Концепция. Security Awareness Programm

Information Security
Awareness Program.
Концепция
Кузнецов Георгий

Департамент по защите информации
Дирекция по безопасности
ООО «ДТЭК»

INFORMATION SECURITY AWARENESS PROGRAM

Как эффективно организовать
сотрудников на соблюдение
правил информационной
безопасности Компании?

Кузнецов Г.Н.
ДЗИ ДБ ООО «ДТЭК»

INFORMATION SECURITY AWARENESS PROGRAM

Нарушение политики ИБ

5% По вине собственных
10% сотрудников

По вине 3-х лиц

80%
Технические сбои

Другие


ПРИЧИНЫ НАРУШЕНИЙ ИБ

Исследование компании Gartner 2010:

 29% респондентов из 574 обследованных организаций сообщили: в
их Компаниях в обязанности персонала ИТ-подразделений входит
обучение сотрудников правилам соблюдения информационной
безопасности
 Только в 36% организаций пользователей обучают необходимым
навыкам
 Около 80% нарушений информационной безопасности связано с
небрежностью, недостаточной компетентностью и
безответственностью персонала Компании


КЛЮЧЕВЫЕ ВОПРОСЫ

Что такое «осведомленность»
персонала в вопросах
информационной
безопасности?


Что такое «осведомленность» персонала в
вопросах информационной безопасности?

Континуум получения знаний
в области ИБ

 Осведомленность – это не
профессиональное обучение

 Цель проведения работ по
осведомленности – только
фокусирование внимания
пользователей на безопасности

(NIST Special Publication 800-16)


Что такое «осведомленность» персонала в
вопросах информационной безопасности?

Осведомленность в вопросах Знать об опасностях:
ИБ – это:  Знать существующие угрозы
 Уметь здраво оценивать свои действия
(риски)
 Понимание того, какие
проблемы ИБ могут возникнуть Знать и использовать приёмы
повышения уровня ИБ:
 Выработать привычки, способствующие
 Знание как их избегать поддержанию высокого уровня ИБ
 Соблюдать и участвовать в выработке
правил повышения уровня ИБ
 Знание как действовать в той
или иной ситуации Уметь оповещать службу ИБ:
 Знать координаты сотрудников
подразделения ИБ, к кому можно
обратиться при возникающих
проблемах и инцидентах


Каковы цели и задачи работ по повышению
осведомленности сотрудников по вопросам ИБ?

Основные сложности проведения работ по повышению
осведомленности сотрудников:

 Необходимость обучить базовым знаниям в области ИБ и
проконтролировать уровень знаний большого
количества человек

 Обучение, информирование и проверка знаний персонала
в области информационной безопасности должны быть
постоянным процессом

 Необходимость обучить неспециализированным знаниям,
которые не представляют для сотрудников Компании
непосредственного интереса и не повышают их
квалификацию как специалистов в их предметной области


Каковы цели и задачи работ
по повышению уровня
осведомленности
сотрудников по
вопросам
ИБ?

Каковы цели и задачи работ по повышению
уровня осведомленности сотрудников по
вопросам ИБ?

Цель:

 Снижение потерь
(материальных, финансовых,
ущерб деловой репутации и т.д.)
от угроз, связанных с незнанием
или непониманием сотрудниками
основных положений
нормативно-распорядительных
документов в области ИБ,
принятых в Компании, и
элементарных правил по защите
информации при работе с
компьютерной техникой

Задачи внедрения
Программы повышения осведомленности

 Информирование сотрудников о существующих угрозах
(опасностях) и проблемах ИБ, которые могут возникнуть при
автоматизированной обработке информации, обновление (расширение)
их теоретических и практических знаний в области ИБ;
 Доведение до сотрудников основных положений, ограничений и
требований существующих нормативно-распорядительных
документов, принятых в Компании;
 Мобилизация и мотивация конечных пользователей систем на
сознательное выполнение ими требований, ограничений и правил
обеспечения ИБ при использовании ИТ;
 Выработка у сотрудников умения здраво оценивать возможные
последствия своих действий (адекватно оценивать связанные с ними
риски ИБ);
 Выработка у сотрудников привычек, способствующих поддержанию
высокого уровня ИБ.


 Выработка у сотрудников Компании умений (навыков) правильно и
оперативно действовать при возникновении инцидентов ИБ;
 Доведение до сотрудников координат лиц, ответственных за
обеспечение ИБ в компании, к которым необходимо обращаться за
помощью и которых необходимо оперативно информировать о
возникающих проблемах и инцидентах ИБ;
 Доведение до сотрудников Компании их обязанностей в области
обеспечения ИБ и степени их ответственности в случае утечки
конфиденциальной информации;
 Привлечение сотрудников Компании к участию в выработке и уточнении
(адаптации к конкретным условиям применения) правил Политики ИБ
Компании);
 Оценка эффективности, развитие и совершенствование проводимых
мероприятий и Программы в целом.


Требования стандарта ISO/IEC 27002:2005
8. Безопасность, связанная с персоналом
8.2.2. Обеспечение осведомленности, обучение и подготовка в области ИБ
Рекомендуемые меры
Все сотрудники организации, и если это целесообразно, то также работники по
контракту и сторонние пользователи должны получить соответствующую
информационную подготовку и регулярные обновления принятых в организации
политик и процедур, относящихся к их рабочей функции.
Мероприятия по обеспечению осведомленности
Обучению и подготовке в области ИБ должны быть целесообразными и
соответствующими роли данного лица, его обязанностям и квалификации, а также
должны включать в себя информацию по известным угрозам ИБ, сведения о том, к кому
следует обращаться за дополнительными консультациями по безопасности, а также о
надлежащих каналах для уведомления об инцидентах, связанных с ИБ.
Подготовка для повышения осведомленности предназначена для того, чтобы позволить
сотрудникам распознавать проблемы и инциденты, связанные с ИБ, и реагировать на
них в соответствии с необходимостью и со своей ролью в рабочем процессе.


Формы и методы повышения
сотрудников


Формы и методы повышения
осведомленности сотрудников

 Краткий инструктаж при приеме на работу
 Обучение (курсы, семинары, тренинги, с демонстрацией атак и приемов
защиты)
 Дистанционные (электронные) курсы и др.
 Инструктажи и зачеты по положениям Политики безопасности
 Рассылки по e-mail, разделы на корпоративных порталах (с примерами
конкретных инцидентов в Компании, статистикой нарушений,
результатами контроля подразделений)
 Распространение кратких памяток
 Средства наглядной агитации (плакаты)


Формы и методы повышения осведомленности
Дистанционное обучение

Дистанционное
(электронное) обучение

Позволяет более
масштабно решать задачи
обучения работников
Компании, но имеет
недостатки по сравнению с
очным (низкая мотивация и
др.)


Вводный инструктаж для новых сотрудников

Обучение сотрудников на местах:

• Курс может быть выполнен в виде
презентации и размещен на
рабочих компьютерах Компании
• Предоставление новым
сотрудникам мультимедиа-
учебника на CD/DVD, включающем
в себя теоретические и
практические модули
• Просмотр сотрудниками при
приеме на работу видеоролика об
основных правилах ИБ
• Тестирование уровня знаний новых
сотрудников по вопросам ИБ


Распространение кратких памяток

Буклет-памятка по ИБ


Поддержание атмосферы ИБ

Screen Saver :

• Скрин-сейверы в простой и
ненавязчивой форме
позволяют закрепить у
пользователей основные
правила в области
информационной
безопасности.



Видеоролик



Какими силами и в каких
формах реализовать
программу повышения
осведомленности?


Кто участвует в организации и реализации
Программы повышения осведомленности?

 Кто руководит?

 Кто финансирует?

 Кто организует и финансирует работу?

 Кто реализует программу повышения осведомленности?

 Кто контролирует и оценивает эффективность?



Функции топ-менеджмента при внедрении Программы повышения

 Руководство компании инициирует процесс реализации Программы,
принимает решения о финансировании и наделяет полномочиями
подразделения и конкретных сотрудников для координации процесса
внедрения программы



Функции подразделения ИБ при внедрении Программы повышения

 Департамент по защите информации несет ответственность за
успешное внедрение и реализацию Программы, разрабатывает и
корректирует существующую систему реагирования на инциденты ИБ,
корректирует политику ИБ Компании


Распределение ролей при внедрении

 Офис управления проектами выполняет стандартные процедуры управления
проектами при внедрении Программы. При отсутствии данного подразделения
полномочия переходят в Департамент по защите информации.
 Учебное подразделение (корпоративный университет) – проводит или
организует обучение (очное, дистанционное) в рамках Программы повышения
осведомленности пользователей по вопросам ИБ для всех категорий
сотрудников Компании.
 Подразделение корпоративных коммуникаций способствует продвижению
Программы внутри организации, проводит рекламные кампании.
 Все структурные подразделения, включая отдел кадров, бухгалтерию,
юридическую службу, ИТ-службы, аудит, хозяйственную службу, секретариат и
т.д. обеспечивают активное участие во всех мероприятиях, проводимых в рамках
Программы.
 Внешние специализированные организации (аутсорсинг) – предоставление
интеллектуальных ресурсов на разных этапах реализации Программы
(преподаватели, аудиторы и т.д.)



Как оценить эффективность
Программы повышения
осведомленности?



 Разработка системы периодической проверки знаний сотрудников по
вопросам ИБ

 Разработка системы контроля выполнения требований политик,
стандартов, инструкций и правил по обеспечению ИБ

 Организация проверочных мероприятий провокационного характера с
использованием приемов социальной инженерии

 Ведение статистики нарушений и инцидентов ИБ


Исследования CSI, 2009
Каким образом в Компаниях проводится оценка эффективности повышения
осведомленности сотрудников
Большинство Компаний проверяют знания сотрудников при помощи тестирования и
лишь 13% проводят проверки с использованием приемов социальной инженерии

Обучение не проводится 18%
Эффективность не оценивается 35%
Другое 4%
Тесты, соц.инженерия 13%
Статистика инцидентов 22%
Отчетность персонала 25%
Принудительное письменное или… 32%

0% 10% 20% 30% 40%


Открытые проверки:
 Тесты, зачеты, экзамены;
 Опросы, интервью, организационно-деятельностные игры;
 Анкетирование;
 Внешний или внутренний аудит.
Скрытые проверки:
 Телефонные звонки или электронные письма провокационного
характера;
 Использование приемов социальной инженерии;
 Мониторинг действий пользователей;
 Внешний или внутренний аудит;
 Контроль выполнения требований политик, стандартов, инструкций и
правил по обеспечению ИБ.
Сбор и анализ статистики инцидентов ИБ в Компании

СПАСИБО

+38-050-347-24-32
+38-062-389-43-46

Концепция. Security Awareness Programm

Recomendados

Recomendados

Mais conteúdo relacionado

Semelhante a Концепция. Security Awareness Programm

Semelhante a Концепция. Security Awareness Programm (20)

Концепция. Security Awareness Programm