10 Выполнение плана информационной безопасности

Правильная реализация мер защиты основывается, главным образом, на хорошо составленном и документированном плане обеспечения информационной безопасности. Понимание безопасности и обучение новым информационным технологиям должны идти параллельно. Меры защиты должны быть одобрены до начала эксплуатации системы или после того как реализация плана информационной безопасности завершена.

10.1 Осуществление мер защиты

Для осуществления мер защиты необходимо выполнить все пункты плана обеспечения информационной безопасности. Лицо, ответственное за этот план (обычно служащий из руководящего состава организации, ответственный за безопасность), должно обеспечить отслеживание приоритетных и основных пунктов плана обеспечения информационной безопасности.

Документация по защитным мерам является важной частью документации по информационной безопасности, обеспечивающей непрерывность и последовательность действий. Поддержание непрерывности и последовательности действий может быть выполнено различными способами. Документация по защитным мерам должна быть составной частью документации по безопасности организации, например, плана обеспечения информационной безопасности, бизнес-плана, документации по анализу рисков, политики и процедур по обеспечению безопасности. Документация должна быть разработана с учетом потребностей руководства организации, пользователей, системных администраторов, обслуживающего персонала и лиц, вовлеченных в управление изменениями и конфигурации систем. Документация должна постоянно актуализироваться и быть достаточно подробной для исключения ошибок при обеспечении безопасности систем, и в тоже время предоставлять информацию, обеспечивающую правильность и эффективность деятельности по защите их систем безопасности. Часть документов, особенно касающихся угроз, уязвимостей и рисков, может содержать конфиденциальные данные и должна быть защищена от несанкционированного раскрытия. Организация должна обращаться с подобными документами очень аккуратно и дополнительно может использовать доверительные распределенные процедуры.

Распределенные процедуры должны определять способы хранения, использования и обеспечения доступа конфиденциальной информации по мерам защиты. Кроме того, эти процедуры должны определять лиц, отвечающих за хранение информации по мерам защиты, имеющих право доступа и использования информации. При разработке процедур распространения информации и определении доступа к ней необходимо учитывать ряд специфических факторов, таких как необходимость обеспечения бесперебойной работы систем информационных технологий, наличие плана аварийного восстановления производственной деятельности, стратегию и план действий в случае бедствия или другого непредвиденного события, для которых время является критическим фактором. Наконец, необходим строгий контроль за документацией по мерам защиты с тем, чтобы не допустить несанкционированных изменений, способных снизить эффективность мер защиты.

Как только план информационной безопасности будет закончен и расписан по ответственным функциям, должны быть внедрены меры защиты, проверена и испытана их сочетаемость с безопасностью. Анализ проверки сочетаемости с безопасностью проводят для подтверждения того, что меры защиты внедрены корректно, соответственно испытаны и эффективно применяются. Допускается проведение оценки безопасности как части этого анализа. Тестирование является важным способом обеспечения корректности внедренных мер защиты. Оценку безопасности проводят в соответствии с планом проверки обеспечения безопасности, описывающим подход к тестированию, график проверки обеспечения безопасности и окружающую среду. В зависимости от результатов оценки рисков может использоваться тестирование по преодолению защиты. Необходимо иметь детальные методы тестирования защиты с использованием стандартной формы отчета. Цель тестирования - внедрение и проверка мер защиты методом, обеспечивающим выполнение плана обеспечения информационной безопасности с учетом снижения риска до требуемого уровня.