Проверка и оценка деятельности по управлению информационной безопасностью

Учебное пособие для вузов

Милославская Н.Г., Сенаторов М.Ю., Толстой А.И.

Серия «Вопросы управления информационной безопасностью. Выпуск 5»

Тиражирование издания начато в 2014 г.

166 стр.

Учебное издание

Формат 60х90/16 (145x215 мм)

Исполнение: в мягкой обложке

ISBN 978-5-9912-0365-4

ББК 32.973.2-018.2я73

УДК 004.732.056(075.8)

Гриф
Допущено УМО по образованию в области информационной безопасности в качестве учебного пособия для студентов высших учебных заведений, обучающихся по направлению подготовки «Информационная безопасность» (уровень – магистр)

Аннотация

Рассмотрены основные процессы анализа системы управления информационной безопасностью (СУИБ): мониторинг информационной безопасности (ИБ), самооценка ИБ, внешний и внутренний аудиты ИБ и анализ СУИБ со стороны руководства организации. Для всех процессов выделены основные цели и задачи, принципы и этапы осуществления, виды проверок, формы отчетности. Анализируется деятельность подразделения внутреннего аудита, контролирующего вопросы ИБ. Исследуется процесс управления программой внешнего аудита ИБ. Затронуты вопросы компетентности аудиторов ИБ и взаимоотношения внешних аудиторов ИБ с проверяемой организацией. Перечислены инструментальные средства, используемые при проведении различных проверок в области ИБ. Также рассмотрены вопросы оценки деятельности по управлению ИБ и функционированию СУИБ организации. Описаны подходы к оценке эффективности и результативности управления ИБ в целом, а также к оценке зрелости процессов СУИБ. На основе международных стандартов анализируются процессы выработки метрик безопасности и показателей функционирования СУИБ.

Для студентов вузов, обучающихся по программе магистратуры направления «Информационная безопасность», будет полезно слушателям курсов переподготовки и повышения квалификации, аспирантам, руководителям предприятий и организаций, специалистам в области ИБ.

Оглавление

Предисловие

Введение

1. Нормативное обеспечение проверки и оценки деятельности по управлению ИБ
1.1. ISO/IEC 27004:2009 и ГОСТ Р ИСО/МЭК 27004–2011 – оценка функционирования СУИБ
1.2. ISO/IEC 27006:2011 и ГОСТ Р ИСО/МЭК 27006–2008 – требования к органам, осуществляющим аудит и сертификацию СУИБ
1.3. ISO/IEC 27007:2011 и ISO/IEC 27008:2011 – руководства по аудиту СУИБ и средств управления ИБ, реализованных в СУИБ
1.4. ISO 19011:2002 и ГОСТ Р ИСО 19011–2003 – рекомендации по аудиту систем менеджмента качества и/или окружающей среды
Выводы
Вопросы для самоконтроля

2. Процессы проверки системы управления ИБ
2.1. Виды проверок СУИБ
2.2. Мониторинг ИБ
2.3. Самооценка ИБ
2.4. Внутренний аудит ИБ
2.4.1. Цели и задачи внутренних аудитов ИБ
2.4.2. Организационные принципы внутреннего аудита ИБ
2.4.3. Принципы обеспечения эффективности внутреннего аудита ИБ
2.4.4. Подразделение внутреннего аудита, контролирующее вопросы ОИБ в организации
2.5. Внешний аудит ИБ
2.5.1. Принципы проведения внешнего аудита ИБ
2.5.2. Управление программой внешнего аудита ИБ
2.5.3. Этапы проведения внешнего аудита ИБ
2.5.4. Компетентность аудиторов ИБ
2.5.5. Взаимоотношения представителей аудиторской группы и проверяемых организаций
2.6. Анализ СУИБ со стороны высшего руководства организации
2.7. Инструментальные средства проверки ИБ
Выводы 85
Вопросы для самоконтроля

3. Оценка деятельности по управлению ИБ
3.1. Оценка эффективности и результативности деятельности по управлению ИБ
3.2. Измерение, мера измерения, показатель и метрика
3.2.1. Метрики безопасности
3.2.2. Измерения, связанные с ИБ
3.3. Зрелость процессов СУИБ
3.3.1. Capability Maturity Model
3.3.2. Модель компании Gartner Group
3.3.3. Information Security Management Maturity Model
Выводы
Вопросы для самоконтроля

Заключение

Приложения
П1. Выдержка из возможной программы аудита вопросов управления непрерывностью бизнеса
П2. Примеры систем анализа защищенности
П3. Примеры систем обнаружения и предотвращения вторжений
П4. Примеры описания конструктивных элементов измерений, связанных с ИБ
П4.1. Оценка обучения персонала по вопросам СУИБ
П4.2. Оценка обучения по вопросам ИБ
П4.3. Качество паролей, генерируемых вручную
П4.4. Качество паролей, генерируемых автоматизированным образом
П4.5. Проверка СУИБ
П4.6. Эффективность управления инцидентами ИБ
П4.7. Реализация корректирующих действий
П4.8. Защита от вредоносных программ
П4.9. Анализ журналов регистрации событий
П5. Пример описания модели зрелости для подпроцесса минимизации рисков ИБ в рамках процесса управления рисками ИБ

Принятые сокращения

Список литературы

Рекомендуем

Книга

Проверка и оценка деятельности по управлению информационной безопасностью