15 Формирование плана реализации зм ас

План является координирующим доказательством, определяющим действия, которые д.б. предприняты для реализации выбранных ЗМ АС.

В плане д.б. отражены:

• Оценка остаточных рисков

• Перечень выбранных ЗМ, которые д.б. реализованы, и перечень существующих ЗМ, включающих усовершенствование

• Приоритеты по реализации выбранных ЗМ и усовершенствованию существующих.

• График реализации выбранных ЗМ и усовершенствования существующих, с учетом приоритетов.

• Требования по финансированию

• Оценка трудовых ресурсов необходимых для реализации ЗМ и их дальнейшей эксплуатации

• Перечень ролей, необходимых для реализации планов.

• Требования к програм. обучению персонала ИБ и осведомления об ИБ сотрудников орг-ии

План д.б утвержден рук-м орг-ии

Процесс формирования плана реализации ЗМ:

Вх.инф.:остточные риски, выбранные зм, существующие ЗМ

Руководящяя инф.: политика ИБ АС

Ресурсы: служба ИБ, руководство, мат и фин.

16. Процессы реализации и эксплуатации защитных мер ас. Реализация защитных мер

Для реализации ЗМ д.б. выполнены все процедуры плана реализации ЗМ. Лицо, ответственное за план, д.обеспечить выполнение графика, описанного в плане в соотв. с приоритетами.

Реализованные ЗМ д.б. протестированы.

Тестирование ЗМ произв-ся в соотв. с планом тестирования, кот. описывает способы тестирования, график тестирования.

М.б. использовано тестирование на проникновение, если оно обосновано допустимым рисокм.

По результатам тестирования д.б. подготовлены отчеты.

Д.б. разработан комплект документов:

1) регламент применяемых ЗМ;

2) должностные инструкции по эксплуатации ЗМ персоналом.

Структура процесса:

ВХОД:

- план реализации ЗМ;

ВЫХОД:

- состав реализованных ЗМ;

- регламент применяемых ЗМ;

- должностные инструкции по экспл. ЗМ;

- отчеты о тестировании;

- план ТО ЗМ;

- треб. к прогр. осведомл.

УПР-Е:

- способы тестирования ЗМ;

РЕСУРСЫ:

- службы ИБ;

- службы ИТ;

- финанс. и матер. рес.

17. Процессы реализации и эксплуатации защитных мер ас. Техническое обслуживание защитных мер

Большинство ЗМ треб. ТО и поддержки, чтобы обеспечить правильное соотв. функц-ние в теч. их жизн.цикла

ТО и админ-ние д.выполняться в соотв. с планом. В нем д.б. опред. след.работы:

1. проверка записей сист.журналов

2.контр. раб. установок ЗМ;

3. изменение пар-ров ЗМ;

4. установка новых версий прогр. и апп-ных ср-в, реализ. ЗМ;

Стоимость ТО и администрирования ЗМ д.учитываться при оценки и выборе ЗМ.

Процесс:

ВХОД:

- план ТО ЗМ;

- перечень регл. ЗМ;

- должн.инструкции по экспл.ЗМ;

ВЫХОД:

- регл.ЗМ с уст-ными функциями;

УПР-е:

- договор о поставке (?)

Ресурсы:

- службы ИТ, ИБ;

- финанс. ресурсы

- привлеченные спецы

18. Процессы реализации и эксплуатации защитных мер ас. Управление изменениями ас

Процесс управления изменениями АС

Изменения АС необходимо контролировать с целью соотв. изм-ний требованиям ИБ.

Д. существовать утвержденные процедуры внесения изменений в АС, процедуры оценки внесения изменений в АС, д.б. введены правила доведения инф. об изм. АС до лиц, имеющих отношение к ИБ.

Упр-е изм-ями АС закл. в след:

1.идентификаци и регистрация изм-ний АС, при этом д.б.обеспеч. уверенность, что изм-ния подтверждены авторизованными пользователями;

2. анализ и оценка потенц. воздействий изменений на ИБАС;

3.формир-ние мотивир. решений по принятию или непринятию АС;

4. учет кол-ва изм-ний АС и ведение хронологии этих изм-ний;

5. обновление док-ции АС после заверш.каждого изм-ния;

6. реализация изм-ний не д.прерывать бизнес-процессов;

7. об изменениях сообщить заинт. лицам;

ПРОЦЕСС:

ВХОД:

- предлагаемые изменения;

ВЫХОД:

- скоррект.инструкции и регл.

- зафикс и учт. изм-ния АС

- решение об изм. АС

УПР-Е:

- проц.внес. изм-ний;

- способ оценки влияния изм.АС на ИБ;

- правило доведения инф.о внес.изм.;

РЕСЫ:

- службы ИБ,ИТ

- персонал орг-ции;

- финанс.ресы

19 вопрос.

Относятся след процессы:

• реализация ЗМ;

• технич обслужывание ЗМ;

• управление изменениями АС;

• реализация программы осведомления об ИБ;

• реализация программы обучения ИБ;

• обеспечение непрерывности бизнеса и восстановление после прерываний;

• обработка инцидентов ИБ.

Процесс: Реализация программы осведомления об ИБ.

Вх данные: треб-я к содерж прог освед-я, способы реализации прог освед-я, состав реализ ЗМ.

Вых данные: прога освед-я, методич указания по провед-ю освед-я, отчеты по освед-ю сотруд-в.

Ресурсы: служба ИБ, служба ИТ, сотрудники.

Упр инф-ия: корпор политика ИБ, политика ИБ АС, способы оценки освед-ти сотр-ков об ИБ.

Цель-повышение уровня осведомленности об ИБ в организации таким образом, чтобы ИБ стала неотъемлемой частью деловой деятельности сотрудников организации.

Программы должны обеспечивать чтобы персонал и пользователи системы имели достаточно знаний об ИБ АС и чтобы они понимали почему необходимы ЗМ и как их правильно использовать.

Эффективно могут работать только те ЗМ, которые восприняты пользователями системы и персоналом.

В программе осведомления должны быть след темы:

• знания ИБ для деятельности или бизнеса организации и для каждого сотрудника;

• последствия инцидентов ИБ для организации и отдельных сотрудников;

• правильное использование АС и её компонентов;

• риски ИБ АС и необходимые ЗМ;

• ограниченный доступ в различные области контролируемой зоны, ограниченный доступ к инф, и почему эти ограничения необходимы;

• необходимость оповещения о нарушениях и попытках нарушения ИБ;

• процедуры обеспечения ИБ и установление ответственных за нарушение этих процедур;

• управление изменениями и конфигурациями АС.

Программы осведомления об ИБ должны включать как интерактивные, так и стимулирующие методы.

Интерактивные методы: встреча со специалистами, семинары и т.д. – обеспечивают двусторонную связь между сотрудниками и специалистами.

Стумулирующие методы: плакаты, видео, оповещение через e-mail – являются прямыми способами связи, кот позволяют транслировать понятия, позицию организации в ОИБ.

Среди сотрудников периодически необходимо проводить мониторинг осведомленности об ИБ с целью оценки уровня осведомленности. Результаты оценки должны использоваться для повышения эффективности программы осведомления или для её корректирования.

Корректировка программы осведомления должна производиться в случиях изменения корпоративной политики ИБ, политики ИБ АС, вводятся значимые технологии, происходят изменения в угрозах.

20 вопрос.

Относятся след процессы:

• реализация ЗМ;

• технич обслужывание ЗМ;

• управление изменениями АС;

• реализация программы осведомления об ИБ;

• реализация программы обучения ИБ;

• обеспечение непрерывности бизнеса и восстановление после прерываний;

• обработка инцидентов ИБ.

Процесс: Реализация программы обучения ИБ.

Вх данные: треб-я к содерж прог обучения, состав ЗМ.

Вых данные: прога обучения ИБ, методич обеспеч проги обучения, отчеты по провед обучения, док-ты об обучении ИБ

Ресурсы: служба ИБ, служба ИТ, финансовые ресурсы.

Упр инф-ия: корпор политика ИБ, политика ИБ АС, способы оценки уровня обучения

Степень глубины обучения ИБ должна зависеть от того, какое значение ИБ имеет для организации. Глубина и детальность обучения зависит от ролей, выполняемых сотрудником.

К персоналу, кот необходимо спец обучение ИБ отн след группы:

• персонал, ответственный за проектирование и разработку АС и её компонентов;

• персонал, ответственный за функционирование компонентов АС, связанных с ЗМ;

• администраторы ИБ АС, управляющие доступом,антивир защитой, криптографич защитой и т.д.;

Общие темы могут быть след:

• угрозы бизнесу организации со стороны АС при нарушении конфиденциальности, целостности, доступности активов;

• уязвимости инф-х активов;

• риски ИБ;

• ЗМ и процедуры, необходимые для их праильного использования;

• инфраструктура управления ИБ, роли и ответственности при ОИБ;

• политика ИБ АС.

Программа обучения, кот охватывает технич и организационные меры, доп может содержать:

• обработка инцидентов;

• проверка соответствия ИБ;

• физическая безопасность;

• безопасность среды;

• безопасность, связанная с сотрудниками;

• безопасность аппаратных средств, ПО, управление доступом, мониторинг ИБ;

• безопасность телекоммуникаций;

• непрерывность бизнеса, включая планирование работы в аварийных ситуациях, восстановление после аварий и прерываний, планы по обеспечению непрерывности бизнеса.

Каждая организация должна разрабатывать свою собственную программу обучения ИБ в соответствии со своими требованиями и существующими ЗМ.

21 вопрос.

Относятся след процессы:

• реализация ЗМ;

• технич обслужывание ЗМ;

• управление изменениями АС;

• реализация программы осведомления об ИБ;

• реализация программы обучения ИБ;

• обеспечение непрерывности бизнеса и восстановление после прерываний;

• обработка инцидентов ИБ.

Процесс: Обеспечение непрерывности бизнеса и восстановление после прерывания.

Вх данные: результаты ОР.

Вых данные: план восстан-я после прерывания, процедуры тестир-я плана, проги обуч/освед-я после прерыв-я.

Ресурсы: резервное оборуд-е, финанс-е рес-ы, роли при обеспеч-ии непрерыв-ти.

Упр инф-ия: распоряд док-ты орг по непрерыв бизнеса, соглашения и договора с поставщиками.

Этот процесс предназначен для противодействия прерываниям бизнес-деятельности, для защиты важнейших бизнес-процессов от прерываний и обеспечения их своевременного восстановления.

Прерывания могут быть результатом стихийных бедствий, несчастных случаев, отказов оборудования и преднамеренных злоумышленником действий. Макс аварийное событие это уничтожение пространства организации или предприятия.

Обеспечение непрерывности бизнеса должно основываться на выявлении событий или последствий событий, кот могут стать причиной прерываний, при этом основой является проведение оценки рисков.

Оценка рисков покажет возможные последствия прерываний с точки зрения времени, масштаба, повреждений и периода восстановления.

Разработка плана восстановления после прерывания производится с целью обеспечения уверенности в том, что значимые операции могут быть возобновлены в течении заданного времени. План должен включать сценарии наихудшего развития событий и соответствующие меры противодействия.

Определять вид резервирования ресурсов, требования к договорным отношениям, роли и порядок исп ресурсов и др.

При разработке плана восстановления после прерываний:

• д.б. распределены осн роли и сформированы службы или подразделения обеспечения непрерывности бизнеса, а также установлены лица, ответственные за руководство менеджмента непрерывности бизнеса;

• д.б. определен перечень резервных ресурсов (в 1-ю очередь финанс.) при помощи кот будет проводиться восстановление нарушенных бизнес-процессов организации;

• в организации должен находиться в постоянной готовности резервный комплекс необходимого оборудования (например: резервный сервер, выделенные ЛС, укомплект РМ), предназначенный для реализации процедур восстановления нарушенных бизнес-процессов;

• между организацией и поставщиками могут быть заключены договора относительно предоставления резервных мощностей, кот должны будут находиться в состоянии готовности соизмеримой с риском прерывания бизнеса;

• д.б. обеспечен необходимый уровень осведомленности и обучения персонала процедурам восстановления процессов после прерываний. Обучение и осведомление должно проводиться всеми сотрудниками организации.

Тестирование плана восстановления необходимо для уверенности руководства в том, что план восстановления после прерываний будет действовать в ЧС так, как было намечено, а также для проведения своевременной соответствующей корректировки плана.

Частота тестирования плана может различаться в зависимости от критичности операций организации.

Могут исп различные методы тестирования:

• тестирование различных сценариев;

• моделирование возникновения нештатных ситуаций;

• тестирование технич. восстановления системы и процессов;

• тестирование процессов восстановления деят-ти на альтернативной площадке;

• тестирование оборудования и услуг поставщиков с целью обеспечения уверенности в том, что предоставляемые поставщиком продукты и услуги будут удовлетворять договорным условиям;

• генеральная репетиция – тестирование того, что организация может справиться с прерываниями.

• Результаты тестирования своевременно ив полном объеме должны доводиться до руководства.