Отправляет email-рассылки с помощью сервиса Sendsay

Информационная безопасность - Консультация профессионалов

Подписаться Бесплатная «Серебряная» новостная рассылка . Подписчиков 46 RSS
  Январь 2010   →
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31


За последние 60 дней ни разу не выходила


Сайт рассылки: http://confido.ru
Открыта: 06-01-2010

Автор
Buton

Статистика

46 подписчиков
0 за неделю
←   Все выпуски   →

Обзор стандарта безопасности BS 7799!


 
Confido
  
Выпуск №1 - Обзор стандрата безопасности BS 7799
     

Новости

Сети оператора О2 перегружены из-за iPhone

Британский мобильный оператор O2 сообщил о проблемах у себя в сети, вызванных ростом объемов интернет-трафика, который генерируют купившие смартфоны iPhone пользователи.

Пользователи встали на защиту MySQL

Число пользователей, поддерживающих программу Save MySQL, инициированную автором открытой СУБД Майклом Видениусом неуклонно растет. На данный момент число пользователей MySQL, высказавшихся против сделки Oracle-Sun уже превысило 19 000 человек.

Главный хакер Украины увел домен у Тимошенко

Известный в Украине хакер, Дмитрий Голубов увел у кандидата в президенты Украины Юлии Тимошенко проект "Ідеальну Країну".

Twitter запретил использовать простые слова в качестве паролей

Пользователи сервиса Twitter обнаружили, что система запрещает использование ряда паролей. Среди таких паролей, в частности, комбинации из легко угадываемых цифр, личные имена и неприличные слова.

Первое знакомство со стандартом BS7799

Стандарт BS 7799 был разработан Британским институтом стандартов (British Standards Institution, BSI) при участии ряда крупных коммерческих организаций (Shell UK, National Westminster Group, Unilever, British Telecommunications, British Computer Society, Association of British Insurers, Marks & Spencer, Logica и др.). В 1995 году стандарт BS 7799 в качестве свода установленных норм и правил по отношению к обеспечению ИБ получил в Великобритании статус государственного.

Стандарт состоит из двух частей. Первая — BS 7799 Part 1 Code of Practice for Information Security Management (Практические правила управления информационной безопасностью). В 1999 году эта часть была переработана и передана в Международную организацию по стандартизации (ISO), а в 2000 году утверждена в качестве международного стандарта ISO/IEC 17799:2000 (BS 7799-1:2000). Последней версией данного стандарта, принятой в 2005 году, является ISO/IEC 17799:2005.

ISO 17799 описывает более 120 механизмов контроля, необходимых для построения системы управления информационной безопасностью организации. Эти механизмы были разработаны на основе лучших примеров мирового опыта в данной области и подходят любой организации независимо от ее размера и направления деятельности. Стоит отметить, что сертификация по ISO 17799 не проводится — документ представляет собой лишь сборник лучших практик и является неким руководством по созданию системы обеспечения информационной безопасности организации. В какой-то мере это аналогично ITIL с поправкой на то, что ITIL претендует на роль стандарта де-факто для ИТ, а BS 7799 — для информационной безопасности.

В сентябре 2002 года в силу вступила вторая часть стандарта BS 7799 Part 2 Information Security management — specification for information security management systems (Спецификация системы управления информационной безопасностью). А в октябре 2005 года Международная организация по стандартизации приняла стандарт BSI BS 7799-2:2002 в качестве международного — ISO/IEC 27001:2005

В стандарте BSI BS 7799-2:2002 определены требования для разработки, реализации, эксплуатации, мониторинга, ревизии, поддержания и совершенствования документированной системы управления информационной безопасностью в контексте общего делового риска организации. Также в нем определены требования для реализации мер по обеспечению безопасности, необходимые отдельным организациям или их подразделениям. В соответствии с этим документом, система управления информационной безопасностью изначально должна проектироваться таким образом, чтобы предоставить выбор адекватных мер по обеспечению безопасности, которые защищают информационные ресурсы и гарантируют конфиденциальность заинтересованным сторонам. Приложением к данному стандарту является созданный на основе ISO/IEC 17799 перечень требований и соответствующих мер, которые могут быть приняты в компании.

Первая часть стандарта, по-русски именуемая "Управление информационной безопасностью. Практические правила", содержит систематический, весьма полный, универсальный перечень регуляторов безопасности, полезный для организации практически любого размера, структуры и сферы деятельности. Она предназначена для использования в качестве справочного документа руководителями и рядовыми сотрудниками, отвечающими за планирование, реализацию и поддержание внутренней системы информационной безопасности.

Согласно стандарту, цель информационной безопасности - обеспечить бесперебойную работу организации, по возможности предотвратить и/или минимизировать ущерб от нарушений безопасности.

Управление информационной безопасностью позволяет коллективно использовать данные, одновременно обеспечивая их защиту и защиту вычислительных ресурсов.

Подчеркивается, что защитные меры оказываются значительно более дешевыми и эффективными, если они заложены в информационные системы и сервисы на стадиях задания требований и проектирования.

Предлагаемые в первой части стандарта регуляторы безопасности разбиты на десять групп:

  • политика безопасности;
  • общеорганизационные аспекты защиты;
  • классификация активов и управление ими;
  • безопасность персонала;
  • физической безопасности и безопасность окружающей среды;
  • администрирование систем и сетей;
  • управление доступом к системам и сетям;
  • разработка и сопровождение информационных систем;
  • управление бесперебойной работой организации;
  • контроль соответствия требованиям.

В стандарте выделяется десять ключевых регуляторов, которые либо являются обязательными в соответствии с действующим законодательством, либо считаются основными структурными элементами информационной безопасности. К ним относятся:

  • документ о политике информационной безопасности;
  • распределение обязанностей по обеспечению информационной безопасности;
  • обучение и подготовка персонала к поддержанию режима информационной безопасности;
  • уведомление о случаях нарушения защиты;
  • антивирусные средства;
  • процесс планирования бесперебойной работы организации;
  • контроль за копированием программного обеспечения, защищенного законом об авторском праве;
  • защита документации;
  • защита данных;
  • контроль соответствия политике безопасности.

Для обеспечения повышенного уровня защиты особо ценных ресурсов или оказания противодействия злоумышленнику с исключительно высоким потенциалом нападения могут потребоваться другие (более сильные) средства, которые в стандарте не рассматриваются.

Следующие факторы выделены в качестве определяющих для успешной реализации системы информационной безопасности в организации:
цели безопасности и ее обеспечение должны основываться на производственных задачах и требованиях. Функции управления безопасностью должно взять на себя руководство организации;
необходима явная поддержка и приверженность к соблюдению режима безопасности со стороны высшего руководства;
требуется хорошее понимание рисков (как угроз, так и уязвимостей), которым подвергаются активы организации, и адекватное представление о ценности этих активов;
необходимо ознакомление с системой безопасности всех руководителей и рядовых сотрудников организации.

Во второй части стандарта BS 7799-2:2002 "Системы управления информационной безопасностью - спецификация с руководством по использованию" предметом рассмотрения, как следует из названия, является система управления информационной безопасностью.

Под системой управления информационной безопасностью (СУИБ) (Information Security Management System, ISMS) понимается часть общей системы управления, базирующаяся на анализе рисков и предназначенная для проектирования, реализации, контроля, сопровождения и совершенствования мер в области информационной безопасности. Эту систему составляют организационные структуры, политика, действия по планированию, обязанности, процедуры, процессы и ресурсы.

В основу процесса управления положена четырехфазная модель, включающая:

  • планирование;
  • реализацию;
  • оценку;
  • корректировку.

По-русски данную модель можно назвать ПРОК (в оригинале - Plan-Do-Check-Act, PDCA). Детальный анализ каждой из выделенных фаз и составляет основное содержание стандарта BS 7799-2:2002.

Ждите продолжения обзора! Спасибо за внимание!

С любыми вопросами обращайтесь по адресу: info@confido.ru.
   
В избранное