Мельников Д.А. Лекция №24: Основные направления и принципы организации СОИБ ИТС

Подождите немного. Документ загружается.

КУРС ЛЕКЦИЙ

ОРГАНИЗАЦИЯ И

ОБЕСПЕЧЕНИЕ БЕЗОПАСНОСТИ

ИНФОРМАЦИОННО-ТЕХНОЛОГИЧЕСКИХ

СЕТЕЙ И СИСТЕМ

КУРС ЛЕКЦИЙ

ОРГАНИЗАЦИЯ И

ОБЕСПЕЧЕНИЕ БЕЗОПАСНОСТИ

ИНФОРМАЦИОННО-ТЕХНОЛОГИЧЕСКИХ

СЕТЕЙ И СИСТЕМ

Раздел III: АРХИТЕКТУРА БЕЗОПАСНОСТИ

ИТС

Раздел III: АРХИТЕКТУРА БЕЗОПАСНОСТИ ИТС

Лекция

№

Основные

направления

принципы

организации

СОИБ

ИТС

МЕЛЬНИКОВ

Дмитрий

Анатольевич

кандидат

технических

наук

доцент

Лекция

№

Основные

направления

принципы

организации

СОИБ

ИТС

В данной лекции рассматриваются важнейшие

направления и принципы организации и функционирования

СОИБ ИТС, принадлежащей любому ведомству или

компании (независимо от формы собственности).

В данной лекции рассматриваются важнейшие

направления и принципы организации и функционирования

СОИБ ИТС, принадлежащей любому ведомству или

компании (независимо от формы собственности).

24.1. Организация СОИБ ИТС

В любой ИТС ведомства, компании, предприятия и т.п.

(далее — компания) одним из направлений обеспечения

надежного и достоверного информационного обмена и

нормального функционирования самой организации

является обеспечение ИБ. Другими словами, любая ИТС

должна обеспечивать дополнительную функцию

безопасности (помимо стандартного набора функций,

определяемой архитектурой ИТС).

В любой ИТС ведомства, компании, предприятия и т.п.

(далее — компания) одним из направлений обеспечения

надежного и достоверного информационного обмена и

нормального функционирования самой организации

является обеспечение ИБ. Другими словами, любая ИТС

должна обеспечивать дополнительную функцию

безопасности (помимо стандартного набора функций,

определяемой архитектурой ИТС).

Лекция

№

Основные

направления

принципы

организации

СОИБ

ИТС

Обеспечение ИБ ИТС является

непрерывным процессом, направленным на

достижения требуемого уровня ИБ. Для

организации обеспечения ИБ ИТС

необходимо создать и в дальнейшем

эксплуатировать и совершенствовать

СОИБ, структура и функции которой будут

напрямую зависеть от реализации

основных направлений деятельности

компании и наличия угроз ИБ.

Обеспечение ИБ ИТС является

непрерывным процессом, направленным на

достижения требуемого уровня ИБ. Для

организации обеспечения ИБ ИТС

необходимо создать и в дальнейшем

эксплуатировать и совершенствовать

СОИБ, структура и функции которой будут

напрямую зависеть от реализации

основных направлений деятельности

компании и наличия угроз ИБ.

Лекция

№

Основные

направления

принципы

организации

СОИБ

ИТС

Основная цель и назначение СОИБ

реализация полнофункционального

процесса обеспечения ИБ. Непрерывность

процесса обеспечения ИБ достигается

обеспечением его цикличности, что

подразумевает реализацию

представленной на рис.24.1 модели

функционирования СОИБ.

Данная модель включает следующие

частные процессы (субпроцессы):

Основная цель и назначение СОИБ

реализация полнофункционального

процесса обеспечения ИБ. Непрерывность

процесса обеспечения ИБ достигается

обеспечением его цикличности, что

подразумевает реализацию

представленной на рис.24.1 модели

функционирования СОИБ.

Данная модель включает следующие

частные процессы (субпроцессы):

Лекция

№

Основные

направления

принципы

организации

СОИБ

ИТС

Построение

СОИБ

Построение

СОИБ

Внедрение и

эксплуатация

СОИБ

Внедрение и

эксплуатация

СОИБ

Мониторинг и

анализ СОИБ

Мониторинг и

анализ СОИБ

Развитие и

совершенствование

СОИБ

Развитие и

совершенствование

СОИБ

Управляемый

процесс

обеспечения ИБ

Управляемый

процесс

обеспечения ИБ

Заинтересованные

субъекты

Заинтересованные

субъекты

Заинтересованные

субъекты

Заинтересованные

субъекты

Требования к

обеспечению ИБ и

ожидаемые результаты

Требования к

обеспечению ИБ и

ожидаемые результаты

Рис.24.1. Функциональная модель СОИБ компании

Лекция

№

Основные

направления

принципы

организации

СОИБ

ИТС

n построение (создание) СОИБ — формирование

концепции СОИБ, целей ее функционирования,

процессов и процедур, которые относятся к

управлению рисками и совершенствованию

самого процесса обеспечения ИБ, сцелью

достижения требуемых результатов, связанных

реализацией общей стратегии компании и

достижения поставленных ею целей;

o внедрение и эксплуатация СОИБ — внедрение

и реализация стратегии обеспечения ИБ,

средств, процессов и процедур обеспечения ИБ;

n построение (создание) СОИБ — формирование

концепции СОИБ, целей ее функционирования,

процессов и процедур, которые относятся к

управлению рисками и совершенствованию

самого процесса обеспечения ИБ, сцелью

достижения требуемых результатов, связанных

реализацией общей стратегии компании и

достижения поставленных ею целей;

o внедрение и эксплуатация СОИБ — внедрение

и реализация стратегии обеспечения ИБ,

средств, процессов и процедур обеспечения ИБ;

Лекция

№

Основные

направления

принципы

организации

СОИБ

ИТС

p мониторинг и анализ СОИБ — доступ к процессам и,

где приемлемо, измерение параметров процессов,

непосредственно влияющих на стратегию

обеспечения ИБ и цели функционирования СОИБ, а

также изучение практического опыта её

эксплуатации с целью получения требуемых

результатов, которые необходимы для анализа

управления;

q развитие и совершенствование СОИБ —

корректировка и превентивные действия,

основанные на результатах внутреннего аудита

СОИБ и анализа данных управления или иной

необходимой информации для обеспечения

непрерывного совершенствования СОИБ.

p мониторинг и анализ СОИБ — доступ к процессам и,

где приемлемо, измерение параметров процессов,

непосредственно влияющих на стратегию

обеспечения ИБ и цели функционирования СОИБ, а

также изучение практического опыта её

эксплуатации с целью получения требуемых

результатов, которые необходимы для анализа

управления;

q развитие и совершенствование СОИБ —

корректировка и превентивные действия,

основанные на результатах внутреннего аудита

СОИБ и анализа данных управления или иной

необходимой информации для обеспечения

непрерывного совершенствования СОИБ.

Лекция

№

Основные

направления

принципы

организации

СОИБ

ИТС

Создание и управление СОИБ.

Создание СОИБ

Любая компания должна иметь в своей структуре

СОИБ, для чего необходимо:

Создание и управление СОИБ.

Создание СОИБ

Любая компания должна иметь в своей структуре

СОИБ, для чего необходимо:

c определить сферу и пределы функционирования СОИБ,

причём на основе характеристик и направлений

деятельности самой компании, её периферийных

подразделений, используемого имущества,

применяемых технологий, а также включая детали и

обстоятельства, выходящих за пределы

функционирования СОИБ;

d определить стратегию функционирования СОИБ,

причём на основе характеристик и направлений

деятельности самой компании, её периферийных

подразделений, используемого имущества,

применяемых технологий. Стратегия должна:

c определить сферу и пределы функционирования СОИБ,

причём на основе характеристик и направлений

деятельности самой компании, её периферийных

подразделений, используемого имущества,

применяемых технологий, а также включая детали и

обстоятельства, выходящих за пределы

функционирования СОИБ;

d определить стратегию функционирования СОИБ,

причём на основе характеристик и направлений

деятельности самой компании, её периферийных

подразделений, используемого имущества,

применяемых технологий. Стратегия должна:

Лекция

№

Основные

направления

принципы

организации

СОИБ

ИТС

 включать руководство по определению направлений

деятельности и устанавливать единые принципы

обеспечения ИБ;

 учитывать требования законодательной, нормативной

правовой базы, а также договорных обязательств по

обеспечению ИБ;

 быть согласованной с содержанием стратегического

управления рисками компании, частью которого будет

СОИБ;

 устанавливать критерии оценки рисков;

 быть утверждённой руководством компании и

согласованной с заинтересованными ведомствами и

организациями (Замечание

. Стратегия СОИБ может

рассматриваться как совокупность частных стратегий

обеспечения ИБ.);

 включать руководство по определению направлений

деятельности и устанавливать единые принципы

обеспечения ИБ;

 учитывать требования законодательной, нормативной

правовой базы, а также договорных обязательств по

обеспечению ИБ;

 быть согласованной с содержанием стратегического

управления рисками компании, частью которого будет

СОИБ;

 устанавливать критерии оценки рисков;

 быть утверждённой руководством компании и

согласованной с заинтересованными ведомствами и

организациями (Замечание

. Стратегия СОИБ может

рассматриваться как совокупность частных стратегий

обеспечения ИБ.);

Лекция

№

Основные

направления

принципы

организации

СОИБ

ИТС

e определить способ оценки рисков компании:

 определить методологию оценки рисков, которая

является часть СОИБ и входит в состав

установленных требований по безопасности

циркулирующей в компании информации, атакже

требований законодательной и нормативной правовой

базы и договорных обязательств;

 совершенствовать критерии для приемлемых рисков и

определить допустимые уровни риска;

 определить методологию оценки рисков, которая

является часть СОИБ и входит в состав

установленных требований по безопасности

циркулирующей в компании информации, атакже

требований законодательной и нормативной правовой

базы и договорных обязательств;

 совершенствовать критерии для приемлемых рисков и

определить допустимые уровни риска;

Выбранная методология оценки рисков должна

гарантировать, что процесс оценивания рисков

принесёт соизмеримые (сопоставимые) и

воспроизводимые результаты.

Выбранная методология оценки рисков должна

гарантировать, что процесс оценивания рисков

принесёт соизмеримые (сопоставимые) и

воспроизводимые результаты.