Современные
информационные технологии/ Информационная безопасность
Борозніченко В. О., Максімов Ю.О.
Національний авіаційний
університет(НАУ), Україна
КОМПЛЕКСНИЙ ПІДХІД ДЛЯ КЕРУВАННЯ
ІНФОРМАЦІЙНОЮ БЕЗПЕКОЮ
Вступ. У наш час будь – які
організації потребують побудову збалансованої автоматизованої системи, задачами
якої є доступна, конфіденційна та цілісна обробка даних. Незважаючи на
величезну залежність від електронної інформації, процес забезпечення інформаційної
безпеки здійснюється проблематично.
Актуальність. Обумовлюється підвищеною увагою до
питань керування інформаційної безпеки у державному та корпоративному секторі. Мета роботи полягає в тому, щоб визначити методи успішного управління
інформаційною безпекою та побудови ефективної системи захисту.
Викладення матеріалу. Незважаючи
на різні сфери роботи окремих фірм та організацій, в основі управління ризиками
інформаційної безпеки лежать наступні принципи:
· Оцінка ризиків та визначання потреб організації;
· Встановлення централізованого керування;
· Впровадження політики безпеки та способи контролю над нею;
· Сприяння поінформованості співробітників;
· Контроль і оцінювання ефективності механізмів забезпечення безпеки;
Істотним чинником
ефективного здійснення цих принципів є сполучний цикл діяльності, який гарантує, що управління інформаційною
безпекою постійно націлене на поточні ризики. Важливо, щоб менеджмент
організації визнав наявність ризиків порушення бізнес-процесів, пов'язаних з
безпекою інформаційних систем.
Підставою для
розробки та впровадження політик безпеки
та вибору необхідних засобів контролю є оцінка ризиків окремих
бізнес-додатків[1]. Прийняті кроки дозволять збільшити обізнаність користувачів
про ризики та дотримуватись відповідних правил. Ефективність засобів контролю
підлягає оцінці шляхом різних досліджень і аудиторських перевірок. Отримані
результати забезпечують підхід до подальшої оцінки ризиків і визначають
необхідні зміни в інформаційній політиці безпеки і засобах контролю. Всі ці дії
централізовано координуються службою безпеки або штатом фахівців, що
складається з консультантів, представників бізнес-підрозділів та менеджменту
організації.
Цикл управління
безпекою проілюстрований на рис. 1.
Рис. 1. Цикл управління
безпекою
Методи, що використовуються для реалізації п'яти
принципів управління ризиками, виділених в таблиці 1, на думку авторів є
ключовими для ефективної реалізації програми інформаційної безпеки організації.
Таблиця 1.
Принцип |
Метод |
Оцінити ризик та визначити необхідність |
·
Визначити активи (ресурси) організації, що є об’єктами захисту; ·
Розробити власні чи використовувати існуючі процедури оцінки ризиків; ·
Встановити відповідальних за сферу інформаційних ризиків; ·
Забезпечити безперервне керування ризиками; |
Застосовувати правила та принципи контролю безпеки |
·
Встановити взаємозв’язок політики безпеки та бізнес ризиків; ·
Встановити відмінності між політикою безпеки та керуючими принципами; ·
Забезпечити відповідність дій керівників до встановлених принципів; |
Аналізувати та оцінювати ефективність методів контролю |
·
Контролювати фактори, що впливають на ризики та вказують на ефективність
інформаційної безпеки; ·
Використовувати отримані результати для координації майбутніх дій; ·
Відслідковувати нові методи та
інструменти контролю; |
Сприяти поінформованості
персоналу |
·
Безперервне підвищення
кваліфікації персоналу; ·
Навчання та колективний аналіз
проблемних ситуацій; |
Встановити централізоване керування |
·
Призначати відповідальний
персонал за виконання контролюючих дій; ·
Постійно оновлювати технічну базу
та використовувати захисне програмне забезпечення в рамках бізнес - процесів; ·
Отримувати періодичну звітність
по сферам контролю; |
Оцінка ризику є першим кроком реалізації програми
забезпечення інформаційної безпеки. Безпека не розглядається «сама по собі»,
але є сукупністю методів та засобів контролю, призначених для забезпечення
бізнес-процесів і зменшення відповідних ризиків. Таким чином, визначення
бізнес-ризиків, пов'язаних з інформаційною безпекою - початкова точка циклу
управління ризиком (інформаційною безпекою)[2].
Визнання ризиків інформаційної безпеки менеджментом
організації, а також набору заходів, спрямованих на визначення та управління
цими ризиками є важливим фактором розвитку програми забезпечення інформаційної
безпеки. Такий підхід менеджменту дозволить гарантувати, що інформаційна
безпека серйозно розглядається і на більш низьких організаційних рівнях
організації, а фахівці інформаційної безпеки забезпечені ресурсами, необхідними
для ефективного здійснення програми[2].
Інформаційній безпеці варто приділяти постійну увагу,
щоб гарантувати адекватність та ефективність засобів контролю. Сучасні
інформаційні та суміжні технології, також як і фактори, що відносяться до
інформаційної безпеки, постійно змінюються. Такі фактори включають в себе
загрози, технології і системні конфігурації, відомі уразливості в програмному
забезпеченні, рівень надійності автоматизованих систем і електронних даних,
критичність даних та операцій.
Обговорення проблем інформаційної безпеки забезпечить
діяти ефективно і уникнути розбіжностей. В іншому випадку можливі конфліктні
ситуації з менеджерами бізнес-підрозділів і розробниками систем, охочими до
якнайшвидшого впровадження нових програмних продуктів, і, тому оспорюють
застосування засобів контролю, які можуть перешкоджати ефективності та
"комфортності" роботи з програмним забезпеченням. Таким чином,
можливість обговорення проблем інформаційної безпеки на вищому рівні зможе
гарантувати повне розуміння ризиків і їх допустимість до прийняття остаточних
рішень[3].
Компетентність користувачів є обов'язковою умовою для
успішного забезпечення інформаційної безпеки, а також дозволяє гарантувати, що
засоби контролю працюють належним чином. Користувачі системи не можуть
дотримуватись правил, які вони не знають чи не розуміють. Не знаючи про ризики,
пов'язані з інформаційними ресурсами організації, вони не можуть бачити
необхідності виконання політики, розробленої з метою зменшення ризиків. Тому
необхідне безперервне навчання користувачів та інших співробітників правилам та
принципам інформаційної безпеки на прикладах запобігання ризиків.
Контроль дозволяє привести організацію у відповідність
з прийнятими політикам інформаційної безпеки, проте повні вигоди від контролю
не будуть досягнуті, якщо отримані результати не використовуються для
поліпшення програми забезпечення інформаційної безпеки[3]. Аналіз результатів
контролю надає фахівцям в області інформаційної безпеки і менеджерам бізнес-підрозділів
засоби переоцінки раніше ідентифікованих ризиків, визначення нових проблемних
ділянок, переоцінки достатності та доречності існуючих засобів і методів
контролю та дій щодо забезпечення
інформаційної безпеки, визначення потреб у нових засобах і механізмах контролю,
переадресації контрольних зусиль. Крім того, результати можуть
використовуватися для оцінки діяльності бізнес-менеджерів, відповідальних за
розуміння і зменшення ризиків в бізнес-підрозділах.
Висновок.
Розвиток програми інформаційної
безпеки, відповідної основним принципам та спеціалізованим стандартам - перший
і основний крок організації на шляху побудови ефективної системи інформаційної
безпеки.
Література:
1. Вишняков
Я.Д, Радаев Н.Н.,
Общая теория рисков – 2008 -368с;
2. Гринберг
А.С, Король И.А.,
Информационный менеджмент,
2003 -415с;
3. Астрахов А.М., Искуство управления информационными рисками –М:ДМК Пресс,
2010 – 312с.