«Построение концепции информационной безопасности предприятия»
- Цель работы
Знакомство с основными принципами построения концепции ИБ предприятия, с учетом особенностей его информационной инфраструктуры.
- Краткие теоретические сведения
До начала создания систем информационной безопасности ряд отечественных нормативных документов (ГОСТ Р ИСО/МЭК 15408 ГОСТ Р ИСО/МЭК 27000 ГОСТ Р ИСО/МЭК 17799) и международных стандартов (ISO 27001/17799) прямо требуют разработки основополагающих документов – Концепции и Политики информационной безопасности. Если Концепция ИБ в общих чертах определяет, ЧТО необходимо сделать для защиты информации, то Политика детализирует положения Концепции, и говорит КАК, какими средствами и способами они должны быть реализованы.
Концепция информационной безопасности используется для:
· принятия обоснованных управленческих решений по разработке мер защиты информации;
· выработки комплекса организационно-технических и технологических мероприятий по выявлению угроз информационной безопасности и предотвращению последствий их реализации;
|
|
· координации деятельности подразделений по созданию, развитию и эксплуатации информационной системы с соблюдением требований обеспечения безопасности информации;
· и, наконец, для формирования и реализации единой политики в области обеспечения информационной безопасности.
Задание
Используя предложенные образцы, разработать концепцию информационной безопасности компании (см. вариант), содержащую следующие основные пункты (приведен примерный план, в который в случае необходимости могут быть внесены изменения):
Общие положения
Назначение Концепции по обеспечению информационной безопасности.
1.2. Цели системы информационной безопасности
1.3. Задачи системы информационной безопасности.
Проблемная ситуация в сфере информационной безопасности
2.1. Объекты информационной безопасности.
2.2. Определение вероятного нарушителя.
2.3. Описание особенностей (профиля) каждой из групп вероятных нарушителей.
2.4. Основные виды угроз информационной безопасности Предприятия.
· Классификации угроз.
· Основные непреднамеренные искусственные угрозы.
· Основные преднамеренные искусственные угрозы.
2.5. Общестатистическая информация по искусственным нарушениям информационной безопасности.
2.6. Оценка потенциального ущерба от реализации угрозы (см. Практическую работу № 1).