Vad är ett modernt informationssäkerhetshanteringssystem. Moderna standarder inom informationssäkerhet med begreppet riskhantering Informationssäkerhetshanteringssystem

Shahalov Igor Yurievich

I frågan om integrering av kvalitetsledningssystem och informationssäkerhet

Sammanfattning: De internationella standarderna ISO 27001 och ISO 9001 beaktas. Analysen av likheter och skillnader mellan kvalitetsledningssystemet och informationssäkerhetsstyrningssystemet utförs. Möjligheten att integrera kvalitetsledningssystemet och informationssäkerhetshanteringssystemet visas. De viktigaste stadierna av konstruktion och implementering av ett integrerat system för informationssäkerhet ges. Fördelarna med det integrerade tillvägagångssättet visas.

Nyckelord: informationssäkerhetshanteringssystem, integrerade ledningssystem, ISMS, QMS, ISO 27001.

Natalia Olegovna

Introduktion

V modern värld med tillkomsten av vanligt och bekvämt tekniska anordningar problemet med informationssäkerhet har dykt upp ganska kraftigt. Tillsammans med lanseringen av kvalitetsprodukter eller tillhandahållande av tjänster till företag och organisationer är det viktigt att hålla den nödvändiga informationen hemlig för konkurrenter för att förbli i en gynnsam position på marknaden. I tävlingskampen är olika åtgärder som syftar till att erhålla (erhålla, skaffa) konfidentiell information utbredda. olika sätt, upp till direkt industrispionage med hjälp av moderna tekniska intelligensmedel.

Således blir organisationer som följer världens bästa praxis, som innehåller krav, riktlinjer för implementering av affärsprocesshanteringssystem, ledande på marknaden. De bästa standarderna för design, implementering, övervakning och förbättring av sådana system är dokument från International Organization for Standardization (ISO). Särskild uppmärksamhet bör ägnas åt standarderna i ISO 900x- och ISO 2700x -serien, som samlar bästa praxis för implementering av ett kvalitetsledningssystem (QMS) och ett informationssäkerhetshanteringssystem (ISMS).

Kvalitetsstyrningssystemet, implementerat i enlighet med kraven i ISO 9001-standarden, har länge erkänts som en integrerad egenskap hos ett framgångsrikt företag som producerar produkter av hög kvalitet eller tillhandahåller tjänster av hög klass. Idag är tillgängligheten av ett intyg om överensstämmelse både en effektiv marknadsföringslösning och en mekanism för att kontrollera produktionsprocesser. QMS-revision är ett väl utvecklat affärsområde.

Beroendet av företagets framgångsrika aktiviteter på företagssystem informationsskydd. Detta beror på ökningen av mängden vitala data som behandlas i företagsinformationssystemet. Informationssystem blir mer komplexa och antalet sårbarheter som finns i dem växer också. ISMS -granskning gör det möjligt att bedöma företagets nuvarande säkerhetsläge informationssystem,

bedöma och förutsäga risker, hantera deras inverkan på företagets affärsprocesser.

Eftersom ISO 9001 -standarden länge har tagit den ledande positionen i antalet certifikat i världen, och ISO 27001 -standarden visar en tendens att öka certifieringen av informationssäkerhetshanteringssystemet, är det lämpligt att överväga den möjliga interaktionen och integration av QMS och ISMS.

Integrering av standarder

Vid första anblicken är kvalitetshantering och informationssäkerhet helt olika områden. Men i praktiken är de nära besläktade och bildar en helhet (figur 1). Kundnöjdhet, som är ett objektivt kvalitetsmål, beror mer och mer på varje år på tillgången på informationsteknik och datasäkerhet, för vilken ISO 27001 -standarden används. Å andra sidan matchar ISO 9001 -standarden exakt organisationens företagsmål, hjälper till att säkerställa säkerheten. Tack vare ett integrerat tillvägagångssätt kan ISO 27001 effektivt integreras i befintliga QMS eller implementeras tillsammans med QMS.

(ISO 27001) och IT service management (ISO 20000) har en liknande struktur och processmetod. Detta skapar en synergi som lönar sig: i praktiken sparar ett integrerat ledningssystem för pågående verksamhet 20 till 30 procent av den totala kostnaden för systemoptimering, kontroller och revisioner.

Informationssäkerhets- och kvalitetshanteringsstandarder syftar till att ständigt förbättras i enlighet med PDCA-modellen Plan-Do-Check-Act (Deming Cycle) (se figur 2). Dessutom är de likartade i strukturen, som visas i korrespondenstabellen i bilaga C till ISO 27001. Båda standarderna definierar processmetod, omfattning, system- och dokumentationskrav och administrativt ansvar. I båda fallen slutar strukturen med internrevision, ledningsgranskning och systemförbättring. I detta interagerar båda systemen. Till exempel kräver ISO 9001 hantering av avvikande produkter. På samma sätt har standarden ISO 27001 ett incidenthanteringskrav för att lösa fel.

Ris. 1. Interaktionsområden och likhet mellan QMS och ISMS

Ris. 2. Deming -cykel

Mer än 27 200 organisationer från olika branscher i mer än 100 länder i världen är certifierade för överensstämmelse med ISO 9001: 2008 för kvalitetsledning. Beroende på marknaden och lagkrav tvingas många organisationer alltmer att hantera informationssäkerhet. I detta avseende erbjuder integrationen av styrsystemet verkliga möjligheter. Ett komplext tillvägagångssätt också intressant för företag som inte har använt någon hanteringsprocess förrän nu. ISO -standarder för kvalitet (ISO 9001), miljöskydd (ISO 14000), informationssäkerhet

Skillnaderna mellan standarderna är användbara för att komplettera varandra, vilket avgörande bidrar till ökad affärsframgång. Till exempel kräver ISO 9001 definitionen av företagsmål, kundfokus och mätbarhet, i vilken utsträckning mål och mål uppnås. Det här är tre frågor som inte står i centrum för ISO 27001: s intressen. I sin tur prioriterar denna standard riskhantering för att upprätthålla verksamhetens kontinuitet och erbjuder detaljerat stöd vid implementering av ett ISMS. Jämfört

med detta är ISO 9001 mer en teoretisk standard.

ISO 27001 - en standard inte bara för IT

Många tror att ISO 27001 -standarden endast är för IT -processer, men i verkligheten är det inte så. Den grundläggande punkten för implementeringen av ISO 27001 SM & B -standarden är definitionen av tillgångar.

■ "lilltpHiimiir-J." IJilllF.lEL ^ OIU.IC.

r t ^ tsdkpinizh ts netvk ^ tnsslsc tEp.tna.

»■ irreiiKinfundu« GcTMHiiociv

* KYADROMK:

■ JI! L "|" l "L> 4_l] Jil" HIIL, k

"D | KtttcCcU H" patitU.

"Jimii 14: ii | vju7JIIIM.

Ris. 3. Typer av tillgångar

En tillgång förstås som allt som är av värde för företaget (figur 3). Det vill säga en tillgång kan vara: mänskliga resurser, infrastruktur, verktyg, utrustning, kommunikation, tjänster och alla andra tillgångar, inklusive tjänster för leverans av köpta produkter. Baserat på processerna bestämmer företaget vilka tillgångar det har och vilka tillgångar som är involverade i kritiska processer och utvärderar tillgångarnas värde. Och först efter det görs riskbedömningen för alla värdefulla tillgångar. Således är ISMS inte bara avsett för digital information som behandlas i automatiserat system... Till exempel innebär några av de mest kritiska processerna

Förberedelse

evenemangsplaner

2 Kontrollera H: jag matchar

med lagring av papperskopior av information, som också omfattas av ISO 27001. Ett ISMS täcker alla sätt på vilka viktig information kan lagras i ditt företag, från hur din mejl skyddad, slutar med där personliga filer för anställda lagras i byggnaden.

Därför är det en enorm missuppfattning att eftersom standarden syftar till att bygga ett informationssäkerhetshanteringssystem, så kan detta bara gälla data som lagras i en dator. Även i vår digitala tid återspeglas mycket information fortfarande på papper, vilket också måste skyddas på ett tillförlitligt sätt.

ISO 9001 kan inte tillgodose företagets informationssäkerhetsbehov, eftersom det är snävt fokuserat på produktkvalitet. Därför är det mycket viktigt att implementera ISO 27001 i företaget. Vid en första anblick kan det tyckas för en specialist att båda standarderna är mycket generella och inte har specificitet. Men så är inte fallet: ISO 27001 -standarden beskriver nästan varje steg för att implementera och kontrollera funktionen hos ett ISMS (figur 4).

Huvudstadierna för att bygga ett informationssäkerhetshanteringssystem

Huvudstadierna för att bygga ett ISMS visas i figur 4. Låt oss överväga dem mer detaljerat.

Steg 1. Utarbetande av handlingsplaner. I detta skede samlar specialister in organisatoriska och administrativa dokument (ORD) och annat arbetsmaterial,

3 En typ normal II ORD

4 Analys ii riskbedömningar 11B

Genomförande

5 RyazraOoghya och<>RaeryaOopv -komplex & 00 \ * ieiitii:

strålningsplaner ■ -> standarder -> evenemang -> CfftpJOTHW *

händelser mån> PB ORD Poenpzhenie

Bildande av 10 AiUtuin -utvärdering av resultaten från INRsnEsS "IMB

Ris. 4. Etapper för att bygga ett ISMS

om konstruktion och drift av företagets informationssystem, planerade att använda mekanismer och sätt att säkerställa informationssäkerhet. Dessutom upprättas handlingsplaner för arbetsfaserna, överenskomms och godkänns av företagets ledning.

Steg 2. Kontroll av överensstämmelse med ISO / IEC 27001: 2005. Intervjuer och förhör chefer och anställda på avdelningar. Analys av företagets ISMS för överensstämmelse med kraven i ISO / IEC 27001: 2005.

Steg 3. Analys av reglerings- och organisations- och administrativa dokument baserade på organisationsstruktur företag. Baserat på dess resultat bestäms det skyddade omfånget (OA) och en skiss över företagets informationssäkerhetspolicy utvecklas.

Steg 4. Analys och bedömning av informationssäkerhetsrisker. Utveckling av en metod för att hantera företagsrisker och analysera dem. Analys av företagets informationsresurser, främst LAN, för att identifiera hot och sårbarheter för skyddade ML -tillgångar. Inventering av tillgångar. Genomföra konsultationer för företagets specialister och bedöma överensstämmelse med den faktiska och erforderliga säkerhetsnivån. Beräkning av risker, bestämning av nuvarande och acceptabel risknivå för varje specifik tillgång. Riskrankning, val av komplex av åtgärder för att minska dem och beräkning av implementeringens teoretiska effektivitet.

Steg 5. Utveckling och genomförande av IS -handlingsplaner. Utveckling av ett uttalande om tillämpligheten av kontroller i enlighet med ISO / IEC 27001: 2005. Utveckling av en plan för redovisning och eliminering av risker. Upprättande av rapporter för företagets chef.

Steg 6. Utveckling av regelverk och OSA. Utveckling och godkännande av den slutliga IB -policyn och tillhörande bestämmelser (privata policyer). Utveckling av standarder, procedurer och instruktioner för att säkerställa normal funktion och drift av företagets ISMS.

Steg 7. Genomförande av omfattande åtgärder för att minska IS -risker och bedöma deras effektivitet i enlighet med planen för behandling och eliminering av risker som godkänts av ledningen.

Steg 8. Personalutbildning. Utveckling av handlingsplaner och genomförande av program för utbildning och förbättring av företagets anställdas kompetens för att effektivt förmedla principer för informationssäkerhet till alla anställda och

främst de som arbetar i strukturella enheter tillhandahålla viktiga affärsprocesser.

Steg 9. Bildande av rapportering. Systematisering av undersökningsresultat och upprättande av rapporter. Presentation av arbetsresultaten för företagets chefer. Utarbetande av dokument för licensiering för överensstämmelse med ISO / IEC 27001: 2005 och överföring till den certifierande organisationen.

Steg 10. Analys och utvärdering av resultaten av ISMS -implementeringen baserat på den metodik som bedömer tillförlitligheten i företagets ISMS -funktion. Utveckling av rekommendationer för att förbättra företagets IS -hanteringssystem.

Genom att analysera varje steg i ISMS -implementering kan vi säga att ISO 27001 har en tydlig struktur och krav som gör att du kan bygga ett fungerande system där det kommer att finnas interaktion på alla nödvändiga nivåer. Men vi får inte glömma att den största skillnaden mellan ISMS och QMS är att det första systemet är inriktat på informationssäkerhet.

Informationssäkerhetens betydelse i den moderna världen

Dagens verksamhet kan inte existera utan informationsteknik. Det är känt att cirka 70% av världens totala nationella produkt beror på ett eller annat sätt på den information som lagras i informationssystem. Den utbredda introduktionen av datorer har skapat inte bara välkända bekvämligheter utan också problem, varav det allvarligaste är informationssäkerhetsproblemet.

Företagsledare måste förstå vikten av informationssäkerhet, lära sig att förutsäga och hantera trender inom detta område. I detta kan de få hjälp av införandet av ett ISMS, som i sin struktur har potential för utveckling, transparens i ledningen, flexibilitet för eventuella förändringar. Tillsammans med kontroller för datorer och datornät, ägnar ISO 27001 -standarden stor uppmärksamhet åt utvecklingen av säkerhetspolicy, arbete med personal (anställning, utbildning, uppsägning från arbetet), vilket säkerställer kontinuitet produktionsprocess, myndighetskrav, medan vissa tekniska frågor är detaljerade i andra standarder i serien

ISO 27000. Det finns många fördelar med att introducera ISIB i företaget, några av dem visas i fig. 5.

Glbkshl Skala pODr> h; b1 [h-th

Avböja ¡juvum

HiKiinimi n II11 \ 11 H "G 1111 111 pudnT

Prtrtshal wyrdoctle

"Ji | m | ill s. Ki u:

azhshchtnya # tsn ^ st

Ris. 5. Fördelar med att implementera ett informationssäkerhetshanteringssystem

Fördelarna med ISO bör påpekas

Demonstration av säkerhetskompetens. ISO 27001 är en praktisk guide för en organisation för att formulera säkerhetskrav för att uppnå den nödvändiga säkerhetsnivån och uppfylla specifika säkerhetsmål. Det är särskilt viktigt för organisationer att vara kompetenta inom fyra områden inom säkerhetshantering, inklusive: identifiera och bedöma företagets tillgångar, bedöma risker och definiera kriterier för att acceptera risker, hantera och anta dessa poster och kontinuerlig förbättring. allmänt program organisationens säkerhet.

Säkerställa kundernas förtroende. ISO 27001 ger oberoende bevis på att bolagsstyrningsprogram stöds av internationell bästa praxis. ISO 27001 -certifiering ger sinnesro till företag som vill visa integritet för kunder, aktieägare och potentiella partners, och viktigast av allt, för att visa att företaget framgångsrikt har implementerat ett robust system för informationssäkerhet. För många starkt reglerade branscher som finans eller internettjänster kan leverantörsval

begränsas till de organisationer som redan är ISO 27001 -certifierade.

Effektivare resursanvändning. Tack vare användning av processmetoden är det möjligt att optimera processerna som äger rum i företaget. Vilket innebär en minskning av resursanvändningen, till exempel tid.

Kontinuerlig förbättring. ISMS använder PCDA -modellen, som gör att du regelbundet kan kontrollera status för hela systemet, analysera och förbättra ledningssystemet

1. Bild, märke. Certifiering för överensstämmelse med ISO 27001 öppnar stora möjligheter för företaget: tillgång till internationell nivå, nya partnerskap, fler kunder, nya kontrakt, framgång i anbud. Förekomsten av ett ISMS i ett företag är en indikator på en hög utvecklingsnivå.

2. ISMS: s flexibilitet. Oavsett förändringar i processer, ny teknik, förblir grunden för ISMS -strukturen effektiv. ISMS anpassar sig ganska enkelt till innovationer genom att modernisera befintliga och införa nya motåtgärder.

3. Skalbarhet för implementering av standarden. Eftersom ISO 27001 innebär omfattning kan endast en delmängd av processerna certifieras. Du kan börja implementera ISMS i den viktigaste OA för företaget och först senare expandera.

4. Granskning. Många Ryska företag uppfatta revisionsarbete som en katastrof. ISO 27001 visar en internationell strategi för revision: först och främst företagets intresse av att faktiskt uppfylla standarderna, och inte göra certifieringen på något sätt, bara "för show".

5. Regelbundna interna eller externa revisioner gör det möjligt att korrigera kränkningar, förbättra ISMS och minska riskerna avsevärt. Först och främst behöver företaget det för sin egen sinnesro, att allt är i sin ordning och riskerna med förluster minimeras. Och redan sekundärt - ett intyg om överensstämmelse, som för partner eller kunder bekräftar att detta företag kan lita på.

6. Öppenhet i ledningen. Användningen av ISO 27001 -standarden ger ganska tydliga instruktioner för att skapa hantering, och

även kraven på dokumentationen som måste finnas i företaget. Problemet hos många företag är att de befintliga dokumenten för vissa avdelningar helt enkelt inte är läsbara, eftersom det ofta är omöjligt att räkna ut vad som är avsett för vem på grund av komplexiteten i dokumentationssystemet. Hierarkin av dokumentationsnivåer, från informationssäkerhetspolicy till beskrivning av specifika förfaranden, gör användningen av befintliga regler, förordningar och andra saker mycket enklare. Införandet av SM & B innebär också personalutbildning: att hålla seminarier, utskick, hängande varningsaffischer, vilket avsevärt ökar medvetenheten om informationssäkerhet bland vanliga anställda.

Sammanfattningsvis bör det noteras att i moderna affärer oförutsägbarheten hos det grundläggande kvalitetsstyrningssystemet, byggt i enlighet med kraven i ISO 9001 -standarden, och informationssäkerhetshanteringssystemets ståndpunkt är uppenbar.

Idag kommer marknadsledaren att vara företag som inte bara övervakar indikatorer på kvaliteten på produkter och tjänster, utan också konfidentialitet, integritet och tillgänglighet av information om dem. Prognoser och riskbedömning är också en viktig framgångsfaktor, vilket kräver ett kompetent tillvägagångssätt och användning av bästa internationella praxis. Gemensamt genomförande och certifiering av kvalitetshanterings- och informationssäkerhetssystem hjälper till att lösa ett brett spektrum av problem för alla branscher eller branscher, vilket i sin tur kommer att leda till en kvalitativ ökning av servicenivån.

Litteratur

1. Dorofeev A. V., Shahalov I. Yu. Grunderna i informationssäkerhetshantering modern organisation// Juridisk informatik. 2013. Nr 3. S. 4-14.

2. Chashkin VN Informationssäkerhetshantering som en del av organisationens informations- och tekniska aktivitetshanteringssystem // Säkerhet för informationsteknik. 2009. Nr 1. S. 123-124.

3. Goryachev VV Ny GOST för QMS. Huvudsakliga skillnader från GOST RV 15.002-2003 //

Kvalitetshanteringsmetoder. 2013. Nr 7. S. 18-23.

4. Dotsenko SP, Pshenetskiy SP Tillvägagångssätt för att bygga en modell för informationssäkerhetshanteringssystem // Polytematiskt nätverk elektronisk vetenskaplig tidskrift för Kuban State Agrarian University. 2009. Nr 53. S. 47-56.

5. Kamenev AV, Zavoritko EV Modell av informationssäkerhetshanteringssystemet på företaget (i organisationen) // Intellect. Innovation. Investeringar. 2013. Nr 1. S. 111-114.

6. Soloviev AM Normativ och metodisk bas inom informationssäkerhet // Ekonomi, statistik och informatik. Bulletin från UMO. 2012. Nr 1. S. 174-181.

7. Kozin IF, Livshits II Informationssäkerhet. Integrering av internationella standarder i Rysslands informationssäkerhetssystem // Informatisering och kommunikation. 2010. Nr 1. S. 50-55.

8. Kolodin VS Certifiering av integrerade ledningssystem // Bulletin från Irkutsk State Technical University. 2010. T. 41. Nr 1. S. 44-48.

9. Merkushova NI, Naumenko Yu. A., Merkushova Yu A. Integrerade ledningssystem: förutsättningar för att skapa på ryska företag // Ung forskare.

2013. Nr 12 (59). S. 327-331.

10. Voropaeva V. Ya., Shcherbov IL, Khaustova ED Informationssäkerhetshantering av informations- och telekommunikationssystem baserat på modellen "P1ap-Do-Check-Act" // Science1-sling vid Donetsk National Technical University. Ser1ya: "Beräkningstekniskt och automatiserat". 2013. Nr 2 (25). S. 104-110.

11. Dorofeev AV, Markov AS Informationssäkerhetshantering: grundläggande begrepp // Cybersäkerhetsfrågor.

2014. Nr 1 (2). S. 67-73.

12. Shper VL Om standarden 18O / 1EC 27001 // Metoder för kvalitetshantering. 2008. Nr 3. S. 60-61.

13. Markov A.S., Tsirlov V.L. Riskhantering - normativt vakuum för informationssäkerhet // Öppna system... DBMS. 2007. Nr 8. S. 63-67.

14. Matveev V.A., Tsirlov V.L.

tion 2014 // Cybersäkerhetsfrågor. 2013. Nr 1 (1). S. 61-64.

15. Trummor A. V. Standardisering av säkerhetsprocessen mjukvaruverktyg// Cybersäkerhetsfrågor. 2013. Nr 1 (1). S. 37-41.

16. Markov A.S., Tsirlov V.L. Riktlinjer för cybersäkerhet i sammanhanget

ISO 27032 // Cybersäkerhetsproblem. 2014. Nr 1 (2). S. 28-35. 17. Khramtsovskaya N. Vad en chef behöver veta om informationssäkerhet // Kadrovik. 2009. Nr 4. S. 061-072.

I informationsteknikens värld blir frågan om att säkerställa informationens integritet, tillförlitlighet och konfidentialitet en prioritet. Därför är det ett strategiskt beslut att inse behovet av att en organisation har ett informationssäkerhetshanteringssystem (ISMS).

Den var utformad för att skapa, implementera, underhålla och kontinuerligt förbättra ett ISMS i ett företag, och genom att tillämpa denna standard på externa partners blir det uppenbart att organisationen kan uppfylla sina egna krav på informationssäkerhet. Denna artikel kommer att diskutera de grundläggande kraven i standarden och diskutera dess struktur.

(ADV31)

Huvudmålen med ISO 27001 -standarden

Innan vi fortsätter med beskrivningen av standardens struktur, låt oss fastställa dess huvuduppgifter och överväga historien om hur standarden såg ut i Ryssland.

Syftet med standarden:

• etablering enhetliga krav för alla organisationer att skapa, implementera och förbättra ISMS;
• säkerställa interaktion mellan ledning och medarbetare;
• upprätthålla konfidentialitet, integritet och tillgänglighet av information.

Samtidigt är de krav som fastställs i standarden generella och är avsedda att tillämpas av alla organisationer, oavsett typ, storlek eller art.

Standardens historia:

• År 1995 antog British Standards Institute (BSI) Information Security Management Code som en nationell brittisk standard och registrerade den enligt BS 7799 - Del 1.
• 1998 publicerar BSI BS7799-2 i två delar, en med en uppförandekod och de andra kraven för system för hantering av informationssäkerhet.
• Under senare revideringar publicerades den första delen som BS 7799: 1999, del 1. År 1999 överfördes denna version av standarden till International Organization for Certification.
• Detta dokument godkändes år 2000 som den internationella standarden ISO / IEC 17799: 2000 (BS 7799-1: 2000). Den senaste versionen av denna standard, som antogs 2005, är ISO / IEC 17799: 2005.
• I september 2002 trädde den andra delen av BS 7799 "Information Security Management System Specification" i kraft. Den andra delen av BS 7799 reviderades 2002 och i slutet av 2005 antogs av ISO som den internationella standarden ISO / IEC 27001: 2005 " Informationsteknologi- Säkerhetsmetoder - Informationssäkerhetshanteringssystem - Krav.
• År 2005 inkluderades ISO / IEC 17799 -standarden i standardserien i den 27: e serien och mottogs nytt nummer- ISO / IEC 27002: 2005.
• Den 25 september 2013 publicerades det uppdaterade ISO / IEC 27001: 2013 ”Information Security Management Systems”. Krav". För närvarande är organisationer certifierade enligt denna version av standarden.

Standardens struktur

En av fördelarna med denna standard är likheten mellan dess struktur och ISO 9001, eftersom den innehåller identiska rubriker i underavsnitt, identisk text, gemensamma termer och grundläggande definitioner. Denna omständighet sparar tid och pengar, eftersom en del av dokumentationen redan har utvecklats under ISO 9001 -certifieringen.

Om vi ​​talar om standardens struktur är det en lista över ISMS -krav som är obligatoriska för certifiering och består av följande avsnitt:

Kraven i "Bilaga A" är obligatoriska, men standarden låter dig utesluta områden som inte kan tillämpas i företaget.

När du implementerar standarden på ett företag för ytterligare certifiering är det värt att komma ihåg att inga undantag från kraven i avsnitt 4 - 10. Dessa avsnitt kommer att diskuteras vidare.

Låt oss börja med avsnitt 4 - Organisationskontext

Organisationens sammanhang

I detta avsnitt kräver standarden att en organisation identifierar externa och interna frågor som är relevanta för dess mål och som påverkar dess ISMS förmåga att uppnå förväntade resultat. Därvid bör du ta hänsyn till de lagstadgade, föreskrivande och avtalsenliga skyldigheterna vad gäller informationssäkerhet. Organisationen bör också definiera och dokumentera ISMS: s omfattning och tillämplighet för att fastställa dess omfattning.

Ledarskap

Toppledningen bör visa ledarskap och engagemang för informationssäkerhetshanteringssystemet genom att till exempel säkerställa att informationssäkerhetspolitiken och informationssäkerhetsmålen fastställs och överensstämmer med organisationens strategi. Toppledningen bör också se till att alla nödvändiga resurser för ISMS tillhandahålls. Med andra ord bör det vara uppenbart för de anställda att ledningen är involverad i informationssäkerhetsfrågor.

Informationssäkerhetspolicy bör dokumenteras och kommuniceras till anställda. Detta dokument påminner om kvalitetspolicyn ISO 9001. Det bör också vara lämpligt för organisationens syfte och innehålla informationssäkerhetsmål. Det är bra om det här är riktiga mål, som att bevara sekretessen och integriteten i informationen.

Ledningen förväntas också fördela funktioner och ansvar relaterade till informationssäkerhet bland anställda.

Planera

I detta avsnitt kommer vi till den första etappen av PDCA (Plan - Do - Check - Act) förvaltningsprincip - planera, verkställa, kontrollera, agera.

När man planerar ett informationssäkerhetshanteringssystem bör organisationen ta hänsyn till de frågor som nämns i punkt 4 och bestämma de risker och potentiella möjligheter som måste beaktas för att säkerställa att ISMS kan uppnå förväntade resultat, förhindra oönskade effekter, och uppnå ständiga förbättringar.

När man planerar hur man ska uppnå sina informationssäkerhetsmål bör organisationen bestämma:

• vad kommer att göras;
• vilka resurser som kommer att krävas;
• vem som ska ansvara;
• när mål uppnås;
• hur resultaten kommer att bedömas.

Dessutom ska organisationen bevara data om informationssäkerhetsmål som dokumenterad information.

säkerhet

Organisationen ska bestämma och tillhandahålla de resurser som behövs för att utveckla, implementera, underhålla och kontinuerligt förbättra ISMS, detta inkluderar både personal och dokumentation. När det gäller personal förväntas organisationen rekrytera kvalificerad och kompetent informationssäkerhetspersonal. De anställdas kvalifikationer måste bekräftas av certifikat, diplom etc. Det är möjligt att locka till sig tredje parts specialister under ett kontrakt, eller utbilda dina anställda. När det gäller dokumentationen bör den innehålla:

• dokumenterad information som krävs enligt standarden;
• dokumenterad information som organisationen bestämmer är nödvändig för att säkerställa effektiviteten i informationssäkerhetshanteringssystemet.

Den dokumenterade information som krävs av ISMS och standarden måste kontrolleras för att säkerställa att den:

• tillgänglig och lämplig för användning där och när det behövs, och
• skyddas på lämpligt sätt (till exempel från förlust av konfidentialitet, missbruk eller förlust av integritet).

Fungerar

Det här avsnittet diskuterar den andra fasen av PDCA -styrningsprincipen - behovet av en organisation för att hantera processer för att säkerställa efterlevnad och för att följa de aktiviteter som identifieras i planeringsdelen. Den anger också att en organisation bör utföra riskbedömningar av informationssäkerhet med planerade intervaller eller när väsentliga förändringar föreslås eller inträffar. Organisationen ska behålla resultaten av riskbedömningen av informationssäkerheten som dokumenterad information.

Utvärdering av prestanda

Det tredje steget är verifiering. Organisationen ska utvärdera ISMS: s funktion och effektivitet. Till exempel måste den genomföra en internrevision för att få information om huruvida

1. Är informationssäkerhetshanteringssystemet kompatibelt
   • organisationens egna krav för sitt informationssäkerhetshanteringssystem;
   • kraven i standarden;
2. att informationssäkerhetshanteringssystemet effektivt implementeras och fungerar.

Det är självklart att omfattningen och tidpunkten för revisioner bör planeras i förväg. Alla resultat måste dokumenteras och bevaras.

Förbättring

Poängen med det här avsnittet är att bestämma handlingssättet när en avvikelse identifieras. Organisationen behöver korrigera inkonsekvenser, konsekvenser och analysera situationen så att detta inte händer i framtiden. Alla avvikelser och korrigerande åtgärder bör dokumenteras.

Detta avslutar huvudavsnitten i standarden. Bilaga A ger mer specifika krav som en organisation ska uppfylla. Till exempel, när det gäller åtkomstkontroll, använd Mobil enheter och informationsbärare.

Fördelar med implementering och certifiering av ISO 27001

• öka organisationens status och följaktligen förtroendet hos partner;
• öka stabiliteten i organisationens funktion;
• öka skyddsnivån mot informationssäkerhetshot;
• säkerställa den konfidentialitet som krävs för information från berörda parter;
• utöka organisationens förmåga att delta i stora kontrakt.

De ekonomiska fördelarna är:

• oberoende bekräftelse från certifieringsorganet att organisationen har en hög informationssäkerhet som kontrolleras av kompetent personal;
• bevis på överensstämmelse med tillämpliga lagar och förordningar (överensstämmelse med systemet med obligatoriska krav);
• demonstration av en viss hög nivå av ledningssystem för att säkerställa rätt servicenivå till kunder och partner i organisationen;
• Demonstration av regelbundna granskningar av ledningssystem, prestationsbedömningar och ständiga förbättringar.

Certifiering

En organisation kan certifieras av ackrediterade organ i enlighet med denna standard. Certifieringsprocessen består av tre steg:

• Steg 1 - revisors studie av viktiga ISMS -dokument för att uppfylla kraven i standarden - kan utföras både på organisationens territorium och genom att överföra dessa dokument till en extern revisor;
• Andra etappen - detaljerad granskning, inklusive testning av genomförda åtgärder och bedömning av deras effektivitet. Inkluderar en fullständig studie av de dokument som krävs av standarden;
• Tredje steget - genomförande av en inspektionsrevision för att bekräfta att den certifierade organisationen uppfyller de angivna kraven. Utförs regelbundet.

Resultat

Som du kan se kommer användningen av denna standard på företaget att kvalitativt förbättra informationssäkerheten, vilket är dyrt under förhållandena i modern verklighet. Standarden innehåller många krav, men det viktigaste kravet är att göra det som är skrivet! Utan att faktiskt tillämpa kraven i standarden blir det till en tom uppsättning papper.

GOST R ISO / IEC 27001-2006 ”Informationsteknik. Metoder och sätt att säkerställa säkerheten. Informationssäkerhetshanteringssystem. Krav"

Utvecklarna av standarden noterar att den utarbetades som en modell för utveckling, implementering, drift, övervakning, analys, support och förbättring av informationssäkerhetshanteringssystemet (ISMS). Ett ISMS (informationssäkerhetshanteringssystem; ISMS) definieras som en del av det övergripande ledningssystemet baserat på användning av affärsriskbedömningsmetoder för utveckling, implementering, drift, övervakning, analys, support och förbättring av informationssäkerhet. Ett ledningssystem inkluderar en organisationsstruktur, policyer, planeringsaktiviteter, ansvar, praxis, procedurer, processer och resurser.

Standarden förutsätter att man använder en processmetod för utveckling, implementering, drift, övervakning, analys, support och förbättring av organisationens ISMS. Den är baserad på modellen Plan - Do - Check - Act (PDCA), som kan tillämpas för att strukturera alla ISMS -processer. I fig. 4.4 visar hur ett ISMS, som använder informationssäkerhetskrav och förväntade resultat från intresserade parter som input, genom nödvändiga åtgärder och processer, ger informationssäkerhetsoutput som uppfyller dessa krav och förväntade resultat.

Ris. 4.4.

På scenen "Utveckling av ett informationssäkerhetshanteringssystem" organisationen bör göra följande:

• - bestämma omfattningen och gränserna för ISMS;
• - fastställa ISMS -policyn utifrån verksamhetens, organisationens, dess plats, tillgångar och teknologiers egenskaper;
• - fastställa tillvägagångssättet för riskbedömning i organisationen;
• - identifiera risker;
• - analysera och bedöma risker;
• - identifiera och utvärdera olika alternativ för riskbehandling.
• - välja mål och kontroller för riskbehandling.
• - få ledningsgodkännande av förväntade kvarvarande risker;
• - få tillstånd från ledningen för implementering och drift av ISMS;
• - utarbeta en tillämplighetsförklaring.

Skede " Implementering och drift av informationssäkerhetshanteringssystemet " föreslår att organisationen bör:

• - utveckla en riskbehandlingsplan som definierar lämpliga hanteringsåtgärder, resurser, ansvar och prioriteringar för riskhantering av informationssäkerhet.
• - genomföra en riskbehandlingsplan för att uppnå de avsedda förvaltningsmålen, som inkluderar finansieringsfrågor samt fördelning av roller och ansvar.
• - genomföra de valda hanteringsåtgärderna;
• - bestämma sättet att mäta effektiviteten av de valda kontrollåtgärderna;
• - genomföra utbildnings- och yrkesutvecklingsprogram för anställda;
• - hantera ISMS: s arbete;
• - hantera ISMS -resurser;
• - genomföra förfaranden och andra kontrollåtgärder för att säkerställa snabb upptäckt av informationssäkerhetshändelser och svar på informationssäkerhetsincidenter.

Den tredje etappen " Övervakning och analys av informationssäkerhetshanteringssystemet " kräver:

• - genomföra övervaknings- och analysförfaranden.
• - regelbundet analysera effektiviteten av ISMS.
• - mäta effektiviteten av kontroller för att kontrollera att IS -kraven uppfylls.
• - se över riskbedömningar vid angivna tidsintervaller, analysera kvarvarande risker och fastställda acceptabla risknivåer, med beaktande av förändringar.
• - genomföra interna ISMS -granskningar vid angivna tidsintervall;
• - regelbundet genomföra en analys av ISMS av organisationens ledning för att bekräfta att funktionen är tillräcklig och bestämma förbättringsinriktningar;
• - uppdatera IS -planer med hänsyn till resultaten av analys och övervakning.
• - registrera åtgärder och händelser som kan påverka effektiviteten eller driften av ISMS.

Äntligen scenen "Stöd och förbättring av informationssäkerhetshanteringssystemet" föreslår att organisationen regelbundet ska utföra följande aktiviteter:

• - identifiera möjligheter för att förbättra ISMS.
• - vidta nödvändiga korrigerande och förebyggande åtgärder, i praktiken använda IS -erfarenheterna både i sin egen organisation och i andra organisationer;
• - överföra detaljerad information om åtgärder för att förbättra ISMS till alla berörda parter, medan detaljeringsgraden bör motsvara omständigheterna och vid behov komma överens om ytterligare åtgärder.
• - säkerställa genomförandet av förbättringar av ISMS för att uppnå de planerade målen.

Vidare i standarden ges kraven på dokumentation, som bör innehålla bestämmelserna i ISMS -policyn och en beskrivning av verksamhetsområdet, en beskrivning av metodiken och en riskbedömningsrapport, en riskbehandlingsplan och dokumentation relaterade förfaranden. En process för hantering av ISMS -dokument bör också definieras, inklusive uppdatering, användning, lagring och bortskaffande.

För att bevisa överensstämmelse med kraven och effektiviteten hos ISMS är det nödvändigt att upprätthålla och underhålla register och register över utförandet av processer. Exempel inkluderar besökarloggar, granskningsrapporter etc.

Standarden anger att organisationens ledning ansvarar för att tillhandahålla och hantera de resurser som behövs för att upprätta ett ISMS och för att organisera utbildning för personal.

Som tidigare noterats bör organisationen genomföra interna ISMS -granskningar i enlighet med ett godkänt schema för att bedöma dess funktionalitet och överensstämmelse med standarden. Och ledningen bör göra en analys av informationssäkerhetshanteringssystemet.

Arbete bör också utföras för att förbättra informationssäkerhetshanteringssystemet: att öka dess effektivitet och överensstämmelse med systemets nuvarande tillstånd och de krav som ställs på det.

Om den är byggd i enlighet med kraven i ISO / IEC_27001, är den baserad på PDCA -modellen:

Planen(Planering) - fasen med att skapa ett ISMS, skapa en lista över tillgångar, riskbedömning och val av åtgärder;

Do(Åtgärd) - genomförandefasen och genomförandet av lämpliga åtgärder.

Kontrollera(Verifiering) - Fas för utvärdering av ISMS: s effektivitet och prestanda. Vanligtvis utförs av interna revisorer.

spela teater(Förbättringar) - genomförande av förebyggande och korrigerande åtgärder;

Informationssäkerhetskoncept

ISO 27001 -standarden definierar informationssäkerhet som: ”upprätthålla sekretess, integritet och tillgänglighet för information; Dessutom kan andra egenskaper inkluderas, såsom äkthet, icke-avvisande, äkthet. "

Sekretess - se till att informationen endast är tillgänglig för dem som har lämplig myndighet (auktoriserade användare).

Integritet - säkerställa att informationen är korrekt och fullständig, samt metoder för behandling av den.

Tillgänglighet - ge tillgång till information till behöriga användare vid behov (på begäran).

4 Informationssäkerhetshanteringssystem

4.1 Allmänna krav

Organisationen ska upprätta, implementera, använda, kontrollera, revidera, underhålla och förbättra de dokumenterade ISMS -bestämmelserna under organisationens affärsverksamhet och de risker den står inför. Av praktiska fördelar med denna internationella standard är processen som används baserad på PDCA -modellen som visas i fig. 1.

4.2 Etablering och hantering av ett ISMS

4.2.1 Skapa ett ISMS

Organisationen bör göra följande.

a) Med hänsyn till de specifika egenskaperna för organisationens verksamhet, organisationen själv, dess placering, tillgångar och teknik, bestämma ISMS: s omfattning och gränser, inklusive detaljer och motiveringar för att utesluta alla bestämmelser i dokumentet från utkastet till ISMS (se 1.2 ).

b) Med hänsyn till de specifika egenskaperna för organisationens verksamhet, organisationen själv, dess läge, tillgångar och teknik, utveckla en ISMS -policy som:

1) innehåller ett system för fastställande av mål (mål) och fastställer den allmänna ledningsriktningen och handlingsprinciper för informationssäkerhet;

2) tar hänsyn till affärs- och lag- eller lagkrav, avtalsenliga säkerhetsförpliktelser;

3) är kopplad till den strategiska riskhanteringsmiljö där skapandet och underhållet av ett ISMS sker;

4) fastställer de kriterier mot vilka risken kommer att bedömas (se 4.2.1 c)); och

5) godkänd av ledningen.

OBS! I denna internationella standard är en ISMS -policy en utökad uppsättning informationssäkerhetspolicyer. Dessa principer kan beskrivas i ett dokument.

c) Utveckla en ram för riskbedömning i organisationen.

1) Bestäm en metod för riskbedömning som är lämplig för ISMS och etablerade affärsinformationssäkerhets-, lag- och myndighetskrav.

2) Utveckla kriterier för att acceptera risk och bestämma acceptabla risknivåer (se 5.1f).

Den valda riskbedömningsmetoden bör säkerställa att riskbedömningen ger jämförbara och reproducerbara resultat.

OBS: Det finns olika metoder för riskbedömning. Exempel på riskbedömningsmetoder behandlas i ISO / IEC TU 13335-3, Informationsteknik - Rekommendationer för hanteringDENSäkerhet - HanteringsteknikerDENSäkerhet.

d) Identifiera risker.

1) Definiera tillgångar som omfattas av ISMS och ägare2 (2 Termen "ägare" identifieras med en individ eller enhet som är godkänd för att ansvara för kontroll av produktion, utveckling Underhåll, tillämpning och säkerhet av tillgångar. Uttrycket "ägare" betyder inte att personen faktiskt har någon äganderätt till tillgången) av dessa tillgångar.

2) Identifiera riskerna för dessa tillgångar.

3) Identifiera sårbarheter i skyddssystemet.

4) Identifiera effekter som förstör konfidentialitet, integritet och tillgänglighet för tillgångar.

e) Analysera och utvärdera risker.

1) Bedöma skadan på organisationens verksamhet som kan orsakas av bristande skyddssystem, samt en följd av kränkning av sekretess, integritet eller tillgångar.

2) Bestäm sannolikheten för ett säkerhetsfel mot bakgrund av rådande faror och sårbarheter, tillgångsrelaterade effekter och kontroller som för närvarande finns.

3) Bedöm risknivåerna.

4) Bestäm riskens acceptabilitet, eller kräva att den reduceras med hjälp av kriterierna för riskacceptabilitet som anges i 4.2.1c) 2).

f) Identifiera och utvärdera instrument för riskminskning.

Möjliga åtgärder inkluderar:

1) Tillämpa lämpliga kontroller;

2) Medveten och objektiv acceptans av risker, vilket säkerställer deras ovillkorliga efterlevnad av kraven i organisationens policy och kriterierna för risktolerans (se 4.2.1c) 2));

3) Riskundvikande; och

4) Överföring av relevanta affärsrisker till en annan part, till exempel försäkringsbolag, leverantörer.

g) Välj uppgifter och kontroller för att minska risker.

Mål och kontroller bör väljas och genomföras i enlighet med de krav som fastställs i riskbedömnings- och riskreduceringsprocessen. Detta val bör ta hänsyn till både kriterierna för riskacceptabilitet (se 4.2.1c) 2)) och lag-, lag- och kontraktskrav.

Uppgifterna och kontrollerna från bilaga A bör väljas som en del av denna process för att uppfylla specifika krav.

Eftersom inte alla uppgifter och kontroller listas i bilaga A kan ytterligare uppgifter väljas.

OBS: Bilaga A innehåller en omfattande lista över förvaltningsmål som har identifierats som mest relevanta för organisationer. För att inte missa en enda viktig punkt från kontrollalternativen bör användning av denna internationella standard vägledas av bilaga A som utgångspunkt för provtagningskontroll.

h) Uppnå godkännande av hanteringen av förväntade kvarvarande risker.

4) underlätta upptäckten av säkerhetshändelser och därmed förhindra säkerhetsincidenter med hjälp av vissa indikatorer; och

5) fastställa effektiviteten av de åtgärder som vidtagits för att förhindra säkerhetsöverträdelser.

b) Genomföra regelbundna granskningar av ISMS effektivitet (inklusive diskussion av ISMS -policyn och dess mål, granskning av säkerhetskontroller), med beaktande av resultaten av revisioner, incidenter, resultat av prestandamätningar, förslag och rekommendationer från alla intresserade parter .

c) Utvärdera kontrollernas effektivitet för att avgöra om säkerhetskraven uppfylls.

d) Kontrollera riskbedömningen för de planerade perioderna och kontrollera de kvarvarande riskerna och risktoleranserna, med hänsyn till förändringar i:

1) organisationer;

2) teknik;

3) affärsmål och processer;

4) identifierade hot;

5) effektiviteten hos de implementerade hanteringsverktygen; och

6) externa händelser, såsom förändringar i den juridiska och ledningsmiljön, förändrade avtalsförpliktelser, förändringar i det sociala klimatet.

e) Genomföra interna revisioner av ISMS under planerade perioder (se 6)

OBS: Interna revisioner, ibland kallade primära revisioner, utförs på organisationens vägnar för egna ändamål.

f) Granska hanteringen av ISMS regelbundet för att säkerställa att situationen förblir giltig och att ISMS förbättras.

g) Uppdatera säkerhetsplaner baserade på övervaknings- och granskningsresultat.

h) Registrera åtgärder och händelser som kan påverka ISMS effektivitet eller prestanda (se 4.3.3).

4.2.4 Underhåll och förbättring av ISMS

Organisationen måste kontinuerligt göra följande.

a) Implementera specifika korrigeringar i ISMS.

b) Vidta lämpliga korrigerande och förebyggande åtgärder i enlighet med 8.2 och 8.3. Tillämpa den kunskap som erhållits av organisationen själv och av erfarenheter från andra organisationer.

c) Kommunicera sina handlingar och förbättringar till alla berörda parter i en detaljnivå som är lämplig för situationen; och därför samordna sina handlingar.

d) Kontrollera att förbättringarna har uppnått sitt avsedda syfte.

4.3 Krav på dokumentation

4.3.1 Allmänt

Dokumentationen bör innehålla protokoll (register) över ledningsbeslut för att övertyga att behovet av åtgärder beror på beslut och förvaltningspolicyer. och säkerställa reproducerbarheten av de registrerade resultaten.

Det är viktigt att kunna visa återkopplingen från de valda kontrollerna till resultaten av riskbedömningen och riskminskningsprocesserna, och sedan till ISMS -policyn och dess mål.

ISMS -dokumentationen bör innehålla:

a) ett dokumenterat uttalande om ISMS -policyn och målen (se 4.2.1b));

b) ISMS -positionen (se 4.2.1a));

c) konceptet och kontrollerna till stöd för ISMS;

d) en beskrivning av riskbedömningsmetoden (se 4.2.1c)).

e) riskbedömningsrapport (se 4.2.1c) - 4.2.1g));

f) riskminskningsplan (se 4.2.2b));

g) ett dokumenterat koncept som är nödvändigt för organisationen för att säkerställa att dess informationssäkerhetsprocesser planeras, drivs och hanteras effektivt och beskriver hur kontrollernas effektivitet mäts (se 4.2.3c).

h) dokument som krävs enligt denna internationella standard (se 4.3.3); och

i) Tillämplighetsförklaring.

OBS 1: I denna internationella standard betyder termen ”dokumenterat koncept” att begreppet implementeras, dokumenteras, implementeras och följs.

OBS 2: Storleken på ISMS -dokumentationen i olika organisationer kan variera beroende på:

Organisationens storlek och typen av dess tillgångar; och

Storleken och komplexiteten hos säkerhetskraven och det hanterade systemet.

OBS 3: Dokument och rapporter kan skickas i valfri form.

4.3.2 Dokumentkontroll

De dokument som krävs av ISMS måste skyddas och regleras. Det är nödvändigt att godkänna det dokumentationsförfarande som är nödvändigt för att beskriva hanteringsåtgärder för:

a) fastställa dokumentens överensstämmelse med vissa standarder före publiceringen;

b) kontrollera och uppdatera dokument vid behov, godkänna dokument på nytt;

c) se till att ändringarna överensstämmer med det aktuella läget för reviderade dokument;

d) säkerställa tillgängligheten av viktiga versioner av giltiga dokument;

e) se till att dokumenten är begripliga och läsbara;

f) göra dokument tillgängliga för dem som behöver dem; samt deras överföring, lagring och slutligen förstöring i enlighet med de förfaranden som tillämpas beroende på deras klassificering;

g) fastställa äktheten av dokument från externa källor;

h) kontrollera distributionen av dokument;

i) förhindra oavsiktlig användning av föråldrade dokument; och

j) tillämpa en lämplig identifieringsmetod på dem om de förvaras för säkerhets skull.

4.3.3 Kontroll av register

Registreringar bör skapas och underhållas för att bevisa överensstämmelse och effektiv drift av ISMS. Posterna måste skyddas och verifieras. ISMS bör ta hänsyn till alla juridiska och regulatoriska krav och avtalsenliga skyldigheter. Registreringar måste vara begripliga, lätt identifierbara och hämtbara. De kontroller som är nödvändiga för identifiering, lagring, skydd, återställning, lagring och förstörelse av poster måste dokumenteras och genomföras.

Registren ska innehålla information om genomförandet av de aktiviteter som beskrivs i 4.2 och om alla incidenter och säkerhetsrelevanta incidenter relaterade till ISMS.

Exempel på poster är gästbok, granskningsloggar och ifyllda formulär för behörighetsåtkomst.

Skicka ditt bra arbete i kunskapsbasen är enkel. Använd formuläret nedan

Studenter, doktorander, unga forskare som använder kunskapsbasen i sina studier och arbete kommer att vara mycket tacksamma för dig.

Postat den http://www.allbest.ru/

"Informationssäkerhetshanteringssystem"

ledning internationell standard

Vledande

Ett informationssäkerhetshanteringssystem är en uppsättning processer som arbetar i ett företag för att säkerställa konfidentialitet, integritet och tillgänglighet för informationstillgångar. Den första delen av uppsatsen undersöker processen för att implementera ett ledningssystem i en organisation, och ger också de viktigaste aspekterna av fördelarna med att implementera ett informationssäkerhetshanteringssystem.

Figur 1. Kontrollcykel

Listan över processer och rekommendationer om hur man bäst organiserar deras funktion ges i den internationella standarden ISO 27001: 2005, som är baserad på Plan-Do-Check-Act-hanteringscykeln. Enligt honom livscykel ISMS består av fyra typer av aktiviteter: Skapande - Implementering och drift - Övervakning och analys - Underhåll och förbättring (Fig. 1). Denna standard kommer att diskuteras mer detaljerat i den andra delen.

MEDsystemetförvaltninginformationsäkerhet

Ett informationssäkerhetshanteringssystem (ISMS) är den del av det övergripande ledningssystemet som är baserat på en affärsrisk strategi vid skapande, implementering, drift, övervakning, analys, support och förbättring av informationssäkerhet. ISMS -processer är utformade i enlighet med kraven i ISO / IEC 27001: 2005, som är baserad på cykeln

Systemets arbete är baserat på metoderna för den moderna teorin om hanteringsrisker, vilket säkerställer dess integration i det övergripande riskhanteringssystemet i organisationen.

Implementeringen av ett informationssäkerhetshanteringssystem innebär utveckling och implementering av ett förfarande som syftar till systematisk identifiering, analys och lindring av informationssäkerhetsrisker, det vill säga risker till följd av vilka informationstillgångar (information i någon form och av vilken art som helst) kommer att förlora konfidentialitet, integritet och tillgänglighet.

För att säkerställa systematisk minskning av informationssäkerhetsrisker, baserat på resultaten av riskbedömningen, implementeras följande processer i organisationen:

· Hantering av den interna organisationen av informationssäkerhet.

· Säkerställa informationssäkerhet vid interaktion med tredje part.

· Hantering av registret över informationstillgångar och reglerna för deras klassificering.

· Utrustningssäkerhetshantering.

· Säkerställa fysisk säkerhet.

· Säkerställa informationssäkerhet för personal.

· Planering och antagande av informationssystem.

· Säkerhetskopiering.

· Säkra nätverket.

Informationssäkpåverkar alla aspekter av organisationens IT-infrastrukturhantering, eftersom informationssäkerhet är resultatet av en hållbar funktion av informationsteknologirelaterade processer.

När man bygger ett ISMS i företag utför specialister följande arbete:

· Organisera projektledning, bilda ett projektteam från kundens och entreprenörens sida;

· Definiera verksamhetsområdet (AO) för ISMS;

Undersök organisationen i OD ISMS:

o när det gäller organisationens affärsprocesser, inklusive analys negativa konsekvenser informationssäkerhetsincidenter;

o när det gäller organisationens ledningsprocesser, inklusive befintliga kvalitetshanterings- och informationssäkerhetshanteringsprocesser;

o vad gäller IT -infrastruktur;

o när det gäller informationssäkerhetsinfrastruktur.

Utveckla och komma överens om en analytisk rapport som innehåller en lista över de viktigaste affärsprocesserna och en bedömning av konsekvenserna av genomförandet av informationssäkerhetshot i förhållande till dem, en lista över hanteringsprocesser, IT -system, informationssäkerhetsdelsystem (ISS), en utvärdering av i vilken utsträckning organisationen uppfyller alla ISO 27001 -krav och en bedömning av processorganisationernas mognad;

· Välj initial och målnivå för ISMS -mognad, utveckla och godkänn ISMS -programmet för mognadsförbättring; utveckla informationssäkerhetsdokumentation på hög nivå:

o Begreppet informationssäkerhet,

o IS- och ISMS -policyer;

· Välj och anpassa den riskbedömningsmetod som är tillämplig i organisationen;

· Välj, leverera och distribuera programvara som används för att automatisera ISMS -processer, organisera utbildning för företagsspecialister;

· Bedöma och bearbeta risker, under vilka åtgärderna i tillägg A i standard 27001 väljs ut för att minska dem och krav för deras genomförande i organisationen formuleras, tekniska informationssäkerhetsmedel väljs i förväg;

· Utveckla preliminära konstruktioner av PIB, bedöma kostnaden för riskbehandling.

· Sörja för godkännande av riskbedömningen av organisationens högsta ledning och utveckla tillämplighetsförklaringen; utveckla organisatoriska åtgärder för att säkerställa informationssäkerhet;

· Utveckla och genomföra tekniska projekt om implementering av tekniska informationssäkerhetsdelsystem som stöder genomförandet av de valda åtgärderna, inklusive leverans av utrustning, driftsättning, utveckling av operativ dokumentation och användarutbildning;

· Ge konsultationer under driften av det konstruerade ISMS;

· Organisera utbildning för interna revisorer och genomföra interna ISMS -granskningar.

Resultatet av dessa arbeten är ett fungerande ISMS. Fördelar med implementering av ett ISMS i ett företag uppnås genom:

· Effektiv hantering av efterlevnad av lagkrav och affärskrav inom informationssäkerhet.

· Förebyggande av IS -incidenter och minskning av skador i händelse av att de inträffar;

· Öka kulturen för informationssäkerhet i organisationen;

· Ökande mognad inom informationssäkerhetshantering.

· Optimering av utgifterna för informationssäkerhet.

ISO / IEC27001-- internationellstandard-påinformationsäkerhet

Denna standard utvecklades gemensamt av International Organization for Standardization (ISO) och International Electrotechnical Commission (IEC). Standarden innehåller krav på informationssäkerhet för skapande, utveckling och underhåll av ett ISMS. ISO 27001 specificerar krav för ett ISMS för att visa organisationens förmåga att skydda sina informationstillgångar. Den internationella standarden använder begreppet "informationsskydd" och tolkas som att säkerställa konfidentialitet, integritet och tillgänglighet av information. Grunden för standarden äret. Denna standard kan också användas för att bedöma överensstämmelse av intresserade interna och externa parter.

Standarden antar en processmetod för att skapa, implementera, driva, kontinuerligt övervaka, analysera, underhålla och förbättra ett informationssäkerhetshanteringssystem (ISMS). Det består i tillämpningen av ett system av processer inom en organisation, tillsammans med identifiering och interaktion av dessa processer, liksom deras ledning.

Den internationella standarden antar Plan-Do-Check-Act (PDCA) -modellen, som också kallas Shewhart-Deming-cykeln. Denna cykel används för att strukturera alla ISMS -processer. Figur 2 visar hur ISMS tar krav på informationssäkerhet och intressenters förväntningar som insatser och genom de nödvändiga åtgärderna och processerna producerar informationssäkerhetsresultat som uppfyller dessa krav och förväntningar.

Planering är fasen med att skapa ett ISMS, skapa en inventering av tillgångar, bedöma risker och välja åtgärder.

Figur 2. PDCA -modell tillämpad på ISMS -processer

Implementering är steget för genomförande och genomförande av lämpliga åtgärder.

Granskning är fasen för utvärdering av ISMS: s effektivitet och prestanda. Vanligtvis utförs av interna revisorer.

Åtgärd - vidta förebyggande och korrigerande åtgärder.

VSlutsatser

ISO 27001 beskriver en allmän modell för implementering och drift av ett ISMS och åtgärder för att övervaka och förbättra ett ISMS. ISO avser att harmonisera olika standarder för ledningssystem som ISO / IEC 9001: 2000, som behandlar kvalitetsledning, och ISO / IEC 14001: 2004, som behandlar miljöledningssystem. Syftet med ISO är att säkerställa konsekvens och integration av ISMS med andra ledningssystem i företaget. Likheten med standarder tillåter användning av liknande verktyg och funktioner för implementering, hantering, revision, verifiering och certifiering. Implikationen är att om ett företag har implementerat andra hanteringsstandarder kan det använda ett enhetligt revisions- och ledningssystem som är tillämpligt på kvalitetsledning, miljöledning, säkerhetsledning etc. Genom att implementera ett ISMS får ledningen möjlighet att övervaka och hantera säkerhet, vilket minskar kvarvarande affärsrisker. Efter att ha implementerat ett ISMS kan företaget formellt säkerställa informationssäkerheten och fortsätta att uppfylla kraven från kunder, lagstiftning, tillsynsmyndigheter och aktieägare.

Det bör noteras att i Ryska federationens lagstiftning finns ett dokument GOST R ISO / IEC 27001-2006, som är en översatt version av den internationella standarden ISO27001.

MEDgnisslalitteratur

1.Korneev I.R., Belyaev A.V. Företagets informationssäkerhet. - SPb.: BHV-Petersburg, 2003.- 752 s.: Ill.

2.International standard ISO 27001 (http://www.specon.ru/files/ISO27001.pdf) (datum för åtkomst: 05/23/12)

3. nationell standard Ryska Federationen GOST R ISO/IEC 27003-"Informationsteknik. Säkerhetsmetoder. Riktlinjer för implementering av ett informationssäkerhetshanteringssystem" (http://niisokb.ru/news/documents/IDT%20ISO%20IEC%2027003-2011-09- 14. pdf) (åtkomstdatum: 23.05.12)

4. Skiba V.Yu., Kurbatov V.A. Riktlinjer för att skydda mot interna hot mot informationssäkerhet. SPb.: Peter, 2008.- 320 s.: Ill.

5. Artikel i den fria encyklopedin "Wikipedia", "Management system

informationssäkerhet "(http://ru.wikipedia.org/wiki/%D0%A1%D0%9C%D0%98%D0%91) (datum: 23.05.12)

6. Sigurjon Thor Arnason och Keith D. Willett "How to Achieve 27001 Certification"

Publicerat på Allbest.ru

Liknande dokument

Informationssäkerhetshot i företaget. Identifiering av brister i informationssäkerhetssystemet. Målen och målen för bildandet av informationssäkerhetssystemet. Föreslagna åtgärder för att förbättra organisationens informationssäkerhetssystem.

termen läggs till 02/03/2011


Analys av informationssäkerhetssystemet på företaget. Informationssäkerhetstjänst. Företagsspecifika hot mot informationssäkerhet. Metoder och metoder för informationsskydd. Informationssystemsmodell ur ett säkerhetsperspektiv.

termen läggs till 02/03/2011


Huvudstadierna för att skapa ett ledningssystem på företaget Livsmedelsindustrin... HACCP som ryggraden i alla livsmedelssäkerhetssystem. Ledningssystem för livsmedelssäkerhet. Farliga faktorer och förebyggande åtgärder.

abstrakt tillagt 14/10/2014


Moderna ledningssystem och deras integration. Integrerade kvalitetsledningssystem. Beskrivning av JSC "275 ARZ" och dess ledningssystem. Utveckling av ett arbetssäkerhetsledningssystem. Metoder för att bedöma ett integrerat säkerhetssystem.

avhandling, tillagd 31/07/2011


Implementering av ett kvalitetsledningssystem. Certifiering av kvalitetsledningssystem (ISO 9000), miljöledning (ISO 14000), organisationer för hälso- och säkerhetsledning (OHSAS 18 001: 2007) på exemplet med OJSC "Lenta".

abstrakt, tillagd 10/06/2008


Utveckling av en standard för att organisera ett integrerat ledningssystem som upprättar ett enhetligt förfarande för genomförandet av dokumenthanteringsprocessen. Stadier av skapandet av kvalitetsledningssystemet för JSC "ZSMK". boende elektroniska versioner dokument.

avhandling, tillagd 2014-06-01


Hierarkiskt diagram över anställda. Informationssäkerhetsverktyg. Frågor om säkerhetsläget. Diagram över företagsinformationsflöden. Metoder för att övervaka informationssystemets integritet. Modellering av åtkomstkontroll till serviceinformation.

term paper, tillagd 30/12/2011


Konceptet med ett ledningsinformationssystem och dess plats i gemensamt system förvaltning. Typer av informationssystem och deras innehåll. Begreppet ledning som informationssystem. Ekonomihanteringssystemets funktioner. System för att göra affärer och verksamheter.

abstrakt tillagt 2015-06-01


Begrepp inom hälsa och säkerhet på jobbet. Internationella standarder ISO om kvalitetsledningssystem, miljöledningssystem, arbetarskydd och hälsohanteringssystem. Anpassning av OHSAS 18001-2007-standarden.

term paper, tillagt 21/12/2014


Karakteristisk informationshantering; ämnen för information och juridiska förbindelser; lagstiftning för att ta emot, överföra, lagra och använda information. Funktioner och juridiska aspekter av informationsutbyte och informationssäkerhet.