Четвертий етап: Визначення політики і цілей СМІБ.
9. Визначити політику СМІБ;
Політика СМІБ включає декілька основних пунктів:
1. Виконання політики безпеки основане на пошуку і коригуванні слабких місць в системі ІБ.
Керівництво повинно:
Розробляти політики СМІБ
Встановлювати цілі та плани
Розподіляти відповідальність в області ІБ
Доводити до відома всіх співробітників
Забезпечувати ресурсами
Приймати рішення про прийнятні рівні ризиків
Забезпечувати проведення внутрішніх аудитів
Проводити аналіз СМІБ
2. Якщо розглядати політику безпеки для існуючих бізнес-процесів, то її основним завданням є виявлення загроз і вразливостей безпеки для існуючих бізнес-процесів.
Організація повинна ідентифікувати ризики:
Ідентифікувати активи
Ідентифікувати загрози цим активам
Ідентифікувати вразливості, які можуть бути використані цими погрозами
Визначити вплив, який може привести до втрати конфіденційності, цілісності та доступності ресурсів.
3. Політика безпеки фірми з розрахунку ризиків і прийняття рішень на основі бізнес-цілей сформована певними діями організації.
Організація повинна проаналізувати і оцінити ризики:
Оцінити збиток бізнесу
Оцінити ймовірність виникнення порушення
Оцінити рівні ризиків
Визначити, чи є ризик прийнятним або потрібна обробка ризику з використанням критеріїв прийняття ризику
4. Важливим аспектом політики безпеки фірми є ефективне управління підприємством в критичній ситуації.
Організація повинна управляти безперервністю бізнесу:
Визначити та впровадити процеси для безперервності бізнесу
Ідентифікувати події, які можуть привести до порушень бізнес-процесів, визначити можливості і ступеня впливу
Визначити пріоритети планів для їхнього тестування та підтримки
Тестувати і регулярно оновлювати плани
10. Визначити цілі СМІБ з кожного процесу СМІБ.
Нижче наведено загальні цілі для деяких процесів СМІБ, які можуть бути застосовані в фірмі:
1.Ризик-аналіз та управління ризиками:
Виявлення потенційних загроз і слабких місць в системі безпеки інформації фірми.
Оцінка ризиків та визначення заходів для мінімізації ризиків.
Забезпечення постійного моніторингу та управління ризиками інформаційної безпеки.
2.Керування доступом:
Забезпечення авторизованого та контрольованого доступу до інформації та систем фірми.
Встановлення політик та процедур для керування ідентифікацією, аутентифікацією та авторизацією користувачів.
Забезпечення обмеженого доступу до конфіденційної інформації залежно від потреб та ролей користувачів.
3.Фізична безпека:
Забезпечення фізичної безпеки приміщень, обладнання та фізичних активів фірми.
Контроль доступу до приміщень та обмеження несанкціонованого фізичного доступу до систем інформації.
4.Управління інцидентами та відновлення:
Виявлення, обробка та відновлення від інцидентів безпеки інформації.
Розробка процедур реагування на інциденти та планів відновлення після інциденту.
Постійне покращення механізмів виявлення, реагування та відновлення для забезпечення безпеки інформації.
5.Свідомість та навчання персоналу:
Забезпечення навчання, тренінгів та свідомості персоналу щодо безпеки інформації.
Поширення політик та процедур безпеки серед персоналу фірми.
Залучення персоналу до виявлення та повідомлення про можливі загрози безпеці інформації.
1 2 3 4 5 6 7 8 9