1. Мувофиқликни баҳолаш стандартдлари ва уларни қўлланиши ахбтни ишлаб чиқиш ва бошқариш ахбт жорий этилиши ва ишлаши

1-маъруза. Ахборот хавфсизлигини бошқариш тизимлари.
Режа:
1. Мувофиқликни баҳолаш стандартдлари ва уларни қўлланиши
2. АХБТни ишлаб чиқиш ва бошқариш
3. АХБТ жорий этилиши ва ишлаши
1. Мувофиқликни баҳолаш стандартдлари ва уларни қўлланиши
Калит сўзлар: АХБТ, жараёнли ёндашув, ПДСА модел, АХБТ активлар, эксплуатация, процедура
Ушбу стандарт ахборот хавфсизлигини бошқариш тизимини (АХБТ) ишлаб чиқиш, жорий этиш, унинг ишлаши, мониторинги, таҳлили, унга хизмат кўрсатиш ва уни такомиллаштириш модели ва талабларидан иборат. АХБТ жорий этилиши ташкилотнинг стратегик қарори бўлиб қолиши керак. АХБТни ишлаб чиқиш ва жорий этишда хавфсизликнинг эҳтиёжлари, мақсадлари, фойдаланиладиган жараёнлари, ташкилотнинг кўлами ва структураси ҳисобга олиниши керак. АХБТ ва унинг ёрдамчи тизимлари вақт ўтиши билан ўзгаради деган тахмин бор. Шунингдек, АХБТни кенгайтириш масштаблари ташкилотнинг эҳтиёжларига боғлиқ бўлади, масалан, оддий вазият АХБТ учун оддий ечимни талаб қилади.
Мувофиқликни баҳолаш учун ушбу стандартдан ички ва ташқи томонлар фойдаланиши мумкин.
Жараёнли ёндашув: Ушбу стандарт ташкилот АХБТни ишлаб чиқиш, жорий этиш, унинг ишлаши, мониторинги, таҳлили, унга хизмат кўрсатиш ва уни такомиллаштиришда жараёнли ёндашувнинг қўлланишига йўналтирилган.
Ташкилот муваффақиятли ишлаши учун фаолиятнинг кўп сонли ўзаро боғлиқ турларини аниқлаши ва уларни бошқаришни амалга ошириши керак. Активлардан фойдаланувчи ва киришларни чиқишларга ўзгартириш мақсадида бошқариладиган фаолиятнинг барча турларига жараёнлар сифатида қараш мумкин. Кўпинча бир жараённинг чиқиши кейинги жараённинг бевосита киришини ҳосил қилади.
Ташкилотда жараёнлар тизимини идентификация қилиш ва уларнинг ўзаро ҳаракати билан бир қаторда жараёнлар тизимидан фойдаланиш, шунингдек, жараёнларни бошқариш «жараёнли ёндашув» деб ҳисобланиши мумкин.
Бундай ёндашув ахборот хавфсизлигида қўлланганда қуйидагиларнинг муҳимлигини таъкидлайди:
а) ташкилотнинг ахборот хавфсизлиги талабларини ва ахборот хавфсизлиги сиёсати ва мақсадларини белгилаш зарурлигини тушуниш;
b) ташкилот барча бизнес-таваккалчиликларнинг умумий контекстида ташкилот ахборот хавфсизлиги хатарларини бошқариш чораларини жорий этиш ва қўллаш;
с) АХБТ унумдорлиги ва самарадорлигининг доимий мониторинги ва таҳлили;
d) объектив ўлчашлар натижаларига асосланган узлуксиз такомиллаштириш.
Ушбу стандартда АХБТ ҳар бир жараёнини ишлаб чиқишда қўлланиши мумкин бўлган «режалаштириш – амалга ошириш – текшириш - ҳаракат» [«Рlan-Do-Check-Act» (PDCA )] модели келтирилган.
1-расмда келтирилган модель АХБТ ахборот хавфсизлиги талаблари ва манфаатдор томонларнинг кутилаётган натижаларидан кирувчи маълумотлар сифатида қандай фойдаланишини ва зарур хатти-ҳаракатлар ва жараёнларни амалга ошириш натижасида эълон қилинган талаблар ва кутилаётган натижаларни қаноатлантиришидан далолат берадиган маълумотларни олишини кўрсатади. 1-расм, шунингдек, 4-8-бўлимларда келтирилган жараёнлар ўртасидаги боғлиқликларни кўрсатади.
Бундан ташқари, PDCA модели «Руководящие указания Организации экономического сотрудничества и развития (ОЭСР) по безопасности информационных систем и сетей» 2002 [1] га мос келади. Ушбу стандарт хатарларни бошқариш, хавфсизлик чораларини режалаштириш ва амалга ошириш, хавфсизликни бошқариш ва қайта баҳолашда ушбу принципларни қўллашнинг амалий моделини тақдим этади.
1-мисол: Ахборот хавфсизлигининг бузилиши ташкилот учун жиддий молиявий йўқотишларнинг ва/ёки қандайдир қийинчиликларнинг сабаби бўла олмайди деган талаб қўйилиши мумкин.
2
-мисол: Қандайдир жиддий инцидент, масалан, сайт ёрдамида электрон савдони амалга ошираётган ташкилот сайтининг бузилиши юзага келадиган ҳолат учун – ташкилот бузишнинг оқибатларини минимумга келтириш учун етарли билим ва тажрибага эга бўлган мутахассисларга эга бўлиши керак.