Управление информационными рисками – Т. Ю. Зырянова, А. А. Захаров, Ю. И. Ялышев (2008)

Продолжение табл. 3.1

81

Продолжение табл. 3.1

82

3.2.Международные и национальные организации по стандартизации

ISO — International Organization for Standardization

ISO (ИСО) — Международная организация по стандартизации — создана в 1946 г. двадцатью пятью национальными организациями по стандартизации. Фактически ее работа началась с 1947 г. СССР был одним из основателей организации, постоянным членом руководящих органов, дважды представитель Госстандарта избирался председателем организации. Россия стала членом ISO как правопреемник распавшегося государства. 23 сентября 2005 г. Россия вошла в Совет ISO.

Сфера деятельности ISO касается стандартизации во всех областях, кроме электротехники и электроники, относящихся к компетенции Международной электротехнической комиссии. Некоторые виды работ выполняются совместными усилиями этих организаций. Наряду со стандартизацией, ISO занимается проблемами сертификации.

ISO определяет свои задачи следующим образом: содействие развитию стандартизации и смежных видов деятельности в мире с целью обеспечения международного обмена товарами и услугами, а также развития сотрудничества в интеллектуальной, научно-технической и экономической областях [36].

IEC — International Electrotechnical Commission

IEC (МЭК) — Международная электротехническая комиссия — международная организация по стандартизации в области электри- ческих, электронных и смежных технологий. Некоторые из стандартов IEC разрабатываются совместно с ISO.

IEC составлена из представителей национальных служб стандартов. IEC была основана в 1906 г. и в настоящее время в ее состав входят более 60 стран. Первоначально комиссия была расположена в Лондоне, с 1948 г. имеет штаб в Женеве [35].

BSI — Bundesamt fr Sicherheit in der Informationstechnik

Германское агентство информационной безопасности.

NIST — National Institute of Standards and Technology

Национальный институт стандартов и технологий NIST является Федеральным агентством, основанным в 1901 г., в пределах Администрации технологий Департамента коммерции США [38].

84

Миссия NIST состоит в том, чтобы продвигать и развивать американские инновации и повышать конкурентоспособность в области индустриализации и научных исследований путем развития стандартов, информационных технологий для повышения экономической безопасности и общего уровня жизни в целом.

ISACA — Information Systems Audit and Control Association

Основная цель Ассоциации аудита и контроля информационных систем ISACA — это исследование, разработка, публикация и продвижение стандартизованного набора документов по управлению информационной технологией для ежедневного использования руководителями ИТ-подразделений, администраторами и аудиторами информационных систем [36].

Ассоциация основана в 1969 г. и представлена более чем 20 000 членами, в 100 странах мира.

3.3.Стандарты серии ISO/IEC 27000

3.3.1.BS 7799

Истоками действующих на сегодняшний день стандартов семейства ISO/IEC 27000 является британский национальный стандарт BS 7799 (Части 1, 2, 3)

В середине 1990-х гг. Британский институт стандартов (BSI) при участии коммерческих организаций, таких как Shell, National Westminster Bank, Midland Bank, Unilever, British Telecommunications, Marks & Spencer, Logica и др., занялся разработкой стандарта управления информационной безопасностью. И в 1995 г. был принят национальный британский стандарт BS 7799 управления информационной безопасностью организации вне зависимости от сферы ее деятельности.

Стандарт BS 7799 определяет общую организацию, классификацию данных, системы доступа, направления планирования, ответственность сотрудников, использование оценки риска и т. д. в контексте информационной безопасности. В процессе внедрения стандарта создается так называемая система менеджмента информационной безопасности, цель которой — сокращение материальных потерь, связанных с нарушением информационной безопасности. Важно, что стандарт призван как раз сэкономить предприятию средства, а в некоторых случаях даже спасти от банкротства, и не является каким-то внешним обязательным требованием, приводящим к появлению дополнительной статьи расходов.

85

BS 7799 — это модель системы менеджмента, и в этом смысле не является техническим стандартом. Следует подчеркнуть, что данный подход к информационной безопасности на основе целей менеджмента, а не фиксированных технических спецификаций, является принципиальным для BS 7799 как стандарта системы управления. Дело в том, что перед коммерческими и государственными хозяйственными организациями стоит более сложная задача: не только обеспечить надежную защиту информации, но также организовать эффективный доступ к данным и нормальную работу с ними. Именно эта идея лежит в основе стандарта BS 7799.

BS 7799 содержит множество элементов управления информационной безопасностью, распределенных по нескольким группам и состоит из трех частей. Первая из них описывает в основном построенные на основе мировой практики механизмы контроля для построения систем управления информационной безопасностью (СУИБ). Вторая определяет спецификацию СУИБ. Третья часть содержит руководство по УИР.

BS 7799 по своей идее является добровольным стандартом, то есть государства, где BS 7799 адаптирован, не требуют его обязательного выполнения соответствующими субъектами внутри страны. Собственно, в этом нет необходимости, так как выполнение стандарта выгодно в первую очередь самому предприятию. Однако, как и другие добровольные стандарты, BS 7799 используется в контрактных отношениях. Во многих случаях партнерам и клиентам предприятия важно знать, каким образом на предприятии обеспечивается информационная безопасность. В этом случае соответствие стандарту может являться одним из условий контракта.

Формальное подтверждение соответствия стандарту дает аккредитованная сертификация. Владельцем британской сертификационной схемы является BSI (от имени Департамента по торговле и промышленности Соединенного Королевства), который и устанавливает «правила игры». В тех странах, где приняты аналоги BS 7799, существуют соответственно свои схемы сертификации, в рамках которых и работают местные аудиторы. В тех странах, где аналоги BS 7799 отсутствуют, в принципе возможно использование любой внешней схемы. Так как британская схема является наиболее старой и развитой, то при прочих равных условиях предпочтение часто отдается именно ей.

Для того чтобы получить сертификат, система менеджмента информационной безопасности предприятия оценивается аудитором

86

BS 7799. Аудитор не может одновременно являться консультантом. На этот счет существуют очень строгие правила. Аудит по BS 7799 состоит из анализа документации по системе менеджмента информационной безопасности, а также выборочного контроля в организации, который позволяет убедиться, что реальная практика соответствует описанию системы.

Аккредитованную сертификацию могут предоставить лишь те сертификационные общества, которые прошли аккредитацию BSI. Сертификат, выданный такой организацией, безоговорочно признается на международном уровне.

3.3.2. ISO/IEC 17799

В конце 1999 г. эксперты международной организации по стандартизации ISO пришли к выводу, что в рамках существующих стандартов ISO отсутствует специализированный стандарт управления информационной безопасностью. Соответственно, ISO было принято решение не заниматься разработкой нового стандарта, а по согласованию с британским институтом стандартов, взяв за базу BS 7799 — Часть 1, принять стандарт ISO/IEC 17799.

Соответственно 2000 г. вдохнул новую жизнь в BS 7799 — Часть 1, который, став ISO/IEC 17799, получил теперь уже статус международного стандарта, что кардинально изменило расстановку сил и отношение к стандарту.

Что же касается официальной сертификации по ISO/IEC 17799, то она изначально не была предусмотрена. Процедура сертификации должна была появиться только после выхода в рамках ISO стандарта аналога BS 7799 — Часть 2, что произошло только в конце 2005 г. с выходом сертификационного стандарта ISO/IEC 27001. При этом была предусмотрена стандартная процедура сертификации по BS 7799 — Часть 2, такая же, как и для всех стандартов ISO.

Февраль 2002 г. считается отправной точкой развития стандарта ISO/IEC 17799 в России и странах СНГ. В середине 2001 г. в мире сложилась непростая ситуация в области стандартизации по информационной безопасности. Существовали различные стандарты, применимость которых на практике вызывала вопросы и серьезные сомнения. Кроме того, у большинства специалистов преобладал исключительно технологический подход к защищенности, и вопросам управления безопасностью уделялось минимальное внимание. Однако у узкого круга специалистов существовало понимание, что ис-

87

ключительно технологический подход к защите информации — это путь в никуда, это еще далеко не все. Поэтому жизненно необходимо было выработать некий единый подход к тому, что теперь называется системой управления информационной безопасностью. И здесь на помощь пришел именно ISO/IEC 17799, который специализировался как раз в вопросах управления информационной безопасностью и стал тем недостающим звеном, которого так не хватало на практике.

2003 г. считается годом начала экспоненциального роста интереса специалистов и бизнеса к ISO/IEC 17799.

Официальные регулирующие органы Российской Федерации впервые обратили внимание на стандарт, заметив, что он не противоречит действующим документам ФСТЭК. В конце года на конференциях начались робкие разговоры о возможности появления в России Государственного стандарта (ГОСТ) на основе ISO/IEC 17799.

Наиболее интересным событием года в СНГ стало то, что именно

â2003 г. Национальный банк Молдовы начал первым в СНГ на практике применять требования стандарта, обязав все местные банки выполнять его требования, создавая СУИБ на основе ISO/IEC 17799.

Общая либерализация рынка информационной безопасности в России, ориентация на лучшие западные стандарты, подготовка ГОСТа на основе ISO/IEC 15408 и многие другие факторы привели к тому, что представители официальных органов РФ открыто заявили о необходимости принятия ГОСТа на основе ISO/IEC 17799, это оставалось лишь вопросом времени.

Тем не менее, не в России, а в Белоруссии, первой из стран СНГ,

âноябре 2004 г. был принят ГОСТ 17799.

ÂРоссии ряд ведущих компаний начали работу по построению СУИБ в соответствии с ISO/IEC 17799 и принятию корпоративных стандартов на его базе. Анализ и управление информационными рисками — основа стандарта ISO/IEC 17799 — прочно вошли в жизнь большинства специалистов и стали применяться на практике.

Центральный банк РФ на базе ISO/IEC 17799 создал стандарт управления информационной безопасностью для банковской сферы РФ.

Число компаний в мире, получивших официальный сертификат, — более 1000. Таким образом, наблюдается трехкратный рост числа сертифицированных компаний в 2004 г. — этот год стал основным годом, показавшим тенденцию общего практического интереса к стандарту в мире и странах СНГ.

88

К 2005 г. стандарт ISO/IEC 17799 стал повсеместно применяться на практике. Компании начали активно разрабатывать и внедрять СУИБ

âсоответствии со стандартом.

ÂРоссии был разработан и передан на обсуждение специалистам проект ГОСТа на основе ISO/IEC 17799.

Âэтом же году выходит в свет новая, значительно расширенная по сравнению с 2000 г., редакция стандарта ISO/IEC 17799:2005.

Тогда же впервые в рамках ISO появляется сертификационный стандарт ISO/IEC 27001:2005, пришедший на смену BS 7799 — Часть 2, и теперь сертификация проводится уже по ISO/IEC 27001:2005.

Осенью 2006 г. был опубликован ГОСТ Р ИСО/МЭК 17799-2005 «Информационная технология — Практические правила управления информационной безопасностью», подготовленный на базе ISO/IEC 17799:2000 Федеральным государственным учреждением «Государственный научно-исследовательский испытательный институт проблем технической защиты информации Федеральной службы по техническому и экспортному контролю» (ФГУ «ГНИИИ ПТЗИ ФСТЭК России»).

ГОСТ Р ИСО/МЭК 17799-2005 представляет собой перечень мер, необходимых для обеспечения информационной безопасности организации, включая действия по созданию и внедрению СУИБ, которая строится таким же образом и на тех же принципах, что и система менеджмента качества, и совместима с ней. Наиболее важными являются следующие особенности этого документа.

Информационная безопасность не сводится только к компьютерной. Стандарт говорит не только о защите компьютерных систем, сетей и носителей информации, но и о других активах предприятия: об информации и документах на «традиционных» носителях, а также об информации, хранящейся в головах сотрудников предприятия. При этом обеспечить защиту необходимо на всех стадиях обработки информации, таких как копирование, хранение, передача и уничтожение.

Обеспечение информационной безопасности не сводится к защите от действий криминального характера. Самое серьезное внимание уделено обеспечению наличия и доступности информации и документов, необходимых организации для деловой деятельности и для защиты своих прав и интересов, а также защите целостности и аутентичности этих документов в ходе нормальной деловой деятельности.

Âотдельные разделы выделены вопросы обеспечения соответствия организации законодательно-нормативным требованиям, а также обеспечение непрерывности деловой деятельности в случае непредвиденных обстоятельств и ее восстановления после катастроф [43].

89

Основные разделы стандарта ГОСТ Р ИСО/МЭК 177992005

1. Политика безопасности

Öåëü — обеспечить четкое управление и поддержку политики в области информационной безопасности со стороны руководства пред-

приятия.

2. Организационные меры по обеспечению безопасности

—управление форумами по информационной безопасности;

—координация вопросов, связанных с информационной безопасностью;

—распределение ответственности за обеспечение безопасности. Öåëü: создать организационную структуру, которая будет внедрять

èобеспечивать работоспособность системы информационной безопас-

ности в организации.

3. Классификация и управление ресурсами

—инвентаризация ресурсов;

—классификация ресурсов.

Öåëü: поддерживать адекватную информационную безопасность организации путем возложения персональной ответственности, а также классификации информационных ресурсов по необходимости и

приоритету защиты.

4. Безопасность персонала

—безопасность при выборе персонала и работе с ним;

—тренинги персонала по вопросам безопасности;

—реагирование на секьюрити-инциденты и неисправности. Öåëü: уменьшить риск человеческих ошибок, хищений и непра-

вильного использования оборудования, в том числе путем эффектив-

ного обучения и внедрения механизма отслеживания инцидентов.

5. Физическая безопасность

Öåëü: предотвратить НСД, повреждение и нарушение работы ин-

формационной системы организации.

6. Управление коммуникациями и процессами

—рабочие процедуры и ответственность;

—системное планирование;

—защита от злонамеренного программного обеспечения (вирусов, троянских коней);

—управление внутренними ресурсами;

—управление сетями;

—безопасность носителей данных;

90