Ilmiy rahbar fan doktori, professor

Yetuklik darajalari

Tashkilotda risklarni baholashga yondashuvni tanlash, uning biznesining tabiati va biznes jarayonlarini axborotlashtirish darajasidan tashqari, uning etuklik darajasi ham ta'sir qiladi. Axborot xavfsizligi risklarini boshqarish - bu axborot xavfsizligi muammolaridan xabardorligi va xabardorlik darajasi tufayli tashkilot rahbariyati tomonidan boshlangan biznes vazifasi bo'lib, uning ma'nosi biznesni axborot xavfsizligiga real tahdidlardan himoya qilishdir. Xabardorlik darajasi bo'yicha tashkilotlarning etukligining bir necha darajalarini kuzatish mumkin, ular ma'lum darajada COBIT va boshqa standartlarda belgilangan etuklik darajalari bilan bog'liq:

Boshlang'ich darajada bunday xabardorlik yo'q, tashkilot axborot xavfsizligini ta'minlash uchun IT-mutaxassislari tomonidan o'z mas'uliyati ostida boshlangan va amalga oshirilgan qismlarga bo'lingan choralarni ko'radi.Ikkinchi darajada, tashkilot axborot xavfsizligi uchun javobgarlikni belgilaydi, markazlashtirilgan boshqaruv va alohida axborot xavfsizligini boshqarish jarayonlarini amalga oshirish bilan integratsiyalashgan echimlardan foydalanishga urinishlar amalga oshiriladi.Uchinchi daraja standartlarda tavsiflangan axborot xavfsizligini boshqarishga texnologik yondashuvni qo'llash bilan tavsiflanadi. AT boshqaruv tizimi tashkilot uchun shunchalik muhim bo'lib bormoqdaki, u tashkilot boshqaruv tizimining zaruriy tarkibiy qismi sifatida qaraladi. Biroq, axborot xavfsizligini boshqarishning to'liq tizimi hali mavjud emas, chunki ushbu tizimning asosiy elementi etishmayapti - risklarni boshqarish jarayonlari.Axborot xavfsizligi muammolaridan xabardorlikning eng yuqori darajasiga ega bo'lgan tashkilotlar hujjatlashtirilgan rejalashtirish, amalga oshirish, monitoring qilish va takomillashtirish jarayonlarining mavjudligi bilan tavsiflangan axborot xavfsizligi risklarini boshqarishga rasmiylashtirilgan yondashuvdan foydalanish bilan tavsiflanadi.

Risklarni boshqarish jarayoni modeli

Joriy yilning mart oyida Britaniyaning yangi standarti BS 7799 3-qism – Axborot xavfsizligini boshqarish tizimlari – Axborot xavfsizligi risklarini boshqarishning amaliy qoidalari qabul qilindi. ISO 2007 yil oxirigacha ushbu hujjatni xalqaro standart sifatida tasdiqlashini kutmoqda. BS 7799-3 xavflarni baholash va boshqarish jarayonlarini tashkilotning boshqaruv tizimining ajralmas elementi sifatida belgilaydi, boshqa boshqaruv standartlari kabi bir xil jarayon modelidan foydalanadi, bu jarayonning to'rtta guruhini o'z ichiga oladi: rejalashtirish, amalga oshirish, tekshirish, harakat qilish (PDAP), bu har qanday boshqaruv jarayonlarining standart tsikli. ISO 27001 umumiy uzluksiz xavfsizlikni boshqarish tsiklini tavsiflagan bo'lsa-da, BS 7799-3 axborot xavfsizligi risklarini boshqarish jarayonlari uchun prognozni taqdim etadi.

Rejalashtirish bosqichida IS risklarni boshqarish tizimida risklarni boshqarish siyosati va metodologiyasi aniqlanadi va riskni baholash, shu jumladan aktivlarni inventarizatsiya qilish, tahdid va zaiflik profillarini tuzish, qarshi choralar samaradorligini baholash va xavflarni baholash amalga oshiriladi. potentsial zarar va qoldiq xavflarning maqbul darajasini aniqlash.

Amalga oshirish bosqichida risklar qayta ishlanadi va ularni minimallashtirish uchun nazorat mexanizmlari joriy etiladi. Tashkilot rahbariyati har bir aniqlangan xavf uchun to'rtta qarordan birini qabul qiladi: e'tibor bermaslik, oldini olish, tashqariga o'tkazish yoki minimallashtirish. Keyinchalik xavfni davolash rejasi ishlab chiqiladi va amalga oshiriladi.

Tekshirish bosqichida nazorat mexanizmlarining ishlashi nazorat qilinadi, xavf omillaridagi o'zgarishlar (aktivlar, tahdidlar, zaifliklar) nazorat qilinadi, auditlar o'tkaziladi va turli nazorat tartib-qoidalari amalga oshiriladi.

Harakatlar bosqichida doimiy monitoring va doimiy audit natijalariga ko'ra, zarur tuzatish choralari ko'riladi, xususan, xavflar hajmini qayta baholash, risklarni boshqarish siyosati va metodologiyasiga tuzatishlar kiritish, shuningdek, xavf-xatarni boshqarish. davolash rejasi.