19. Средства поддержки процессов управления информационной безопасностью

В формировании российского рынка систем управления безопасностью участвуют как бизнес, который опирается на свои потребности и международные стандарты, так и государственные регуляторы, которые определяют основные требования в области защиты информации (СТО БР ИББС-1, стандарты ГОСТ Р ИСО/МЭК 17799 и ГОСТ Р ИСО/МЭК 27001, ФЗ-152, СТР-К).

ISO/IEC 27002 —Практические правила менеджмента информационной безопасности . До 2007 года данный стандарт назывался ISO/IEC 17799.

Стандарт предоставляет лучшие практические советы по менеджменту информационной безопасности для тех, кто отвечает за создание, реализацию или обслуживание систем менеджмента информационной безопасности. Информационная безопасность определяется стандартом как сохранение конфиденциальности, целостности и доступности

Программная поддержка реализации политики информационной безопасности  обеспечивается функциями и программными модулями, которые встроены непосредственно в программное обеспечение, создающее условия для хранения, обработки и передачи информации (операционные системы, системы управления базами данных, системы электронной почты, MRP/ERP-системы

для этих целей может использоваться ПО следующих основных видов:

• сборники (интерактивные электронные справочники), которые содержат типовые документы (шаблоны документов),

• системы, предназначенные для накопления и обработки сведений о рисках и проведения сводных оценочных расчетов показателей риска;

• ПО, интегрированное в информационную систему предприятия и позволяющее автоматически контролировать соблюдение установленных политик безопасности

• ПО, осуществляющее поддержку процессов аудита информационной безопасности.

Также с управлением информационной безопасностью связаны программные продукты, которые:

• автоматически (централизовано и унифицировано) управляют учетными записями и правами доступа одновременно в нескольких элементах информационной инфраструктуры (базах данных, приложениях и т.п.);

• производят автоматическое сканирование отдельных элементов информационной инфраструктуры (операционных систем, программ, средств защиты информации) и их проверку на устойчивость и наличие уязвимостей;

• производят автоматическое обновление программных продуктов с целью устранения выявленных уязвимостей (установку т.н. "патчей", "заплаток").

Программная поддержка работы с политикой безопасности

• Сборники (справочники), которые содержат типовые документы, связанные с обеспечением информационной безопасности, могут включать в себя:

• образцы политик безопасности разных уровней для предприятий, функционирующих в различных сферах деятельности и предъявляющих различные требования к уровню защищенности информации;

• образцы (шаблоны, бланки) документов, используемых в процессах защиты информации (обязательств о неразглашении информации, отчетов о состоянии информационной безопасности и т.п.);

• образцы разделов различных договоров (контрактов с различными контрагентами или трудовых договоров с сотрудниками предприятия), содержащие требования к обеспечению информационной безопасности.

1. "COBRA", поставляемая британской компанией "C&A Systems Security Ltd." 

2. Digital Security Office 2006 включает в себя систему анализа и управления информационными рисками ГРИФ и систему разработки и управления политикой безопасности информационной системы КОНДОР.

ГРИФ 2006 - предназначена для анализа и управления информационными рисками компании с помощью анализа информационных потоков или угроз и уязвимостей информационной системы.

КОНДОР 2006 - система разработки и управления политикой безопасности информационной системы компании на основе стандарта ISO 17799. Система КОНДОР 2006 состоит из положений стандарта ISO 17799, сформулированных в виде вопросов, отвечая на которые, Вы получаете полную картину - какие в Вашей системе положения выполняются, а какие нет. У каждого положения стандарта задан по умолчанию вес, который характеризует степень критичности данного положения для поддержания необходимого уровня защищенности.