რა არის ინფორმაციული უსაფრთხოების მართვის თანამედროვე სისტემა. თანამედროვე სტანდარტები ინფორმაციული უსაფრთხოების სფეროში რისკის მართვის კონცეფციის გამოყენებით ინფორმაციული უსაფრთხოების მართვის სისტემა

შაჰალოვი იგორ იურიევიჩი

ხარისხის მართვის სისტემებისა და ინფორმაციის უსაფრთხოების ინტეგრაციის საკითხზე

რეზიუმე: გათვალისწინებულია საერთაშორისო სტანდარტები ISO 27001 და ISO 9001. ხარისხის მართვის სისტემასა და ინფორმაციული უსაფრთხოების მართვის სისტემას შორის მსგავსებებისა და განსხვავებების ანალიზი. ნაჩვენებია ხარისხის მართვის სისტემის და ინფორმაციის უსაფრთხოების მართვის სისტემის ინტეგრირების შესაძლებლობა. მოცემულია ინფორმაციის უსაფრთხოების მართვის ინტეგრირებული სისტემის მშენებლობისა და დანერგვის ძირითადი ეტაპები. ნაჩვენებია ინტეგრირებული მიდგომის უპირატესობები.

საკვანძო სიტყვები: ინფორმაციის უსაფრთხოების მართვის სისტემები, ინტეგრირებული მართვის სისტემები, ISMS, QMS, ISO 27001.

ნატალია ოლეგოვნა

შესავალი

ვ თანამედროვე სამყაროსაერთო და მოსახერხებლის მოსვლასთან ერთად ტექნიკური მოწყობილობებიინფორმაციის დაცვის პრობლემა საკმაოდ მკვეთრად გაჩნდა. ხარისხიანი პროდუქციის გამოშვებასთან ან საწარმოთა და ორგანიზაციებთან მომსახურების გაწევასთან ერთად, მნიშვნელოვანია კონკურენტებისგან საჭირო ინფორმაციის დამალვა, რათა დარჩეს ხელსაყრელ მდგომარეობაში ბაზარზე. კონკურენტულ ბრძოლაში ფართოდ გავრცელებულია სხვადასხვა ქმედებები, რომლებიც მიმართულია კონფიდენციალური ინფორმაციის მოპოვებაზე (მოპოვებაზე, მოპოვებაზე). სხვადასხვა გზები, უშუალო სამრეწველო ჯაშუშობამდე დაზვერვის თანამედროვე ტექნიკური საშუალებების გამოყენებით.

ამრიგად, ორგანიზაციები, რომლებიც იცავენ მსოფლიოს საუკეთესო პრაქტიკას, შეიცავს მოთხოვნებს, მითითებებს ბიზნეს პროცესების მართვის სისტემების დანერგვისათვის, ხდებიან ლიდერები ბაზარზე. ასეთი სისტემების დიზაინის, დანერგვის, მონიტორინგისა და გაუმჯობესების საუკეთესო სტანდარტებია სტანდარტიზაციის საერთაშორისო ორგანიზაციის (ISO) დოკუმენტები. განსაკუთრებული ყურადღება უნდა მიექცეს ISO 900x და ISO 2700x სერიის სტანდარტებს, რომლებიც აგროვებენ საუკეთესო პრაქტიკას ხარისხის მართვის სისტემის (QMS) და ინფორმაციის უსაფრთხოების მართვის სისტემის (ISMS) დანერგვისათვის.

ხარისხის მართვის სისტემა, დანერგილი ISO 9001 სტანდარტის მოთხოვნების შესაბამისად, დიდი ხანია აღიარებულია წარმატებული კომპანიის განუყოფელ ატრიბუტად, რომელიც აწარმოებს მაღალი ხარისხის პროდუქციას ან უზრუნველყოფს მაღალი კლასის მომსახურებას. დღეს, შესაბამისობის სერტიფიკატის არსებობა არის როგორც ეფექტური მარკეტინგული გადაწყვეტა, ასევე წარმოების პროცესების კონტროლის მექანიზმი. QMS აუდიტი არის ბიზნესის კარგად განვითარებული სფერო.

კომპანიის წარმატებული საქმიანობის დამოკიდებულება კორპორატიული სისტემაინფორმაციის დაცვა. ეს გამოწვეულია კორპორატიული საინფორმაციო სისტემაში დამუშავებული სასიცოცხლო მონაცემების მოცულობის გაზრდით. ინფორმაციული სისტემები უფრო რთულდება და მათში აღმოჩენილი დაუცველობების რიცხვიც იზრდება. ISMS აუდიტი საშუალებას გაძლევთ შეაფასოთ კორპორაციის უსაფრთხოების ამჟამინდელი მდგომარეობა საინფორმაციო სისტემა,

რისკების შეფასება და პროგნოზირება, მათი გავლენის მართვა კომპანიის ბიზნეს პროცესებზე.

მას შემდეგ, რაც ISO 9001 სტანდარტი დიდი ხანია იკავებს წამყვან პოზიციას მსოფლიოში სერთიფიკატების რაოდენობით და ISO 27001 სტანდარტი აჩვენებს ინფორმაციული უსაფრთხოების მართვის სისტემის სერტიფიცირების გაზრდის ტენდენციას, მიზანშეწონილია განიხილოს შესაძლო ურთიერთქმედება და QMS და ISMS ინტეგრაცია.

სტანდარტების ინტეგრაცია

ერთი შეხედვით, ხარისხის მენეჯმენტი და ინფორმაციის უსაფრთხოება სრულიად განსხვავებული სფეროა. თუმცა, პრაქტიკაში, ისინი მჭიდროდ არიან დაკავშირებული და ქმნიან ერთ მთლიანობას (სურათი 1). მომხმარებელთა კმაყოფილება, რომელიც არის ხარისხის ობიექტური მიზანი, ყოველწლიურად სულ უფრო მეტად დამოკიდებულია ინფორმაციული ტექნოლოგიების ხელმისაწვდომობაზე და მონაცემთა უსაფრთხოებაზე, რომლის შესანარჩუნებლად გამოიყენება ISO 27001 სტანდარტი. მეორეს მხრივ, ISO 9001 სტანდარტი ზუსტად ემთხვევა ორგანიზაციის კორპორატიული მიზნები, რაც ხელს უწყობს უსაფრთხოების უზრუნველყოფას. ინტეგრირებული მიდგომის წყალობით, ISO 27001 შეიძლება ეფექტურად იყოს ინტეგრირებული არსებულ QMS– ში ან განხორციელდეს QMS– თან ერთად.

(ISO 27001) და IT სერვისების მენეჯმენტს (ISO 20000) აქვთ მსგავსი სტრუქტურა და პროცესის მიდგომა. ეს ქმნის სინერგიას, რომელიც ანაზღაურდება: პრაქტიკაში, ინტეგრირებული მართვის სისტემა მიმდინარე ოპერაციებისთვის დაზოგავს სისტემის ოპტიმიზაციის, შემოწმებისა და გადახედვის მთლიანი ღირებულების 20-30 პროცენტს.

ინფორმაციის უსაფრთხოება და ხარისხის მართვის სტანდარტები მიზნად ისახავს განუწყვეტლივ გაუმჯობესდეს Plan-Do-Check-Act (PDCA) მოდელის შესაბამისად, რომელიც ცნობილია როგორც Deming Cycle (იხ. სურათი 2). გარდა ამისა, ისინი სტრუქტურაში მსგავსია, როგორც ეს ნაჩვენებია ISO 27001 დანართში C კორესპონდენციის ცხრილში. ორივე სტანდარტი განსაზღვრავს პროცესის მიდგომას, მოცულობას, სისტემასა და დოკუმენტაციის მოთხოვნებს და ადმინისტრაციულ პასუხისმგებლობას. ორივე შემთხვევაში, სტრუქტურა მთავრდება შიდა აუდიტით, მენეჯმენტის მიმოხილვით და სისტემის გაუმჯობესებით. ამ შემთხვევაში, ორივე სისტემა ურთიერთკავშირშია. მაგალითად, ISO 9001 მოითხოვს არათანმიმდევრული პროდუქტების მართვას. ანალოგიურად, ISO 27001 სტანდარტს აქვს ინციდენტების მართვის მოთხოვნა ხარვეზების აღმოსაფხვრელად.

ბრინჯი 1. QMS და ISMS ურთიერთქმედების და მსგავსების სფეროები

ბრინჯი 2. დემინგის ციკლი

მსოფლიოს 100 -ზე მეტ ქვეყანაში სხვადასხვა ინდუსტრიის 27,200 -ზე მეტი ორგანიზაცია დამოწმებულია ხარისხის მართვის ISO 9001: 2008 სტანდარტებთან შესაბამისობისათვის. ბაზრისა და სამართლებრივი მოთხოვნებიდან გამომდინარე, ბევრი ორგანიზაცია სულ უფრო იძულებულია იზრუნოს ინფორმაციის უსაფრთხოებაზე. ამ მხრივ, კონტროლის სისტემის ინტეგრაცია გვთავაზობს რეალურ შესაძლებლობებს. კომპლექსური მიდგომაასევე საინტერესოა კომპანიებისთვის, რომლებსაც აქამდე არ გამოუყენებიათ რაიმე მენეჯმენტის პროცესი. ISO სტანდარტები ხარისხის (ISO 9001), გარემოს დაცვის (ISO 14000), ინფორმაციის უსაფრთხოებისათვის

სტანდარტებს შორის განსხვავებები სასარგებლოა ერთმანეთის შევსების მიზნით, რაც გადამწყვეტად უწყობს ხელს ბიზნესის წარმატების გაზრდას. მაგალითად, ISO 9001 მოითხოვს კორპორატიული მიზნების განსაზღვრას, მომხმარებელზე ფოკუსირებასა და გაზომვას, რამდენად არის მიღწეული მიზნები და ამოცანები. ეს არის სამი საკითხი, რომლებიც არ არის ISO 27001 – ის ყურადღების ცენტრში, თავის მხრივ, ეს სტანდარტი პრიორიტეტულია რისკების მენეჯმენტისთვის ბიზნესის უწყვეტობის შესანარჩუნებლად და გთავაზობთ დეტალურ დახმარებას ISMS– ის დანერგვაში. შეადარეს

ამასთან, ISO 9001 უფრო თეორიული სტანდარტია.

ISO 27001 - სტანდარტი არა მხოლოდ IT– სთვის

ბევრი ფიქრობს, რომ ISO 27001 სტანდარტი განკუთვნილია მხოლოდ IT პროცესებისთვის, მაგრამ სინამდვილეში ეს ასე არ არის. ISO 27001 SM&B სტანდარტის დანერგვის ფუნდამენტური წერტილი არის აქტივების განსაზღვრა.

"LilltpHiimiir-J." IJilllF.lEL ^ OIU.IC.

რ ტ ^ ცდკპინიჟ ც ნეტვკ ^ ტანსლშს ტეპ.ტნა.

»■ iriiKinfundu« GcTMHiiociv

* კიადრომი:

■ JI! L "|" l "L> 4_l] ჯილ" HIIL, კ

"D | KtttcCcU H" patitU.

"ჯიმი 14: ii | vju7JIIIM.

ბრინჯი 3. აქტივების სახეები

აქტივი იგულისხმება როგორც ყველაფერი, რაც კომპანიისათვის ფასეულია (სურათი 3). ანუ, აქტივი შეიძლება იყოს: ადამიანური რესურსი, ინფრასტრუქტურა, ინსტრუმენტები, აღჭურვილობა, კომუნიკაციები, მომსახურება და ნებისმიერი სხვა აქტივი, მათ შორის მომსახურება შეძენილი პროდუქციის მიწოდებისთვის. პროცესებიდან გამომდინარე, კომპანია განსაზღვრავს რომელი აქტივები აქვს და რომელი აქტივებია ჩართული კრიტიკულ პროცესებში და აფასებს აქტივების ღირებულებას. და მხოლოდ ამის შემდეგ ხდება რისკის შეფასება ყველა ღირებული აქტივისთვის. ამრიგად, ISMS განკუთვნილია არა მხოლოდ ციფრული ინფორმაციისთვის, რომელიც დამუშავებულია ავტომატური სისტემა... მაგალითად, ზოგიერთი ყველაზე კრიტიკული პროცესი მოიცავს

მომზადება

ღონისძიების გეგმები

2 შეამოწმეთ H: მე ემთხვევა

ინფორმაციის მყარი ასლების შენახვით, რომელიც ასევე დაფარულია ISO 27001. ISMS მოიცავს ყველა იმ გზას, რომლითაც შესაძლებელია მნიშვნელოვანი ინფორმაციის შენახვა თქვენს კომპანიაში. წერილებიდაცული, დამთავრებული იმით, თუ სად ინახება თანამშრომლების პირადი საქმეები შენობაში.

ამრიგად, უზარმაზარი მცდარია მოსაზრება, რომ ვინაიდან სტანდარტი მიზნად ისახავს ინფორმაციის უსაფრთხოების მართვის სისტემის შექმნას, მაშინ ეს შეიძლება გამოყენებულ იქნას მხოლოდ კომპიუტერში შენახულ მონაცემებზე. ჩვენს ციფრულ ხანაშიც კი, ბევრი ინფორმაცია კვლავ აისახება ქაღალდზე, რომელიც ასევე საიმედოდ უნდა იყოს დაცული.

ISO 9001 ვერ აკმაყოფილებს კომპანიის საინფორმაციო უსაფრთხოების საჭიროებებს, ვინაიდან ის მჭიდროდ არის ორიენტირებული პროდუქტის ხარისხზე. აქედან გამომდინარე, ძალიან მნიშვნელოვანია კომპანიაში ISO 27001 დანერგვა. ერთი შეხედვით, შეიძლება სპეციალისტს მოეჩვენოს, რომ ორივე სტანდარტი ძალიან ზოგადია და არ აქვს სპეციფიკა. თუმცა, ეს ასე არ არის: ISO 27001 სტანდარტი აღწერს ISMS– ის ფუნქციონირების განხორციელებისა და კონტროლის თითქმის ყველა საფეხურს (სურათი 4).

ინფორმაციული უსაფრთხოების მართვის სისტემის აგების ძირითადი ეტაპები

ISMS– ის აგების ძირითადი ეტაპები ნაჩვენებია ფიგურაში 4. განვიხილოთ ისინი უფრო დეტალურად.

ეტაპი 1. სამოქმედო გეგმების მომზადება. ამ ეტაპზე სპეციალისტები აგროვებენ ორგანიზაციულ და ადმინისტრაციულ დოკუმენტებს (ORD) და სხვა სამუშაო მასალებს,

3 ტიპი ტიპი II ORD

4 ანალიზი ii რისკების შეფასება 11B

განხორციელება

5 რიაზრა ოოგია და<>RaeryaOopv კომპლექსი & 00 \ * ieiitii:

რადიაციული გეგმები ■ -> სტანდარტები -> ღონისძიებები -> CfftpJOTHW *

მოვლენები Mon> PB ORD Poenpzhenie

INRsnEsS "IMB- ის შედეგების 10 AiUtuin შეფასების ფორმირება

ბრინჯი 4. ISMS– ის აგების ეტაპები

რაც შეეხება კომპანიის საინფორმაციო სისტემების მშენებლობასა და მუშაობას, დაგეგმილია ინფორმაციის უსაფრთხოების უზრუნველყოფის მექანიზმებისა და საშუალებების გამოყენება. გარდა ამისა, სამუშაო ეტაპების სამოქმედო გეგმები შედგენილია, შეთანხმებულია და დამტკიცებულია კომპანიის მენეჯმენტის მიერ.

ეტაპი 2. ISO / IEC 27001: 2005 -თან შესაბამისობის შემოწმება. ინტერვიუები და დაკითხვა მენეჯერებისა და დეპარტამენტების თანამშრომლებისათვის. კომპანიის ISMS- ის ანალიზი ISO / IEC 27001: 2005 მოთხოვნების შესაბამისად.

ეტაპი 3. მარეგულირებელი და ორგანიზაციული და ადმინისტრაციული დოკუმენტების ანალიზი საფუძველზე ორგანიზაციული სტრუქტურაკომპანიებს. მისი შედეგებიდან გამომდინარე, განსაზღვრულია დაცული სფერო (OA) და შემუშავებულია კომპანიის ინფორმაციული უსაფრთხოების პოლიტიკის ესკიზი.

ეტაპი 4. ინფორმაციული უსაფრთხოების რისკების ანალიზი და შეფასება. კომპანიის რისკების მართვისა და მათი ანალიზის მეთოდოლოგიის შემუშავება. კომპანიის საინფორმაციო რესურსების ანალიზი, უპირველეს ყოვლისა LAN, დაცული ML აქტივების საფრთხეების და დაუცველობების დასადგენად. აქტივების ინვენტარიზაცია. კონსულტაციების ჩატარება კომპანიის სპეციალისტებისთვის და უსაფრთხოების ფაქტობრივი და საჭირო დონის შესაბამისობის შეფასება. რისკების გაანგარიშება, თითოეული კონკრეტული აქტივის რისკის არსებული და მისაღები დონის განსაზღვრა. რისკების კლასიფიკაცია, ღონისძიებების კომპლექსების შერჩევა მათ შესამცირებლად და განხორციელების თეორიული ეფექტურობის გაანგარიშება.

ეტაპი 5. IS სამოქმედო გეგმების შემუშავება და განხორციელება. კონტროლის გამოყენების შესახებ განცხადების შემუშავება ISO / IEC 27001: 2005 შესაბამისად. აღრიცხვისა და რისკების აღმოფხვრის გეგმის შემუშავება. კომპანიის ხელმძღვანელისთვის ანგარიშების მომზადება.

ეტაპი 6. მარეგულირებელი და OSA- ს განვითარება. IB– ის საბოლოო პოლიტიკისა და მასთან დაკავშირებული დებულებების შემუშავება და დამტკიცება (კერძო პოლიტიკა). სტანდარტების, პროცედურების და ინსტრუქციების შემუშავება კომპანიის ISMS– ის ნორმალური ფუნქციონირებისა და მუშაობის უზრუნველსაყოფად.

ეტაპი 7. მენეჯმენტის მიერ დამტკიცებული რისკების შესამცირებლად და მათი ეფექტურობის შესაფასებლად ყოვლისმომცველი ღონისძიებების განხორციელება.

ეტაპი 8. პერსონალის სწავლება. სამოქმედო გეგმების შემუშავება და პროგრამების განხორციელება კომპანიის თანამშრომლების მომზადებისა და კომპეტენციის ამაღლების მიზნით, რათა უზრუნველყოს ინფორმაციის უსაფრთხოების პრინციპების ეფექტურად გადმოცემა ყველა თანამშრომლისათვის და

პირველ რიგში ისინი, ვინც მუშაობენ სტრუქტურული ერთეულებიძირითადი ბიზნეს პროცესების უზრუნველყოფა.

ეტაპი 9. ანგარიშგების ფორმირება. გამოკითხვის შედეგების სისტემატიზაცია და ანგარიშების მომზადება. კომპანიის ხელმძღვანელების მუშაობის შედეგების პრეზენტაცია. დოკუმენტების მომზადება ლიცენზირებისთვის ISO / IEC 27001: 2005 -ის შესაბამისად და მათი გადაცემა სერტიფიცირების ორგანიზაციაში.

ეტაპი 10. ISMS განხორციელების შედეგების ანალიზი და შეფასება იმ მეთოდოლოგიის საფუძველზე, რომელიც აფასებს კომპანიის ISMS ფუნქციონირების საიმედოობას. რეკომენდაციების შემუშავება კომპანიის IS მართვის სისტემის გასაუმჯობესებლად.

ISMS დანერგვის თითოეული ეტაპის გაანალიზებით, შეგვიძლია ვთქვათ, რომ ISO 27001– ს აქვს მკაფიო სტრუქტურა და მოთხოვნები, რაც საშუალებას მოგცემთ ააგოთ სამუშაო სისტემა, რომელშიც იქნება ურთიერთქმედება ყველა საჭირო დონეზე. მაგრამ არ უნდა დაგვავიწყდეს, რომ მთავარი განსხვავება ISMS– სა და QMS– ს შორის არის ის, რომ პირველი სისტემა ორიენტირებულია ინფორმაციის უსაფრთხოებაზე.

ინფორმაციის უსაფრთხოების მნიშვნელობა თანამედროვე მსოფლიოში

დღევანდელი ბიზნესი ვერ იარსებებს საინფორმაციო ტექნოლოგიების გარეშე. ცნობილია, რომ მსოფლიოს მთლიანი ეროვნული პროდუქტის დაახლოებით 70% ამა თუ იმ გზით არის დამოკიდებული ინფორმაციულ სისტემებში შენახულ ინფორმაციაზე. კომპიუტერების ფართოდ დანერგვამ შექმნა არა მხოლოდ ცნობილი კომფორტი, არამედ პრობლემებიც, რომელთაგან ყველაზე სერიოზულია ინფორმაციის უსაფრთხოების პრობლემა.

ბიზნეს ლიდერებმა უნდა გააცნობიერონ ინფორმაციის უსაფრთხოების მნიშვნელობა, ისწავლონ ამ სფეროში არსებული ტენდენციების პროგნოზირება და მართვა. ამაში მათ შეუძლიათ დაეხმარონ ISMS– ის დანერგვას, რომელსაც თავის სტრუქტურაში აქვს განვითარების პოტენციალი, მენეჯმენტის გამჭვირვალობა, მოქნილობა ნებისმიერი ცვლილების მიმართ. კომპიუტერებისა და კომპიუტერული ქსელების კონტროლთან ერთად, ISO 27001 სტანდარტი დიდ ყურადღებას უთმობს უსაფრთხოების პოლიტიკის შემუშავებას, პერსონალთან მუშაობას (დაქირავება, სწავლება, სამსახურიდან გათავისუფლება), უწყვეტობის უზრუნველყოფა. წარმოების პროცესი, მარეგულირებელი მოთხოვნები, ხოლო ზოგიერთი ტექნიკური საკითხი დეტალურად არის აღწერილი სერიის სხვა სტანდარტებში

ISO 27000 ISIB– ს კომპანიაში დანერგვის ბევრი უპირატესობა აქვს, ზოგიერთი მათგანი ნაჩვენებია ნახ. 5

Glbkshl მასშტაბი pODr> h; b1 [h-th

უარყოფა ¡juvum

HiKiinimi n II11 \ 11 H "G 1111 111 pudnT

პრტრწალ wyrdoctle

"Ji | m | ill p. Ki u:

აჟშჩტნია # ცნ ^ ქ

ბრინჯი 5. ინფორმაციის უსაფრთხოების მართვის სისტემის დანერგვის უპირატესობები

ISO სარგებელი უნდა აღინიშნოს

უსაფრთხოების კომპეტენციის დემონსტრირება. ISO 27001 არის პრაქტიკული სახელმძღვანელო ორგანიზაციისათვის, რომელიც დაეხმარება უსაფრთხოების მოთხოვნების ჩამოყალიბებაში უსაფრთხოების საჭირო დონის მისაღწევად და უსაფრთხოების კონკრეტული მიზნების მისაღწევად. განსაკუთრებით მნიშვნელოვანია ორგანიზაციებისთვის იყოს კომპეტენტური უსაფრთხოების მართვის ოთხ სფეროში, მათ შორის: კომპანიის აქტივების იდენტიფიცირება და შეფასება, რისკების შეფასება და რისკების მიღების კრიტერიუმების განსაზღვრა, ამ ერთეულების მართვა და მიღება და მუდმივი გაუმჯობესება. ზოგადი პროგრამაორგანიზაციის უსაფრთხოება.

მომხმარებელთა ნდობის უზრუნველყოფა. ISO 27001 უზრუნველყოფს დამოუკიდებელ მტკიცებულებას იმისა, რომ კორპორაციული მართვის პროგრამები მხარდაჭერილია საერთაშორისო საუკეთესო პრაქტიკებით. ISO 27001 სერთიფიკატი უზრუნველყოფს სიმშვიდეს კორპორაციებისთვის, რომლებიც ცდილობენ აჩვენონ მომხმარებელთა, აქციონერებისა და პოტენციური პარტნიორების მთლიანობა და რაც მთავარია, აჩვენონ, რომ კომპანიამ წარმატებით დანერგა ინფორმაციული უსაფრთხოების მძლავრი სისტემა. მრავალი მკაცრად რეგულირებული ინდუსტრიისთვის, როგორიცაა ფინანსები ან ინტერნეტ მომსახურება, მომწოდებლების შერჩევას შეუძლია

შემოიფარგლება იმ ორგანიზაციებით, რომლებიც უკვე ISO 27001 სერთიფიცირებულია.

რესურსების უფრო ეფექტური გამოყენება. პროცესის მიდგომის გამოყენების წყალობით, შესაძლებელია კომპანიაში მიმდინარე პროცესების ოპტიმიზაცია. რაც გულისხმობს რესურსების გამოყენების შემცირებას, მაგალითად, დროს.

უწყვეტი გაუმჯობესება. ISMS იყენებს PCDA მოდელს, რომელიც საშუალებას გაძლევთ რეგულარულად შეამოწმოთ მთელი სისტემის სტატუსი, გააანალიზოთ და გააუმჯობესოთ მართვის სისტემა

1. სურათი, ბრენდი. სერტიფიკატი ISO 27001– თან შესაბამისობისთვის გახსნის კომპანიას ფართო შესაძლებლობებს: საერთაშორისო დონეზე წვდომა, ახალი პარტნიორობა, მეტი კლიენტი, ახალი კონტრაქტები, ტენდერებში წარმატება. კომპანიაში ISMS– ის არსებობა განვითარების მაღალი დონის მაჩვენებელია.

2. ISMS– ის მოქნილობა. პროცესების, ახალი ტექნოლოგიების ცვლილების მიუხედავად, ISMS სტრუქტურის საფუძველი რჩება ეფექტური. ISMS საკმაოდ ადვილად ეგუება სიახლეებს არსებული მოდერნიზაციით და ახალი კონტრ ზომების შემოღებით.

3. სტანდარტის დანერგვის მასშტაბურობა. ვინაიდან ISO 27001 მოითხოვს სფეროს განსაზღვრას, პროცესების მხოლოდ ქვეჯგუფის დამოწმება შეიძლება. თქვენ შეგიძლიათ დაიწყოთ ISMS– ის დანერგვა კომპანიის ყველაზე მნიშვნელოვან OA– ში და მხოლოდ მოგვიანებით გააფართოვოთ.

4. აუდიტი. ბევრი რუსული კომპანიებიაუდიტის მუშაობას კატასტროფად აღიქვამს. ISO 27001 გვიჩვენებს საერთაშორისო მიდგომას აუდიტისადმი: უპირველეს ყოვლისა, კომპანიის ინტერესი რეალურად აკმაყოფილებდეს სტანდარტებს და არა როგორმე სერტიფიცირებას, მხოლოდ საჩვენებლად.

5. რეგულარული შიდა თუ გარე აუდიტი იძლევა დარღვევების გამოსწორების, ISMS გაუმჯობესების და რისკების მნიშვნელოვნად შემცირების საშუალებას. უპირველეს ყოვლისა, კომპანიას ეს სჭირდება საკუთარი სიმშვიდისთვის, რომ ყველაფერი რიგზეა და დანაკარგების რისკები მინიმუმამდეა დაყვანილი. და უკვე მეორეხარისხოვანი - შესაბამისობის სერტიფიკატი, რომელიც ადასტურებს პარტნიორებს ან მომხმარებლებს, რომ ამ კომპანიის ნდობა შეიძლება.

6. მენეჯმენტის გამჭვირვალობა. ISO 27001 სტანდარტის გამოყენება იძლევა საკმაოდ მკაფიო მითითებებს მენეჯმენტის შესაქმნელად და

ასევე მოთხოვნები დოკუმენტაციისათვის, რომელიც უნდა იყოს კომპანიაში. ბევრი კომპანიის პრობლემა ის არის, რომ გარკვეული განყოფილებების არსებული დოკუმენტები უბრალოდ არ იკითხება, რადგან ხშირად შეუძლებელია იმის გარკვევა, თუ ვისთვის არის განკუთვნილი დოკუმენტაციის სისტემის სირთულის გამო. დოკუმენტაციის დონის იერარქია, ინფორმაციის უსაფრთხოების პოლიტიკიდან დაწყებული კონკრეტული პროცედურების აღწერით, ბევრად ამარტივებს არსებული წესების, რეგულაციებისა და სხვა საკითხების გამოყენებას. ასევე, SM & B– ის დანერგვა გულისხმობს პერსონალის მომზადებას: სემინარების, ფოსტის გაგზავნას, გამაფრთხილებელი პლაკატების დაკიდებას, რაც მნიშვნელოვნად ზრდის ინფორმაციული უსაფრთხოების ცნობიერებას რიგით თანამშრომლებს შორის.

დასასრულს, უნდა აღინიშნოს, რომ ს თანამედროვე ბიზნესიხარისხის მართვის ძირითადი სისტემის ინტეგრალურობა, რომელიც აგებულია ISO 9001 სტანდარტის მოთხოვნების შესაბამისად და ინფორმაციული უსაფრთხოების მართვის სისტემის პოზიციის მოპოვება აშკარაა.

დღეს ბაზრის ლიდერი იქნება ის კომპანიები, რომლებიც გააკონტროლებენ არა მხოლოდ პროდუქციისა და მომსახურების ხარისხის მაჩვენებლებს, არამედ მათ შესახებ ინფორმაციის კონფიდენციალურობის, მთლიანობისა და ხელმისაწვდომობის დონეს. პროგნოზირება და რისკის შეფასება ასევე არის წარმატების მნიშვნელოვანი ფაქტორი, რომელიც მოითხოვს კომპეტენტურ მიდგომას და საუკეთესო საერთაშორისო პრაქტიკის გამოყენებას. ხარისხის მართვისა და ინფორმაციის უსაფრთხოების სისტემების ერთობლივი დანერგვა და სერტიფიცირება დაეხმარება პრობლემების ფართო სპექტრს ნებისმიერი ინდუსტრიისთვის ან ვაჭრობისთვის, რაც თავის მხრივ გამოიწვევს გაწეული მომსახურების დონის ხარისხობრივ ზრდას.

ლიტერატურა

1. დოროფეევი ა. ვ., შაჰალოვი ი. ინფორმაციული უსაფრთხოების მართვის საფუძვლები თანამედროვე ორგანიზაცია// სამართლებრივი ინფორმატიკა. 2013. No 3. S. 4-14.

2. ჩაშკინი VN ინფორმაციის უსაფრთხოების მენეჯმენტი, როგორც ორგანიზაციის საინფორმაციო ტექნოლოგიების საქმიანობის მართვის სისტემის ელემენტი // ინფორმაციული ტექნოლოგიების უსაფრთხოება. 2009. No 1. S. 123-124.

3. გორიაჩოვი VV ახალი GOST QMS– ისთვის. ძირითადი განსხვავებები GOST RV 15.002-2003 //

ხარისხის მართვის მეთოდები. 2013. No 7. S. 18-23.

4. დოცენკო SP, Pshenetskiy SP მიდგომა ინფორმაციული უსაფრთხოების მართვის სისტემების მოდელის შესაქმნელად // ყუბანის სახელმწიფო აგრარული უნივერსიტეტის ელექტრონული სამეცნიერო ჟურნალის პოლიტემატური ქსელი. 2009. No 53. S. 47-56.

5. კამენევი AV, Zavoritko EV საინფორმაციო უსაფრთხოების მართვის სისტემის მოდელი საწარმოში (ორგანიზაციაში) // ინტელექტი. ინოვაცია. ინვესტიციები. 2013. No 1. S. 111-114.

6. სოლოვიევი AM ინფორმაციული უსაფრთხოების სფეროში ნორმატიული და მეთოდოლოგიური ბაზა // ეკონომიკა, სტატისტიკა და ინფორმატიკა. UMO– ს ბიულეტენი. 2012. No 1. S. 174-181.

7. კოზინი IF, ლივშიცი II ინფორმაციული უსაფრთხოება. საერთაშორისო სტანდარტების ინტეგრაცია რუსეთის საინფორმაციო უსაფრთხოების სისტემაში // ინფორმატიზაცია და კომუნიკაცია. 2010. No 1. S. 50-55.

8. კოლოდინი VS ინტეგრირებული მართვის სისტემების სერტიფიცირება // ირკუტსკის სახელმწიფო ტექნიკური უნივერსიტეტის ბიულეტენი. 2010. T. 41. No 1. S. 44-48.

9. მერკუშოვა NI, ნაუმენკო იუ. ა., მერკუშოვა იუ. ა. ინტეგრირებული მართვის სისტემები: წინაპირობები რუსულ საწარმოებში შექმნისთვის // ახალგაზრდა მეცნიერი.

2013. No 12 (59). ს. 327-331.

10. Voropaeva V. Ya., Shcherbov IL, Khaustova ED ინფორმაციული უსაფრთხოების საინფორმაციო და სატელეკომუნიკაციო სისტემების მენეჯმენტი დაფუძნებული "P1ap-Do-Check-Act" მოდელზე // დონეცკის ეროვნული ტექნიკური უნივერსიტეტის Science1 sling. Ser1ya: "გამოთვლითი ტექნიკური და ავტომატიზირებული". 2013. No2 (25). ს. 104-110.

11. დოროფეევი ა.ვ., მარკოვი AS ინფორმაციის უსაფრთხოების მენეჯმენტი: ძირითადი ცნებები // კიბერუსაფრთხოების საკითხები.

2014. No1 (2). ს. 67-73.

12. Shper VL სტანდარტის შესახებ 18O / 1EC 27001 // ხარისხის მართვის მეთოდები. 2008. No 3. S. 60-61.

13. მარკოვი A.S., ცირლოვი V.L. რისკების მართვა - ინფორმაციული უსაფრთხოების ნორმატიული ვაკუუმი // ღია სისტემები... DBMS. 2007. No 8. S. 63-67.

14. მატვეევი ვ.ა., ცირლოვი ვ.ლ.

2014 წელს // კიბერუსაფრთხოების საკითხები. 2013. No1 (1). ს. 61-64.

15. Drums A.V. უსაფრთხოების განვითარების პროცესის სტანდარტიზაცია პროგრამული ინსტრუმენტები// კიბერუსაფრთხოების საკითხები. 2013. No1 (1). S. 37-41.

16. მარკოვი ა.ს., ცირლოვი ვ.ლ. სახელმძღვანელო კიბერუსაფრთხოების კონტექსტში

ISO 27032 // კიბერუსაფრთხოების საკითხები. 2014. No1 (2). ს. 28-35. 17. ხრამცოვსკაია ნ. რა უნდა იცოდეს მენეჯერმა ინფორმაციის უსაფრთხოების შესახებ // კადროვიკი. 2009. No 4. S. 061-072.

ინფორმაციული ტექნოლოგიების სამყაროში პრიორიტეტული ხდება ინფორმაციის მთლიანობის, საიმედოობისა და კონფიდენციალურობის უზრუნველყოფის საკითხი. ამიტომ, ორგანიზაციის მიერ ინფორმაციის უსაფრთხოების მართვის სისტემის (ISMS) საჭიროების აღიარება სტრატეგიული გადაწყვეტილებაა.

იგი შეიქმნა იმისათვის, რომ შექმნას, განახორციელოს, შეინარჩუნოს და მუდმივად გააუმჯობესოს ISMS საწარმოში და ამ სტანდარტის გარე პარტნიორების გამოყენებით, ცხადი ხდება, რომ ორგანიზაციას შეუძლია დააკმაყოფილოს საკუთარი უსაფრთხოების უსაფრთხოების მოთხოვნები. ეს სტატია განიხილავს სტანდარტის ძირითად მოთხოვნებს და განიხილავს მის სტრუქტურას.

(ADV31)

ISO 27001 სტანდარტის ძირითადი ამოცანები

სანამ სტანდარტის სტრუქტურის აღწერას გავაგრძელებთ, მოდით განვსაზღვროთ მისი ძირითადი ამოცანები და განვიხილოთ სტანდარტის რუსეთში გამოჩენის ისტორია.

სტანდარტის მიზნები:

• დაარსება ერთგვაროვანი მოთხოვნებიყველა ორგანიზაციისათვის ISMS- ის შექმნა, განხორციელება და გაუმჯობესება;
• უფროსი მენეჯმენტისა და თანამშრომლების ურთიერთქმედების უზრუნველყოფა;
• კონფიდენციალურობის, მთლიანობისა და ინფორმაციის ხელმისაწვდომობის შენარჩუნება.

ამავდროულად, სტანდარტით დადგენილი მოთხოვნები არის ზოგადი და გამიზნულია ნებისმიერი ორგანიზაციის მიერ, განურჩევლად მათი ტიპის, ზომისა და ხასიათისა.

სტანდარტის ისტორია:

• 1995 წელს ბრიტანეთის სტანდარტების ინსტიტუტმა (BSI) მიიღო ინფორმაციის უსაფრთხოების მართვის კოდექსი, როგორც გაერთიანებული სამეფოს ეროვნული სტანდარტი და დაარეგისტრირა ის BS 7799 - ნაწილი 1.
• 1998 წელს BSI აქვეყნებს BS7799-2 ორ ნაწილად, ერთი შეიცავს პრაქტიკის კოდს და მეორე მოთხოვნებს ინფორმაციის უსაფრთხოების მართვის სისტემებისათვის.
• შემდგომი გადასინჯვის პროცესში, პირველი ნაწილი გამოქვეყნდა BS 7799: 1999, ნაწილი 1. 1999 წელს სტანდარტის ეს ვერსია გადაეცა სერტიფიკაციის საერთაშორისო ორგანიზაციას.
• ეს დოკუმენტი დამტკიცებულია 2000 წელს, როგორც საერთაშორისო სტანდარტი ISO / IEC 17799: 2000 (BS 7799-1: 2000). ამ სტანდარტის უახლესი ვერსია, რომელიც მიღებულია 2005 წელს, არის ISO / IEC 17799: 2005.
• 2002 წლის სექტემბერში ძალაში შევიდა BS 7799 "ინფორმაციის უსაფრთხოების მართვის სისტემის სპეციფიკაციის" მეორე ნაწილი. BS 7799– ის მეორე ნაწილი გადაისინჯა 2002 წელს და 2005 წლის ბოლოს ISO– მ მიიღო საერთაშორისო სტანდარტი ISO / IEC 27001: 2005 ” Საინფორმაციო ტექნოლოგია- უსაფრთხოების მეთოდები - ინფორმაციული უსაფრთხოების მართვის სისტემები - მოთხოვნები.
• 2005 წელს ISO / IEC 17799 სტანდარტი შევიდა 27 -ე სერიის სტანდარტების ხაზში და მიიღო ახალი ნომერი- ISO / IEC 27002: 2005.
• 2013 წლის 25 სექტემბერს გამოქვეყნდა განახლებული ISO / IEC 27001: 2013 „ინფორმაციული უსაფრთხოების მართვის სისტემები“. მოთხოვნები ". ამჟამად, ორგანიზაციები დამოწმებულია სტანდარტის ამ ვერსიის მიხედვით.

სტანდარტის სტრუქტურა

ამ სტანდარტის ერთ -ერთი უპირატესობაა მისი სტრუქტურის მსგავსება ISO 9001 -თან, რადგან ის შეიცავს ქვეგანყოფილების იდენტურ სათაურებს, იდენტურ ტექსტს, საერთო ტერმინებს და ძირითად განმარტებებს. ეს გარემოება ზოგავს დროსა და ფულს, ვინაიდან დოკუმენტაციის ნაწილი უკვე შემუშავებულია ISO 9001 სერტიფიკაციის დროს.

თუ ვსაუბრობთ სტანდარტის სტრუქტურაზე, ეს არის ISMS მოთხოვნების ჩამონათვალი, რომლებიც სავალდებულოა სერტიფიკაციისთვის და შედგება შემდეგი სექციებისგან:

"დანართი A" მოთხოვნები სავალდებულოა, მაგრამ სტანდარტი საშუალებას გაძლევთ გამორიცხოთ ის სფეროები, რომლებიც არ შეიძლება გამოყენებულ იქნას საწარმოში.

სტანდარტის დანერგვისას საწარმოში შემდგომი სერტიფიცირებისათვის, უნდა გვახსოვდეს, რომ არ არის დაშვებული გამონაკლისი 4-10 პუნქტებში დადგენილ მოთხოვნებთან. ეს სექციები შემდგომში იქნება განხილული.

დავიწყოთ ნაწილი 4 - ორგანიზაციის კონტექსტი

ორგანიზაციის კონტექსტი

ამ განყოფილებაში სტანდარტი მოითხოვს ორგანიზაციას განსაზღვროს გარე და შიდა საკითხები, რომლებიც შეესაბამება მის მიზნებს და რომლებიც გავლენას ახდენს მისი ISMS– ის უნარზე მიაღწიოს მოსალოდნელ შედეგებს. ამით თქვენ უნდა გაითვალისწინოთ ინფორმაციის უსაფრთხოებასთან დაკავშირებული სამართლებრივი, მარეგულირებელი და სახელშეკრულებო ვალდებულებები. ორგანიზაციამ ასევე უნდა განსაზღვროს და დოკუმენტირება გაუწიოს ISMS– ის ფარგლებს და გამოყენებას, რათა დაადგინოს მისი ფარგლები.

ლიდერობა

უმაღლესმა მენეჯმენტმა უნდა გამოავლინოს ლიდერობა და ერთგულება ინფორმაციული უსაფრთხოების მართვის სისტემის მიმართ, მაგალითად, უზრუნველყოს ინფორმაციის უსაფრთხოების პოლიტიკისა და ინფორმაციის უსაფრთხოების მიზნების ჩამოყალიბება და შესაბამისობა ორგანიზაციის სტრატეგიასთან. ასევე, უმაღლესმა მენეჯმენტმა უნდა უზრუნველყოს ISMS– ის ყველა საჭირო რესურსის უზრუნველყოფა. სხვა სიტყვებით რომ ვთქვათ, თანამშრომლებისთვის ცხადი უნდა იყოს, რომ მენეჯმენტი ჩართულია ინფორმაციის უსაფრთხოების საკითხებში.

ინფორმაციის უსაფრთხოების პოლიტიკა დოკუმენტირებული უნდა იყოს და თანამშრომლებს უნდა ეცნობოს. ეს დოკუმენტი შეახსენებს ISO 9001 ხარისხის პოლიტიკას, ასევე უნდა იყოს შესაბამისი ორგანიზაციის მიზნებისათვის და შეიცავდეს ინფორმაციის უსაფრთხოების მიზნებს. კარგია, თუ ეს რეალური მიზნებია, როგორიცაა ინფორმაციის კონფიდენციალურობისა და მთლიანობის დაცვა.

ასევე მენეჯმენტი თანამშრომლებს შორის განაწილებს ინფორმაციის უსაფრთხოებასთან დაკავშირებულ ფუნქციებსა და პასუხისმგებლობებს.

დაგეგმვა

ამ განყოფილებაში ჩვენ მივდივართ PDCA (გეგმა - გაკეთება - შემოწმება - მოქმედება) მართვის პრინციპის პირველ ეტაპზე - დაგეგმვა, შესრულება, შემოწმება, მოქმედება.

ინფორმაციის უსაფრთხოების მართვის სისტემის დაგეგმვისას, ორგანიზაციამ უნდა გაითვალისწინოს მე -4 პუნქტში აღნიშნული საკითხები და განსაზღვროს რისკები და პოტენციური შესაძლებლობები, რომლებიც უნდა იქნას გათვალისწინებული, რათა უზრუნველყოს, რომ ISMS- ს შეუძლია მიაღწიოს მოსალოდნელ შედეგებს, თავიდან აიცილოს არასასურველი ეფექტები, და მიაღწიოს უწყვეტ გაუმჯობესებას.

როდესაც გეგმავს როგორ მიაღწიოს ინფორმაციის უსაფრთხოების მიზნებს, ორგანიზაციამ უნდა განსაზღვროს:

• რა გაკეთდება;
• რა რესურსები იქნება საჭირო;
• ვინ იქნება პასუხისმგებელი;
• როდესაც მიზნები მიღწეულია;
• როგორ შეფასდება შედეგები.

გარდა ამისა, ორგანიზაციამ უნდა შეინახოს მონაცემები ინფორმაციის უსაფრთხოების მიზნების შესახებ, როგორც დოკუმენტირებული ინფორმაცია.

უსაფრთხოება

ორგანიზაციამ უნდა განსაზღვროს და უზრუნველყოს რესურსები, რომლებიც საჭიროა ISMS- ის შემუშავების, დანერგვის, შენარჩუნებისა და განუწყვეტლივ გაუმჯობესების მიზნით, ეს მოიცავს როგორც პერსონალს, ასევე დოკუმენტაციას. პერსონალთან დაკავშირებით, ორგანიზაცია მოიაზრებს კვალიფიციურ და კომპეტენტურ ინფორმაციულ უსაფრთხოების პერსონალს. დასაქმებულთა კვალიფიკაცია უნდა დადასტურდეს სერთიფიკატებით, დიპლომებით და ა. შესაძლებელია მესამე მხარის სპეციალისტების მოზიდვა ხელშეკრულებით, ან თქვენი თანამშრომლების მომზადება. რაც შეეხება დოკუმენტაციას, ის უნდა შეიცავდეს:

• სტანდარტით მოთხოვნილი დოკუმენტირებული ინფორმაცია;
• ორგანიზაციის მიერ განსაზღვრული დოკუმენტირებული ინფორმაცია აუცილებელია ინფორმაციის უსაფრთხოების მართვის სისტემის ეფექტურობის უზრუნველსაყოფად.

ISMS და სტანდარტით მოთხოვნილი დოკუმენტირებული ინფორმაცია უნდა კონტროლდებოდეს იმის უზრუნველსაყოფად, რომ ის:

• ხელმისაწვდომი და შესაფერისი გამოსაყენებლად, სადაც და როდესაც საჭიროა, და
• სათანადოდ დაცული (მაგალითად, კონფიდენციალურობის დაკარგვის, ბოროტად გამოყენების ან მთლიანობის დაკარგვისგან).

ფუნქციონირება

ეს ნაწილი საუბრობს PDCA მმართველობის პრინციპის მეორე ფაზაზე - ორგანიზაციის მიერ პროცესების მართვის აუცილებლობაზე შესაბამისობის უზრუნველსაყოფად და დაგეგმვის განყოფილებაში განსაზღვრული საქმიანობის შესასრულებლად. ის ასევე აცხადებს, რომ ორგანიზაციამ უნდა განახორციელოს ინფორმაციული უსაფრთხოების რისკების შეფასება დაგეგმილი ინტერვალებით ან როდესაც მნიშვნელოვანი ცვლილებები შემოთავაზებულია ან მოხდა. ორგანიზაციამ უნდა შეინარჩუნოს ინფორმაციის უსაფრთხოების რისკების შეფასების შედეგები, როგორც დოკუმენტირებული ინფორმაცია.

Შესრულების შეფასება

მესამე ეტაპი არის გადამოწმება. ორგანიზაციამ უნდა შეაფასოს ISMS– ის მოქმედება და ეფექტურობა. მაგალითად, მან უნდა ჩაატაროს შიდა აუდიტი, რათა მიიღოს ინფორმაცია იმის შესახებ

1. არის თუ არა ინფორმაციული უსაფრთხოების მართვის სისტემა თანმიმდევრული
   • ორგანიზაციის საკუთარი მოთხოვნები ინფორმაციის უსაფრთხოების მართვის სისტემის მიმართ;
   • სტანდარტის მოთხოვნები;
2. რომ ინფორმაციის უსაფრთხოების მართვის სისტემა ეფექტურად არის დანერგილი და ფუნქციონირებს.

ცხადია, რომ აუდიტის მოცულობა და დრო წინასწარ უნდა იყოს დაგეგმილი. ყველა შედეგი უნდა იყოს დოკუმენტირებული და დაცული.

გაუმჯობესება

ამ განყოფილების მიზანია განსაზღვროს მოქმედების კურსი, როდესაც გამოვლენილია შეუსაბამობა. ორგანიზაციამ უნდა შეასწოროს შეუსაბამობები, შედეგები და გააანალიზოს სიტუაცია ისე, რომ ეს მომავალში არ მოხდეს. ყველა შეუსაბამობა და მაკორექტირებელი ქმედება უნდა იყოს დოკუმენტირებული.

ამით მთავრდება სტანდარტის ძირითადი ნაწილები. დანართი A ითვალისწინებს უფრო კონკრეტულ მოთხოვნებს, რომლებსაც უნდა აკმაყოფილებდეს ორგანიზაცია. მაგალითად, წვდომის კონტროლის თვალსაზრისით, გამოიყენეთ მობილური მოწყობილობებიდა ინფორმაციის მატარებლები.

სარგებელი ISO 27001 დანერგვისა და სერტიფიცირებისგან

• ორგანიზაციის სტატუსის გაზრდა და, შესაბამისად, პარტნიორების ნდობა;
• ორგანიზაციის ფუნქციონირების სტაბილურობის გაზრდა;
• ინფორმაციული უსაფრთხოების საფრთხეებისგან დაცვის დონის ამაღლება;
• დაინტერესებული მხარეების ინფორმაციის კონფიდენციალურობის საჭირო დონის უზრუნველყოფა;
• გაფართოვდეს ორგანიზაციის მონაწილეობა მსხვილ კონტრაქტებში.

ეკონომიკური სარგებელი შემდეგია:

• სერტიფიკაციის ორგანოს დამოუკიდებელი დადასტურება იმისა, რომ ორგანიზაციას აქვს ინფორმაციული უსაფრთხოების მაღალი დონე, რომელსაც აკონტროლებენ კომპეტენტური პერსონალი;
• მოქმედი კანონების და რეგულაციების (სავალდებულო მოთხოვნების სისტემასთან შესაბამისობის) მტკიცებულება;
• კლიენტების და ორგანიზაციის პარტნიორების მომსახურების სათანადო დონის უზრუნველსაყოფად მართვის სისტემების გარკვეული მაღალი დონის დემონსტრირება;
• მართვის სისტემების რეგულარული აუდიტის დემონსტრირება, შესრულების შეფასება და უწყვეტი გაუმჯობესება.

სერტიფიცირება

ორგანიზაცია შეიძლება დამოწმდეს აკრედიტებული სააგენტოების მიერ ამ სტანდარტის შესაბამისად. სერტიფიცირების პროცესი შედგება სამი ეტაპისგან:

• პირველი ეტაპი - აუდიტორის მიერ ISMS– ის ძირითადი დოკუმენტების შესწავლა სტანდარტის მოთხოვნების შესაბამისად - შეიძლება განხორციელდეს როგორც ორგანიზაციის ტერიტორიაზე, ასევე ამ დოკუმენტების გარე აუდიტორზე გადაცემით;
• მე -2 ეტაპი - დეტალური აუდიტი, მათ შორის განხორციელებული ღონისძიებების ტესტირება და მათი ეფექტურობის შეფასება. მოიცავს სტანდარტით მოთხოვნილი დოკუმენტების სრულ შესწავლას;
• მე -3 ეტაპი - ინსპექტირების აუდიტის ჩატარება იმის დასადასტურებლად, რომ სერტიფიცირებული ორგანიზაცია აკმაყოფილებს მითითებულ მოთხოვნებს. შესრულებულია პერიოდულად.

შედეგი

როგორც ხედავთ, ამ სტანდარტის გამოყენება საწარმოში საშუალებას მისცემს თვისობრივად გააუმჯობესოს ინფორმაციული უსაფრთხოების დონე, რაც ძვირია თანამედროვე რეალობის პირობებში. სტანდარტი შეიცავს ბევრ მოთხოვნას, მაგრამ ყველაზე მნიშვნელოვანი მოთხოვნაა გააკეთოს ის, რაც წერია! სტანდარტის მოთხოვნების რეალურად გამოყენების გარეშე, ის გადაიქცევა ცარიელ ფურცლებად.

GOST R ISO / IEC 27001-2006 ”ინფორმაციული ტექნოლოგია. უსაფრთხოების უზრუნველყოფის მეთოდები და საშუალებები. ინფორმაციული უსაფრთხოების მართვის სისტემები. მოთხოვნები "

სტანდარტის შემქმნელები აღნიშნავენ, რომ იგი მომზადდა როგორც მოდელი ინფორმაციის უსაფრთხოების მართვის სისტემის (ISMS) შემუშავების, განხორციელების, მუშაობის, მონიტორინგის, ანალიზის, მხარდაჭერისა და გაუმჯობესებისათვის. ISMS (ინგლისური - ინფორმაციის უსაფრთხოების მართვის სისტემა; ISMS) განისაზღვრება, როგორც ზოგადი მენეჯმენტის სისტემის ნაწილი, რომელიც ემყარება ბიზნეს რისკების შეფასების მეთოდების გამოყენებას ინფორმაციის უსაფრთხოების შემუშავების, განხორციელების, ექსპლუატაციის, მონიტორინგის, ანალიზის, მხარდაჭერისა და გაუმჯობესების მიზნით. მართვის სისტემა მოიცავს ორგანიზაციულ სტრუქტურას, პოლიტიკას, საქმიანობის დაგეგმვას, პასუხისმგებლობას, პრაქტიკას, პროცედურებს, პროცესებსა და რესურსებს.

სტანდარტი გულისხმობს პროცესის მიდგომის გამოყენებას ორგანიზაციის ISMS- ის შემუშავების, განხორციელების, მუშაობის, მონიტორინგის, ანალიზის, მხარდაჭერისა და გაუმჯობესებისათვის. იგი ემყარება გეგმა - Do - Check - Act (PDCA) მოდელს, რომელიც შეიძლება გამოყენებულ იქნას ISMS– ის ყველა პროცესის სტრუქტურირებისათვის. ლეღვი 4.4 გვიჩვენებს, თუ როგორ იყენებს ISMS, ინფორმაციის უსაფრთხოების მოთხოვნებს და დაინტერესებული მხარეების მოსალოდნელ შედეგებს, როგორც საჭიროებისამებრ, საჭირო ქმედებებისა და პროცესების საშუალებით, ინფორმაციის უსაფრთხოების შედეგებს, რომლებიც აკმაყოფილებს ამ მოთხოვნებს და მოსალოდნელ შედეგებს.

ბრინჯი 4.4.

სცენაზე "ინფორმაციული უსაფრთხოების მართვის სისტემის განვითარება"ორგანიზაციამ უნდა გააკეთოს შემდეგი:

• - განსაზღვროს ISMS– ის ფარგლები და საზღვრები;
• - განსაზღვროს ISMS პოლიტიკა ბიზნესის, ორგანიზაციის, მისი ადგილმდებარეობის, აქტივებისა და ტექნოლოგიების მახასიათებლების საფუძველზე;
• - განსაზღვრავს ორგანიზაციაში რისკის შეფასების მიდგომას;
• - რისკების დადგენა;
• - რისკების გაანალიზება და შეფასება;
• - რისკების მკურნალობის სხვადასხვა ვარიანტის გამოვლენა და შეფასება;
• - რისკების მკურნალობის მიზნების და კონტროლის შერჩევა;
• - მიიღოს მენეჯმენტის ნებართვა მოსალოდნელი ნარჩენი რისკების შესახებ;
• - მიიღეთ მენეჯმენტის ნებართვა ISMS– ის განხორციელებისა და მუშაობისათვის;
• - მოამზადოს განაცხადის შესახებ.

სცენა " ინფორმაციული უსაფრთხოების მართვის სისტემის დანერგვა და ფუნქციონირება "ვარაუდობს, რომ ორგანიზაციამ უნდა:

• - შეიმუშაოს რისკების მკურნალობის გეგმა, რომელიც განსაზღვრავს სათანადო მენეჯმენტის ქმედებებს, რესურსებს, პასუხისმგებლობას და პრიორიტეტებს ინფორმაციული უსაფრთხოების რისკების მართვისათვის;
• - განახორციელოს რისკების მკურნალობის გეგმა მენეჯმენტის მიზნების მისაღწევად, რომელიც მოიცავს დაფინანსების საკითხებს, ასევე როლებისა და პასუხისმგებლობების განაწილებას;
• - განახორციელოს შერჩეული მენეჯმენტის ზომები;
• - განსაზღვრავს შერჩეული საკონტროლო ღონისძიებების ეფექტურობის გაზომვის გზას;
• - განახორციელოს თანამშრომლების ტრენინგისა და პროფესიული განვითარების პროგრამები;
• - მართოს ISMS– ის მუშაობა;
• - მართოს ISMS რესურსები;
• - განახორციელოს პროცედურები და კონტროლის სხვა ღონისძიებები, რათა უზრუნველყოს ინფორმაციული უსაფრთხოების მოვლენების სწრაფი გამოვლენა და ინფორმაციული უსაფრთხოების ინციდენტებზე რეაგირება.

მესამე ეტაპი " ინფორმაციის უსაფრთხოების მართვის სისტემის მონიტორინგი და ანალიზი "მოითხოვს:

• - განახორციელოს მონიტორინგისა და ანალიზის პროცედურები;
• - რეგულარულად ჩაატაროს ISMS- ის ეფექტურობა;
• - გაზომეთ კონტროლის ეფექტურობა IS მოთხოვნებთან შესაბამისობის შესამოწმებლად;
• - გადახედოს რისკების შეფასებებს განსაზღვრული დროის ინტერვალებით, გაანალიზოს ნარჩენი რისკები და განსაზღვროს რისკების მისაღები დონე, ცვლილებების გათვალისწინებით;
• - ჩაატაროს ISMS– ის შიდა აუდიტი განსაზღვრულ დროში;
• - რეგულარულად ატარებს ISMS– ის ანალიზს ორგანიზაციის მენეჯმენტის მიერ, რათა დაადასტუროს ფუნქციონირების ადეკვატურობა და განსაზღვროს გაუმჯობესების მიმართულებები;
• - განახორციელოს IS გეგმები ანალიზისა და მონიტორინგის შედეგების გათვალისწინებით;
• - ჩაწერეთ ქმედებები და მოვლენები, რომლებმაც შეიძლება გავლენა მოახდინონ ISMS– ის ეფექტურობაზე ან მუშაობაზე.

საბოლოოდ, სცენა "ინფორმაციის უსაფრთხოების მართვის სისტემის მხარდაჭერა და გაუმჯობესება"ვარაუდობს, რომ ორგანიზაციამ რეგულარულად უნდა განახორციელოს შემდეგი საქმიანობა:

• - განსაზღვროს ISMS– ის გაუმჯობესების შესაძლებლობები;
• - განახორციელოს აუცილებელი მაკორექტირებელი და პროფილაქტიკური ზომები, გამოიყენოს პრაქტიკაში IS გამოცდილება, როგორც საკუთარ ორგანიზაციებში, ასევე სხვა ორგანიზაციებში;
• - გადასცეს დეტალური ინფორმაცია ISMS– ის გასაუმჯობესებელი ქმედებების შესახებ ყველა დაინტერესებულ მხარეს, ხოლო მისი დეტალების ხარისხი უნდა შეესაბამებოდეს გარემოებებს და, საჭიროების შემთხვევაში, შეთანხმდეს შემდგომ ქმედებებზე;
• - უზრუნველყოს ISMS– ის გაუმჯობესების განხორციელება დაგეგმილი მიზნების მისაღწევად.

სტანდარტში დამატებით მოცემულია დოკუმენტაციის მოთხოვნები, რომელიც უნდა შეიცავდეს ISMS პოლიტიკის დებულებებს და ოპერაციის არეალის აღწერას, მეთოდოლოგიის აღწერას და რისკების შეფასების ანგარიშს, რისკების მკურნალობის გეგმას და დოკუმენტაციას დაკავშირებული პროცედურების. ასევე უნდა განისაზღვროს ISMS დოკუმენტების მართვის პროცესი, მათ შორის განახლება, გამოყენება, შენახვა და განკარგვა.

ISMS– ის მოთხოვნებთან შესაბამისობისა და ეფექტურობის უზრუნველსაყოფად აუცილებელია პროცესების შესრულების ჩანაწერების და ჩანაწერების შენარჩუნება და შენარჩუნება. მაგალითები მოიცავს ვიზიტორთა ჟურნალებს, აუდიტის ანგარიშებს და ა.

სტანდარტი განსაზღვრავს, რომ ორგანიზაციის მენეჯმენტი პასუხისმგებელია ISMS– ის შესაქმნელად საჭირო რესურსების უზრუნველყოფაზე და მართვაზე და პერსონალის ტრენინგის ორგანიზებაზე.

როგორც უკვე აღვნიშნეთ, ორგანიზაციამ უნდა ჩაატაროს შიდა ISMS აუდიტი დამტკიცებული გრაფიკის შესაბამისად, რათა შეაფასოს მისი ფუნქციონირება და სტანდარტთან შესაბამისობა. მენეჯმენტმა უნდა ჩაატაროს ინფორმაციის უსაფრთხოების მართვის სისტემის ანალიზი.

ასევე, უნდა ჩატარდეს მუშაობა ინფორმაციის უსაფრთხოების მართვის სისტემის გასაუმჯობესებლად: მისი ეფექტურობის გაზრდა და სისტემის ამჟამინდელ მდგომარეობასა და მასზე დაკისრებულ მოთხოვნებთან შესაბამისობის დონის ამაღლება.

თუ აგებულია ISO / IEC_27001 მოთხოვნების შესაბამისად, ის ემყარება PDCA მოდელს:

Გეგმა(დაგეგმვა) - ISMS– ის შექმნის ეტაპი, აქტივების ჩამონათვალის შექმნა, რისკების შეფასება და ღონისძიებების შერჩევა;

Კეთება(მოქმედება) - შესაბამისი ღონისძიებების განხორციელებისა და განხორციელების ეტაპი;

Ჩეკი(გადამოწმება) - ISMS– ის ეფექტურობისა და მუშაობის შეფასების ეტაპი. ჩვეულებრივ ასრულებენ შიდა აუდიტორები.

მოქმედება(გაუმჯობესებები) - პროფილაქტიკური და მაკორექტირებელი ქმედებების განხორციელება;

ინფორმაციის უსაფრთხოების კონცეფცია

ISO 27001 სტანდარტი განსაზღვრავს ინფორმაციის უსაფრთხოებას, როგორც: „ინფორმაციის კონფიდენციალურობის, მთლიანობისა და ხელმისაწვდომობის დაცვა; გარდა ამისა, სხვა თვისებები შეიძლება შეიცავდეს, როგორიცაა ნამდვილობა, უარის თქმა, საიმედოობა. ”

კონფიდენციალურობა - ინფორმაციის ხელმისაწვდომობის უზრუნველყოფა მხოლოდ მათთვის, ვისაც აქვს შესაბამისი უფლებამოსილება (ავტორიზებული მომხმარებლები).

მთლიანობა - ინფორმაციის სიზუსტესა და სისრულეს, ასევე მისი დამუშავების მეთოდების უზრუნველყოფას.

ხელმისაწვდომობა - საჭიროების შემთხვევაში (მოთხოვნისამებრ) უფლებამოსილი მომხმარებლებისათვის ინფორმაციის ხელმისაწვდომობის უზრუნველყოფა.

4 ინფორმაციული უსაფრთხოების მართვის სისტემა

4.1 ზოგადი მოთხოვნები

ორგანიზაციამ უნდა ჩამოაყალიბოს, განახორციელოს, გამოიყენოს, გააკონტროლოს, გადახედოს, შეინარჩუნოს და გააუმჯობესოს ISMS- ის დოკუმენტირებული დებულებები ორგანიზაციის ბიზნეს საქმიანობაში და მის წინაშე არსებული რისკები. ამ საერთაშორისო სტანდარტის პრაქტიკული სარგებლობისთვის, გამოყენებული პროცესი ემყარება ნახატზე ნაჩვენებ PDCA მოდელს. 1

4.2 ISMS– ის ჩამოყალიბება და მართვა

4.2.1 ISMS- ის შექმნა

ორგანიზაციამ უნდა გააკეთოს შემდეგი.

ა) ორგანიზაციის საქმიანობის სპეციფიკის გათვალისწინებით, თავად ორგანიზაცია, მისი მდებარეობა, აქტივები და ტექნოლოგია, განსაზღვრავს ISMS– ის ფარგლებს და საზღვრებს, მათ შორის დეტალებს და დასაბუთებებს დოკუმენტის ნებისმიერი დებულების გამორიცხვის შესახებ ISMS– ის პროექტიდან (იხ. 1.2 ).

ბ) ორგანიზაციის საქმიანობის სპეციფიკის გათვალისწინებით, თავად ორგანიზაცია, მისი მდებარეობა, აქტივები და ტექნოლოგია, შეიმუშავებს ISMS პოლიტიკას, რომელიც:

1) მოიცავს მიზნების (ამოცანების) დასახვის სისტემას და ადგენს ინფორმაციის უსაფრთხოების მართვის ზოგად მიმართულებას და მოქმედების პრინციპებს;

2) ითვალისწინებს ბიზნეს და სამართლებრივ ან მარეგულირებელ მოთხოვნებს, სახელშეკრულებო უსაფრთხოების ვალდებულებებს;

3) ერთვის სტრატეგიული რისკის მართვის გარემოს, რომელშიც ხდება ISMS– ის შექმნა და შენარჩუნება;

4) ადგენს კრიტერიუმებს, რომლითაც რისკი შეფასდება (იხ. 4.2.1 გ)); და

5) დამტკიცებულია მენეჯმენტის მიერ.

შენიშვნა: ამ საერთაშორისო სტანდარტის მიზნებისათვის, ISMS პოლიტიკა არის ინფორმაციის უსაფრთხოების პოლიტიკის გაფართოებული ნაკრები. ეს პოლიტიკა შეიძლება აღწერილი იყოს ერთ დოკუმენტში.

გ) ორგანიზაციაში რისკების შეფასების ჩარჩოს შემუშავება.

1) განსაზღვრავს რისკის შეფასების მეთოდოლოგიას, რომელიც შეესაბამება ISMS- ს და დადგენილია ბიზნეს ინფორმაციის უსაფრთხოების, სამართლებრივი და მარეგულირებელი მოთხოვნები.

2) რისკის მიღების კრიტერიუმების შემუშავება და რისკის მისაღები დონის განსაზღვრა (იხ. 5.1 ვ).

რისკის შეფასების შერჩეულმა მეთოდოლოგიამ უნდა უზრუნველყოს, რომ რისკის შეფასება გამოიღოს შესადარებელ და რეპროდუქციულ შედეგებამდე.

შენიშვნა: არსებობს რისკის შეფასების სხვადასხვა მეთოდიკა. რისკების შეფასების მეთოდოლოგიის მაგალითები განხილულია ISO / IEC TU 13335-3, საინფორმაციო ტექნოლოგიები - მენეჯმენტის რეკომენდაციებიITუსაფრთხოება - მართვის ტექნიკაITუსაფრთხოება.

დ) რისკების იდენტიფიცირება.

1) განსაზღვრეთ აქტივები ISMS- ისა და მფლობელების ფარგლებში მოვლა, აქტივების გამოყენება და უსაფრთხოება. ტერმინი "მესაკუთრე" არ ნიშნავს იმას, რომ პირს რეალურად აქვს ამ აქტივების საკუთრების უფლება).

2) განსაზღვრეთ ამ აქტივებზე არსებული საფრთხეები.

3) დაცვის სისტემის დაუცველების იდენტიფიცირება.

4) იმ ზემოქმედების იდენტიფიცირება, რომელიც ანგრევს აქტივების კონფიდენციალურობას, მთლიანობას და ხელმისაწვდომობას.

ე) რისკების გაანალიზება და შეფასება.

1) შეაფასეთ ორგანიზაციის ბიზნესისთვის მიყენებული ზიანი, რომელიც შეიძლება გამოწვეული იყოს დაცვის სისტემის უკმარისობით, ასევე კონფიდენციალურობის, მთლიანობის ან აქტივების ხელმისაწვდომობის დარღვევის შედეგად.

2) განსაზღვრეთ უსაფრთხოების უკმარისობის ალბათობა არსებული საფრთხეების და დაუცველობების, აქტივებთან დაკავშირებული ზემოქმედების და კონტროლის გათვალისწინებით.

3) შეაფასეთ რისკის დონე.

4) განსაზღვრეთ რისკის მისაღებობა, ან მოითხოვეთ მისი შემცირება, რისკის მისაღები კრიტერიუმების შესაბამისად, 4.2.1 გ) 2).

ვ) რისკების შემცირების ინსტრუმენტების იდენტიფიცირება და შეფასება.

შესაძლო ქმედებები მოიცავს:

1) შესაბამისი კონტროლის გამოყენება;

2) რისკების შეგნებული და ობიექტური მიღება, მათი უპირობო შესაბამისობის უზრუნველყოფა ორგანიზაციის პოლიტიკისა და რისკების შემწყნარებლობის კრიტერიუმებთან (იხ. 4.2.1 გ) 2));

3) რისკების თავიდან აცილება; და

4) შესაბამისი ბიზნეს რისკების გადაცემა სხვა მხარეს, მაგალითად, სადაზღვევო კომპანიებს, მომწოდებლებს.

ზ) შეარჩიეთ ამოცანები და კონტროლი რისკების შესამცირებლად.

ამოცანები და კონტროლი უნდა შეირჩეს და განხორციელდეს რისკების შეფასებისა და რისკის შემცირების პროცესით დადგენილი მოთხოვნების შესაბამისად. ეს არჩევანი უნდა ითვალისწინებდეს რისკების ტოლერანტობის კრიტერიუმებს (იხ. 4.2.1 გ) 2)), ასევე სამართლებრივ, მარეგულირებელ და სახელშეკრულებო მოთხოვნებს.

დანართი A– დან ამოცანები და კონტროლი უნდა შეირჩეს ამ პროცესის ნაწილად განსაზღვრული მოთხოვნების დასაკმაყოფილებლად.

ვინაიდან ყველა ამოცანა და კონტროლი არ არის ჩამოთვლილი დანართში A, შეიძლება შეირჩეს დამატებითი დავალებები.

შენიშვნა: დანართი A შეიცავს მენეჯმენტის მიზნების ყოვლისმომცველ ჩამონათვალს, რომლებიც გამოვლენილია როგორც ყველაზე მნიშვნელოვანი ორგანიზაციებისთვის. იმისათვის, რომ არ გამოტოვოთ ერთი მნიშვნელოვანი პუნქტი საკონტროლო პარამეტრებიდან, ამ საერთაშორისო სტანდარტის გამოყენებით უნდა იხელმძღვანელოს დანართით A, როგორც შერჩევის კონტროლის ამოსავალი წერტილი.

თ) მოსალოდნელი ნარჩენი რისკების მენეჯმენტის მოწონების მიღწევა.

4) ხელი შეუწყოს უსაფრთხოების მოვლენების გამოვლენას და ამით, გარკვეული ინდიკატორების გამოყენებით, თავიდან აიცილოს უსაფრთხოების ინციდენტები; და

5) განსაზღვროს ქმედებების ეფექტურობა უსაფრთხოების დარღვევის თავიდან ასაცილებლად.

ბ) რეგულარულად განახორციელოს ISMS- ის ეფექტურობა (მათ შორის ISMS პოლიტიკისა და მისი მიზნების განხილვა, უსაფრთხოების კონტროლის მიმოხილვა), აუდიტის შედეგების, ინციდენტების, შესრულების გაზომვის შედეგების, წინადადებებისა და რეკომენდაციების გათვალისწინებით. რა

გ) შეაფასოს კონტროლის ეფექტურობა იმის დასადგენად, დაცულია თუ არა უსაფრთხოების მოთხოვნები.

დ) შეამოწმეთ რისკების შეფასება დაგეგმილი პერიოდებისთვის და შეამოწმეთ ნარჩენი რისკები და რისკების ტოლერანტობა, ცვლილებების გათვალისწინებით:

1) ორგანიზაციები;

2) ტექნოლოგია;

3) ბიზნეს მიზნები და პროცესები;

4) გამოვლენილი საფრთხეები;

5) განხორციელებული მართვის ინსტრუმენტების ეფექტურობა; და

6) გარე მოვლენები, როგორიცაა სამართლებრივი და მართვის გარემოს ცვლილებები, სახელშეკრულებო ვალდებულებების შეცვლა, სოციალური კლიმატის ცვლილებები.

ე) ISMS– ის შიდა აუდიტის ჩატარება დაგეგმილ პერიოდში (იხ. 6)

შენიშვნა: შიდა აუდიტი, რომელსაც ზოგჯერ უწოდებენ პირველადი აუდიტი, ტარდება თავად ორგანიზაციის სახელით საკუთარი მიზნებისათვის.

ვ) რეგულარულად გადახედოს ISMS– ის მენეჯმენტს, რათა უზრუნველყოს, რომ მდგომარეობა კვლავაც ძალაშია და ISMS გაუმჯობესდება.

ზ) მონიტორინგისა და აუდიტის დასკვნების საფუძველზე უსაფრთხოების გეგმების განახლება.

თ) ჩაწერეთ ქმედებები და მოვლენები, რომლებმაც შეიძლება გავლენა მოახდინონ ISMS– ის ეფექტურობაზე ან შესრულებაზე (იხ. 4.3.3).

4.2.4 ISMS- ის შენარჩუნება და გაუმჯობესება

ორგანიზაციამ მუდმივად უნდა გააკეთოს შემდეგი.

ა) განახორციელოს კონკრეტული შესწორებები ISMS– ში.

ბ) განახორციელოს შესაბამისი მაკორექტირებელი და პრევენციული ღონისძიებები 8.2 და 8.3 შესაბამისად. გამოიყენეთ ორგანიზაციის მიერ მიღებული ცოდნა და სხვა ორგანიზაციების გამოცდილება.

გ) გაუზიაროს თავისი ქმედებები და გაუმჯობესებები ყველა დაინტერესებულ მხარეს სიტუაციის შესაბამისი დეტალების დონეზე; და, შესაბამისად, კოორდინირება გაუწიოს მათ ქმედებებს.

დ) გადაამოწმეთ, რომ გაუმჯობესებებმა მიაღწია დანიშნულ მიზანს.

4.3 დოკუმენტაციის მოთხოვნები

4.3.1 ზოგადი

დოკუმენტაცია უნდა შეიცავდეს მენეჯმენტის გადაწყვეტილებების ოქმებს (ჩანაწერებს), რათა დაარწმუნოს, რომ მოქმედების საჭიროება განპირობებულია გადაწყვეტილებებითა და მენეჯმენტის პოლიტიკით; და უზრუნველყოს ჩაწერილი შედეგების რეპროდუქციულობა.

მნიშვნელოვანია, რომ შეძლოთ შერჩეული კონტროლის უკუკავშირის დემონსტრირება რისკების შეფასებისა და რისკების შემცირების პროცესების შედეგებზე, შემდეგ კი ISMS პოლიტიკასა და მის მიზნებზე.

ISMS დოკუმენტაცია უნდა შეიცავდეს:

ა) ISMS პოლიტიკისა და მიზნების დოკუმენტირებული განცხადება (იხ. 4.2.1 ბ));

ბ) ISMS– ის პოზიცია (იხ. 4.2.1 ა));

გ) კონცეფცია და კონტროლი ISMS– ის მხარდასაჭერად;

დ) რისკის შეფასების მეთოდოლოგიის აღწერა (იხ. 4.2.1 გ));

ე) რისკის შეფასების ანგარიში (იხ. 4.2.1 გ) - 4.2.1 გ));

ვ) რისკის შემცირების გეგმა (იხ. 4.2.2 ბ));

ზ) დოკუმენტირებული კონცეფცია, რომელიც აუცილებელია ორგანიზაციისათვის მისი ინფორმაციის უსაფრთხოების პროცესების ეფექტურად დაგეგმვის, ფუნქციონირებისა და მართვისათვის და აღწერს, თუ როგორ იზომება კონტროლის ეფექტურობა (იხ. 4.2.3 გ));

თ) დოკუმენტები ამ საერთაშორისო სტანდარტით (იხ. 4.3.3); და

ი) განაცხადის განაცხადი.

შენიშვნა 1: წინამდებარე საერთაშორისო სტანდარტის მიზნებისათვის ტერმინი „დოკუმენტირებული კონცეფცია“ ნიშნავს იმას, რომ კონცეფცია ხორციელდება, დოკუმენტირდება, ხორციელდება და მიჰყვება მას.

შენიშვნა 2: სხვადასხვა ორგანიზაციებში ISMS დოკუმენტაციის ზომა შეიძლება განსხვავდებოდეს:

ორგანიზაციის ზომა და მისი აქტივების ტიპი; და

უსაფრთხოების მოთხოვნების მასშტაბი და სირთულე და მართული სისტემა.

შენიშვნა 3: დოკუმენტები და ანგარიშები შეიძლება წარმოდგენილი იყოს ნებისმიერი ფორმით.

4.3.2 დოკუმენტის კონტროლი

ISMS– ით მოთხოვნილი დოკუმენტები უნდა იყოს დაცული და მოწესრიგებული. აუცილებელია დამტკიცდეს დოკუმენტაციის პროცედურა, რომელიც აუცილებელია მენეჯმენტის ქმედებების აღსაწერად:

ა) დოკუმენტების გამოქვეყნებამდე დოკუმენტების გარკვეულ სტანდარტებთან შესაბამისობის დადგენა;

ბ) დოკუმენტების შემოწმება და განახლება საჭიროებისამებრ, დოკუმენტების ხელახალი დამტკიცება;

გ) იმის უზრუნველყოფა, რომ ცვლილებები შეესაბამება შესწორებული დოკუმენტების ამჟამინდელ მდგომარეობას;

დ) მოქმედი დოკუმენტების მნიშვნელოვანი ვერსიების ხელმისაწვდომობის უზრუნველყოფა;

ე) დოკუმენტების გასაგები და იკითხვის უზრუნველყოფა;

ვ) დოკუმენტების ხელმისაწვდომობა მათთვის, ვისაც ეს სჭირდება; ასევე მათი გადაცემა, შენახვა და საბოლოოდ განადგურება მათი კლასიფიკაციიდან გამომდინარე გამოყენებული პროცედურების შესაბამისად;

ზ) გარე წყაროებიდან დოკუმენტების ნამდვილობის დადგენა;

თ) დოკუმენტების გავრცელების კონტროლი;

ი) მოძველებული დოკუმენტების უნებლიე გამოყენების აღკვეთა; და

კ) მათთვის შესაბამისი იდენტიფიკაციის მეთოდის გამოყენება, თუ ისინი ინახება მხოლოდ იმ შემთხვევაში.

4.3.3 ჩანაწერების კონტროლი

ჩანაწერები უნდა შეიქმნას და ინახებოდეს ISMS– ის შესაბამისობისა და ეფექტური მუშაობის მტკიცებულების უზრუნველსაყოფად. ჩანაწერები დაცული და დამოწმებული უნდა იყოს. ISMS- მა უნდა გაითვალისწინოს ნებისმიერი სამართლებრივი და მარეგულირებელი მოთხოვნები და სახელშეკრულებო ვალდებულებები. ჩანაწერები უნდა იყოს გასაგები, ადვილად ამოცნობადი და ამოღებული. ჩანაწერების იდენტიფიკაციის, შენახვის, დაცვის, აღდგენის, შენახვისა და განადგურებისათვის საჭირო კონტროლი უნდა იყოს დოკუმენტირებული და განხორციელებული.

ჩანაწერები უნდა შეიცავდეს ინფორმაციას 4.2 აღწერილი საქმიანობის განხორციელების შესახებ და ISMS– თან დაკავშირებული ყველა ინციდენტისა და უსაფრთხოების შესაბამისი ინციდენტების შესახებ.

ჩანაწერების მაგალითებია სტუმრების წიგნი, აუდიტის ჟურნალები და წვდომის ავტორიზაციის დასრულებული ფორმები.

გაგზავნეთ თქვენი კარგი ნამუშევარი ცოდნის ბაზაზე, მარტივია. გამოიყენეთ ქვემოთ მოცემული ფორმა

სტუდენტები, კურსდამთავრებულები, ახალგაზრდა მეცნიერები, რომლებიც იყენებენ ცოდნის ბაზას სწავლაში და მუშაობაში, ძალიან მადლიერი იქნებიან თქვენი.

გამოქვეყნდა http://www.allbest.ru/

"ინფორმაციული უსაფრთხოების მართვის სისტემა"

მენეჯმენტის საერთაშორისო სტანდარტი

ვდირიჟორი

ინფორმაციის უსაფრთხოების მართვის სისტემა არის პროცესების ერთობლიობა, რომელიც მუშაობს კომპანიაში, რათა უზრუნველყოს ინფორმაციის აქტივების კონფიდენციალურობა, მთლიანობა და ხელმისაწვდომობა. ესეს პირველ ნაწილში განიხილება ორგანიზაციაში მართვის სისტემის დანერგვის პროცესი და მოცემულია ინფორმაციის უსაფრთხოების მართვის სისტემის დანერგვის სარგებლის ძირითადი ასპექტები.

ნახ. 1 კონტროლის ციკლი

პროცესებისა და რეკომენდაციების ჩამონათვალი იმის შესახებ, თუ როგორ უნდა მოხდეს მათი ფუნქციონირების საუკეთესოდ ორგანიზება, მოცემულია საერთაშორისო სტანდარტში ISO 27001: 2005, რომელიც დაფუძნებულია გეგმა- Do-Check-Act მართვის ციკლზე. მისი თქმით ცხოვრების ციკლი ISMS შედგება ოთხი სახის საქმიანობისაგან: შექმნა - განხორციელება და მოქმედება - მონიტორინგი და ანალიზი - მოვლა და გაუმჯობესება (სურ. 1). ეს სტანდარტი უფრო დეტალურად იქნება განხილული მეორე ნაწილში.

თანსისტემამენეჯმენტიინფორმაციაუსაფრთხოება

ინფორმაციის უსაფრთხოების მართვის სისტემა (ISMS) არის მენეჯმენტის სისტემის ის ნაწილი, რომელიც ემყარება ბიზნესის რისკის მიდგომას ინფორმაციის უსაფრთხოების შექმნის, განხორციელების, ექსპლუატაციის, მონიტორინგის, ანალიზის, მხარდაჭერისა და გაუმჯობესების საქმეში. ISMS პროცესები შექმნილია ISO / IEC 27001: 2005 მოთხოვნების შესაბამისად, რომელიც ემყარება ციკლს

სისტემის მუშაობა ემყარება მართვის რისკების თანამედროვე თეორიის მიდგომებს, რაც უზრუნველყოფს მის ინტეგრაციას ორგანიზაციის რისკების მართვის საერთო სისტემაში.

ინფორმაციული უსაფრთხოების მართვის სისტემის დანერგვა გულისხმობს ისეთი პროცედურის შემუშავებას და განხორციელებას, რომელიც მიზნად ისახავს ინფორმაციული უსაფრთხოების რისკების სისტემატურ იდენტიფიკაციას, ანალიზს და შემსუბუქებას, ანუ რისკებს, რის შედეგადაც ხდება ინფორმაციის აქტივები (ინფორმაცია ნებისმიერი ფორმით და ნებისმიერი ხასიათისა) დაკარგავს კონფიდენციალურობას, მთლიანობას და ხელმისაწვდომობას.

ინფორმაციის უსაფრთხოების რისკების სისტემატური შემსუბუქების უზრუნველსაყოფად, რისკების შეფასების შედეგებზე დაყრდნობით, ორგანიზაციაში ხორციელდება შემდეგი პროცესები:

· ინფორმაციის უსაფრთხოების შიდა ორგანიზაციის მართვა.

· ინფორმაციის უსაფრთხოების უზრუნველყოფა მესამე პირებთან ურთიერთობისას.

· საინფორმაციო აქტივების რეესტრის მართვა და მათი კლასიფიკაციის წესი.

· აღჭურვილობის უსაფრთხოების მართვა.

· ფიზიკური უსაფრთხოების უზრუნველყოფა.

· პერსონალის ინფორმაციული უსაფრთხოების უზრუნველყოფა.

· საინფორმაციო სისტემების დაგეგმვა და მიღება.

· სარეზერვო.

· ქსელის დაცვა.

ინფორმაციული უსაფრთხოების მართვის სისტემის პროცესები გავლენას ახდენს ორგანიზაციის IT ინფრასტრუქტურის მართვის ყველა ასპექტზე, ვინაიდან ინფორმაციული უსაფრთხოება არის ინფორმაციულ ტექნოლოგიებთან დაკავშირებული პროცესების მდგრადი ფუნქციონირების შედეგი.

კომპანიებში ISMS– ის შექმნისას სპეციალისტები ასრულებენ შემდეგ სამუშაოს:

· პროექტის მენეჯმენტის ორგანიზება, დამკვეთისა და კონტრაქტორის მხრიდან პროექტის გუნდის ჩამოყალიბება;

· განსაზღვრეთ ISMS– ის საქმიანობის სფერო (AO);

გამოიკვლიეთ ორგანიზაცია OD ISMS– ში:

o ორგანიზაციის ბიზნეს პროცესების თვალსაზრისით, მათ შორის ანალიზის ჩათვლით უარყოფითი შედეგებიინფორმაციული უსაფრთხოების ინციდენტები;

o ორგანიზაციის მართვის პროცესების თვალსაზრისით, მათ შორის არსებული ხარისხის მართვისა და ინფორმაციის უსაფრთხოების მართვის პროცესების ჩათვლით;

o IT ინფრასტრუქტურის თვალსაზრისით;

o ინფორმაციული უსაფრთხოების ინფრასტრუქტურის თვალსაზრისით.

შეიმუშავეთ და შეთანხმდით ანალიტიკურ ანგარიშზე, რომელიც შეიცავს ძირითადი ბიზნეს პროცესების ჩამონათვალს და მათთან დაკავშირებით ინფორმაციული უსაფრთხოების საფრთხეების განხორციელების შედეგების შეფასებას, მართვის პროცესების ჩამონათვალს, IT სისტემებს, ინფორმაციული უსაფრთხოების ქვესისტემებს (ISS), ორგანიზაციის მიერ ISO 27001 ყველა მოთხოვნების შესრულების ხარისხის შეფასება და პროცესების ორგანიზაციების სიმწიფის შეფასება;

· შეარჩიეთ საწყისი და სამიზნე ISMS სიმწიფის დონე, შეიმუშავეთ და დაამტკიცეთ ISMS სიმწიფის გაუმჯობესების პროგრამა; ინფორმაციის უსაფრთხოების მაღალი დონის დოკუმენტაციის შემუშავება:

o ინფორმაციის უსაფრთხოების კონცეფცია,

o IS და ISMS პოლიტიკა;

· ორგანიზაციაში მოქმედი რისკების შეფასების მეთოდოლოგიის შერჩევა და ადაპტირება;

· შეარჩიოს, მიაწოდოს და განათავსოს პროგრამული უზრუნველყოფა, რომელიც გამოიყენება ISMS პროცესების ავტომატიზაციისათვის, კომპანიის სპეციალისტებისთვის ტრენინგის ორგანიზება;

· რისკების შეფასება და დამუშავება, რომლის დროსაც შერჩეულია სტანდარტის 27001 დანართის ზომები მათ შესამცირებლად და ჩამოყალიბებულია ორგანიზაციაში მათი განხორციელების მოთხოვნები, წინასწარ არის შერჩეული ინფორმაციის უსაფრთხოების ტექნიკური საშუალებები;

· შეიმუშაოს PIB– ის წინასწარი დიზაინი, შეაფასოს რისკის მკურნალობის ღირებულება;

· ორგანიზაციის უმაღლესი მენეჯმენტის მიერ რისკების შეფასების დამტკიცების ორგანიზება და განაცხადის შემუშავება; ინფორმაციის უსაფრთხოების უზრუნველსაყოფად ორგანიზაციული ღონისძიებების შემუშავება;

· განვითარება და განხორციელება ტექნიკური პროექტებიტექნიკური ინფორმაციის უსაფრთხოების ქვესისტემების დანერგვის შესახებ, რომლებიც მხარს უჭერენ შერჩეული ღონისძიებების განხორციელებას, მათ შორის აღჭურვილობის მიწოდებას, ექსპლუატაციაში გაშვებას, ოპერატიული დოკუმენტაციის შემუშავებას და მომხმარებლის სწავლებას;

· კონსულტაციების გაწევა აშენებული ISMS– ის მუშაობის დროს;

· შიდა აუდიტორებისათვის ტრენინგის ორგანიზება და შიდა ISMS აუდიტის ჩატარება.

ამ სამუშაოების შედეგი არის მოქმედი ISMS. სარგებელი კომპანიაში ISMS– ის დანერგვით მიიღწევა:

· ინფორმაციის უსაფრთხოების სფეროში სამართლებრივი მოთხოვნებისა და ბიზნესის მოთხოვნების დაცვის ეფექტური მართვა;

· IS ინციდენტების პრევენცია და მათი წარმოშობის შემთხვევაში ზიანის შემცირება;

· ორგანიზაციაში ინფორმაციის უსაფრთხოების კულტურის გაზრდა;

· ინფორმაციის უსაფრთხოების მართვის სფეროში სიმწიფის გაზრდა;

· ინფორმაციის უსაფრთხოებაზე ხარჯვის ოპტიმიზაცია.

ISO / IEC27001-- საერთაშორისოსტანდარტულიჩართულიინფორმაციაუსაფრთხოება

ეს სტანდარტი შეიქმნა სტანდარტიზაციის საერთაშორისო ორგანიზაციის (ISO) და საერთაშორისო ელექტროტექნიკური კომისიის (IEC) ერთობლივად. სტანდარტი შეიცავს ინფორმაციის უსაფრთხოების მოთხოვნებს ISMS– ის შექმნის, განვითარების და შენარჩუნებისათვის. ISO 27001 განსაზღვრავს მოთხოვნებს ISMS– ს მიმართ, რათა წარმოაჩინოს ორგანიზაციის უნარი დაიცვას თავისი ინფორმაციული აქტივები. საერთაშორისო სტანდარტი იყენებს "ინფორმაციის დაცვის" კონცეფციას და განიმარტება, როგორც ინფორმაციის კონფიდენციალურობის, მთლიანობისა და ხელმისაწვდომობის უზრუნველყოფა. სტანდარტის საფუძველია ინფორმაციული რისკების მართვის სისტემა. ეს სტანდარტი ასევე შეიძლება გამოყენებულ იქნას დაინტერესებული შიდა და გარე მხარეების შესაბამისობის შესაფასებლად.

სტანდარტი იყენებს პროცესის მიდგომას ინფორმაციის უსაფრთხოების მართვის სისტემის (ISMS) შექმნის, დანერგვის, მუშაობის, უწყვეტი მონიტორინგის, ანალიზის, შენარჩუნებისა და გაუმჯობესების მიზნით. იგი მოიცავს ორგანიზაციის შიგნით პროცესების სისტემის გამოყენებას, ამ პროცესების იდენტიფიკაციასა და ურთიერთქმედებასთან ერთად, ასევე მათ მართვასთან ერთად.

საერთაშორისო სტანდარტი იღებს Plan-Do-Check-Act (PDCA) მოდელს, რომელსაც ასევე უწოდებენ შეჰჰარტ-დემინგის ციკლს. ეს ციკლი გამოიყენება ISMS– ის ყველა პროცესის სტრუქტურირებისათვის. დიაგრამა 2 გვიჩვენებს, თუ როგორ იღებს ISMS ინფორმაციის უსაფრთხოების მოთხოვნებს და დაინტერესებული მხარეების მოლოდინს და საჭირო ქმედებებისა და პროცესების საშუალებით აწარმოებს ინფორმაციის უსაფრთხოების შედეგებს, რომლებიც აკმაყოფილებს ამ მოთხოვნებსა და მოლოდინებს.

დაგეგმვა არის ISMS– ის შექმნის, აქტივების ინვენტარიზაციის, რისკების შეფასების და ზომების არჩევის ეტაპი.

სურათი 2. PDCA მოდელი გამოიყენება ISMS პროცესებში

განხორციელება არის შესაბამისი ღონისძიებების განხორციელებისა და განხორციელების ეტაპი.

მიმოხილვა არის ISMS– ის ეფექტურობისა და მუშაობის შეფასების ეტაპი. ჩვეულებრივ ასრულებენ შიდა აუდიტორები.

მოქმედება - პრევენციული და მაკორექტირებელი ქმედებების განხორციელება.

ვდასკვნები

ISO 27001 აღწერს ISMS– ის განხორციელებისა და მუშაობის ზოგად მოდელს და მოქმედებებს ISMS– ის მონიტორინგისა და გაუმჯობესების მიზნით. ISO გეგმავს მართვის სისტემის სხვადასხვა სტანდარტების ჰარმონიზაციას, როგორიცაა ISO / IEC 9001: 2000, რომელიც ეხება ხარისხის მენეჯმენტს და ISO / IEC 14001: 2004, რომელიც ეხება გარემოსდაცვითი მართვის სისტემებს. ISO– ს მიზანია უზრუნველყოს ISMS– ის თანმიმდევრულობა და ინტეგრაცია კომპანიის სხვა მენეჯმენტის სისტემებთან. სტანდარტების მსგავსება იძლევა მსგავსი ინსტრუმენტების და ფუნქციონირების გამოყენებას განხორციელების, მართვის, გადასინჯვის, გადამოწმებისა და სერტიფიცირებისათვის. იგულისხმება ის, რომ თუ კომპანიამ დანერგა მენეჯმენტის სხვა სტანდარტები, მას შეუძლია გამოიყენოს ერთიანი აუდიტისა და მართვის სისტემა, რომელიც გამოიყენება ხარისხის მენეჯმენტის, გარემოსდაცვითი მენეჯმენტის, უსაფრთხოების მენეჯმენტის და ა.შ. ISMS– ის დანერგვით, უმაღლესი მენეჯმენტი იძენს უსაფრთხოების მონიტორინგისა და მართვის საშუალებებს, რაც ამცირებს ბიზნესის რისკებს. ISMS– ის დანერგვის შემდეგ, კომპანიას შეუძლია ოფიციალურად უზრუნველყოს ინფორმაციის უსაფრთხოება და გააგრძელოს მომხმარებელთა, კანონმდებლობის, მარეგულირებლებისა და აქციონერების მოთხოვნების დაცვა.

უნდა აღინიშნოს, რომ რუსეთის ფედერაციის კანონმდებლობაში არის დოკუმენტი GOST R ISO / IEC 27001-2006, რომელიც არის საერთაშორისო სტანდარტის ISO27001 თარგმნილი ვერსია.

თანჭიკჭიკილიტერატურა

1. კორნეევი I.R., ბელიაევი A.V. საწარმოს ინფორმაციული უსაფრთხოება. - SPb.: BHV-Petersburg, 2003 .-- 752 გვ.: ავად.

2. საერთაშორისო სტანდარტი ISO 27001 (http://www.specon.ru/files/ISO27001.pdf) (დაშვების თარიღი: 05/23/12)

3. ეროვნული სტანდარტი რუსეთის ფედერაცია GOST R ISO/IEC 27003-"ინფორმაციული ტექნოლოგია. უსაფრთხოების მეთოდები. ინფორმაციული უსაფრთხოების მართვის სისტემის დანერგვის სახელმძღვანელო" (http://niisokb.ru/news/documents/IDT%20ISO%20IEC%2027003-2011-09- 14. pdf) (წვდომის თარიღი: 23.05.12)

4. სკიბა V.Yu., Kurbatov V.A. ინფორმაციის უსაფრთხოების შიდა საფრთხეებისგან დაცვის გზამკვლევი. SPb.: პეტრე, 2008 .-- 320 გვ.: ავად.

5. თავისუფალი ენციკლოპედიის სტატია "ვიკიპედია", "მართვის სისტემა

ინფორმაციის უსაფრთხოება "(http://ru.wikipedia.org/wiki/%D0%A1%D0%9C%D0%98%D0%91) (თარიღი: 23.05.12)

6. Sigurjon Thor Arnason და Keith D. Willett "როგორ მივაღწიოთ 27001 სერთიფიკატს"

გამოქვეყნებულია Allbest.ru– ზე

მსგავსი დოკუმენტები

საინფორმაციო უსაფრთხოების საფრთხეები საწარმოში. ინფორმაციის უსაფრთხოების სისტემაში არსებული ხარვეზების გამოვლენა. ინფორმაციული უსაფრთხოების სისტემის ფორმირების მიზნები და ამოცანები. შესთავაზა ღონისძიებები ორგანიზაციის საინფორმაციო უსაფრთხოების სისტემის გასაუმჯობესებლად.

ტერმინალური ნაშრომი დამატებულია 02/03/2011


საწარმოში ინფორმაციის უსაფრთხოების სისტემის ანალიზი. საინფორმაციო უსაფრთხოების სამსახური. საწარმოს სპეციფიკური საინფორმაციო უსაფრთხოების საფრთხეები. ინფორმაციის დაცვის მეთოდები და საშუალებები. საინფორმაციო სისტემის მოდელი უსაფრთხოების თვალსაზრისით.

ტერმინალური ნაშრომი დამატებულია 02/03/2011


საწარმოში მართვის სისტემის შექმნის ძირითადი ეტაპები Კვების ინდუსტრია... HACCP, როგორც სურსათის უვნებლობის მართვის სისტემის ხერხემალი. სურსათის უვნებლობის მართვის სისტემა. საშიში ფაქტორები და პროფილაქტიკური ზომები.

რეზიუმე დამატებულია 10/14/2014


მართვის თანამედროვე სისტემები და მათი ინტეგრაცია. ხარისხის მართვის ინტეგრირებული სისტემები. სს "275 ARZ" და მისი მართვის სისტემის აღწერა. შრომის უსაფრთხოების მართვის სისტემის განვითარება. უსაფრთხოების ინტეგრირებული სისტემის შეფასების მეთოდები.

ნაშრომი, დამატებულია 07/31/2011


ხარისხის მართვის სისტემის დანერგვა. ხარისხის მართვის სისტემების სერტიფიცირება (ISO 9000), გარემოსდაცვითი მენეჯმენტი (ISO 14000), ორგანიზაციების ჯანმრთელობისა და უსაფრთხოების მართვის სისტემები (OHSAS 18 001: 2007) სს "ლენტას" მაგალითზე.

რეზიუმე, დამატებულია 10/06/2008


ინტეგრირებული მართვის სისტემის ორგანიზების სტანდარტის შემუშავება, რომელიც ადგენს დოკუმენტების მართვის პროცესის განხორციელების ერთიან პროცედურას. სს "ZSMK" ხარისხის მართვის სისტემის შექმნის ეტაპები. განთავსება ელექტრონული ვერსიებიდოკუმენტები.

ნაშრომი, დამატებულია 06/01/2014


დასაქმებულთა იერარქიული დიაგრამა. ინფორმაციის უსაფრთხოების ინსტრუმენტები. კითხვები უსაფრთხოების მდგომარეობის შესახებ. საწარმოს ინფორმაციის ნაკადების დიაგრამა. საინფორმაციო სისტემის მთლიანობის მონიტორინგის მეთოდები. სერვისის ინფორმაციაზე წვდომის კონტროლის მოდელირება.

ვადიანი ნაშრომი, დამატებულია 12/30/2011


მართვის საინფორმაციო სისტემის კონცეფცია და მისი ადგილი საერთო სისტემამენეჯმენტი. საინფორმაციო სისტემების ტიპები და მათი შინაარსი. მენეჯმენტის, როგორც საინფორმაციო სისტემის კონცეფცია. ფუნქციონირებს ფინანსური მართვის სისტემა. გარიგებების და ოპერაციების დადების სისტემები.

რეზიუმე დამატებულია 01/06/2015


კონცეფციები ჯანმრთელობისა და უსაფრთხოების სფეროში. საერთაშორისო სტანდარტები ISO ხარისხის მართვის სისტემებზე, გარემოს მართვის სისტემებზე, შრომის უსაფრთხოების და ჯანმრთელობის მართვის სისტემებზე. OHSAS 18001-2007 სტანდარტის ადაპტაცია.

ვადიანი ნაშრომი, დამატებულია 12/21/2014


დამახასიათებელი ინფორმაციის მართვა; საინფორმაციო და სამართლებრივი ურთიერთობების სუბიექტები; ინფორმაციის მიღების, გადაცემის, შენახვისა და გამოყენების სამართლებრივი რეჟიმი. ინფორმაციის გაცვლისა და ინფორმაციის უსაფრთხოების მახასიათებლები და სამართლებრივი ასპექტები.