8.Расскажите о содержании отчета по результатам аудита иб аису организации

Среди причин технологического и организационного отставания в сфере информационной безопасности АСУ ТП от корпоративных информационных систем можно выделить специфику проектов промышленной автоматизации. При их реализации долгое время главным образом решались задачи повышения быстродействия, производительности, оптимизации стоимости, тогда как защите от потенциальных угроз не уделялось должного внимания (см.«Промышленная защита», Сети/Network World, № 2, 2011). Кроме того, корпоративные информационные системы и комплексы АСУ ТП традиционно разрабатываются и эксплуатируются разобщенными подразделениями предприятий.

В настоящее время, по данным компании «Информзащита», в крупных отечественных организациях промышленного сектора, в частности в нефтегазовой отрасли, начинается объединение ИТ-служб и подразделений АСУ ТП. Представители компании считают также, что результаты аудита состояния защиты АСУ ТП должны показать руководителям бизнес-подразделений, какую угрозу для непрерывности их бизнес-процессов несет несоблюдение политик безопасности. Кроме того, бизнес проявляет весьма заметный интерес к предотвращению хищений и к внедрению решений, препятствующих искажению учетных данных, поступающих в системы управления деятельностью предприятий. Характерно, что из более чем трех десятков специалистов предприятий ТЭК, принявших участие в работе семинара, около четверти представляли службы АСУ ТП.

Востребованность таких решений, безусловно, высока и опирается она на ряд причин, главные из которых заключаются в общем размере рынка ИБ АСУ ТП, уровне критичности функционирования производственных систем, очевидном отставании уровня обеспечения ИБ в АСУ ТП от актуальных угроз и возрастающим вниманием государства к данной тематике. За последние два-три года кардинально поменялся характер спроса, и, как следствие, – характер предложения. От решений по защите АСУ ТП требуется наличие специализированного, прозрачного для производственников функционала, наличие базы знаний о контрольно-измерительных потоках информации АСУ ТП и т.д. Но, главное, текущий спрос характеризуется требованием к наличию специализированного и комплексного подхода проектной организации к защите АСУ ТП в целом, опыта в решении задач ИБ АСУ ТП, знания стандартов и законодательства. Стандартные подходы и решения, применяемые при защите корпоративных информационных систем и ресурсов, при обеспечении ИБ в АСУ ТП уже не актуальны. Учитывая высочайший уровень ответственности владельцев АСУ ТП, в равной степени для них важно как соответствие требованиям законодательства, отраслевых стандартов, так и действительное повышение уровня ИБ АСУ ТП при минимизации рисков для непрерывности производства.

9.Стандарты рк и рф аудита иб аису организации (недостатки и достоинства, различие.

ИСО/МЭК 27000:2009 «Информационные технологии — Методы обеспечения безопасности — Системы менеджмента информационной безопасности — Общие сведения и словарь». Данный стандарт содержит общие сведения и терминологию по информационной безопасности, также как стандарт ИСО 9000 предоставляет общие положения и словарь для системы менеджмента качества.

ИСО/МЭК 27004:2009 «Информационные технологии — Методы обеспечения безопасности — Менеджмент информационной безопасности — Измерения» содержит рекомендации по показателям и измерениям в области информационной безопасности.

ИСО/МЭК 27005:2008 «Информационные технологии — Методы обеспечения безопасности — Управление рисками информационной безопасности». Как было отмечено выше, риск менеджмент является ядром стандартов серии ИСО 27000, и поэтому был опубликован дополнительный стандарт касательно управления рисками безопасности.

ИСО/МЭК 27006:2007 «Информационные технологии — Обеспечение безопасности – Требования к органам, осуществляющим аудит и сертификацию систем информационной безопасности». Данный стандарт необходим аккредитованным органам для предоставления услуг по аудиту и сертификации систем информационной безопасности. Следует также опираться на стандарт ИСО/МЭК 17021:2006 «Оценка соответствия - Общие требования для органов, выполняющих аудит и сертификацию систем менеджмента» и ИСО 19011:2002 «Руководящие указания по аудиту систем менеджмента качества и/или систем экологического менеджмента».

К работе по разработке серии стандартов информационной безопасности подключился МСЭ (ITU) — Международный союз электросвязи.

По всей видимости, стандарты серии ИСО/МЭК 27000 станут не только мощными инструментами, но и будут обладать широкой международной поддержкой авторитетных технических организаций и крупных компаний.

Приступить к внедрению систем информационной безопасности можно, например, воспользовавшись услугами наших консультантов, обладающих соответствующей подготовкой и знаниями, подтвержденными международными сертификатами. Например, Казахстанская организация качества имеет около 500 успешно внедренных проектов в области систем менеджмента на территории РК.

Стандарт ISO/IEC 27001 является обобщением мирового опыта в организации управления информационной безопасностью и определяет общую организацию, направления планирования, использование оценки риска, оценки эффективности, контроля улучшений и т.д. в контексте информационной безопасности.