Создание суиб в соответствии с требованиями стандарта iso/iec 27001:2005

На данном этапе осуществляются следующие работы:

• окончательное определение и утверждение области деятельности СУИБ, распланированные организационные мероприятия по внедрению СУИБ

• выбор подхода и проведение анализа рисков ИБ;

• определение ролевой структуры СУИБ и разработка полного комплекта документации СУИБ;

• формализация бизнес-процессов в рамках утвержденной области деятельности СУИБ;

• осуществление запланированных на начальном этапе организационных мероприятий по внедрению СУИБ.

Окончательное определение и утверждение на уровне высшего руководства документа «Область деятельности СУИБ» является начальным этапом в создании системы управления информационной безопасностью, после которого начинаются работы по выбору подхода и проведению процесса анализа рисков ИБ.

Выбор подхода и проведение анализа рисков ИБ

Анализ рисков ИБ12 – это основной движущий процесс СУИБ. Он выполняется не только при создании СУИБ, а проводится на регулярной основе и при изменении бизнес-процессов организации и требований по безопасности.

Для проведения анализа рисков ИБ разрабатывается специальная методика. Она создается с учетом специфики организации.

К особенностям методики анализа рисков ИБ при создании СУИБ можно отнести:

• процессы идентификации активов и определения их ценности обязательно должны проводиться при участии владельцев бизнес-процессов организации;

• подход к анализу рисков «от активов»;

• в методике описывается, чем необходимо руководствоваться при принятии решения о приемлемом уровне риска;

• методика утверждается только на уровне высшего руководства;

• методика может включать в себя перечень угроз, применимых для организации, либо ссылаться на запись, содержащую данные угрозы. Перечень угроз утверждается на уровне высшего руководства.

Необходимо подобрать такую методику, которую можно было бы использовать на постоянной основе с минимальными изменениями. Есть два пути: взять существующие на рынке методики и инструментарий для оценки рисков или же разработать свою собственную методику, которая наилучшим образом подойдет к специфике компании и охватываемой системой управления информационной безопасности области деятельности.

Последний вариант наиболее предпочтителен, поскольку на данный момент большинство существующих на рынке продуктов, реализующих ту или иную методику анализа рисков, не отвечают требованиям стандарта. Типичными недостатками таких методик являются:

• стандартный набор угроз и уязвимостей, который зачастую невозможно изменить;

• принятие в качестве активов только программно-технических и информационных ресурсов без рассмотрения человеческих ресурсов, сервисов и др.;

• общая сложность методики с точки зрения ее устойчивого и повторяющегося использования.

В процессе анализа рисков для каждого из активов или группы активов производится идентификация возможных угроз и уязвимостей, оценивается вероятность реализации каждой из угроз и, с учетом величины возможного ущерба для актива, определяется величина риска, отражающего критичность той или иной угрозы.

Необходимо отметить, что в соответствии с требованиями стандарта в методике анализа рисков должны быть идентифицированы критерии принятия рисков и приемлемые уровни риска. Эти критерии должны базироваться на достижении стратегических, организационных и управленческих целей организации.

Высшее руководство компании использует данные критерии, принимая решения относительно принятия контрмер для противодействия выявленным рискам. Если выявленный риск не превышает установленного уровня, он является приемлемым, и дальнейшие мероприятия по его обработке не проводятся. В случае же, когда выявленный риск превышает приемлемый уровень критичности угрозы, высшее руководство должно принять одно из следующих возможных решений:

• снижение риска до приемлемого уровня посредством применения соответствующих контрмер;

• принятие риска;

• избежание риска;

• перевод риска в другую область, например, посредством его страхования.

Результатом этапа анализа рисков ИБ является выбранный комплекс механизмов контроля, направленный на противодействие выявленным рискам, для которых было принято решение об их снижении. При этом высшим руководством организации утверждаются следующие документы:

• план обработки рисков;

• положение о применимости механизмов контроля.

Мероприятия по снижению рисков проводятся силами и средствами заказчика с подробными консультациями со стороны компании-консультанта на этапе внедрения СУИБ.

Определение ролевой структуры СУИБ и разработка полного комплекта документации СУИБ

На данной стадии производится определение ролевой структуры СУИБ, ключевых ответственных за проект лиц, распределение обязанностей и формальное описание ролей в части СУИБ. В рамках области деятельности определяется формальный процесс назначения ролей специалистам и порядок внесения изменений в существующую ролевую структуру.

Разработка документации СУИБ производится специалистами исполнителя с привлечением специалистов заказчика в оговоренном объеме.

Результатом данной стадии являются следующие документы:

• Политика СУИБ;

• Процедура управления документацией СУИБ;

• Процедура управления записями СУИБ;

• Процедура проведения внутренних аудитов СУИБ;

• Процедура управления корректирующими действиями;

• Процедура предупреждающих действий;

• Процедура управления инцидентами ИБ;

• Процедура мониторинга эффективности СУИБ;

• Процедура анализа функционирования СУИБ руководством Компании;

• Положение о ролевой структуре СУИБ.

Разработка перечня документов, который необходимо разработать в соответствии с требованиями Приложения А13 стандарта ISO/IEC 27001:2005, происходит после обследования состояния ИБ, как и определение степени доработки уже существующей в организации документации по ИБ.

Формализация бизнес-процессов в рамках области деятельности СУИБ

На данной стадии в рамках области деятельности проводятся следующие работы:

• описание высокоуровневых бизнес-процессов, потоков данных со смежными подразделениями, владельцев высокоуровневых бизнес-процессов;

• интервьюирование ответственных сотрудников организации (руководства, специалистов по оптимизации бизнес-процессов и т.д.) для получения полной информации о бизнес-процессах области деятельности, входах, выходах, механизмах управления и контроля;

• составление и согласование карты описания бизнес-процессов организации;

• выдача рекомендаций по доработке рабочих, операционных инструкций в рамках описанных бизнес-процессов области деятельности СУИБ.

Выбор средств описания бизнес-процессов области деятельности СУИБ согласуется после проведения обследования состояния ИБ. Работы по описанию бизнес-процессов могут осуществляться параллельно работам по проведению анализа рисков и разработке документации.

Результатом данной стадии являются:

• документ, описывающий карту бизнес-процессов в рамках области деятельности СУИБ, отвечающий требованиям стандарта ISO/IEC 27001:2005;

• рекомендации по дополнительному документированию операционных процедур в рамках области деятельности СУИБ.