Обследование, обнаружение и анализ соответствия требованиям стандарта iso/iec 27001:2005

На данном этапе осуществляются следующие работы:

• уточнение и предварительное согласование области деятельности11 СУИБ;

• решение организационных вопросов по взаимодействию внутри компании и с исполнителем для успешной разработки и внедрения процессов;

• проведение обследования с целью выявления степени соответствия существующих организационных процедур и программно-технических средств защиты информации требованиям стандарта ISO/IEC 27001:2005 (так называемый GAP-анализ);

• формирование перечня необходимых доработок, выполнение которых позволит создать СУИБ, отвечающую требованиям стандарта ISO/IEC 27001:2005.

Область деятельности СУИБ

Построение системы управления информационной безопасности начинается с определения области (далее ОД) деятельности СУИБ. ОД представляет собой выделенную область организации, в которой внедряются процессы управления информационной безопасностью, подаваемые на сертификацию в соответствии с требованиями стандарта ISO/IEC 27001:2005. Область деятельности должна покрывать критичные для компании бизнес-процессы и сервисы и включать те подразделения, которые задействованы в выполнении данных процессов.

Примерами ОД СУИБ могут быть:

1. Для промышленных предприятий:

• сегмент автоматизированных расчетов с клиентами;

• процессы работы с поставщиками сырья или комплектующих;

• процесс разработки новых продуктов и технологий;

• ERP-системы (в данном случае не сама ERP-система, а критически важный бизнес-процесс, связанный с работой системы, например, поддержка ее работоспособности);

• другие.

• Для телекоммуникационных компаний:

  • сегмент автоматизированных расчетов с клиентами (биллинг);

  • службы электросвязи;

  • сети передачи данных;

  • ERP-системы;

  • другие.

• Для кредитно-финансовых организаций:

  • процессы, связанные с автоматизированными банковскими системами (АБС);

  • процессы, связанные с автоматизированными платежными системами (процессинг);

  • процессы, связанные с автоматизированными системами межбанковского взаимодействия;

  • другие.

От того, насколько точно будет определена область деятельности, зависит эффективность внедрения системы управления информационной безопасности. Поэтому при проведении проектов по построению СУИБ данному этапу уделяется особенное внимание. При выборе ОД в расчет должны приниматься все важнейшие параметры, которые оказывают влияние на существование целевой корпоративной информации на всем ее жизненном цикле, а именно:

• непосредственная деятельность организации;

• продукты, сервисы или услуги, производимые организацией и предоставляемые клиентам;

• целевая информация, безопасность которой должна быть обеспечена при создании СУИБ;

• основные бизнес-процессы, в ходе которых создается, накапливается, обрабатывается, хранится и передается целевая информация;

• подразделения и сотрудники, задействованные в данных бизнес-процессах;

• программно-технические средства, обеспечивающие функционирование данных бизнес-процессов, в том числе средства защиты информации;

• территориальные площадки организации, на которых происходит сбор, обработка и передача целевой информации.

Решение организационных вопросов

Для того, чтобы правильно организовать процесс создания системы управления информационной безопасности и избежать проблем и конфликтных ситуаций в ходе выполнения проекта, необходимо уже на этапе подготовки решить ряд организационных вопросов.

Первым организационным мероприятием является издание приказа об открытии внутреннего проекта по созданию СУИБ. Данный приказ придает проекту статус общекорпоративного и определяет порядок взаимодействия различных подразделений в ходе его реализации.

Далее проводится назначение основных ролей в рамках СУИБ, которое позволит определить лиц, ответственных за ее создание. Эти сотрудники будут наделены определенным статусом и на них будут возложены обязанности, соответствующие их роли.

Иногда бывает необходимо, с целью придания проекту значимости, создать комитет СУИБ, в состав которого могут входить высшее руководство организации, руководители основных функциональных и вспомогательных подразделений. Комитет СУИБ принимает стратегические решения и утверждает основные документы, разработанные в ходе проекта.

Обязательным шагом является организация рабочей группы по реализации проекта по созданию СУИБ. Эта группа также может включать представителей высшего руководства компании с уже выделенными ролями в рамках СУИБ, владельцев бизнес-процессов, входящих в область деятельности СУИБ, ответственных сотрудников по внедрению СУИБ. Рабочую группу необходимо утверждать на высшем уровне для обозначения значимости данной системы и ее роли в организации. Рабочая группа осуществляет оперативную деятельность в ходе проекта.

Обследование с целью выявления несоответствий

На стадии проведения обследования осуществляется сбор и анализ информации о следующих регламентах, процедурах и средствах обеспечения ИБ, используемых в рамках функционирования ИС организации:

• регламенты и процедуры существующих систем менеджмента (система менеджмента качества, другие системы управления, применяемые в компании, включая корпоративные стандарты управления);

• формализованные описания бизнес-процессов, охватываемых областью деятельности;

• инфраструктура сетевого и информационного взаимодействия;

• нормативная документация компании в области информационной безопасности (политика ИБ, регламенты и процедуры ИБ, положения по ИБ в эксплуатационных регламентах);

• организационное взаимодействие подразделений и ответственных лиц заказчика;

• организационно-распорядительная документация в области информационной безопасности (приказы, распоряжения, должностные инструкции и т.п.);

• перечень сведений, составляющих конфиденциальную информацию заказчика и подлежащих защите;

• сведения о применяемых мерах и средствах управления доступом пользователей к информационным ресурсам в соответствии с категориями ресурсов;

• сведения о результатах проводившихся в компании работ по анализу и управлению рисками, включая сведения о наличии процедур и инфраструктуры по анализу и управлению рисками;

• сведения об обучении пользователей, включая внутрикорпоративное обучение правилам обеспечения ИБ, а также внешнее обучение сотрудников правилам и методам обеспечения ИБ;

• сведения об организации процесса приема на работу и увольнения сотрудников;

• сведения об организации физической защиты площадок размещения программно-технических средств ИС, а также самих этих средств;

• технологические процедуры и инструкции по эксплуатации систем;

• сведения об организации процессов развития ИТ-инфраструктуры компании в целом и в части, касающейся концепции ИТ, порядка внесения изменений в эксплуатируемые системы, порядка закупок оборудования и ПО и т.п.;

• сведения об используемых средствах защиты информации в ИС заказчика;

• сведения об организации процедур резервного копирования и восстановления информации в ИС заказчика;

• сведения о применяемых в компании процедурах и планах по обеспечению непрерывности критичных бизнес-процессов и поддерживающих их систем;

• сведения о применяемых в компании процедурах защиты носителей информации и конфиденциальных документов;

• сведения о применяемых мерах по защите внешнего информационного обмена;

• сведения о применяемых средствах контроля действий пользователей;

• сведения об организации процессов разработки и модификации программного обеспечения;

• сведения об организации процессов периодической проверки (аудита) процессов обеспечения информационной безопасности и настроек технических средств защиты информации;

• сведения об организации процессов управления инцидентами, связанными с ИБ.

Далее в ходе обследования проводится интервьюирование руководителей структурных подразделений, а также лиц, ответственных за функционирование ИС и сопровождение отдельных ее компонентов в рамках области деятельности.

На основании полученных сведений разрабатывается детальный план-график выполнения работ по построению СУИБ.

Результатом этого этапа являются следующие данные:

• отчет о степени соответствия требованиям стандарта ISO/IEC 27001:2005;

• рекомендации по достижению требований стандарта ISO/IEC 27001:2005;

• план-график работ с распределением ответственности как специалистов интегратора, так и сотрудников самой организации на каждом этапе внедрения СУИБ.