Начинаем как обычно с понятий
Информационная безопасность организации — совокупность факторов и условий, создающих опасность нарушения информационной безопасности организации, вызывающую или способную вызвать негативные последствия (ущерб/вред) для организации.
Цель информационной безопасности организации — это заранее намеченный результат обеспечения информационной безопасности организации в соответствии с установленными требованиями в Политике информационной безопасности организации.
Что необходимо для достойной защиты:
- Контролировать и оценивать эффективность имеющихся средств управления и процедур информационной безопасности;
- Идентифицировать появляющиеся риски для их рассмотрения;
- Выбирать, реализовывать и улучшать должным образом соответствующие меры и средства контроля и управления информационной безопасности.
Каждая организация должна установить свою политику и цели для системы информационной безопасности и эффективно достигать эти цели при использовании системы менеджмента.
Цели данной политики:
- Защита ресурсов;
- Аутентификация;
- Авторизация;
- Целостность;
- Конфиденциальность;
- Аудит безопасности.
Прежде всего необходимо реализовать:
- Правовую безопасность;
- Кадровую безопасность;
- Финансовую безопасность;
- Инженерно-техническую безопасность;
- Экономическую безопасность;
- Информационную безопасность;
Чего следует опасаться:
- Утрат услуг, оборудования или устройств;
- Системных сбоев или перегрузок;
- Ошибок пользователей;
- Несоблюдения политики или рекомендаций по ИБ;
- Нарушения физических мер защиты;
- Неконтролируемых изменений систем;
- Сбоев программного обеспечения и отказов технических средств;
Применение системного подхода к созданию системы информационной безопасности (как защититься)
Первый этап – состоит в определении того, что нужно защищать.
Второй этап – выявление угроз.
Третий этап – анализ эффективности принятых и постоянно действующих подсистем безопасности.
Четвертый этап – определение необходимых мер защиты.
Пятый этап – рассмотрение руководителями фирмы (организации) представленных предложений по всем необходимым мерам безопасности и расчет их стоимости и эффективности.
Шестой этап – реализация принятых дополнительных мер безопасности с учетом установленных приоритетов.
Седьмой этап – контроль и доведение до персонала фирмы (организации) реализуемых мер безопасности.
В следующей статье рассмотрим возможности нарушителей по реализации угроз безопасности информации.