Основы управления информационной безопасностью

Перед тем как охарактеризовать принципы управления информационной безопасности, вспомним её определение. Информационная безопасность (ИБ) — это механизм защиты, обеспечивающий конфиденциальность, целостность и доступность информации. Несмотря на то, что информация может содержаться в разных формах, информационные ресурсы являются активом компании, который необходимо защищать. ИБ достигается путем комплекса мер, которые представляются политиками, методами, процедурами, организационными структурами с применением программных и аппаратных средств. Часто перечисленные меры делят на организационно-технические и программно-технические.

Принцип обратной связи
Так же очень важно соблюдать принцип обратной связи, который позволяет управлять ИБ по замкнутому кругу. По этому принципу строятся многие системы ИБ. Наличие звена обратной связи в системе управления информационной безопасностью позволяет не только обнаружить отдельную угрозу, но и отреагировать на целый ряд событий, на первый взгляд никак не связанных между собой. В этом могут помочь продукты, которые обеспечивают централизованное сопоставление данных журналов событий из сетевых устройств и систем безопасности в режиме реального времени, автоматически сопоставляя данные и выделяя события и угрозы безопасности, требующие принятия решительных мер.
...

Построение систем ИБ
Построение систем ИБ с учетом перечисленных принципов позволяет использовать существующие методы оптимизации для улучшения различных показателей качества системы, таких как устойчивость управления, скорость реакции на существующие и неизвестные угрозы (например, атаки zero-day), совокупная стоимость владения системой (TCO), степень окупаемости инвестиций на информационную безопасность (ROI) и т.п.

К вопросу построения ИБ нужно относиться очень серьезно. Использование системного подхода позволит избежать излишних затрат на доработку, а возможно, и полного перестроения системы информационной безопасности в будущем. Построение финансовых и математических моделей систем ИБ, оценка угроз и их последствий, классификация информации, учет активов — всё это должно использоваться при разработке системы информационной безопасности. Правильная оценка рисков позволяет существенно снизить затраты на информационную безопасность.
...

Характерные ошибки
К наиболее характерным ошибкам руководителей и сотрудников подразделений ИБ относятся следующие:

• Излишняя самоуверенность — уверенность в том, что большинство атак, уязвимостей и методов борьбы с ними досконально известны, является губительной. Широко распространена тенденция недооценки угроз из-за того, что многие инциденты скрываются. События, о которых становится публично известно, лежат на поверхности огромного айсберга, основная часть которого скрыта от общественности. И это понятно, потому что немногие компании решаются объявить о том, что они стали жертвой вирусной атаки либо что их данные были похищены, так как подобные факты негативно влияют на репутацию компании;
• Принцип «Больше продуктов — выше безопасность» — применение большого количества средств информационной безопасности не всегда является полезным.
...