3. Огляд та аналіз міжнародних стандартів по створенню політики інформаційної безпеки

Рекомендації міжнародних стандартів по своренню політики безпеки.

ISO / IEC 17799:2005 (BS 7799-1:2002), ISO / IEC 15408, ISO / IEC TR 13335, німецький стандарт BSI IT Protection Manual, стандарти NIST США серії 800, стандарти і бібліотеки CobiT , ITIL, SAC, COSO, SAS 78/94 і деякі інші, аналогічні їм. У відповідності з названими стандартами політики безпеки компанії повинні явно визначати наступне:

- предмет політики безпеки, основні цілі і завдання політики безпеки;

- умови застосування політики безпеки і можливі обмеження;

- опис позиції керівництва компанії стосовно виконання політики безпеки та організації режиму інформаційної безпеки компанії в цілому;

- права та обов'язки, а також ступінь відповідальності співробітників за виконання політики безпеки компанії;

- порядок дій у надзвичайних ситуаціях у разі порушення політики безпеки.

Стандарти ISO / IEC 17799:2005 (BS 7799-1:2002)

В даний час міжнародний стандарт ISO / IEC 17799:2005 (BS 7799-1:2002) «Управління інформаційною безпекою - Інформаційні технології» («Information Technology - Information Security Management») є найбільш відомим стандартом в галузі захисту інформації. Даний стандарт був розроблений на основі першої частини британського стандарту BS 7799-1:1995 «Практичні рекомендації з управління інформаційною безпекою» («Information Security Management - Part 1: Code of Practice for Information Security Management») і відноситься до нового покоління стандартів інформаційної безпеки комп'ютерних інформаційних систем. Поточна версія стандарту ISO / IEC 17799:2005 (BS 7799-1:2002) розглядає наступні актуальні питання забезпечення інформаційної безпеки організацій та підприємств:

- необхідність забезпечення інформаційної безпеки;

- основні поняття та визначення інформаційної безпеки;

- політика інформаційної безпеки компанії;

- організація інформаційної безпеки на підприємстві;

- класифікація і керування корпоративними інформаційними ресурсами;

- питання безпеки, пов'язані з персоналом;

- фізична безпека;

- адміністрування безпеки корпоративних інформаційних систем;

- управління доступом;

- вимоги з безпеки до корпоративних інформаційних систем в ході їх розробки, експлуатації та супроводу;

- управління бізнес-процесами компанії з точки зору інформаційної безпеки;

- внутрішній аудит інформаційної безпеки компанії;

- забезпечення безперервності бізнесу;

- відповідність вимогам.

Друга частина стандарту BS 7799-2:2002 «Специфікації систем управління інформаційною безпекою» («Information Security Management - Part

Міжнародний стандарт ISO 15408

«Common Criteria for Information Technology Security Evaluation »(« Загальні критерії оцінки безпеки інформаційних технологій ») або просто« Common Criteria »(« Загальні критерії »).

Використання методик даного стандарту дозволяє визначити для компанії ті критерії, які можуть бути основою для вироблення правил і політик безпеки компанії. Крім того, ці критерії дозволяють проводити найбільш повне порівняння результатів оцінки захисних властивостей корпоративних інформаційних систем за допомогою загального переліку (набору) вимог, а також методів точних вимірювань, які проводяться під час отримання оцінок захисту. На основі цих вимог у процесі вироблення оцінки рівня захисту встановлюється рівень довіри. Результати оцінок захисту дозволяють визначити для компанії достатність захисту корпоративної інформаційної системи.

Німецький стандарт BSI

На відміну від ISO 17799 німецьке «Керівництво щодо захисту інформаційних технологій для базового рівня захищеності» 1998 присвячено детальному розгляду приватних питань створення політик безпеки компанії та управління безпекою в цілому.

У німецькому стандарті BSI представлені:

- загальна методика розробки політик безпеки та управління інформаційною безпекою в цілому (організація менеджменту в галузі інформаційної безпеки, методологія використання керівництва);

- опису компонентів сучасних інформаційних технологій;

- описи основних компонентів організації режиму інформаційної безпеки (організаційний і технічний рівні захисту даних, планування дій у надзвичайних ситуаціях, підтримка безперервності бізнесу);

- характеристики об'єктів інформатизації (будівлі, приміщення, кабельні мережі, контрольовані зони);

- характеристики основних інформаційних активів компанії (у тому числі апаратне і програмне забезпечення, наприклад робочі станції і сервери під управлінням операційних систем сімейства DOS, Windows і UNIX);

- характеристики комп'ютерних мереж на основі різних мережевих технологій, наприклад мережі Novell NetWare, мережі UNIX та Windows;

- характеристика активного і пасивного телекомунікаційного обладнання провідних вендорів, наприклад Cisco Systems;

- докладні каталоги загроз безпеки і заходів контролю (більше 600 найменувань в кожному каталозі).

Істотно, що політики безпеки компанії розглядаються за певним сценарієм: загальний опис інформаційного активу компанії - можливі загрози та вразливості безпеки - можливі заходи і засоби контролю та захисту.