11. Разработка СУИБ (ISO/IЕС 27003-2010). Часть 2

4. Проведение оценки и планирование обработки рисков

Цель: Определить методологию оценки риска, определить, проанализировать и оценить риски ИБ, чтобы выбрать варианты их обработки и средства ИБ.

Проведение оценки и планирование обработки рисков определяют следующие процессы:
1) проведение оценки рисков;
2) выбор средств ИБ;
3) получение санкции руководства на внедрение и использование СУИБ.

4.1. Проведение оценки рисков

Исходные данные:
- выходные данные раздела 2 - область действия и политика СУИБ;
- выходные данные раздела 3 - состояние ИБ и информационные активы;
- ISO/IEC 27005 - управление рисками ИБ.

Рекомендации. Оценка рисков состоит из следующих мероприятий:
- идентификация рисков;
- измерение рисков;
- оценивание рисков.

При оценке рисков необходимо определить:
- угрозы и их источники;
- меры защиты;
- уязвимости;
- последствия нарушений ИБ.

При оценке риска нужно также осуществить:
- оценку уровня риска;
- оценку влияния инцидента на организацию;
- сравнение уровня риска с критериями оценки и приемлемости.

Выходные данные:
- описание методологий оценки рисков;
- результаты оценки рисков.

4.2. Выбор средств ИБ

Исходные данные:
- выходные данные 4.1 - результаты оценки риска;
- ISO/IEC 27002 - правила СУИБ;
- ISO/IEC 27005 - управление рисками ИБ;
- ISO/IEC 27035 - управление инцидентами ИБ.

Рекомендации: важно продемонстрировать, как выбранные меры и средства защиты могут снизить риск и вероятность возникновения инцидента. В случае снижения риска установление соотношения между каждым риском (вероятным инцидентом) и выбранными средствами является полезным для разработки СУИБ.

Разработка плана обработки инцидентов

Цель плана обработки инцидентов ИБ - обеспечить подробную документацию, описывающую процессы и процедуры обработки событий, инцидентов и уязвимостей ИБ и их взаимодействия. План обработки инцидентов ИБ приводится в действие при обнаружении события ИБ или сообщении об уязвимости ИБ.

Каждая организация должна использовать план в качестве руководства для:
- реагирования на события ИБ;
- определения того, становятся ли события ИБ инцидентами;
- управления инцидентами ИБ до их разрешения;
- реагирования на уязвимости ИБ;
- идентификации полученных уроков при обработке инцидентов, а также необходимых улучшений СУИБ;
- реализации улучшений СУИБ.

Выходные данные:
- перечень выбранных мер и средств защиты;
- планы обработки рисков и инцидентов.

4.3. Получение санкции руководства на внедрение и использование СУИБ

Исходные данные:
- выходные данные 1.4 - утвержденный начальный проект СУИБ;
- выходные данные раздела 2 - область действия и политика СУИБ;
- выходные данные 4.1 - результаты оценки риска;
- выходные данные 4.2 - планы обработки рисков и инцидентов.

Рекомендации: необходимо получить одобрение высшего руководства для принятия решения о принятии остаточных рисков, а также санкцию на фактическое использование СУИБ. Эти решения должны основываться на оценке рисков и вероятности их возникновения в результате внедрения СУИБ, в сравнении с рисками, возникающими в случае, когда СУИБ не применияется.

Выходные данные:
- письменное одобрение руководством внедрения СУИБ;
- утверждение руководством планов обработки рисков и инцидентов;
- положение о применимости, включающее выбранные меры и средства защиты.

5. Разработка СУИБ

Цель: Составить конечный план внедрения СУИБ путем разработки системы безопасности организации на основе выбранных вариантов обработки риска, а также требований, касающихся записей и документов и разработки средств управления, объединяющих меры безопасности ИКТ, физические и организационные процессы и разработку специальных требований для СУИБ.

При разработке СУИБ следует принять во внимание следующие аспекты:
- безопасность организации;
- безопасность ИКТ;
- безопасность физических объектов;
- особые требования к СУИБ.

Безопасность организации охватывает административные аспекты ИБ, включая ответственность за обработку риска. Безопасность ИКТ охватывает аспекты ИБ, связанные с ответственностью за снижение рисков при выполнении операций с ИКТ.

Безопасность физических объектов охватывает аспекты ИБ, связанные, в частности, с ответственностью, возникающей при проработке физического окружения, например, зданий и их инфраструктуры, за снижение риска. Особые требования к СУИБ охватывают аспекты соответствии СУИБ требованиям ISO/IEC 27001 в отличие от предыдущих аспектов.

Разработку СУИБ определяют следующие процессы:
1) разработка системы ИБ организации;
2) разработка системы ИБ ИКТ и физических объектов;
3) создание условий надежного функционирования СУИБ;
4) разработка окончательного плана проекта СУИБ.

5.1. Разработка системы ИБ

Разработку системы ИБ обеспечивают следующие разработки:
- конечной структуры организации для ИБ;
- основы для документирования СУИБ;
- политики ИБ;
- стандартов и процедур обеспечения ИБ.

5.1.1. Разработка конечной структуры организации для ИБ

Необходимо сопоставить функции, роли и сферы ответственности в организации, связанные с ИБ, с обработкой рисков.

Исходные данные:
- выходные данные 1.1.2 - таблица ролей и сфер ответственности;
- выходные данные 2.3 - область действия и границы СУИБ;
- выходные данные 2.4 - политика СУИБ;
- выходные данные 3.1 - требования к ИБ для процесса СУИБ;
- выходные данные 3.2 - активы в рамках области действия СУИБ;
- выходные данные 3.3 - результаты оценки ИБ;
- выходные данные 4.1 - результаты оценки рисков;
- выходные данные 4.2 - планы обработки рисков и инцидентов;
- ISO/IEC 27002 - правила СУИБ;
- ISO/IEC 27035 - управление инцидентами ИБ.

Рекомендации: при разработке структуры организации и процессов для внутренних операций СУИБ следует попытаться создать их и обьединить с уже существующими, если это практически применимо.

Согласно стандарта ISO/IEC 27035, в первую очередь, необходимо создать группу технической поддержки, чтобы обеспечить поддержку всех аспектов информационных технологий и связанной с ними обработки информации. Как только приходит сообщение о событии ИБ, группа поддержки обрабатывает его в фазе обнаружении и оповещения.

Во вторую очередь, необходимо создать в организации специальную группу реагирования на инциденты ИБ (ГРИИБ). Целью ее создания является обеспечение организации соответствующим персоналом для оценки, реагирования иа инциденты ИБ и извлечения уроков из них, а также необходимой координации всех заинтересованных сторон и процесса обмена информацией.

Кроме того, организация обеспечить взаимодействие с внутренними подразделениями и внешними организациями, которые имеют отношение к управлению событиями, инцидентами и уязвимостями ИБ в организации.

Важно определить, какой орган в схеме обеспечения политики управления инцидентами ИБ руководитель ГРИИБ оповещает о серьезных инцидентах ИБ. Процедуры общения со СМИ и ответственность за это общение также должны быть согласованы с высшим руководством. Эти процедуры должны определить представителя организации по работе со СМИ и его взаимодействие с ГРИИБ.

Выходные данные: документ, описывающий структуру организации, роли и сферы ответственности.

5.1.2. Разработка основы для документирования СУИБ

Необходимо проконтролировать записи и документы в системе СУИБ путем определения основы, которая позволит выполнить требования по текущему контролю записей и документов в системе СУИБ.

Исходные данные:
- выходные данные 1.3 - первоначально утвержденный проект СУИБ;
- выходные данные 2.4 - область действия и границы СУИБ;
- выходные данные 2.5 - политика СУИБ;
- выходные данные 5.1.1 - структура организации, роли и сферы ответственности;
- ISO/IЕС 27002 - правила СУИБ.

Рекомендации: документация по СУИБ должна включать записи решений руководства, обеспечивать возможность отслеживания действий для принятия решений и разработки политики руководством и воспроизводимость записанных результатов. Необходимо осуществлять управление документами СУИБ и сделать их доступными персоналу.

Эти действия включают:
- учреждение административной процедуры управления документами СУИБ;
- подтверждение соответствия формата документов перед изданием;
- обеспечение определения изменений и текущего состояния редакций документов;
- защита и контроль документов как информационных активов организации.

Также требуется сохранять записи состояния внедрения системы для всей фазы «PDCA», а также записи об инцидентах и событиях ИБ, записи об обучении, навыках, опыте и квалификации, внутреннем аудите СУИБ, корректирующих и предупреждающих действиях и организационные записи.

Для контроля записей необходимо выполнить следующие задачи:
- документировать меры и средства контроля и управления, требуемые для идентификации, хранения, защиты, поиска и удаления данных, и документировать продолжительность хранения;
- определить, что и в какой степени должно записываться в процессах управления организацией;
- если соответствующим законодательством определен какой-либо период хранения, он должен быть установлен в соответствии с этими требованиями.

Выходные данные:
- документ, описывающий требования к записям СУИБ и контролю документации;
- хранилища и шаблоны требуемых записей СУИБ.

5.1.3. Разработка политики ИБ

Необходимо документировать стратегическую позицию руководства и администрации, связанную с целями ИБ в отношении использования СУИБ.

Исходные данные:
- выходные данные 1.1 - приоритеты организации для разработки СУИБ;
- выходные данные 1.3 - первоначально утвержденный проект СУИБ;
- выходные данные 2.4 - область действия и границы СУИБ;
- выходные данные 2.5 - политика СУИБ;
- выходные данные 3.1 - требования к ИБ для процесса СУИБ;
- выходные данные 3.2 - активы в рамках области действия СУИБ;
- выходные данные 3.3 - результаты оценки ИБ;
- выходные данные 4.2 - планы обработки рисков и инцидентов;
- выходные данные 4.3 - положение о применимости;
- выходные данные 5.1.1 - структура организации для ИБ;
- выходные данные 5.1.2 - основы документирования СУИБ;
- ISO/IЕС 27002 – правила СУИБ.

Рекомендации: политика ИБ документирует стратегическую позицию организации в отношении ИБ во всей организации. Объем и структура политики ИБ должны подкреплять документы, которые используются на следующем этапе процесса для введения СУИБ.

Для больших организаций со сложной структурой (с широким спектром различных областей деятельности) может возникнуть необходимость создания общей политики и множества политик более низкого уровня, адаптированных к конкретным областям деятельности.

Предлагаемая политика (с номером версии и датой) должна быть подвергнута проверке и утверждена в организации руководством. Затем она доводится до сведения каждого работника организации надлежащим способом, чтобы стать доступной и понятной для читателей.

Выходные данные: задокументированная и утвержденная руководством политика ИБ.

5.1.4. Разработка стандартов и процедур обеспечения ИБ

Исходные данные:
- выходные данные 2.4 - область действия и границы СУИБ;
- выходные данные 2.5 - политика СУИБ;
- выходные данные 4.2 - план обработки рисков;
- выходные данные 4.3 - положение о применимости;
- выходные данные 5.1.1 - структура организации для ИБ;
- выходные данные 5.1.2 - основы документирования СУИБ;
- выходные данные 5.1.3 - политики ИБ;
- ISO/IEC 27002 - правила СУИБ.

Рекомендации: в процессе разработки стандартов и процедур должны участвовать представители разных частей организации, попадающих в область действия системы СУИБ. Участники процесса должны иметь полномочия и являться представителями организации. Стандарты и процедуры ИБ должны впоследствии использоваться в качестве основы для разработки подробных технических и оперативных процессов.

Документация должна предоставляться каждому сотруднику организации, попадающему в область действия СУИБ. Стандарты и процедуры по ИБ должны применяться ко всей организации или точно указывать, какие роли, системы и подразделения попадают под их действие. Процесс редактирования и проверки должен быть определен на ранней стадии. Необходимо создать стратегию и технологию распространения информации об изменениях политики ИБ.

Выходные данные:

- стандарты ИБ:

- процедуры обеспечения ИБ для получения стандартов ИБ.

5.2. Разработка системы ИБ ИКТ и физических объектов

Исходные данные:
- выходные данные 2.5 - область действия и границы СУИБ;
- выходные данные 2.6 - политика СУИБ;
- выходные данные 3.2 - требования к ИБ для процесса СУИБ;
- выходные данные 3.3 - активы в рамках области действия СУИБ;
- выходные данные 3.4 - результаты оценки ИБ;
- выходные данные 4.3 - положение о применимости;
- ISO/IEC 27002 – правила СУИБ.

Рекомендации. Необходимо документировать следующую информацию:
- имя лица, ответственного за внедрение мер защиты;
- приоритет внедряемых мер защиты;
- задачи или действия по внедрению;
- установление времени, в течение которого должно быть внедрено средство защиты;
- лицо, перед которым нужно отчитываться о внедрении мер защиты по его завершению;
- ресурсы для внедрения (рабочая сила, требуемое пространство, затраты).

Сферы ответственности за процесс первоначального внедрения обычно включают:
- задание целей управления с описанием предполагаемого планируемого состояния;
- распределение ресурсов (объем работ, финансовые ресурсы);
- реальное заданное время внедрения мер защиты;
- варианты объединения с системами безопасности ИКТ, физических объектов и организации.

Сферы ответственности за процесс фактического внедрения включают:
- разработку каждого из средств защиты для области безопасности ИКТ, физических объектов и организации на оперативном уровне рабочего места;
- конкретизацию каждой меры защиты в соответствии с согласованным проектом;
- предоставление процедур и информации для органов управления и учебных курсов, способствующих информированию в сфере безопасности;
- оказание помощи и внедрение средств управления на рабочем месте.

ИБ должна быть объединена в процедуры и процессы, применяемые во всей организации. Если для части организации или третьей стороны окажется трудным внедрение этих процедур и процессов, соответствующие стороны должны сообщить об этом немедленно, чтобы согласовать решение проблемы. Решение по подобным вопросам включает изменение процедур или процессов, перераспределение должностей и сфер ответственности и адаптацию технических процедур.

Результаты внедрения средств ИБ должны быть следующими:
- план внедрения, в котором подробно описывается внедрение средств защиты, например, график, структура группы по внедрению и т.д.;
- записи и документация по результатам внедрения.

Выходные данные. Структурированный подробный план внедрения средств управления, связанных с безопасностью ИКТ и физических обьектов, включает:
- подробное описание;
- сферы ответственности за разработку и внедрение;
- предполагаемые временные шкалы;
- связанные задачи;
- требуемые ресурсы;
- собственность (линии отчетности).

5.3. Создание условий для надежного функционирования СУИБ

Создание условий для надежного функционирования СУИБ предполагает разработку следующих документов:
- план проверок, проводимых руководством;
- программа обучения в области ИБ.

5.3.1. План проверок, проводимых руководством

Необходимо разработать план, обеспечивающий участие руководства и выдачу поручений на проверку работы СУИБ и проводимых улучшений.

Исходные данные:
- выходные данные 2.4 - область действия и границы СУИБ;
- выходные данные 2.5 - политика СУИБ;
- выходные данные 4.3 - положение о применимости;
- выходные данные 5.1.3 - политики ИБ;
- ISO/IEC 27004 - проведение измерений СУИБ.

Рекомендации: проверка руководством действия по внедрению СУИБ должна начинаться на самых ранних стадиях задания условий для СУИБ и описания случая применения СУИБ и продолжаться вплоть до регулярных проверок операций СУИБ.

Планирование проверок, проводимых руководством, включает установление времени и способа проведения проверок. Чтобы запланировать проверку, необходимо определить, какие должностные лица должны в ней участвовать. Назначенные должностные лица должны быть утверждены руководством и проинформированы об этом как можно раньше

Проверки, проводимые руководством, должны основываться на результатах измерений СУИБ и другой информации, накопленной за время использования СУИБ. Эта информация используется для выполнения действий руководством для определения готовности и эффективности СУИБ.

До проведения проверки руководством необходимо запланировать внутренний аудит. Результаты внутреннего аудита СУИБ являются важными исходными данными для проверок СУИБ, проводимых руководством.

Внутренний аудит СУИБ должен включать проверку того, эффективно ли внедряются и обеспечиваются меры защиты, процессы и процедуры СУИБ и соответствуют ли они:
- требованиям ISO/IEC 27001;
- действующему законодательству и правилам;
- другим требованиям ИБ.

Предварительным условием для проведения проверок СУИБ, проводимых руководством, являются данные его постоянного мониторинга. В процессе мониторинга СУИБ должны документироваться его результаты, которые записываются и сообщаются руководству.

Информация, предоставляемая руководству, может включать следующее:
- отчеты об инцидентах за последний период использования СУИБ;
- отчеты по внедрению СУИБ и обнаруженные несоответствия;
- результаты других регулярных проверок;
- рекомендации по улучшению СУИБ.

Выходные данные

Документ, содержащий план организации проверок, проводимых руководством, и включающий:
- исходные данные, требуемые для проверки СУИБ руководством;
- процедуры проверок, проводимых руководством и касающихся аспектов аудита, мониторинга и измерения.

5.3.2. Программа обучения в области ИБ

Исходные данные:
- выходные данные 2.4 - область действия и границы СУИБ;
- выходные данные 2.5 - политика СУИБ;
- выходные данные 3.1, - требований к ИБ для процесса СУИБ;
- выходные данные 4.2 - план обработки рисков;
- выходные данные 4.3 - положение о применимости;
- выходные данные 5.1.3 - политики ИБ;
- выходные данные 5.1.4 - стандарты и процедуры ИБ;
- обзор общей программы обучения в организации.

Рекомендации: руководство отвечает за обучение, чтобы сотрудники, назначенные на определенные должности, имели необходимые знания для выполнения требуемых операций. Содержание программы образования и обучения должно помогать всем сотрудникам знать и понимать значение и важность операций по обеспечению ИБ, в которых они участвуют, и то, как они могут способствовать достижению целей.

Программа обучения с целью информирования по вопросам ИБ должна обеспечивать составление записей по обучению в области ИБ. Эти записи должны регулярно проверяться для обеспечения получения требуемого обучения всеми сотрудниками. Необходимо назначить должностное лицо, ответственное за этот процесс.

Материалы по обучению в области ИБ должны быть разработаны таким образом, чтобы они были связаны с другими обучающими материалами, используемыми в организации, особенно, учебные курсы для пользователей ИС. Обучение по существенным аспектам ИБ должно включаться в каждый учебный курс для пользователей ИС.

Обучающие материалы по ИБ должны включать, как минимум, следующие пункты в зависимости от целевой аудитории:
- основные термины ИБ;
- риски и угрозы ИБ;
- четкое определение инцидента ИБ: рекомендации по его обнаружению, устранению и отчетности;
- политики ИБ, стандарты и процедуры организации;
- сферы ответственности и каналы отчетности, связанные с ИБ;
- рекомендации по оказанию помощи в повышении уровня ИБ;
- рекомендации, связанные с нарушениями ИБ и отчетностью;
- координаты получения дополнительной информации.

Необходимо определить группу по обучению ИБ, которая может выполнять следующие задачи:
- создание и управление записями по ИБ;
- составление и управления материалами по обучению;
- проведение обучения.

Выходные данные:
- материалы по обучению в области ИБ;
- формирование программ обучения в области ИБ, включая роли и сферы ответственности;
- планы обучения в области ИБ;
- записи, показывающие результаты обучения работников в области ИБ.

5.4. Разработка окончательного плана проекта СУИБ

Исходные данные:
- выходные данные 2.4 - область действия и границы СУИБ;
- выходные данные 2.5 - политика СУИБ;
- выходные данные 5.1 - разработка системы ИБ;
- выходные данные 5.2 - разработка системы ИБ ИКТ и физических объектов;
- выходные данные 5.3 - разработка ИБ, связанной с СУИБ;
- ISO/IEC 27002 - правила СУИБ.

Рекомендации: действия, требуемые для внедрения выбранных средств управления и выполнения других действий, связанных с системой СУИБ, должны быть оформлены в виде подробного плана внедрения как части конечного проекта СУИБ.

Подробный план внедрения системы также может подкрепляться описаниями предложенных инструментов и методов внедрения. Поскольку проект СУИБ включает множество различных ролей в организации, важно, чтобы действия были четко определены для ответственных сторон и план был распространен на ранних стадиях проекта во всей организации.

Выходные данные этого действия представляют собой окончательный план проекта внедрения СУИБ.

----------------------------------------------------------------------------------------------------

Книга | Автор | Статьи | Фильмы | Фото | Ссылки | Отзывы

Контакт | Студентам | Ветеранам | Астрология | Карта сайта



Рейтинг@Mail.ru Яндекс.Метрика