Система менеджмента информационной безопасности: стандарты, практики внедрения, аудит

1. Система менеджмента информационной
безопасности: стандарты, практики
внедрения, аудит
Александр Дорофеев.
CISSP, CISM, CISA

2. Содержание
1.Цели информационной безопасности
2.Система менеджмента информационной
безопасности
3.ISO 27001:2013
4.Аудит СМИБ
2

3. Для чего
информационная
безопасность
нужна
компании?
3

4. Основные цели ИБ
4
2. Выполнение
внешних требований
1. Минимизация
финансовых потерь
3. Имидж

5. Две крайности
5
Бумажки для отмашки
от проверяющих
Бездумно внедренные
всевозможные средства защиты

6. ИБ – это просто!
6
Актив
(ресурс)
Уязвимость
РИСК = ВЕРОЯТНОСТЬ X ПОСЛЕДСТВИЯ

7. ИБ в организации
7
процессы
технологии
люди
угро
за
угро
за
контроль
угро
за
контроль
контроль

8. 8
Модель PDCA для управления ИБ
Создание
(PLAN)
Мониторинг
и анализ
(CHECK)
Обеспечение
и улучшение
(ACT)
Внедрение и
управление
(DO)
Заинтере-
сованные
стороны
Требования к
СМИБ
Заинтере-
сованные
стороны
Управляемая
СМИБ
Постоянное улучшение СМИБ

9. 9
Ядро СМИБ – управление рисками ИБ

10. ISO 27001:2013
Системный
подход
10
PLAN
4 Контекст организации
• Понятие контекста.
• Ожидания заинтересованных сторон.
• Область распространения СМИБ.
5 Лидерство
• Приверженность руководства.
• Политика ИБ.
• Роли, ответственность и полномочия.
6 Планирование
• Оценка риска и возможностей.
• Цели ИБ.
7 Поддержка
• Ресурсы.
• Компетенция.
• Осведомленность.
• Коммуникации.
• Документируемая информация.
DO
8 Операционная деятельность
• Планирование и контроль операций.
• Оценка рисков.
• Обработка рисков.
CHECK
9 Производительность и оценка
•Мониторинг, измерение, анализ и
оценка.
•Внутренний аудит.
•Анализ со стороны руководства.
ACT
10 Улучшения
•Несоответствия и корректирующие
действия.
•Постоянное улучшение.

11. Система документации СМИБ
11
Политика ИБ
Детальные
политики ИБ
Положения об
отделах
Процедуры
ИБ
Внутренние
стандарты
ИБ
Свод правил
для
сотрудников
Должностные
инструкции
для всех сотрудников для конкретных специалистов

12. Кратко
12
Политика определяет куда движемся
Процедура определяет действия
Стандарт фиксирует целевое состояние
Свод правил определяет требования к
сотрудникам

13. Как проверять ИБ?
13
Процессы
(как работает СМИБ?)
Технологии
(хорошо защищены?)
1. Тестирование на проникновение
2. Анализ уязвимостей
3. Анализ конфигурации
1. Наблюдение
2. Интервью
3. Проход по процессу
4. Выборочное тестирование контролей
5. Полное тестирование контролей

14. 14
Спасибо за внимание!

15. Контактная информация
107023, ул. Электрозаводская, д. 24
+7(495) 223-23-92
+7(495) 645-38-11
http://www.uc-echelon.ru
mail@uc-echelon.ru