Провести анализ рисков

Установить границы управления информационной безопасностью

Определить политику информационной безопасности

Политика информационной безопасности является планом высокого уровня, который определяет цели и задачи системы информационной безопасности. Она не представляет собой директивы, нормативы, инструкции или средства управления и реализации. Она является исходным первичным документом, обеспечивающим планирование всей программы безопасности так же, как спецификация определяет номенклатуру выпускаемых изделий или входящих деталей и сборок. Практически политика сводится к определению перечня и разработке необходимых руководящих документов, а также основных положений, включая управление доступом, антивирусную защиту, вопросы резервного копирования, проведения регламентных и восстановительных работ, информированию об инцидентах в области информационной безопасности.

Описание этих границ включает в себя описание существующей структуры организации и изменений, которые предполагается внести в связи с созданием системы информационной безопасности, размещение вычислительных средств и поддерживающей инфраструктуры, перечень ресурсов корпоративной сети, подлежащих защите (средства вычислительной техники, данные, системное и прикладное программное обеспечение), технология обработки информации в КИС.

Риск — это вероятный ущерб, который понесет компания в результате раскрытия, модификации, утраты или недоступности своей информации. Риск зависит от двух факторов: стоимости информации и защищенности корпоративной сети, в которой она обрабатывается. Анализ рисков помогает понять, какие угрозы через какие уязвимости могут быть реализованы, и на основании этих данных спроектировать правильную систему защиты. Исходя из определения риска для проведения анализа рисков требуются следующие данные об информационной системе: перечень ценной информации с указанием уровня ее критичности, сведения об уязвимостях информационной системы и угрозах, которые на нее действуют.

Для получения этой информации необходимо провести инвентаризацию информационных ресурсов и оценку их стоимости. Результатом является перечень информации по ее критичности для бизнеса. Для упрощения данной работы рекомендуется разделить всю информацию на три вида:

— информация, являющаяся коммерческой тайной (доступна только для ограниченного круга лиц);

— конфиденциальная (доступная только для сотрудников компании);

— информация общего доступа.

Информация, являющаяся коммерческой тайной — это информация, которая является секретной в том понимании, что она в целом или в определенной форме и совокупности ее составляющих является и должна являться неизвестной и не легкодоступной. Она имеет коммерческую ценность и является предметом соответствующих мер по ее сбережению и секретности. Как правило, к коммерческой тайне на предприятии относят:

а) сведения делового характера — каналы поставок, сбыта товара и услуг, списки поставщиков, потребителей, тексты деловой переписки и договоров;

б) в сфере основной производственной деятельности — сведения о перспективах развития, штатное расписание, база данных клиентов, контрагентов, партнеров (и тому подобное), сведения об обработанных и наработанных заказах, сведения, предоставленные клиентами (контрагентами), разного рода «ноу-хау», технологические схемы, изобретения и рационализаторские предложения, промышленные образцы;

в) в сфере финансов — имущественное состояние, бюджет и обороты, операции по банковским счетам, сведения о финансовых, кредитных и иных операциях;

г) в сфере договорных отношений — условия договоров, сведения о ценах, сроках и условия исполнения договорных обязательств;

д) в иных сферах — сведения о номерах домашних телефонов и адресах работников и членов их семей, местонахождение руководителей, учредителей и членов их семей, текущие и стратегические планы развития предприятия, конфликтные ситуации и другие внутренние отношения.

К конфиденциальной информации, обычно относят учредительные документы, бухгалтерские данные, не вошедшие в перечень сведений составляющих коммерческую тайну, сведения о численности и составе работников, их заработной плате и иных выплатах, анкетные, медицинские и тому подобные данные сотрудников, а также иные документы, не подлежащие широкой огласке.

Вся другая информация, не подпадающая под коммерческую тайну и конфиденциальную информацию, относится к информации общего доступа как для сотрудников предприятия, так и для посторонних лиц.

Дата добавления: 2015-07-13