факторов и установленных выше приоритетов (i3).

(ii) Аналитико-экспертный уровень обеспечения ИБ:

- Высшие технологические задачи, критерии эффективности их решения (ii1);

- Организационное обеспечение планирования, управления и прогнозирования деятельности по обеспечению ИБ (ii2);

- Информационное обеспечение анализа состояния ИБ в фирме и принятия решений о корректировке перечня технологических задач (ii3).

(iii) Организационно-технологический уровень (тактическое управление решением задач обеспечения ИБ):

- Система способов и методик обеспечения решения технологических задач (iii1); - - - Организационно-технологические структуры реализации соответствующих методик (iii2);

- Информационная среда выбора и применения методик (iii3).

(iv) Уровень ситуационного управления по задачам обеспечения ИБ:

- Перечень оперативно-регулируемых технологических задач (iv1);

- Организационное обеспечение оперативного управления (iv2);

- Информационная поддержка оперативного управления (ivЗ).

(v) Уровень текущего мониторинга факторов ИБ:

- Система конкретных контрольно-исполнительных операций (v1);

- Организационные структуры обеспечения этих технологических операций (v2);

- Технологически-отслеживаемый информационный поток (v3).

(vi) Уровень автоматизированных программно-технических средств и исполнительных механизмов.

VI. Построение концепции ИБ в соответствии с вышеприведенными требованиями и МОИБ, описывающее процедуры сбора и анализа информации, планирования и организации исполнения; оценки текущей обстановки, оценки и прогнозирования состояния фирмы в контексте ИБ; структуру целей и задач. Концепция ИБ может быть также описана в виде табличной структуры из шести строк в соответствии с организационно-структурными уровнями МОИБ (см. пп.v выше), с технологическими средствами и процедурами обеспечения и с описанием содержательно-информационного обеспечения для каждого из этих уровней.