Обеспечение информационной безопасности бизнеса | страница 76

— явная поддержка и приверженность руководства всех уровней;

— хорошее понимание требований ИБ, оценки риска и менеджмента риска;

— эффективные мероприятия по осведомленности по вопросам ИБ для достижения должного осознания;

— распространение руководств (инструкций) по политике и стандартам информационной безопасности среди всех руководителей, служащих и других сторон;

— обеспечение финансирования мероприятий менеджмента ИБ;

— обеспечение соответствующей информированности, обучения и образования;

— установление эффективного процесса менеджмента инцидентов информационной безопасности;

— реализация оценивания системы, которое используется для оценок эффективности функционирования менеджмента информационной безопасности и предложений по совершенствованию, поступающих по каналам обратной связи с руководством.

Следование требованиям стандартов СМИБ предполагает последовательное продвижение к спецификации защитных мер организации (административных, организационных, технологических, технических и иных) и соответствующих целевых процессов деятельности, необходимых для контроля рисков деятельности организации в ее информационной сфере.

В общем случае этап планирования СМИБ в соответствии с требованиями стандарта [11] может включать следующие 10 шагов, представленных в таблице 2, реальное наполнение которых определяется самой организацией.

Таблица 2

Графически данные шаги иллюстрирует рис. 31.

В структуре цикла Деминга результирующие сущности шагов этапа менеджмента «Планирование» иллюстрирует рис. 32.

Фактически представленные на рис. 31 и 32 шаги этапа планирования СМИБ преследуют цель принятие решения организацией по следующим трем основным вопросам:

— установление сферы применения и политики системы менеджмента информационной безопасности (шаги 1 и 2);

— выбор защитных мер на основе менеджмента риска (шаги 3–7);

— получение одобрения руководства для мер обработки рисков и подготовка формулировки применимости требований из каталога требований стандарта, так как это влечет организационные и, возможно, финансовые издержки компании (шаги 8-10).

При установлении сферы применения и политики системы менеджмента информационной безопасности должны рассматриваться:

— вопроса бизнеса;

— организационные аспекты;

— местоположение (географическое и физическое);

— активы;

— технологии.

Результаты определения применимой сферы действия СМИБ оказывают существенное влияние на объемы работ, которые необходимо будет выполнить при установлении системы менеджмента информационной безопасности. Приведенный ниже рис. 33 показывает общие задачи, связанные с определением применимой сферы действия СМИБ, и сопутствующие элементы.