Вопросы по информационной безопасности поднимаются достаточно давно и опасности, с которыми сталкивается организация в этой сфере, давно известны. Тем не менее, безопасность корпоративной информации часто игнорируется, а данные не обрабатываются с необходимой тщательностью и дальновидностью. Когда это сопряжено с последствиями кражи данных и тому подобного, не каждая организация разрабатывает необходимые меры в полном объеме. Многие уклоняются от усилий, которые нужны для эффективной защиты корпоративной информации. Есть подходы к решению этой проблемы.
Многим организациям не нужно внедрять полноценную систему управления информационной безопасностью, по крайней мере, не все элементы сразу.
Есть возможность приблизиться к этому пошаговому этапу. Например, компании, уже использующие систему управления качеством ISO 9001, могут начать с простого обновления своего реестра рисков с учетом рисков по ISO 27001.
Здесь важно отметить, что, хотя стандарт ISO 9001:2015 требует подхода, основанного на оценке риска, который выходит за рамки отдельных стандартов, по большей части вопрос о том, КАК его реализовать, остается за каждой организацией. Например, нет необходимости в отдельном процессе оценки риска, что, конечно, недостаточно, когда речь заходит об информационной безопасности.
С этой целью мы можем просто расширить оценку рисков СМК, включив в нее тему информационной безопасности. Большинство из этих аспектов могут быть реализованы с разумными усилиями теми, кто знаком с ISO 9001, так как это только первый шаг в направлении комплексной защиты информации.
Управление рисками и возможностями
Как и ISO 9001, ISO 27001 затрагивает соответствующие темы в главе 6.1 «Действия в отношении рисков и возможностей». По сути, существует три важных аспекта для обеспечения безопасности: обеспечение ожидаемого результата (ов) организации; предотвращение или уменьшение нежелательных эффектов и постоянное улучшение.
Что касается информационной безопасности, важны следующие ключевые вопросы: потеря конфиденциальности, целостности и доступности. Поэтому в главе 6.1.1 в норме перечислены следующие требования:
- Определите риски и возможности
- Запланируйте действия по рассмотрению выявленных рисков и возможностей
- Планируйте интеграцию и реализацию действий в процессах организации.
Последующие две главы стандарта требуют определения и применения процесса соответственно. В главе 6.1.2 это требуется для оценки риска информационной безопасности, когда процесс должен установить и поддерживать критерии для этого риска, включая принятие риска (a.1) и проведение оценки рисков информационной безопасности (a.2). Процесс должен обеспечить, чтобы «повторные оценки давали согласованные, действительные и сопоставимые результаты» (b.1). На первом этапе основное внимание должно быть уделено выявлению, анализу и оценке информации о рисках безопасности.
Затем в главе 6.1.3 требуется определение и применение процесса для устранения рисков информационной безопасности. Этот процесс разработан для обеспечения того, что:
- Выбраны соответствующие варианты для устранения информационных угроз безопасности; учтены результаты оценки рисков;
- Все меры / средства управления, необходимые для реализации выбранной опции, определены;
- Проведено сравнение выбранных мер / контролей с теми, которые содержатся в Приложении A
- Создано заявления о применимости со ссылкой на (не) включение мер контроля / мер из приложения A (d);
- Сформулирован план по обеспечению информационной безопасности
- План утвержден и принят владельцами рисков.
Какой подход выбрать?
Несмотря на то, что ISO 27001 требует двух отдельных процессов для оценки и обработки рисков информационной безопасности, вначале они могут быть сведены в один процесс, который расширяет оценку рисков СМК, чтобы включить аспекты информационной безопасности. Степень, в которой такой процесс будет отвечать отдельным требованиям, напрямую зависит от сложности информационной среды каждой организации. Но в любом случае, эффективность такого процесса должна проверяться во время внешнего предварительного аудита или во время регулярного аудита ISO 9001.
Каковы преимущества?
Любой процесс, в котором подробно рассматриваются риски информационной безопасности, является важным первым шагом на пути к всеобъемлющей Системе менеджмента информационной безопасности, например, в соответствии с ISO 27001. Внедряя такой процесс, организация способствует повышению осведомленности об информационной безопасности на всех уровнях.
Целевой анализ информационной безопасности предоставляет организации возможности для выявления потребностей в действиях и принятия соответствующих мер (на основе ISO 27001, Приложение A).
Добавление информационной безопасности к оценке рисков организации усиливает подход, основанный на оценке рисков, во всех отношениях.
