Управление безопасностью информационных технологий

Анализ угроз безопасности информации осуществляется на основе моделирования процессов нарушения безопасности информации, обрабатываемой в ИС. Выбор требований, но защите информации осуществляется на основании модели угроз безопасности, анализа и обработки рисков мер по их минимизации до приемлемого уровня (поскольку риск проявления тех или иных угроз ИБ определяется наличием «слабых», «узких», незащищенных участков, процедур и технологий обработки информации).

Эффективность процессов системы управления ИБ со временем снижается. Данный процесс связан с развитием информационных и коммуникационных технологий, модернизацией информационно-коммуникационной инфраструктуры и изменением бизнес-процессов. Важно проводить регулярный аудит, поддерживать в актуальном состоянии модель угроз, проводить анализ рисков на регулярной основе, применять правовые, организационно-технические и экономические методы обеспечения ИБ.

К областям управления И Б могут в той или иной мере относиться:

• • защита от сетевых угроз;
• • анализ рисков информационных активов;
• • программы и политики в области ИБ, нормативно-методические документы;
• • криптографические методы защиты информации;
• • статистические методы в обеспечении ИБ;
• • контроль доступа;
• • управление ИБ в интернет-проектах;
• • технологии построения защищенных систем обработки информации или систем электронного документооборота;
• • архитектура компьютеров и сетей для построения безопасных систем;
• • информационная безопасность мобильных систем.

Существует большое число международных стандартов и методологий обеспечения И Б предприятий. Одна из них — Business Model for Information Security, разработанная ассоциацией ISACA (автором CobiT, Val IT и других известных и широко распространенных методологий и наборов лучших практик), фокусирующаяся на иллюстрации связи всех основных аспектов ИБ с бизнесом. Авторы выделяют четыре группы действий по обеспечению И Б:

• 1) персонал (обучение и развитие компетенций в области ИБ);
• 2) процессы (в том числе бюджетирование в области ИБ, мониторинг и внедрение мер безопасности);
• 3) технологии (в том числе управления идентификацией, доступом, защиты периметров объектов, виртуализации);
• 4) организация/сгратегия (политика ИБ, руководства, стандарты, сертификации).

Еще один важный источник информации, но ИТ-безопасности — книги «Радужной серии» (название дано из-за разнообразных цветов обложек). Книги данной серии издавались с 1983 по 1993 г. Министерством обороны США совместно с Национальным комитетом компьютерной безопасности. Со временем документы получили развитие в стандарте ISO 15 408 (Общие критерии). Среди книг «Радужной серии»:

• • «Критерии определения безопасности компьютерных систем» (1983) — Оранжевая книга;
• • «Руководящие принципы использования паролей» (1985) — Зеленая книга',
• • «Управление конфигурациями в доверенных системах» (1988) — Бордовая книга',
• • «Руководство к пониманию технического управления» (1989) — Коричневая книга',
• • «Безопасная сетевая интерпретация среды» (1990) — Красная книга',
• • «Сертификация и аккредитация» (1994) — Синяя книга.

Не менее известен и авторитетен в этой области такой стандарт И Б, как ISO/IEC 27 002 (ранее ISO 17 799) — Управление защитой информации. Стандарт рассматривает такие объекты защиты, как личная информация, данные организации, права на интеллектуальную собственность, в следующих ракурсах:

• • политика безопасности;
• • организация И Б;
• • управление активами;
• • безопасность в области управления человеческими ресурсами;
• • физическая безопасность и безопасность окружения;
• • управление коммуникациями и операциями;
• • контроль доступа;
• • приобретение, разработка и поддержка И С;
• • управление инцидентами ИБ;
• • управление непрерывностью бизнеса;
• • соответствие требованиям регуляторов и законодательству.

Соответственно вопросы ИБ являются крайне важными для создания и поддержания безопасной среды функционирования бизнес-процессов организации, уменьшения возможности нанесения ущерба через раскрытие коммерческой тайны, персональных данных и другой конфиденциальной информации, а также для обеспечения выполнения стратегических бизнесцелей и задач в части безопасности, надежности и непрерывности деятельности компании.

Таким образом, среди сфер применения концепции бизнес-инжиниринга:

• • инжиниринг бизнес-процессов;
• • разработка целевой модели бизнес-архитектуры;
• • разработка инновационных бизнес-моделей;
• • моделирование деятельности предприятия;
• • управление бизнес-процессами промышленного сервиса.