Обеспечение информационной безопасности бизнеса

Оглавление

Группа авторов. Обеспечение информационной безопасности бизнеса

Предисловие А.А. Стрельцова

Предисловие С. П. Расторгуева

Введение

1. Философия информационной безопасности бизнеса

1.1. Бизнес и информация

1.1.1. Информационная сущность бизнеса

1.1.2. Информационные характеристики бизнеса

1.1.3. Уязвимости процессов накопления знаний (самообучения)

1.1.4. Определение информационной безопасности

1.2. Материальные и нематериальные (информационные) аспекты бизнеса

1.2.1. Общая структура информационной сферы. Связь с материальным миром

1.2.2. Правовая среда бизнеса и ее свойства

1.2.3. Учредительная и лицензионная база организации

1.2.4. Отражение материального мира

1.2.5. Внутренняя нормативная база организации

1.2.6. Информационная сфера – главный источник рисков бизнеса

1.3. Модель информационной безопасности бизнеса

1.3.1. Мотивация

1.3.2. Риски, рисковые события, ущербы и уязвимости. Полезные для построения моделей свойства

1.3.3. Обобщенная модель распределения ресурсов организации в условиях рисков

1.3.4. Ущербы и негативные последствия

1.3.5. Риск-ориентированный подход к обеспечению ИБ

1.3.6. Модель с изменением цели

1.3.7. Об идентификации событий ИБ

1.3.8. Предварительный анализ

1.3.9. Накопление знаний

1.3.10. Интерпретация характеристик риска для управления ИБ

1.3.11. Общая модель обеспечения ИБ бизнеса

1.3.12. Проблемы практической реализации модели обеспечения ИБ организации

2. Существующие модели менеджмента (управления), применимые для обеспечения информационной безопасности бизнеса

2.1. Модели непрерывного совершенствования

2.1.1. Модели непрерывного совершенствования и корпоративное управление

2.1.2. Вопросы реализации моделей непрерывного совершенствования и процессного подхода в организации

2.1.3. Модели непрерывного совершенствования и международные стандарты

2.2. Стандартизированные модели менеджмента. Аспекты контроля и совершенствования. Интеграция

2.2.1. Стандартизированные модели менеджмента в системе корпоративного управления

2.2.2. Универсальные требования к стандартам на системы менеджмента

2.2.3. Шаги реализации стандартной СМИБ организации

2.2.4. Реализация моделей менеджмента в целевых задачах организации («частные менеджменты»)

2.3. Модели COSO, COBIT, ITIL

2.4. Контроль и аудит (оценки, измерения) в моделях менеджмента (управления)

3. Оценка информационной безопасности бизнеса. Проблема измерения и оценивания информационной безопасности бизнеса

3.1. Способы оценки информационной безопасности

3.2. Процесс оценки информационной безопасности

3.2.1. Основные элементы процесса оценки

3.2.2. Контекст оценки информационной безопасности организации

3.2.3. Мероприятия и выходные данные процесса оценки

3.2.4. Способы измерения атрибутов объекта оценки

3.3. Применение типовых моделей оценки на основе оценки процессов и уровней зрелости процессов для оценки информационной безопасности

3.3.1. Модель оценки информационной безопасности на основе оценки процессов

3.3.2. Оценка информационной безопасности на основе модели зрелости процессов

3.4. Риск-ориентированная оценка информационной безопасности

4. Проблема персонала в задачах обеспечения информационной безопасности бизнеса

4.1. Общие сведения

4.1.1. Тенденции

4.1.2. Термины и определения

4.1.3. Общая характеристика угроз

4.1.4. Примеры инцидентов

4.2. Формализованное представление угроз ИБ от персонала

4.2.1. Цели моделирования угроз

4.2.2. Типология инцидентов

4.2.3. Факторная модель

4.2.4. Некоторые модели угроз

4.2.5. Внешние сообщники внутреннего злоумышленника

4.2.6. Типология мотивов

4.2.7. Сговор

4.2.8. Деятельность внутреннего злоумышленника с точки зрения формальных полномочий

Управление идентификационными данными и доступом (IBM Восточная Европа/Азия)

Краткий обзор

Ключевые моменты

Эффективное использование подхода на базе стандартов к управлению жизненным циклом идентификационных данных и доступом в соответствии с потребностями бизнеса

|Определение средств контроля

Ключевые моменты

|Регистрация и проверка пользователей

|Управление правами пользователей

|Контроль доступа

Мониторинг, аудит и составление отчетов о правах и действиях пользователей

Защита бизнес-систем и информации с использованием решений для управления идентификационными данными и доступом

Ключевые моменты

Авторизация пользователей

|Управление идентификационными данными

Ключевые моменты

Обширный ассортимент услуг IBM

Защита и совершенствование коллективной работы и доступа к ресурсам

Дополнительная информация

О решениях IBM Service Management

4.3. Противодействие угрозам ИБ от персонала

4.3.1. Общий подход к противодействию

4.3.2. Обеспечение осведомленности персонала в области ИБ

4.3.3. Получение информации от сотрудников организации

4.3.4. Организационные аспекты

4.3.5. Скрытность противодействия

4.3.6. Управление системой ролей

4.3.7. Программно-технические средства защиты от утечек информации

4.3.8. Расследование инцидентов

4.3.9. Раскрытие информации об инцидентах

Приложение 1. Архитектура стандартов защиты информации и обеспечения информационной безопасности

Общие сведения

Приложение 2

Подходы к формированию нормативного обеспечения системы информационной безопасности организации

Обзор современных средств управления доступом (ЗАО «Инфосистема Джет»)

Недостатки традиционного подхода к управлению доступом

Современные средства управления доступом

Приложение 3 (справочное) Примеры метрик для измерения атрибутов

Приложение 4. ЗАО «ЕС-лизинг»

Система обеспечения информационной безопасности КЦОИ Банка России

Функции СОИБ КЦОИ БР

Структура СОИБ КЦОИ БР

Структурная схема

Заключение

Приложение 5. Монитор TopCM

Список литературы

Участники проекта «Обеспечение информационной безопасности бизнеса»

Отрывок из книги

Среди множества проблем социально-экономического развития России в условиях формирования глобального постиндустриального общества заметное место занимает организация устойчивого функционирования и безопасности использования информационных систем и информационно-коммуникационных сетей, обеспечивающих экономическую деятельность. По мере усложнения информационной инфраструктуры бизнеса влияние данного фактора на результаты деятельности коммерческих организаций будет возрастать. Это наглядно видно на примере развития экономики США, для которых обеспечение компьютерной безопасности стало одним из национальных приоритетов XXI в.

Проблема обеспечения информационной безопасности бизнеса имеет много аспектов, но все они так или иначе объединены необходимостью стандартизации принимаемых решений – своеобразной платой за преодоление «проклятия размерности», порождаемого сложностью управляемых процессов.

.....

• Методологический принцип, получивший название по имени английского монаха-францисканца, философа-номиналиста Уильяма Оккама (Ockham, ок. 1285–1349), гласящий: «То, что можно объяснить посредством меньшего, не следует выражать посредством большего» (лат. Frustra fit per plura quod potest fieri per pauciora). В соответствии с ним при равной вероятности событий с различной степенью тяжести последствий, как правило, первым случается событие, степень тяжести последствий которого меньше. Из этого также следует, что злоумышленник, планируя атаку на ресурс, из всех возможных будет выбирать наиболее простой способ осуществления своих целей, а вирусы будут попадать в систему наиболее простым способом. Этот принцип следует дополнить следующим наблюдением: степень тяжести последствий растет обратно пропорционально частоте их возникновения.

• Правило связиста: связиста замечают только тогда, когда пропадает связь.

.....