1.5 Управление безопасностью предприятия. Международные стандарты

При построении КСЗИ важное значение имеет разработка концепции управления безопасностью предприятия. Создание системы управления информационной безопасностью (СУИБ) должно базироваться на требованиях и рекомендациях нормативных и правовых актов. Однако, до недавнего времени в России в области стандартизации организационных основ информационной безопасности (ИБ) существовал определенный пробел, затрагивались лишь отдельные аспекты рисков бизнес-процессов (ГОСТ 15.002, серия 9000, 51901 и др.) [10]. Активность в данном направлении пока проявляет лишь Банк России, выпустивший свой стандарт ИББС-1.0. Однако в связи с планируемым вступлением России в ВТО повысилась актуальность внедрения популярных в мире стандартов по организационным основам ИБ серии 270хх. Технический комитет по стандартизации ТК-362, который уже много лет занимается вопросами адаптации указанных стандартов, в мае текущего года подготовил первые версии проектов ГОСТ 17799 и 27001 (см. табл. 1.1).

При внедрении организационных стандартов появляется возможность добровольной сертификации не только систем качества (как это сейчас происходит, на соответствие стандартам 9000 серии), но и СУИБ. Зачастую такие требования уже выдвигают западные партнеры наших предприятий.

Табл.1.1. Основные положения российских организационных стандартов по ИБ

Стандарт	Проект ГОСТ Р ИСО/МЭК 27001-06	Проект ГОСТ Р ИСО/МЭК 1799-06	СТО БР ИББС-1.0-2006
Цель и задачи	Устанавливает требования: - по созданию, внедрению, эксплуатации, мониторингу, анализу, поддержке, СУИБ; - по внедрению мер, средств управления ИБ.	Устанавливает руководящие принципы для инициирования, реализации, поддержки и усовершенствования руководства ИБ в организациях	Устанавливает рекомендации по разработке документов и требования по безопасности информационных и телекоммуникационных технологий
Область применения	Международная сертификация	Международная стандартизация	Стандартизация и сертификация в банковской сфере РФ
Базовые разделы	Требования к: - созданию СУИБ; - внедрению и эксплуатации СУИБ; - мониторингу и анализу СУИБ; - поддержке, совершенствованию СУИБ; - документации; - обязанностям руководства; - управлению ресурсами и обучению; - внутренним аудитам СУИБ.	Политика безопасности Организация ИБ Управление активами Безопасность кадровых ресурсов Физическая и экологическая безопасность Управление средтвами связи Контроль доступа Приобретение, разработка и обслуживание АС Управление инцидентами ИБ Управление непрерывностью бизнеса Соответствие	Парадигма обеспечения ИБ Основные принципы, модели угроз Политика ИБ и требования по обеспечению ИБ (персонал, жизненный цикл, управление доступом и регистрация, антивирусная защита, Интернет, криптография и др.) СУИБ: планирование, реализация, эксплуатация, проверка, совершенствование, непрерывность и восстановление, документирование, служба ИБ Проверка и оценка ИБ Модель зрелости

Кроме того, проведение сертификации СУИБ компании позволяет:

• обосновать затраты на эту систему;

• оценить ее эффективность;

• определить приоритеты КСЗИ.

К примеру, в ряде случаев уровень безопасности можно значительно повысить организационными мерами, не прибегая при этом к существенным капиталовложениям.

Особую актуальность внедрению организационных стандартов ИБ придает развитие нового вида услуг в данной области - страхование рисков ИБ. Имеются данные, что организации, обладающие международными сертификатами соответствия стандартам СУИБ, получают скидки, сопоставимые с затратами на проведение сертификации [10].

В настоящее время комитетом ISO/IEC JTC 1/SC27 ведется разработка стандартов на системы управления информационной безопасностью (СУИБ) серии 2700х. Разработаны и планируется разработать следующие стандарты:

• ISO27000 – в нем будут приведены определения и основные принципы СУИБ;

• ISO27001:2005 – этот стандарт уже внедряется фирмами в РФ, которые не дожидаются его перевода;

• ISO27002 – в апреле 2007 года заменяет ISO 17799:2005;

• ISO27003 – руководство по внедрению СУИБ (2007 г.);

• ISO27004 – оценка эффективности СУИБ (2007 г.);

• ISO27005 – управление рисками ИБ (в его основе лежит BS 7799-3:2006, планируется выпустить в 2007 г.).

Осенью 2006 года опубликован ГОСТ Р ИСО/МЭК 17799-2005, являющийся переводом стандарта ISO 17799:2000, (к сожалению, его, а не более современного 17799:2005). По мнению аналитиков известного Интернет-ресурса CNews, качество русского текста оставляет желать лучшего. Так что рекомендуется читать ISO 17799:2005, причем в оригинале.

Кроме того, в 2007 году в РФ планируется перевод и прямое применение следующих стандартов:

• ISO/IEC 18045:2005 – методология оценки безопасности ИТ;

• ISO/IEC TR 18044:2004 - управление инцидентами ИБ;

• ISO/PRF TR 13569.2, ISO/TR 13569:1997 - рекомендации по ИБ при финансовых услугах.