Разработка стратегии информационной безопасности

Стратегия ИБ – это единый документ, утвержденный руководством организации, который определяет подходы к обеспечению информационной безопасности на продолжительный срок. Она определяет цели и задачи системы обеспечения ИБ, принципы ее организации, функционирования и управления, а также основные направления создания и развития целостной системы обеспечения безопасности информации заказчика.

Стратегия ИБ включает в себя правовые, оперативные, технологические, организационные, технические и физические меры по защите информации, которые находятся в тесной взаимосвязи между собой.

Стратегия ИБ определяет направления обеспечения ИБ во всех областях деятельности заказчика и на всех участках его информационных и автоматизированных систем. При ее разработке должны учитываться цели и потребности компании, ее организация, структура и размещение информационных и коммуникационных систем, характер решаемых бизнес-задач и перспективы развития информационных технологий.

Она служит методологической основой для составления нормативно-методических и организационно-распорядительных документов, а также внедрения практических мер, методов и средств защиты информации. Стратегия ИБ является долгосрочным документом и пересматривается по решению руководства заказчика в случае кардинальных изменений направления бизнеса организации или внешних условий его ведения.

В число задач, решаемых при ее разработке, входят:

• формирование целостного представления и системы взглядов на обеспечение информационной безопасности заказчика и взаимоувязка различных ее элементов;

• определение путей развития ИБ, основополагающих целей и задач системы обеспечения ИБ;

• определение путей реализации мер, обеспечивающих необходимый уровень надежной защиты информационных ресурсов;

• создание методологической основы для разработки нормативно-методических и организационно-распорядительных документов по ИБ, практических мер, методов и средств защиты информации.

Разработка стратегии ИБ включает в себя несколько этапов.

Первым этапом является сбор и анализ информации, необходимой для разработки стратегии обеспечения ИБ. На данном этапе специалисты компании-консультанта знакомятся с организационно-распорядительными документами по ИБ, утвержденными в организации заказчика, а также проводят интервью с представителями высшего руководства заказчика, с руководителями основных направлений бизнеса и обеспечивающих подразделений с целью:

• определения стратегических бизнес-целей организации;

• идентификации требований руководства, подразделений Информационных технологий и Информационной безопасности по обеспечению ИБ;

• анализа организационной структуры и ролей персонала по обеспечению ИБ;

• оценки соответствия действующих мер безопасности идентифицированным требованиям руководства, подразделений Информационных технологий и Информационной безопасности по обеспечению ИБ;

• идентификации критичных бизнес-процессов организации;

• идентификации ключевых информационных систем и сервисов;

• определения наиболее значительных для организации рисков ИБ.

На этапе сбора основной информации о процессах ИБ проводятся интервью со следующими ответственными лицами:

1. Высшее руководство организации.

2. Руководители, ответственные за:

• развитие бизнеса;

• подготовку финансовой отчетности;

• управление персоналом;

• управление ИТ;

• управление ИБ;

• управление операционными рисками;

• внутренний аудит.