[МУЗЫКА] Обсудив основные составные элементы политики

безопасности, поговорим о жизненном цикле политики безопасности,

то есть о том, как данный документ или совокупность документов должны

существовать в организации и быть связаны с деятельностью организации.

Жизненный цикл политики безопасности состоит из последовательности

следующих этапов.

Во-первых, первоначального аудита безопасности, во-вторых,

разработки политики безопасности, в-третьих, ее внедрения,

в-четвертых, аудита и контроля соблюдения политики безопасности,

и в-пятых, пересмотра и корректировки политики безопасности.

Далее рассмотрим каждый этап подробнее.

На этапе первоначального аудита безопасности реализуются такие действия,

как идентификация активов, то есть перечисление всех объектов,

которые требуется защищать, идентификация угроз безопасности информации.

Например, по рассмотренной нами в данном курсе методике оценки

актуальных угроз безопасности информации.

Построение модели актуальных угроз или всех угроз в целом,

если это зачем-либо требуется.

И оценка рисков.

На этапе разработки политики безопасности по результатам

проведения этапа первоначального аудита реализуются следующие действия.

Определение требований к системе обеспечения безопасности информации,

которые зависят от перечня актуальных угроз и выработанной

политики управления рисками.

Выбор системы мер обеспечения безопасности информации,

снижающих риски до приемлемых значений, и оформление принятых решений в виде

документов и утверждение этих документов руководством.

То есть на этапе разработки выбираются конкретные меры обеспечения

информационной безопасности, которые имеют своей целью снизить риски,

выявленные по итогам оценки актуальных угроз, до приемлемых значений.

Далее происходит, пожалуй, самый важный этап жизненного цикла политики политики

безопасности — это ее внедрение.

От этого этапа зависит, будет ли политика работоспособной, будет ли она соблюдаться

или встретит достаточно серьезное сопротивление и возможно явный саботаж.

На этом этапе должен быть разработан план внедрения политики

безопасности и создана группа по ее внедрению.

Затем должны сотрудники быть ознакомлены с содержанием политики безопасности.

Затем следует обеспечить наличие и функционирование систем и устройств,

необходимых для обеспечения политики безопасности, поскольку в ситуации,

если сотрудники обязаны положениями политики безопасности что-либо делать,

но не имеют для этого средств, очевидно,

они выполнять это не будут либо будут активно протестовать, заявляя,

что они не в состоянии выполнять свои должностные обязанности по причине того,

что регламент требует, например, использовать электронную цифровую подпись

для внутреннего документооборота, а соответствующие ключи им не предоставлены.

Заключительным действием данного этапа жизненного цикла является обучение

сотрудников принципам работы по требованиям политики безопасности для

того, чтобы соблюдение этих принципов не вызывало бы у них трудностей, не мешало

бы их основной работе и, как следствие, не вызывало бы желание их нарушать.

Требования политики безопасности должны стать естественными, удобными, понятными,

привычными, а совсем хорошо, если осознанно понятными, зачем они

нужны и почему будет плохо их нарушать, к каким последствиям это может привести,

и эти последствия должны для самих сотрудников в идеале быть нежелательными.

На этапе аудита и контроля, который продолжается на протяжении всего времени,

пока политика безопасности функционирует между ее внедрением и пересмотром,

производится проведение планового аудита соблюдения политики безопасности,

устанавливается постоянный контроль за ее соблюдением, обеспечивается оперативное

выявление ее нарушений и осуществляется своевременная реакция на выявленные

нарушения, производится расследование инцидентов информационной безопасности.

Политика безопасности не разрабатывается

один раз и на все время существования организации.

Для того чтобы она была актуальной, отвечала существующим

угрозам и возможному потенциалу нападения нарушителей,

ее следует регулярно пересматривать и вносить в нее корректировки.

Один из первых этапов внесения этих корректировок — это внесение изменений по

результатам внедрения.

Если в результате внедрения выявлено, что какие-то положения политики безопасности

сильно нарушают работу пользователей, например, затрудняют ими выполнение своих

должностных обязанностей, либо вступают в противоречие эти положения между собой,

в политику безопасности требуется внести изменения.

Далее производится пересмотр политики безопасности при изменении технологии

работы с информацией, существенных изменений в информационной системе,

изменения требований к ней или изменения нормативной базы.

Причины пересмотра политики безопасности очень подобны причинам переоценки

актуальных угроз, и оценка актуальных угроз, как первый этап

построения политики безопасности, с самой политикой безопасности тесно связана.

Если изменяется набор актуальных угроз,

должна быть пересмотрена и политика безопасности.

И, наконец, регулярный, как правило, ежегодный пересмотр политики

безопасности является штатным регламентированным мероприятием,

как правило, включенным в саму политику безопасности, в ее заключительную часть.

В этой заключительной части прямо устанавливается

требование эту политику безопасности ежегодно либо чаще,

если это требуется в условиях актуальных угроз, пересматривать.

В сегодняшней лекции мы рассмотрели политику безопасности организации как

инструмент объединения всех мер и средств защиты информации в единую систему.

Далее эта система должна функционировать для достижения своих целей и

выполнения поставленных перед ней задач, а политика безопасности, собственно,

является документом, который указывает всем пользователям информационной системы,

а также лицам, так или иначе взаимодействующим с организацией,

каким образом с этой системой следует взаимодействовать,

каких правил следует придерживаться и каким образом следует прилагать усилия

для максимизации уровня защиты информации.

В следующей лекции мы поговорим о таком инструменте обеспечения

информационной безопасности, как система обнаружения атак.

Идеология систем обнаружения атак иногда ставит системы обнаружения атак

выше политики безопасности,

как бы рассматривая их как метод реагирования на нештатные ситуации.

То есть политика безопасности — это совокупность мер,

регламентирующих повседневную жизнь организации, а система обнаружения

атак — это система, направленная на обнаружение

этих нарушений этого повседневного функционирования объекта информатизации.

О таких системах мы поговорим в нашей следующей лекции.

[МУЗЫКА]

Жизненный цикл политики безопасности

Менеджмент информационной безопасности

Meet the Instructors