Приводится анализ известных методов обеспечения информационной безопасности, рассматриваются методы оценивания безопасности как отдельных ИТ-компонент, так и облачных сервисов в целом.
Предпринята попытка проанализировать облачные сервисы не с позиции коммерчески успешного и популярного маркетингового продукта, а с позиции системного анализа. Введенный ранее порядок оценивания ИТ-компонент нестабилен, поскольку у конечного пользователя нет 100% гарантии доступа ко всем ИТ-компонентам, а тем более к компонентам удаленного и неподконтрольного облачного сервиса. В ряде обзоров отмечается рост усилий по созданию сетевой безопасной архитектуры и по обеспечению непрерывного контроля отклонений от установленных бизнес-целей. В отличие от моделей Zero Trust и Zero Trust eXtended, согласно которым на существующие ИТ-компоненты накладываются дополнительные функции безопасности, предлагается рассматривать совокупность ИТ-компонент как новую сущность – систему обработки информации. Это позволит перейти к формальным процессам оценивания степени соответствия по критериям стандартов как для существующих, так и для перспективных ИТ-компонент при обеспечении безопасности облачных сервисов.
Предложен новый метод оценивания на базе ранее разработанной гибридной методики с использованием формальных процедур, основанных на двух системах критериев – оценивании степени соответствия систем менеджмента (на базе ИСО/МЭК серии 27001) и оценивании требований функциональной безопасности (на базе МЭК серии 61508 и ИСО/МЭК серии 15408). Этот метод дает воспроизводимые и объективные оценки рисков безопасности облачных ИТ-компонент, которые могут быть предъявлены для проверки независимой группе оценщиков. Полученные результаты возможно применить для защиты объектов критической информационной инфраструктуры
Применение интегрированных систем менеджмента (ИСМ) в настоящее время привлекает внимание высшего руководства самых разных организаций: нефтеперерабатывающих, приборостроительных, авиационных и оборонных. Однако, на данный момент остается важной проблемой выполнение аудита в ИСМ — реализация в полном объеме комплекса проверок различных стандартов ISO при ограничении или существенном сокращении доступных ресурсов.
В то же время постоянное совершенствование принципов управления, и в частности переход к мышлению, основанному на рисках, обеспечивают повышение интереса к рациональному применению стандартов ISO. В данном исследовании предлагается методика оптимизации программы аудита ИСМ, основанная на принципах непрерывной адаптации при поступлении данных в течение одного микроцикла аудита. Дополнительным преимуществом данной методики является применение численных метрик аудита информационной безопасности, способствующих постоянному повышению уровня обеспечения информационной безопасности организаций.
В данной публикации кратко рассмотрена проблема формирования концепции мгновенных аудитов информационной безопасности (ИБ), направленной, в т.ч. на обеспечение защиты от угроз «нулевого дня» (“zero-day”). Отмечается, что эффективное противодействие угрозам «нулевого дня» относится к типу проактивной защиты, реализующей комплекс активных упреждающих мер ИБ, но не ограниваясь только постоянным внедрением все новых и новых технических средств. Ключевой особенностью концепции мгновенных аудитов ИБ является формирование оценки как предела слева уровня защищенности в процессе выполнения аудитов ИБ. Методической базой концепции мгновенных аудитов является семейство стандартов ISO серии 27001, дополненное множеством (расширяемым) метрик ИБ для формирования количественной оценки уровня защищенности объекта. Полученные результаты могут найти применение при создании моделей и методов обеспечения аудитов ИБ и непрерывного состояния защищенности объектов, находящихся под воздействием угроз нарушения ИБ.
В данной публикации кратко рассмотрена оценка результативности систем менеджмента информационной безопасности (СМИБ) в соответствии с требованиями различных систем стандартизации, например ГОСТ Р ИСО/МЭК серии 27001 и Системы обеспечения информационной безопасности СТО Газпром серии 4.2 (СОИБ). Данная проблема имеет важное значение для минимизации рисков нарушения ИБ и обеспечения стабильности процессов обработки информации. Обращено внимание на методические сложности совмещения требований различных систем стандартизации (ГОСТ Р ИСО/МЭК и СОИБ), которые необходимо учитывать при оценке постоянного улучшения результативности СМИБ. Предложены формулы для расчета результативности СМИБ и рассмотрены практические примеры (кейсы), поясняющие расчет для конкретных ситуаций. Данные результаты могут найти применение при создании моделей и методов обеспечения аудитов СМИБ и мониторинга состояния объектов, находящихся под воздействием угроз нарушения ИБ, а также при создании моделей и методов оценки защищенности информации и ИБ объектов СМИБ и/или СОИБ Газпром .
Для сложных промышленных объектов обеспечение комплексной безопасности является крайне важной проблемой и особо актуальной для современных аэропортовых комплексов (АК). Особенностями АК являются учет значительного множества требований: авиационной безопасности (АБ), безопасности персонала, сохранности воздушных судов (ВС), а также инженерной инфраструктуры. Для обеспечения безопасного функционирования АК применяются комплексные системы управления, в состав которых входят системы менеджмента (СМ), соответствующие различным стандартам, в т.ч. международным (ISAGO, ISO, ISO/IEC и пр.). Оценка результативности таких СМ представляет известную проблему. Поставленную задачу представляется целесообразным рассмотреть на основе модели ИСМ, дополненной блоком проведения комплексных аудитов с учетом специфики АБ. В публикации приведены результаты расчетов по представленной модели ИСМ с учетом расширенного состава критериев для АК. По согласованному мнению экспертов, требования «базовых» стандартов ISO значительно уступают по приоритету «профильным» для АК требованиям ISAGO (IATA).
В настоящее время для информационных систем (ИС) наблюдается значительное количество критичных угроз, что обусловлено появлением новых векторов атак, а также недостатками при управлении рисками. Соответственно, представляет определенный интерес изучение проблемы оценки компетенции ИБ при сопровождении ИС на уровне сервис-провайдеров. В предлагаемой работе предложена формулировка «Парадокса ИБ», которые позволяет учесть наиболее значимые (критичные) угрозы ИБ и предложить подход, основанный на использовании современных риск-ориентированных стандартов, прежде всего международных стандартах ISO. Предложенная концепция оценки уровня ИБ сервис-провайдеров ИС для промышленных объектов состоит из 2-х базовых принципов и нескольких расширений, которые позволяют учесть конкретные требования по ИБ с учетом специфики функционирования ИС и предоставляют возможность оценки (качественно или количественно) в рамках плановых проверок (аудитов).
Процесс проектирования, создания и внедрения современных систем менеджмента является, на данном этапе развития общества, объективно, вопросом не технического (технологического) порядка. Очевидно, что реализация проекта без серьезной проработки, точного расчета рисков, оценки необходимых ресурсов (бюджета, персонала, лицензий и пр.) невозможна для современной организации, работающей в жестких конкурентных условиях. Для государственных организаций все вышесказанное усиливается требованиями обеспечения режима национальной безопасности, что подтверждается и требованиями законодательства и практикой выполнения проектов в области ИТ. В предлагаемой работе предложены некоторые подходы для реализации процесса поддержки принятия решения в части выбора модели для развития современной организации на фазе проектирования и оценки приемлемости выбора: по составу систем менеджмента, по применимым стандартам, по необходимости сертификации в функции обеспечения стабильного роста, безопасности бизнес-процессов, защиты ценных активов (в т.ч. нематериальных) на основании статистики сертификации ISO.
При создании современных систем менеджмента, в том числе – интегрированных систем менеджмента (ИСМ) необходимо решать комплекс вопросов обеспечения безопасности основных бизнес-процессов организации. Приоритет направления безопасности, особенно информационной безопасности (ИБ) постоянно возрастает в силу усиления конкурентной среды, появления новых угроз и значительной сложности выполнения процедур риск-менеджмента. Для ИСМ весьма актуальна проблема получения оценки защищенности, что позволяет в краткосрочном и/или прогнозном аспектах оценить присущие данной организации риски, спроектировать эффективную систему менеджмента информационной безопасности (СМИБ) и внедрить экономически обоснованные средства обеспечения безопасности. В предлагаемой работе предложены некоторые подходы для создания модели оценки защищенности ИСМ в соответствии с требованиями стандарта ISO/IEC 27001:2005 и ISO 22301:2012. Учитывая относительную новизну данных стандартов в практическом применении к исследуемой проблеме в ИСМ, предлагаемые подходы могут быть полезны при планировании СМИБ, оценке защищенности уже созданных ИСМ, а также, в частности, для решения практических задач – аудитов ИБ в организациях.
Анализ публикаций за последние несколько лет по проблеме проектирования, внедрения и сопровождения систем защиты персональных данных (ПДн) позволяет отметить стабильно высокий интерес к этому актуальному и критичному аспекту обеспечения ИБ. Определенно предлагаемые различными специалистами подходы к синтезу моделей на базе как международных, так и отечественных стандартов свидетельствует о глубокой проработке всех требований по защите ПДн, но в тоже время ставят новые вопросы, эффективное решение которых экспертам еще только предстоит синтезировать и проверить на практике. В предлагаемой работе предложены некоторые подходы для создания модели оценки защищенности ПДн в соответствии с требованиями стандарта ISO/IEC 27001:2005. Учитывая относительную новизну данного стандарта в практическом применении к исследуемой проблеме, предлагаемые подходы могут оказаться полезными при планировании систем защиты ПДн, оценке защищенности уже созданных ИСПДн, а также, в частности, для решения практических задач — аудитов ИБ в организациях.
1 - 9 из 9 результатов