Нормативное обеспечение управления безопасностью: гост семейства 13335.
ИСО/МЭК TО 13335-1:2004 - Информационная технология. Методы
обеспечения безопасности. Управление безопасностью информационных и
телекоммуникационных технологий. Часть 1. Концепция и модели управления
безопасностью информационных и телекоммуникационных технологий.
Российский аналог ГОСТ Р ИСО/МЭК 13335-1-2006 - Информационная
технология. Методы и средства обеспечения безопасности. Часть 1. Концепция и
модели менеджмента безопасности информационных и телекоммуникационных
технологий.
Стандарт ИСО 13335-1 рассматривает аспекты менеджмента безопасности
информационных и телекоммуникационных технологий на верхнем уровне. Этот
документ полезен менеджерам и ответственным за программу общей безопасности
организации или информационно-телекоммуникационных технологий (ИТТ).
Настоящий стандарт является руководством по выбору защитных мер с учетом потребностей и проблем безопасности организации. В настоящем стандарте описан процесс выбора защитных мер в соответствии с риском системы безопасности и с учетом особенностей окружающей среды. Настоящий стандарт устанавливает способы достижения соответствующей защиты на основе базового уровня безопасности. Приведенный в настоящем стандарте подход к выбору защитных мер согласован с методами управления безопасностью информационных технологий, приведенными в ИСО/МЭК ТО 13335-3.
Цель настоящего стандарта - обеспечить руководство по выбору защитных мер. Данное руководство предназначено для ситуаций, когда принято решение выбрать защитные меры для системы информационных технологий (ИТ):
- согласно типу и характеристикам системы ИТ;
- согласно общим оценкам проблем и угроз безопасности;
- в соответствии с результатами детального анализа рисков.
Постановка задачи:
Цели, стратегии и политики безопасности ИТ
Цели и стратегии безопасности ИТ
Политики безопасности ИТ
Анализ риска
Базовый подход
Неформальный подход
Детальный анализ риска
Комбинированный подход
Plan
Комбинированный подход
Анализ риска высокого уровня
Детальный анализ риска и базовый подход
Выбор защитных мер
Принятие риска
Политики безопасности системы ИТ
План безопасности ИТ
Do
Реализация плана безопасности системы ИТ
Реализация защитных мер
Обучение использования защитных мер
Check, act
Мониторинг
Проверка реализации защитных мер
Обработка инцидентов
Система управления инцидентами: гост 18044
Настоящий стандарт устанавливает рекомендации по менеджменту инцидентов
информационной безопасности для руководителей подразделения по информационной
безопасности, информационных систем, сервисов и сетей.
Планирование непрерывности бизнеса является процессом обеспечения гарантии
восстановления операции в случае возникновения какого-либо неожиданного или неже-
лательного инцидента, способного негативно воздействовать на непрерывность важных
функций бизнеса и поддерживающих его элементов. Процесс должен также обеспечивать
уверенность в том, что восстановление бизнеса достигается с учетом заданных очеред-
ностей и интервалов времени, и дальнейшее восстановление всех функций бизнеса в ис-
ходное состояние.
Менеджмент инцидентов ИБ состоит из четырех отдельных процессов:
– Планирование и подготовка;
– Использование;
– Пересмотр (анализ);
– Улучшение
