kito-boy

7 лет назад

Курс ITIL: Лекция №2 / Раздел №7 [Проектирование сервисов: Управление информационной безопасностью]

ЦЕЛИ И ЗАДАЧИ

Целью процесса управление информационной безопасностью является согласование безопасности ИТ с безопасностью бизнеса и обеспечение гарантии, что конфиденциальность, целостность и доступность активов организации, информации, данных и ИТ сервисов всегда соответствует согласованным требованиям бизнеса.

Задачей управления информационной безопасностью является защита интересов тех, кто полагается на информацию, и системы и коммуникации, которые предоставляют информацию от повреждения в результате нарушения конфиденциальности, целостности и доступности.

Для большинства организаций задачи безопасности выполнены когда:

Информация находится под наблюдение или передается только тем, кто имеет право ее знать (конфиденциальность)
Информация является полной, точной и защищена от несанкционированного изменения (целостность)
Информация доступна и может использоваться тогда, когда это необходимо, а системы, которые обеспечивают это, могут надлежащим образом противостоять атакам и восстанавливаться или предотвращать сбои (доступность)
Деловые транзакции, а также обмен информацией между предприятиями или с партнерами, могут быть доверительными (подлинность и неподдельность).

Входы

БИЗНЕС-ИНФОРМАЦИЯ
Бизнес-информация: из бизнес-стратегии организации, планов и финансовых планов, а также информация об их текущих и будущих требованиях

УПРАВЛЕНИЕ И БЕЗОПАСНОСТЬ
Управление и безопасность: из корпоративного управления и политик и руководств безопасности бизнеса, планов безопасности, оценки рисков и ответов на них

ИТ ИНФОРМАЦИЯ
ИТ информация: из стратегии, планов и текущих бюджетов ИТ

ИНФОРМАЦИЯ О СЕРВИСАХ
Информация о сервисах: из процесса управление уровнем сервисов (Service Level Management (SLM)), подробная информация о сервисах из портфеля сервисов и каталога сервисов, а также целевых значений уровней сервисов в SLA и SLR, и, возможно, из мониторинга SLA, анализа сервисов и нарушений SLA

ПРОЦЕССЫ И ОТЧЕТЫ ОЦЕНКИ РИСКОВ
Процессы и отчеты оценки рисков: из управления информационной безопасностью (Information Security Management (ISM)), управления доступностью и управления непрерывностью ИТ сервисов (IT Service Continuity Management (ITSCM))

ВСЕ СОБЫТИЯ И НАРУШЕНИЯ БЕЗОПАСНОСТИ
Детали всех событий и нарушений безопасности: из всех областей ИТ и управления ИТ сервисами (ITSM), особенно из управления инцидентами и управления проблемами

ИНФОРМАЦИЯ ОБ ИЗМЕНЕНИЯХ
Информация об изменениях: из процесса управления изменениями, с расписаниями и необходимость оценки всех изменений и их влияния на все политика, планы и управления безопасностью CMS Система управления конфигурациями (Configuration Management System (CMS): содержащая информацию о взаимоотношениях между бизнесом, сервисами и поддерживающими сервисами и технологиями

ДОСТУП ПАРТНЕРОВ И ПОСТАВЩИКОВ
Подробная информация о доступе для партнеров и поставщиков: из управления поставщиками и управления доступностью для внешнего доступа к сервисам и системам

Выходы

ПОЛИТИКИ УПРАВЛЕНИЯ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТЬЮ
Общая политика Управления информационной безопасностью, а также набор специфических политик безопасности. SMIS Информационная система управления безопасностью (SMIS), содержит все сведения, связанные с управлением информационной безопасностью.

ПРОЦЕССЫ И ОТЧЕТЫ ОЦЕНКИ РИСКОВ БЕЗОПАСНОСТИ
Пересмотренные процессы и отчеты оценки рисков безопасности.

НАБОР ЭЛЕМЕНТОВ УПРАВЛЕНИЯ БЕЗОПАСНОСТЬЮ
Набор элементов управления безопасностью, а также сведения об эксплуатации и техническом обслуживании и их связанные риски.

АУДИТЫ БЕЗОПАСНОСТИ
Аудиты безопасности и отчеты аудитов.

ПЛАНЫ ТЕСТИРОВАНИЯ БЕЗОПАСНОСТИ
Расписания и планы тестирования безопасности, включая тесты безопасности проникновения и другие тесты и отчеты безопасности.

КЛАССИФИКАЦИИ БЕЗОПАСНОСТИ
Набор классификаций безопасности и набор активов секретной информации.

ОТЧЕТЫ О НАРУШЕНИЯХ БЕЗОПАСНОСТИ
Анализ и отчеты о нарушениях безопасности и важных инцидентах.

ПОЛИТИКИ УПРАВЛЕНИЯ ДОСТУПОМ

Политики, процессы и процедуры управления партнерами и поставщиков и их доступом к сервисам и информации.

КРИТИЧЕСКИЕ ФАКТОРЫ УСПЕХА И КЛЮЧЕВЫЕ ПОКАЗАТЕЛИ ЭФФЕКТИВНОСТИ

CSF Бизнес защищен от нарушений безопасности

KPI Снижение процента нарушений безопасности, сообщенных службой Service Desk
KPI Снижение процента последствий нарушений и инцидентов безопасности
KPI Увеличение процента соответствия требованиями безопасности в SLA

CSF Определение четкой и согласованной политики, интегрированной с требованиями бизнеса

KPI Снижение количества несоответствий процесса информационной безопасности политике и процессу безопасности бизнеса

CSF Процедуры обеспечения безопасности являются оправданными, уместными и поддерживаются высшим руководством

KPI Рост признания и соответствия процедурам безопасности
KPI Повышение поддержки и приверженности высшего руководства

CSF Эффективный маркетинг и образование требованиям безопасности, а также осведомленности персонала ИТ о технологиях, поддерживающих сервисы

KPI Повышение осведомленности о политике безопасности и ее содержании во всей организации
KPI Повышение процента полноты поддерживающих сервисов относительно ИТ компонентов, которые формируют эти сервисы
KPI Служба Service Desk поддерживает все сервисы

CSF Механизм для улучшения

KPI Количество предлагаемых улучшений для процедур и контроля безопасности
KPI Снижение количества несоответствий безопасности, обнаруженных во время аудитов и тестирования безопасности

CSF Информационная безопасность является неотъемлемой частью всех ИТ-сервисов и всех процессов ITSM

KPI Увеличение количества сервисов и процессов согласованных с процедурами и контролем безопасности

CSF Доступность сервисов не нарушается инцидентами, связанными с безопасностью

KPI Снижение процента последствий нарушений и инцидентов безопасности
KPI Сокращение процента количества инцидентов недоступности сервисов, связанных с нарушениями безопасности

CSF Ясное владение и информированность о политиках безопасности в сообществе заказчиков

KPI Увеличение процента приемлемых оценок осведомленности о безопасности в вопросниках, заполненных заказчиками и пользователями

РИСКИ

ВОЗРАСТАЮЩИЕ ТРЕБОВАНИЯ
Возрастающие требования к доступности и надежности.

НЕНАДЛЕЖАЩЕЕ ИСПОЛЬЗОВАНИЕ И ЗЛОУПОТРЕБЛЕНИЯ
Растущий потенциал для ненадлежащего использования и злоупотреблений при использовании информационных систем, затрагивающие конфиденциальность и этические ценности.

ВНЕШНИЕ УГРОЗЫ
Внешние угрозы от хакеров, приводящие к атакам типа "Отказ в обслуживании" (DoS) и вирусным атакам, вымогательство, промышленный шпионаж и утечки организационной информации или личных данных.

ОТСУТСТВИЕ ПРИВЕРЖЕННОСТИ СО СТОРОНЫ БИЗНЕСА
Отсутствие приверженности со стороны бизнеса процессам и процедурам управления информационной безопасностью.

ОТСТУСТВИЕ ИНФОРМАЦИИ О БУДУЩИХ ПЛАНАХ
Отсутствие приверженности со стороны бизнеса и отсутствие соответствующей информации о будущих планах и стратегиях.

ОТСУТСТВИЕ ПРИВЕРЖЕННОСТИ СО СТОРОНЫ ВЫСШЕГО РУКОВОДСТВА
Отсутствие приверженности со стороны высшего руководства, или отсутствие ресурсов и бюджета для процесса управления информационной безопасностью.

БОЛЬШОЕ ВНИМАНИЕ ТЕХНОЛОГИЯМ
Процессы уделяют слишком много внимания вопросам технологий, а не на ИТ-сервисам и потребностям и приоритетам бизнеса.

ИЗОЛЯЦИЯ УПРАВЛЕНИЯ РИСКАМИ
Оценка и управление рисками выполняется изолированно, а не совместно с управлением доступностью и управлением непрерывностью ИТ-сервисов (ITSCM).

УСТАРЕВАНИЕ ПОЛИТИК И ПЛАНОВ
Политики управления информационной безопасностью, планы, риски и информация устарели и утратили соотнесение с соответствующей информацией и планами бизнеса и безопасности бизнеса.

БЮРОКРАТИЗАЦИЯ ПОЛИТИК
Политики безопасности становятся излишне бюрократическими и/или очень сложными для выполнения, препятствуя их соблюдению.

ОТСУТСТВИЕ ЦЕННОСТИ

Политики безопасности не создают никакой ценности для бизнеса.

Статьи курса:

1. Стратегия сервисов

  1.1 Стратегическое управление сервисами
  1.2 Управление портфелем сервисов
  1.3 Финансовое управление IT сервисами
  1.4 Управление взаимоотношениями с бизнесом

2. Проектирование сервисов

  2.1 Координирование проектирования
  2.2 Управление каталогом сервисов
  2.3 Управление уровнем сервисов
  2.4 Управление доступностью
  2.5 Управление мощностями
  2.6 Управление непрерывностью сервисов