Комплексное моделирование и интегрированные операции в нефтяной пром
..pdfния на 20–30 %. Приблизительная оценка чистой прибыли при использовании ИО на Норвежском континентальном шельфе (NCS) составляет приблизительно 300 млрд норвежских крон (приблизительно 50 млрд долларов США). Несмотря на огромные финансовые выгоды, эксплуатационный переход к такой системе имеет множество препятствий, включая проблемы увеличения риска для информационной безопасности (рис. 6.5).
Рис. 6.5. Цикл взаимосвязи рисков и инцидентов
Технологии, обеспечивающие удаленный контроль за процессом работы уже активно используются, но безопасный способ применения этих систем все еще нуждается в дальнейшем исследовании. Например, случайный инцидент может произойти, если береговой оператор полагает, что система находится в тестовом режиме, и закрывает клапаны, таким образом провоцируя простой системы. Или если сотрудник подключается к внутренней сети для проведения работы по техническому обслуживанию и непреднамеренно загружает вредоносное программное обеспечение со своего компьютера. Такие инциденты могут случиться и в том случае, если
111
в компанию специально проникает агент, цель которого нанести вред системе, или в ходе запланированной кибератаки через Интернет. Норвежская нефтегазовая промышленность имеет высокий уровень знания об угрозах информационной безопасности, с этой целью был проведен экспериментальный запуск систем.
Была разработана и смоделирована теория способности реагирования на инциденты, которая включает концепции обнаружения и уменьшения повреждений. Способность реагирования на инциденты – это система, целью которой является помощь в решении проблем, связанных с компьютерной безопасностью. Этот переменный параметр помогает определить количество инцидентов, которые могут быть обработаны за месяц, и включает два аспекта: определение количества ресурсов (люди и время), связанных с решением этих задач, и уровень их эффективности.
Инвестиции в способность реагирования на инциденты приводят к более быстрому их обнаружению. Таким образом, чем больше отчетов об их выявлении, тем выше осведомленность о рисках в информационной безопасности, что, в свою очередь, привлечет еще больше инвестиций. Это может вызвать чрезмерное капиталовложение в эту область. Однако более серьезной проблемой была бы обратная ситуация, где низкие инвестиции в способность реагирования на инциденты приводят к меньшему количеству обнаружений инцидентов и создают иллюзию безопасности.
Существующая модель охватывает множество уровней, однако есть возможность учесть большее количество деталей и знания о процессах работы. При реализациях некоторых операций риск уязвимости системыинформационнойбезопасностивсееще довольновысок.
Серьезность инцидентов и их частота, безусловно, взаимосвязаны, поэтому была разработана специальная матрица рисков с учетом влияния этих факторов. Слияние матрицы риска и модели создает условия для более точного анализа риска. Это поможет выявить основные тенденции развития каждого типа инцидентов и проследить связь с влиянием факторов при переходе на другую систему контроля за эксплуатацией. Например, внесение изменений
112
в один процесс работы может оказать большее влияние на частоту человеческих ошибок, но в то же время это может не отразиться на увеличении террористических атак. При наличии достаточных данных такая модель может использоваться для того, чтобы создать динамичную матрицу рисков, с помощью которой будет возможно отслеживать изменения риска в долгосрочной перспективе.
Таким образом, внедрение ИO в компанию может вызвать существенные изменения в эксплуатационных понятиях, связанных с человеческими и организационными факторами. Некоторые из этих факторов могут значительно увеличить риск крупных аварий. Существует стереотип о высоких рисках при внедрении ИО на предприятиях.
Одно из ограничений связано с тем, что ИО – относительно новое понятие, в настоящее время нет достаточно полной базы фактических несчастных случаев на производстве при внедрении ИО.
Интегрированные операции дают возможность продвигать более качественные управленческие решения за счет следующих преференций:
–интеграция планирования и смет;
–сбор данных и коммуникация;
–обработка данных, построение моделей, прогнозирование, поддержка решений;
–удобная визуализация данных, возможности обсуждений;
–возможности коммуникаций и ведения обсуждений между департаментами.
В настоящее время выделяют следующие организационные
ичеловеческие факторы, оказывающие влияние на процесс внедрения ИО на производстве.
♦ Организационные факторы:
–стратегии и процесс принятия решений;
–формальные аспекты: стратегии, цели, разделение работы, распределение;
–неофициальные аспекты: культура и власть;
–внутренние процессы, например, коммуникация.
113
♦ Человеческие факторы:
–особенности работы оператора с системой;
–особенности организации рабочего места, социальные воздействия, и т.д.;
–межличностные взаимоотношения.
Организационные и человеческие факторы тесно связаны друг с другом, и в большинстве случаев их достаточно проблематично отличить друг от друга.
114
7. МЕЖДУНАРОДНЫЕ СТАНДАРТЫ
ИСО (Международная организация по стандартизации) и МЭК (Международная электротехническая комиссия) образуют специализированную систему всемирной стандартизации. Государственные органы, являющиеся членами ИСО или МЭК, участвуют в разработке международных стандартов посредством технических комитетов, учрежденных соответствующей организацией для того, чтобы обсуждать определенные области технической деятельности. Технические комитеты ИСО и МЭК сотрудничают в областях взаимного интереса. Другие международные организации, правительственные и неправительственные, контактирующие с ИСО и МЭК, также принимают участие в работе. В области информационных технологий ИСО и МЭК учредили Совместный техническийкомитет, ISO/IEC JTC 1.
Проекты международных стандартов составляются в соответствии с правилами, определенными директивами ИСО/МЭК, ч. 2. Проекты международных стандартов, принятые объединенным техническим комитетом, рассылаются государственным органам на голосование.
Для опубликования документа в качестве международного стандарта необходимо как минимум 75 % голосов членов – организаций, принимающих участие в голосовании. Обращаем внимание на то, что некоторые элементы этого документа могут быть предметом патентных прав. ИСО и МЭК не несут ответственность за установление какого-либо или всех таких патентных прав. ISO/IEC 27001 был подготовлен Совместным техническим комитетом ISO/IEC JTC 1: Информационные технологии, Подкомитет SC 27, Методики защиты ИТ. Данное первое издание ISO/IEC 90003 отменяет и заменяет ISO 9000-3: 1997, который был усовершенствован с целью соответствия ISO 9001: 2000. ISO 90003: 1997 находился в зоне ответственности Технического комитета (ТК) ISO/TC 176/SC 2.
115
Этот международный стандарт был подготовлен для того, чтобы предоставить модель для создания, внедрения, эксплуатации, постоянного контроля, анализа, поддержания в рабочем состоянии и улучшения Системы менеджмента защиты информации (СМЗИ). Рекомендуется, чтобы принятие СМЗИ было стратегическим решением для организации. На проектирование и реализацию СМЗИ организации влияют ее потребности и цели, требования защиты, применяемые процессы, а также размер и структура организации. Ожидается, что все эти элементы, а также их вспомогательные системы будут со временем меняться. Ожидается, что реализация СМЗИ будет масштабироваться в соответствии с потребностями организации, например, простая ситуация требует простого решения СМЗИ.
СМЗИ разрабатывается для того, чтобы обеспечить выбор адекватных и пропорциональных средств управления защитой, которые защищают информационные активы и придают уверенность заинтересованным сторонам. Данный международный стандарт можно использовать для оценки соответствия заинтересованными внутренними и внешними сторонами.
Любое исключение из перечня средств управления, которое, как выясняется, необходимо для удовлетворения критерию приемлемости риска, необходимо обосновать и предоставить подтверждение того, что связанные с этим риски были приняты подотчетными лицами. Если исключаются какие-либо средства управления, то заявления о соответствии этому международному стандарту неприемлемы, за исключением тех случаев, когда такие исключения не влияют на способность и/или ответственность организации обеспечить защиту информации, которая удовлетворяет требованиям защиты, определяемым оценкой риска и применяемыми законодательными или нормативными требованиями.
Организация должна создать, внедрить, эксплуатировать, постоянно контролировать, анализировать, поддерживать в рабочем состоянии и улучшать документированную СМЗИ в контексте целостной деловой деятельности организации и рисков, с которыми
116
она сталкивается. Для целей этого международного стандарта используется процесс, основанный на модели PDCA.
Документация должна включать записи о решениях руководства, обеспечивать прослеживаемость действий до решений руководства и политики, а также обеспечивать воспроизводимость результатов. Важно быть способными продемонстрировать взаимосвязь выбранных средств управления и результатов процесса оценки рисков и обработки рисков, а затем политики и целей СМЗИ.
Записи должны создаваться и поддерживаться в рабочем состоянии для того, чтобы подтверждать соответствие требованиям и результативность работы СМЗИ. СМЗИ должна учитывать любые имеющие отношение к делу законодательные или нормативные требования, а также договорные обязательства. Записи должны оставаться разборчивыми, легко идентифицироваться и извлекаться. Средства управления, необходимые для идентификации, хранения, защиты, поиска, а также сроки хранения и ликвидации записей должны быть документированы и реализованы. В записях должны быть отражены показатели процесса, а также все эпизоды значительных инцидентов в системе безопасности, связанные со СМЗИ.
Кроме того, руководство должно регулярно анализировать СМЗИ организации (по крайней мере один раз в год), чтобы гарантировать ее постоянную пригодность, адекватность и результативность. Этот анализ должен включать в себя оценивание возможностей для улучшения и потребности в изменениях СМЗИ, включая политику защиты информации и цели защиты информации.
Таким образом, организации нужно идентифицировать многие виды деятельности и управлять ими для того, чтобы функционировать результативно. Любой вид деятельности, использующий ресурсы и управляемый для того, чтобы дать возможность преобразования входов в выходы, можно считать процессом. Часто выход одного процесса непосредственно образует вход следующего процесса.
Применение системы процессов в рамках организации вместе с идентификацией и взаимодействием этих процессов, а также их управлением можно назвать «процессным подходам». Процессный
117
подход к менеджменту защиты информации, представленный в данном международном стандарте, помогает пользователям подчеркнуть важность: a) понимания требований защиты информации и потребности установить политику и цели для защиты информации организации; б) средств реализации и управления рисками организации, связанных с защитой информации в контексте общих деловых рисков организации; в) постоянного контроля и анализа качества исполнения и результативности СМЗИ; г) непрерывного улучшения, основанного на объективном измерении (табл. 7.1).
|
|
Таблица 7 . 1 |
|
|
Процессный подход к менеджменту защиты информации |
||
|
|
|
|
№ |
Видыдеятельности |
Характеристикадеятельности |
|
п/п |
|
|
|
|
|
Установитеполитику, цели, процессыипроцедуры, |
|
1 |
Планирование |
относящиесякменеджментурисковиулучшениюза- |
|
(создайтеСМЗИ) |
щитыинформациидлявыдачирезультатоввсоответст- |
||
|
|||
|
|
виисобщейполитикойицелямиорганизации |
|
|
Осуществление |
Реализуйтеиэксплуатируйтеполитику, средствауправ- |
|
2 |
(внедритеиэксплуати- |
||
|
руйтеСМЗИ) |
ления, процессыипроцедурывобластиСМЗИ |
|
|
|
||
|
Действие |
Оценивайтеи, гдеприменимо, измеряйтепоказатели |
|
3 |
(постоянноконтроли- |
процессовпоотношениюкполитике, целямипрактиче- |
|
руйтеианализируйте |
скому опыту вобластиСМЗИ, доложитерезультаты |
||
|
СМЗИ) |
руководству дляанализа |
|
|
Проверка |
Осуществляйтекорректирующиеипредупреждающие |
|
|
действия, основанныенарезультатахвнутреннегоауди- |
||
|
(поддерживайтеврабо- |
||
4 |
чемсостояниииулуч- |
таСМЗИианализасостороныруководства, илина |
|
|
шайтеСМЗИ) |
другойзначимойинформациидлятого, чтобыдостичь |
|
|
постоянногоулучшенияСМЗИ |
||
|
|
При проектировании «человек-машина» необходимо учитывать аспекты окружающей среды, так как неудовлетворительные окружающие условия могут повлиять на работу операторов. Для залов управления такими факторами являются: освещение, влажность воздуха, температура воздуха, вибрация и шум. Следует так-
118
же учитывать такие факторы, как посменная работа, работа в реальном времени, в условиях дефицита времени и специализированное оборудование, используемое в залах управления.
Настоящий стандарт устанавливает требования к окружающей среде, а также рекомендации по эргономическому планированию, модернизации и реконструкции залов управления. Требования стандарта распространяются: на температурные условия, качество воздуха, световую среду, акустическую среду, вибрацию, эстетику и оформление интерьера.
Настоящий стандарт тесно связан с ISO 11064-2 и ISO 11064-3. Тем не менее практически невозможно договориться об использовании одной системы и даже одного стандарта в 1000 подрядных организаций.
Таким образом, ISO 11064 состоит из нескольких частей. Первая часть содержит основу процесса проектирования и общие принципы проектирования и, таким образом, влияет на другие части стандарта. Принципы проектирования имеют целью создание основы для всех эргономических мероприятий во время проектирования контрольного центра. Примерные принципы проектирования включают в себя применение ориентированного на человека подхода к проектированию и улучшение дизайна через итерации.
Данный стандарт содержит требования к окружающей среде, которые оптимизируют условия работы таким образом, что обеспечивают безопасность, не ухудшают здоровье и способствуют повышению эффективности работы операторов в залах управления.
Процесс проектирования, описанный на различных уровнях детализации всей ISO 11064, состоит из пяти основных этапов.
1.Уточнение: прояснение цели, контекста, ресурсов и ограничений по проекту при запуске процесса проектирования с учетом существующих ситуаций, которые могли бы быть использованы
вкачестве эталона.
2.Анализ и определение: описание способа анализа функциональных и эксплуатационных требований центра управления.
119
3.Электронная концепция: описание способа развития первоначального макета – с мебелью, дисплеями и управлением, связью интерфейсов, необходимых для удовлетворения потребностей.
4.Детальное проектирование: описание способа развития подробных технических характеристик, необходимых для проектирования строительства и/или закупок для центра управления.
5.Оперативная обратная связь: описание способа проведения анализа после ввода в эксплуатацию, чтобы определить положительные и отрицательные стороны в конструкции.
Вторая часть ISO 11064-2 содержит набор процедур проектирования, расположение предметов. Третья часть содержит схемы управления, требования и рекомендации для планирования диспет-
черской и рекомендуемых контрольных размеров помещения. В четвертой части представлена методика расчета рабочих мест станций, физические требования и рекомендации к проектированию рабочих станций. Пятая часть содержит перечень для проверки принципов проектирования, описание процесса для индикации и управления спецификациями и требования для тревоги. В шестой части представлены требования и рекомендации для экологических факторов: акустика, освещение, воздух и т.д. Седьмая часть содержит описание ролей
ипроцессих интеграциивпроцесс проектирования.
В2006–2008 гг. было проведено исследование с целью
оценки промышленного применения стандарта ISO 11064 для определения положительного и отрицательного опыта. ISO 11064, как правило, ценят и применяют в промышленности, но авторами были найдены значительные расхождения между использованием разных частей стандарта. В результате были предложены рекомендации по улучшению стандарта и его адаптации.
В ходе исследования были использованы интервью и онлайнопрос как методы исследования, где были опрошены профессиональные пользователи ISO 11064 норвежских нефтяных компаний.
Интервью показало, что 65,2 % опрошенных ссылаются на то, что необходима адаптация описанных процессов в стандарте под каждый проект. Также был выявлен ряд проблем, которые
120