Разработка

Первоначальный аудит безопасности

Жизненный цикл политики безопасности

Поддержка руководства организации

На этапе внедрения ПБ решающее значение имеет поддержка руководства организации. ПБ вводится в действие приказом руководителя организации и процесс ее внедрения должен находится у него на контроле. В ПБ должна быть явным образом прописана озабоченность руководства вопросами обеспечения ИБ. Со стороны координатора рабочей группы по разработке ПБ руководству организации должны быть разъяснены риски, возникающие в случае отсутствия ПБ, а предписываемые ПБ меры обеспечения ИБ должны быть экономически обоснованны.

Разработка ПБ – длительный и трудоемкий процесс, требующего высокого профессионализма, отличного знания нормативной базы в области ИБ и, помимо всего прочего, писательского таланта. Этот процесс обычно занимает многие месяцы и не всегда завершается успешно. Координатором этого процесса является специалист, на которого руководство организации возлагает ответственность за обеспечение ИБ. Эта ответственность обычно концентрируется на руководителе Отдела информационной безопасности, Главном офицере по информационной безопасности (CISO), Главном офицере безопасности (CSO), ИТдиректоре (CIO), либо на руководителе Отдела внутреннего аудита. Этот специалист координирует деятельность рабочей группы по разработке и внедрению ПБ на протяжении всего жизненного цикла, который состоит из пяти последовательных этапов, описанных ниже.

1. Первоначальный аудит безопасности

2. Разработка

3. Внедрение

4. Аудит и контроль

5. Пересмотр и корректировка

Аудит безопасности – это процесс, с которого начинаются любые планомерные действия по обеспечению ИБ в организации. Он включает в себя проведение обследования, идентификацию угроз безопасности, ресурсов, нуждающихся в защите и оценку рисков. В ходе аудита производится анализ текущего состояния ИБ, выявляются существующие уязвимости, наиболее критичные области функционирования и наиболее чувствительные к угрозам ИБ бизнес процессы.

Разработка политик безопасности собственными силами – длительный и трудоемкий процесс, требующего высокого профессионализма, отличного знания нормативной базы в области ИБ и, помимо всего прочего, писательского таланта. Этот процесс обычно занимает годы и не всегда завершается успешно.

Большинство организаций не располагают собственными людскими ресурсами, необходимыми для квалифицированной разработки и внедрения ПБ. В любом случае себестоимость подобных работ составляет десятки тысяч долларов.

Организации, привлекающие к разработке ПБ сторонник консультантов, обычно платят за эту услугу цену, сопоставимую с себестоимостью подобных работ, выполненных собственными силами.

Отыскать готовые политики безопасности, которые бы оказались применимыми в вашей организации, соответствовали бы ее структуре и требованиям безопасности практически нереально. Несмотря на доступность соответствующих, в основном англоязычных, ресурсов в сети Интернет (описание которых можно найти в соответствующем разделе нашего сайта) они являются абсолютно непригодными для практического использования и могут служить только основой для разработки собственных ПБ.

l Аудит безопасности позволяет собрать и обобщить сведения, необходимые для разработки ПБ. На основании результатов аудита определяются основные условия, требования и базовая система мер по обеспечению ИБ в организации, позволяющих уменьшить риски до приемлемой величины, которые оформляются в виде согласованных в рамках рабочей группы решений и утверждаются руководством организации.

l Разработка ПБ с нуля не всегда является хорошей идеей. Во многих случаях можно воспользоваться существующими наработками (3), ограничившись адаптацией типового комплекта ПБ к специфическим условиям своей организации. Этот путь позволяет сэкономить многие месяцы работы и повысить качество разрабатываемых документов. Кроме того, он является единственно приемлемым в случае отсутствия в организации собственных ресурсов для квалифицированной разработки ПБ.

Дата добавления: 2014-01-20