Мельников Д.А. Лекция №24: Основные направления и принципы организации СОИБ ИТС

Подождите немного. Документ загружается.

Лекция

№

Основные

направления

принципы

организации

СОИБ

ИТС

 требований, определяемых основными видами

деятельности компании;

 требований по ИБ;

 процессов, непосредственно влияющих на

существующие требования, определяемые основными

видами деятельности компании;

 требований законодательной и нормативной правовой

базы;

 договорных обязательств;

 уровней рисков и/или критериев приемлемости рисков;

 требований, определяемых основными видами

деятельности компании;

 требований по ИБ;

 процессов, непосредственно влияющих на

существующие требования, определяемые основными

видами деятельности компании;

 требований законодательной и нормативной правовой

базы;

 договорных обязательств;

 уровней рисков и/или критериев приемлемости рисков;

 необходимому обеспечению ресурсами;

 усовершенствованию, касающемуся измерения

эффективности средств управления.

 необходимому обеспечению ресурсами;

 усовершенствованию, касающемуся измерения

эффективности средств управления.

Лекция

№

Основные

направления

принципы

организации

СОИБ

ИТС

Совершенствование СОИБ.

Непрерывность

совершенствования

. Руководство и персонал

компании должны непрерывно повышать

эффективность функционирования СОИБ,

благодаря использованию стратегии

обеспечения ИБ, достижению целей

обеспечения ИБ, контролю результатов,

проведению анализа событий, выявленных в

ходе мониторинга, проведению превентивных

и корректирующих воздействий и анализу

управления самой СОИБ.

Совершенствование СОИБ.

Непрерывность

совершенствования

. Руководство и персонал

компании должны непрерывно повышать

эффективность функционирования СОИБ,

благодаря использованию стратегии

обеспечения ИБ, достижению целей

обеспечения ИБ, контролю результатов,

проведению анализа событий, выявленных в

ходе мониторинга, проведению превентивных

и корректирующих воздействий и анализу

управления самой СОИБ.

Лекция

№

Основные

направления

принципы

организации

СОИБ

ИТС

Мероприятия по корректировке

. Руководство и

персонал компании должны провести

мероприятия по выявлению событий,

вызывающих потенциальные несоответствия с

требованиями к функционированию СОИБ,

чтобы предотвратить их возникновение.

Выбранные превентивные мероприятия

должны быть адекватны воздействию

потенциальных проблем. Задокументированная

процедура по реализации превентивного

мероприятия должна определять требования к:

Мероприятия по корректировке

. Руководство и

персонал компании должны провести

мероприятия по выявлению событий,

вызывающих потенциальные несоответствия с

требованиями к функционированию СОИБ,

чтобы предотвратить их возникновение.

Выбранные превентивные мероприятия

должны быть адекватны воздействию

потенциальных проблем. Задокументированная

процедура по реализации превентивного

мероприятия должна определять требования к:

Лекция

№

Основные

направления

принципы

организации

СОИБ

ИТС

 идентификации возможных несоответствий

и их последствий;

 оценке необходимости мероприятия по

нейтрализации возникновения

несоответствий;

 определению и внедрению необходимых

превентивных воздействий;

 регистрации результатов проведенного

превентивного воздействия;

 анализу проведенного превентивного

воздействия.

 идентификации возможных несоответствий

и их последствий;

 оценке необходимости мероприятия по

нейтрализации возникновения

несоответствий;

 определению и внедрению необходимых

превентивных воздействий;

 регистрации результатов проведенного

превентивного воздействия;

 анализу проведенного превентивного

воздействия.

Лекция

№

Основные

направления

принципы

организации

СОИБ

ИТС

Превентивные мероприятия

. Руководство и

персонал компании должны идентифицировать

изменения рисков и определять требования к

превентивным мероприятиям, сфокусировав

основное внимание на риски, которые претерпели

значительные качественные и количественные

изменения.

Приоритетность превентивных мероприятий

должна определяться на основе результатов

анализа рисков. (

Замечание. Мероприятия по

предотвращению несоответствий очень часто

оказываются более затратными, чем мероприятия

по корректировке

Превентивные мероприятия

. Руководство и

персонал компании должны идентифицировать

изменения рисков и определять требования к

превентивным мероприятиям, сфокусировав

основное внимание на риски, которые претерпели

значительные качественные и количественные

изменения.

Приоритетность превентивных мероприятий

должна определяться на основе результатов

анализа рисков. (

Замечание. Мероприятия по

предотвращению несоответствий очень часто

оказываются более затратными, чем мероприятия

по корректировке

Лекция

№

Основные

направления

принципы

организации

СОИБ

ИТС

24.2. Содержание функционирования СОИБ компании

(целевые функции)

24.2. Содержание функционирования СОИБ компании

(целевые функции)

Стратегия безопасности.

Стратегия

информационной безопасности

разрабатывается с целью прямого

(непосредственного) управления обеспечением

ИБ в соответствии с требованиями, связанными

с основными направлениями деятельности

компании, и требованиями соответствующей

законодательной и нормативной и правовой

базы. Для этого:

Стратегия безопасности.

Стратегия

информационной безопасности

разрабатывается с целью прямого

(непосредственного) управления обеспечением

ИБ в соответствии с требованиями, связанными

с основными направлениями деятельности

компании, и требованиями соответствующей

законодательной и нормативной и правовой

базы. Для этого:

Лекция

№

Основные

направления

принципы

организации

СОИБ

ИТС

 документ, определяющий стратегию ИБ,

должен быть утверждён руководством

компании и согласован с заинтересованными

ведомствами и организациями, опубликован и

разослан всему персоналу, включая

периферийные подразделения компании;

 стратегия ИБ должна в плановом порядке

анализироваться, и если возникли

соответствующие изменения, то тогда

необходимо гарантировать, что она

продолжает быть приемлемой,

полнофункциональной и эффективной.

 документ, определяющий стратегию ИБ,

должен быть утверждён руководством

компании и согласован с заинтересованными

ведомствами и организациями, опубликован и

разослан всему персоналу, включая

периферийные подразделения компании;

 стратегия ИБ должна в плановом порядке

анализироваться, и если возникли

соответствующие изменения, то тогда

необходимо гарантировать, что она

продолжает быть приемлемой,

полнофункциональной и эффективной.

Лекция

№

Основные

направления

принципы

организации

СОИБ

ИТС

Организация обеспечения ИБ. Одной из целей

внутренней организации

деятельности компании

является управление обеспечением ИБ в самой

компании. Для этого:

Организация обеспечения ИБ. Одной из целей

внутренней организации

деятельности компании

является управление обеспечением ИБ в самой

компании. Для этого:

 руководство компании обязано активно поддерживать

безопасность в рамках компании на основе чёткого

управления, демонстрации своих обязательств,

однозначного распределения и признания

ответственности за обеспечение ИБ;

 деятельность по обеспечению ИБ должна быть

скоординирована с персоналом различных

подразделений компании с учётом соответствующих зон

ответственности и функциональных (должностных)

обязанностей;

 руководство компании обязано активно поддерживать

безопасность в рамках компании на основе чёткого

управления, демонстрации своих обязательств,

однозначного распределения и признания

ответственности за обеспечение ИБ;

 деятельность по обеспечению ИБ должна быть

скоординирована с персоналом различных

подразделений компании с учётом соответствующих зон

ответственности и функциональных (должностных)

обязанностей;

Лекция

№

Основные

направления

принципы

организации

СОИБ

ИТС

 в пределах компании должны быть

установлены и чётко разграничены все зоны

ответственности по обеспечению ИБ;

 в СОИБ компании должен быть определён и

введён в эксплуатацию процесс авторизации

новых средств обработки информации, кроме

того должны быть определены и регулярно

анализироваться требования к

конфиденциальности или условия по

недопущению раскрытия информации,

отражающие потребности компании по защите

информации;

 в пределах компании должны быть

установлены и чётко разграничены все зоны

ответственности по обеспечению ИБ;

 в СОИБ компании должен быть определён и

введён в эксплуатацию процесс авторизации

новых средств обработки информации, кроме

того должны быть определены и регулярно

анализироваться требования к

конфиденциальности или условия по

недопущению раскрытия информации,

отражающие потребности компании по защите

информации;

Лекция

№

Основные

направления

принципы

организации

СОИБ

ИТС

 руководство компании должно организовать

необходимое взаимодействие с соответствующими

органами власти и заинтересованным ведомствами

и организациями, сферой деятельности которых

является ИБ;

 подход компании к обеспечению ИБ и его

практическая реализации (например, цели и

средства управления, стратегия, процессы и

процедуры обеспечения ИБ) должны

анализироваться независимо друг от друга, причём

в определённые сроки или когда произошло

соответствующие изменение в практической

реализации обеспечения ИБ.

 руководство компании должно организовать

необходимое взаимодействие с соответствующими

органами власти и заинтересованным ведомствами

и организациями, сферой деятельности которых

является ИБ;

 подход компании к обеспечению ИБ и его

практическая реализации (например, цели и

средства управления, стратегия, процессы и

процедуры обеспечения ИБ) должны

анализироваться независимо друг от друга, причём

в определённые сроки или когда произошло

соответствующие изменение в практической

реализации обеспечения ИБ.