Оценка рисков информационной безопасности

 

Требования к информационной безопасности определяются с помощью систематической оценки рисков. Решения о расходах на мероприятия по управлению информационной безопасностью должны приниматься, исходя из возможного ущерба, нанесенного бизнесу в результате нарушений информационной безопасности. Методы оценки риска могут применяться как для всей организации, так и для какой-либо ее части, отдельных информационных систем, определенных компонентов систем или услуг, а именно там, где это практически выполнимо и целесообразно.

 

Оценка риска - это систематический анализ:

 

- вероятного ущерба, наносимого бизнесу в результате нарушений информационной безопасности с учетом возможных последствий от потери конфиденциальности, целостности или доступности информации и других активов;

 

- вероятности наступления такого нарушения с учетом существующих угроз и уязвимостей, а также внедренных мероприятий по управлению информационной безопасностью.

 

Результаты этой оценки помогут в определении конкретных мер и приоритетов в области управления рисками, связанными с информационной безопасностью, а также внедрению мероприятий по управлению информационной безопасностью с целью минимизации этих рисков.

 

Может потребоваться неоднократное проведение оценки рисков и выбора мероприятий по управлению информационной безопасностью для того, чтобы охватить различные подразделения организации или отдельные информационные системы.

 

Важно периодически проводить анализ рисков в области информационной безопасности и внедренных мероприятий по управлению информационной безопасностью для того, чтобы учесть:

 

- изменения требований и приоритетов бизнеса;

 

- появление новых угроз и уязвимостей;

 

- снижение эффективности существующих мероприятий по управлению информационной безопасностью.

 

Уровень детализации такого анализа следует определять в зависимости от результатов предыдущих проверок и изменяющегося уровня приемлемого риска. Оценка рисков обычно проводится сначала на верхнем уровне, при этом ресурсы направляются в области наибольшего риска, а затем на более детальном уровне, что позволяет рассмотреть специфические риски.

 

Выбор мероприятий по управлению информационной безопасностью

 

После того, как определены требования к информационной безопасности, следует выбрать и внедрить такие мероприятия по управлению информационной безопасностью, которые обеспечат снижение рисков до приемлемого уровня. Эти мероприятия могут быть выбраны из настоящего стандарта, других источников, а также могут быть разработаны собственные мероприятия по управлению информационной безопасностью, удовлетворяющие специфическим потребностям организации. Имеется множество различных подходов к управлению рисками; в настоящем стандарте приводятся примеры наиболее распространенных методов. Однако следует отметить, что некоторые из мероприятий по управлению информационной безопасностью неприменимы к отдельным информационным системам и средам и могут оказаться неприемлемыми для конкретных организаций. Например, в 8.1.4 приводится описание того, как могут быть распределены должностные обязанности, чтобы предотвратить ошибки и мошенничество. В небольших организациях может оказаться невозможным разделение всех должностных обязанностей; тогда для достижения той же цели может быть необходимо принятие альтернативных мероприятий по управлению информационной безопасностью. В качестве другого примера можно привести 9.7 и 12.1 - осуществление мониторинга использования системы и сбора доказательств. Указанные мероприятия по управлению информационной безопасностью, такие, как регистрация событий в системе, могут вступать в конфликт с законодательством, действующим, например, в отношении защиты от вторжения в личную жизнь клиентов или сотрудников.

 

Выбор мероприятий по управлению информационной безопасностью должен основываться на соотношении стоимости их реализации к эффекту от снижения рисков и возможным убыткам в случае нарушения безопасности. Также следует принимать во внимание факторы, которые не могут быть представлены в денежном выражении, например, потерю репутации.

 

Некоторые мероприятия по управлению информационной безопасностью, приведенные в настоящем стандарте, могут рассматриваться как руководящие принципы для управления информационной безопасностью и применяться для большинства организаций. Более подробно такие мероприятия рассматриваются ниже.

 

Отправная точка для внедрения информационной безопасности

 

Отдельные мероприятия по управлению информационной безопасностью могут рассматриваться как руководящие принципы для управления информационной безопасностью и служить отправной точкой для ее внедрения. Такие мероприятия либо основываются на ключевых требованиях законодательства, либо рассматриваются как общепринятая практика в области информационной безопасности.

 

Ключевыми мерами контроля с точки зрения законодательства являются:

 

- обеспечение конфиденциальности персональных данных (12.1.4);

 

- защита учетных данных организации (12.1.3);

 

- права на интеллектуальную собственность (12.1.2).

 

Мероприятия по управлению информационной безопасностью, рассматриваемые как общепринятая практика в области информационной безопасности, включают:

 

- наличие документа, описывающего политику информационной безопасности (3.1);

 

- распределение обязанностей по обеспечению информационной безопасности (4.1.3);

 

- обучение вопросам информационной безопасности (6.2.1);

 

- информирование об инцидентах, связанных с информационной безопасностью (6.3.1);

 

- управление непрерывностью бизнеса (11.1).

 

Перечисленные мероприятия применимы для большинства организаций и информационных сред. Следует отметить, что, хотя все приведенные в настоящем стандарте мероприятия являются важными, уместность какой-либо меры должна определяться в свете конкретных рисков, с которыми сталкивается организация. Следовательно, несмотря на то, что вышеописанный подход рассматривается как отправная точка для внедрения мероприятий по обеспечению информационной безопасности, он не заменяет выбор мероприятий по управлению информационной безопасностью, основанный на оценке рисков.

 

Важнейшие факторы успеха

 

Практика показывает, что для успешного внедрения информационной безопасности в организации решающими являются следующие факторы:

 

- соответствие целей, политик и процедур информационной безопасности целям бизнеса;

 

- согласованность подхода к внедрению системы безопасности с корпоративной культурой;

 

- видимая поддержка и заинтересованность со стороны руководства;

 

- четкое понимание требований безопасности, оценка рисков и управление рисками;

 

- обеспечение понимания необходимости применения мер информационной безопасности руководством и сотрудниками организации;

 

- передача инструкций в отношении политики информационной безопасности и соответствующих стандартов всем сотрудникам и контрагентам;

 

- обеспечение необходимого обучения и подготовки;

 

- всесторонняя и сбалансированная система измеряемых показателей, используемых для оценки эффективности управления информационной безопасностью и предложений по ее улучшению, поступивших от исполнителей.

 

Разработка собственных руководств организации

 

Настоящий стандарт должен расцениваться как отправная точка для разработки руководства под конкретные нужды организации. Не все инструкции и мероприятия, приведенные в настоящем стандарте, могут быть применимыми.

 

Более того, могут потребоваться дополнительные меры, не включенные в настоящий стандарт. В этом случае может быть полезным сохранение перекрестных ссылок, которые облегчат проверку соответствия, проводимую аудиторами и партнерами по бизнесу.

 

Область применения

 

Настоящий стандарт устанавливает рекомендации по управлению информационной безопасностью лицам, ответственным за планирование, реализацию или поддержку решений безопасности в организации. Он предназначен для обеспечения общих основ для разработки стандартов безопасности и выбора практических мероприятий по управлению безопасностью в организации, а также в интересах обеспечения доверия в деловых отношениях между организациями. Рекомендации настоящего стандарта следует выбирать и использовать в соответствии с действующим законодательством.

 

2 Термины и определения

 

В настоящем стандарте применены следующие термины с соответствующими определениями:

 

2.1 информационная безопасность: Защита конфиденциальности, целостности и доступности информации.

 

Примечания   1 конфиденциальность: Обеспечение доступа к информации только авторизованным пользователям.   2 целостность: Обеспечение достоверности и полноты информации и методов ее обработки.   3 доступность: Обеспечение доступа к информации и связанным с ней активам авторизованных пользователей по мере необходимости.

 

 

2.2 оценка рисков: Оценка угроз, их последствий, уязвимости информации и средств ее обработки, а также вероятности их возникновения.

 

2.3 управление рисками: Процесс выявления, контроля и минимизации или устранения рисков безопасности, оказывающих влияние на информационные системы, в рамках допустимых затрат.

 

Политика безопасности

12345678910Следующая ⇒

Поделиться:

Популярное:

1. I. Техники безопасности при подготовительных работах.
2. II.Техника безопасности при возведении земляного полотна.
3. III. ОБЕСПЕЧЕНИЕ БЕЗОПАСНОСТИ УЧАСТНИКОВ И ЗРИТЕЛЕЙ, МЕДИЦИНСКОЕ ОБЕСПЕЧЕНИЕ, АНТИДОПИНГОВОЕ ОБЕСПЕЧЕНИЕ СПОРТИВНЫХ СОРЕВНОВАНИЙ
4. SecurityManager – менеджер безопасности
5. Анализ и оценка ликвидности и платежеспособности ООО «Торговый дом «Электрокабель»
6. Анализ и оценка системы управления персоналом в ПИК «СибЭкоДом»
7. Анализ и оценка финансовых результатов.
8. Анализ и оценка эффективности использования трудовых ресурсов.
9. Анализ налоговой нагрузки и рисков
10. Анализ пожарной безопасности нефтехранилища
11. Анализ рисков и выбор оптимальной стратегии
12. Анализ финансовых результатов и оценка рентабельности