ГОСТ Р ИСО/МЭК ТО 13335-3-2007 Информационная технология (ИТ). Методы и средства обеспечения безопасности. Часть 3. Методы менеджмента безопасности информационных технологий

     7.1 Цели и стратегия безопасности информационных технологий

В качестве первого шага в процессе управления безопасностью информационных технологий необходимо рассмотреть вопрос о том, какой общий уровень риска является приемлемым для данной организации. Правильно выбранный уровень приемлемого риска и, соответственно, допустимый уровень безопасности являются ключевыми моментами успешного управления безопасностью. Допустимый общий уровень безопасности определяется целями, которые ставит перед собой организация при создании системы обеспечения безопасности информационных технологий. Для того, чтобы оценить и сформулировать такие цели, необходимо изучить имеющиеся активы и определить, насколько ценными они являются для данной организации. Критерием в этом случае является то, насколько важную роль играют информационные технологии в процессе проведения организацией своей деловой деятельности, при этом стоимость самих информационных технологий составляет лишь малую часть общих затрат. При рассмотрении вопроса о том, насколько важны для функционирования организации информационные технологии, необходимо ответить на следующие вопросы:

- какие важные (очень важные) элементы деловой практики предприятия не могут осуществляться без привлечения информационных технологий;

- какие вопросы могут решаться исключительно с помощью использования информационных технологий;

- принятие каких важных решений зависит от достоверности, целостности или доступности информации, обрабатываемой с использованием информационных технологий, или от своевременного получения такой информации;

- какие виды конфиденциальной информации, обрабатываемой с использованием информационных технологий, подлежат защите;

- какие последствия могут наступить для организации после появления нежелательного инцидента нарушения системы обеспечения безопасности?

Ответы на поставленные вопросы могут помочь сформулировать цели создания системы безопасности в организации. Если, например, какие-то важные или очень важные элементы деятельности предприятия зависят от достоверности или своевременности полученной информации, то одной из целей создания системы безопасности может стать необходимость обеспечения целостности и оперативности информации в процессе обработки последней системами информационных технологий. Кроме того, при рассмотрении целей создания системы безопасности необходимо учитывать степень важности целей проводимых деловых операций, а также их связь с вопросами безопасности.

В зависимости от поставленных организацией целей создания системы безопасности необходимо выработать стратегию достижения этих целей. Стратегия должна соответствовать ценности защищаемых активов. Если, например, ответ на один или несколько приведенных выше вопросов является положительным, то весьма вероятно, что данная организация должна предъявлять повышенные требования к обеспечению безопасности и ей необходимо выбрать стратегию, предусматривающую приложение значительных усилий для выполнения этих требований.

Любая стратегия, направленная на обеспечение информационной безопасности, должна содержать общие положения о том, как организация собирается обеспечить достижение своих целей в этой области. Основное содержание этих положений стратегии будет зависеть от числа, содержания и важности поставленных целей, при этом обычно организация считает необходимым распространить поставленные требования на все свои подразделения. По своему содержанию основные положения стратегий могут иметь как специфический, так и общий характер.

В качестве положений стратегии специфического характера можно привести следующий пример, когда первичной целью системы обеспечения безопасности информационных технологий является, исходя из деловых соображений, необходимость обеспечения высокого уровня доступности. В этом случае одно из направлений стратегии должно заключаться в сведении к минимуму опасности заражения системы информационных технологий вирусами путем повсеместного размещения антивирусных программных средств (или выделения отдельных сайтов, через которые должна проходить вся получаемая информация для ее проверки на наличие вирусов).

В качестве положений общего характера, имеющих общий характер, можно привести следующий пример, когда основная работа организации заключается в оказании информационных услуг, в связи с чем возможные потребители должны быть уверены в защищенности ее систем информационных технологий. В этом случае основным положением стратегии может быть проведение аттестации систем информационных технологий на безопасность с привлечением третьей стороны, обладающей соответствующим опытом.

В качестве других возможных основных положений стратегии безопасности информационных технологий можно, в зависимости от конкретных целей и их комбинаций, привести следующие положения:

- стратегия и методы анализа риска, используемые в масштабе всей организации;

- оценка необходимости разработки политики безопасности информационных технологий для каждой системы;

- оценка необходимости создания рабочих процедур безопасности для каждой системы;

- разработка схемы классификации систем по уровню чувствительности информации в масштабах всей организации;

- оценка необходимости учета и проверка условий безопасности соединений до места подключения к ним других организаций;

- разработка схем обработки инцидентов, связанных с нарушением системы безопасности для универсального использования.

После разработки стратегии безопасности эта стратегия и ее составные элементы должны быть включены в состав политики безопасности информационных технологий организации.