Опубликован: 03.09.2003 | Уровень: специалист | Доступ: платный
Лекция 15:

Британский стандарт BS 7799

< Лекция 14 || Лекция 15: 12345 || Лекция 16 >
Аннотация: Подробно рассматривается британский стандарт BS 7799, ставший основой международного стандарта ISO/IEC 17799. Он помогает решить проблемы административного и процедурного уровней информационной безопасности.
Ключевые слова: info, ПО, управление информационной безопасностью, систематический, регулятор безопасности, планирование, реализация, ущерб, информационные системы, политика безопасности, классификация активов, управление активами, безопасность персонала, физическая безопасность, безопасность окружающей среды, администрирование систем, администрирование сетей, управление доступом, сопровождение информационных систем, контроль соответствия требованиям, распределение обязанностей, уведомление о случаях нарушения защиты, антивирусное средство, планирование бесперебойной работы, защита данных, соответствие политике безопасности, риск, security management, ISM, корректировка, анализ, ревизия политики безопасности, группа, подгруппа, инфраструктура, безопасность, доступ, требования безопасности, идентификация, активы, метки безопасности, меры реагирования, механизмы, защищенная область, работ, документирование, доклад о нарушении, разделение обязанностей, злоупотребление полномочиями, средства разработки, превентивные меры, резервное копирование, протоколирование, регистрация, контроль, системная документация, обмен данными, управление паролями, политика использования, управление маршрутизацией, сетевой сервис, опасная ситуация, разграничение доступа, разработка информационных систем, шифрование, электронная цифровая подпись, неотказуемость, управление криптографическими ключами, скрытый канал, троянская программа, очередь, персональные данные, аудит, инструментарий, оценка, процесс управления, область действия, график, коррекция, анализ тенденций, цикла

Обзор стандарта BS 7799

Продолжая рассмотрение стандартов и спецификаций, относящихся к административному и процедурному уровням информационной безопасности, мы приступаем к изучению двух частей британского стандарта BS 7799 (см. [ 31 ] , [ 32 ] ), фактически имеющего статус международного (ISO/IEC 17799). Русский перевод первой части опубликован в качестве приложения к информационному бюллетеню Jet Info [ 28 ] .

Первая часть стандарта, по-русски именуемая "Управление информационной безопасностью". Практические правила", содержит систематический, весьма полный, универсальный перечень регуляторов безопасности, полезный для организации практически любого размера, структуры и сферы деятельности. Она предназначена для использования в качестве справочного документа руководителями и рядовыми сотрудниками, отвечающими за планирование, реализацию и поддержание внутренней системы информационной безопасности.

Согласно стандарту, цель информационной безопасности - обеспечить бесперебойную работу организации, по возможности предотвратить и/или минимизировать ущерб от нарушений безопасности.

Управление информационной безопасностью позволяет коллективно использовать данные, одновременно обеспечивая их защиту и защиту вычислительных ресурсов.

Подчеркивается, что защитные меры оказываются значительно более дешевыми и эффективными, если они заложены в информационные системы и сервисы на стадиях задания требований и проектирования.

Предлагаемые в первой части стандарта регуляторы безопасности разбиты на десять групп:

  • политика безопасности ;
  • общеорганизационные аспекты защиты;
  • классификация активов и управление ими ;
  • безопасность персонала ;
  • физической безопасности и безопасность окружающей среды ;
  • администрирование систем и сетей ;
  • управление доступом к системам и сетям;
  • разработка и сопровождение информационных систем ;
  • управление бесперебойной работой организации;
  • контроль соответствия требованиям.

В стандарте выделяется десять ключевых регуляторов, которые либо являются обязательными в соответствии с действующим законодательством, либо считаются основными структурными элементами информационной безопасности. К ним относятся:

  • документ о политике информационной безопасности;
  • распределение обязанностей по обеспечению информационной безопасности;
  • обучение и подготовка персонала к поддержанию режима информационной безопасности;
  • уведомление о случаях нарушения защиты ;
  • антивирусные средства ;
  • процесс планирования бесперебойной работы организации;
  • контроль за копированием программного обеспечения, защищенного законом об авторском праве;
  • защита документации;
  • защита данных ;
  • контроль соответствия политике безопасности.

Для обеспечения повышенного уровня защиты особо ценных ресурсов или оказания противодействия злоумышленнику с исключительно высоким потенциалом нападения могут потребоваться другие (более сильные) средства, которые в стандарте не рассматриваются.

Следующие факторы выделены в качестве определяющих для успешной реализации системы информационной безопасности в организации:

  • цели безопасности и ее обеспечение должны основываться на производственных задачах и требованиях. Функции управления безопасностью должно взять на себя руководство организации;
  • необходима явная поддержка и приверженность к соблюдению режима безопасности со стороны высшего руководства;
  • требуется хорошее понимание рисков (как угроз, так и уязвимостей), которым подвергаются активы организации, и адекватное представление о ценности этих активов;
  • необходимо ознакомление с системой безопасности всех руководителей и рядовых сотрудников организации.

Во второй части стандарта BS 7799-2:2002 "Системы управления информационной безопасностью - спецификация с руководством по использованию" предметом рассмотрения, как следует из названия, является система управления информационной безопасностью.

Под системой управления информационной безопасностью (СУИБ) (Information Security Management System, ISMS) понимается часть общей системы управления, базирующаяся на анализе рисков и предназначенная для проектирования, реализации, контроля, сопровождения и совершенствования мер в области информационной безопасности. Эту систему составляют организационные структуры, политика, действия по планированию, обязанности, процедуры, процессы и ресурсы.

В основу процесса управления положена четырехфазная модель, включающая:

  • планирование;
  • реализацию;
  • оценку;
  • корректировку.

По-русски данную модель можно назвать ПРОК (в оригинале - Plan-Do-Check-Act, PDCA). Детальный анализ каждой из выделенных фаз и составляет основное содержание стандарта BS 7799-2:2002.

< Лекция 14 || Лекция 15: 12345 || Лекция 16 >
Наталья Шульга
Наталья Шульга

Курс "информационная безопасность" .

Можно ли на него записаться на ПЕРЕПОДГОТОВКУ по данному курсу? Выдается ли диплом в бумажном варианте и высылается ли он по почте?

Мария Архипова
Мария Архипова
Р Алоев
Р Алоев
Россия
Татьяна Тренина
Татьяна Тренина
Россия, Челябинск