2.1.8 Управление иб при взаимодействии с третьими сторонами
Одной из специфичных областей управления информационной безопасностью является обеспечение ИБ при взаимодействии с клиентами, поставщиками, другими партнерами. Обеспечение информационной безопасности при взаимодействии с третьими сторонами в большей мере осуществляется организационными мерами, чем техническими (рис. 6). На наш взгляд, наиболее эффективный способ обеспечения безопасного взаимодействия с партнерами достигается через включение специфических требований в договоры (и другие документы, регламентирующие взаимодействие сторон), следование общепринятым стандартам в области ИБ и периодический аудит третьих сторон независимыми профессиональными организациями.
Некоторым
компаниям (8%) необходимы затраты на
соответствие внешним требованиям в
размере более 50% бюджета ИБ (рис. 7).
Требования
регуляторов по всему миру стимулируют
рынок поставщиков продуктов и услуг в
области информационной безопасности.
Более 30% компаний передают функции ИБ
на аутсорсинг под влиянием требований
законодательства (рис. 8).
2.1.9 Тестирование защищенности корпоративных сетей
Технические
средства занимают важное место в
обеспечении информационной безопасности
(рис. 9). Вместе с тем цели тестирований
должны в большей мере учитывать
человеческий фактор. Персонал - важный
компонент системы информационной
безопасности, который может как стать
слабым звеном ИБ, так и успешно снижать
существующие риски.
КОММЕНТАРИЙ ЭКСПЕРТА Сергей
Адмиральский,
директор по ИТ ООО
"АДАМАС" столичный ювелирный
завод"
В |
исследовании "Управление информационной
безопасностью в мире" рассмотрены
интересные и актуальные темы. В
организационной структуре дирекции
по ИТ нашей компании нет выделенного
отдела информационной безопасности,
а связанные с ИБ обязанности распределены
по зонам ответственности подразделений
дирекции. Иными словами, мы рассматриваем
вопросы информационной безопасности
как органичную составную часть
большинства ИТ-процессов. Стратегия
в области ИБ представлена отдельным
разделом в ИТ-стратегии. Думаю, такой
подход характерен и для других
организаций, не работающих с персональными
данными.
Анализ связанных с ИБ
рисков выполняется в компании в
качестве естественной и обязательной
составляющей части процесса планирования
деятельности.
Ответственность
за обеспечение непрерывности бизнеса
несут многие подразделения компании,
каждое - по своему профилю, и дирекция
по ИТ не является исключением.
Нарушение
конфиденциальности в привычных для
нашей отрасли условиях прозрачности
деятельности может привести не столько
к ущербу репутации или бренда, сколько
к несанкционированному распространению
корпоративных ноу-хау и потенциальному
ухудшению конкурентной позиции. Зато
утрата или потеря доступа к информации
наверняка повлечет за собой прямой
ущерб в виде потери дохода, а в некоторых
случаях и нормативно-правовые
санкции.
Тестирование защищенности
является в нашей компании обязательной
частью обеспечения информационной
безопасности, особое внимание уделяется
периметру и удаленному доступу.