Краткое описание стандарта BS 7799
BS 7799 не является техническим стандартом, он, например, не предписывает использование каких-то определенных способов шифрования данных или устройств защиты от сбоев питания. Стандарт определяет общую организацию, классификацию данных, системы доступа, направления планирования, ответственность сотрудников, использование оценки риска и т.д. в контексте информационной безопасности.
Этот стандарт даёт компании инструмент, позволяющий управлять конфиденциальностью, целостностью и сохранностью важного актива компании – информации, и может с одинаковым успехом применяться в компаниях разного размера – от индивидуальных предпринимателей до предприятий с численностью сотрудников в десятки тысяч человек.
BS7799 может использоваться для защиты любых видов информации, включая финансовую информацию, кадровую информацию, информацию по поставщикам, любые другие данные компании и, что немаловажно, информацию, принадлежащую Вашим партнёрам / клиентам – одним словом, всё, что является значимым информационным ресурсом любой компании и всё, что уязвимо для угроз безопасности.
Таким образом, основную цель Стандарта можно сформулировать как создание общей методологии для разработки, внедрения и оценки эффективности СУИБ, применимую как в условиях коммерческих компаний, так и государственных и некоммерческих структур.
СУИБ – это системный подход к управлению «чувствительной» для компании информацией с целью обеспечения её конфиденциальности, целостности и сохранности.
СУИБ объединяет воедино людей, процессы и IТ-системы.
СУИБ обеспечивает слаженную работу службы безопасности, IT-отдела и руководства компании.
BS 7799 защищает:
Конфиденциальность: защита информации от несанкционированного доступа
Целостность: защита информации от несанкционированного изменения, обеспечение ее точности и полноты
Доступность: возможность пользоваться информацией, когда это требуется – работоспособность системы
Важно, что данный стандарт не концентрируется лишь на конфиденциальности. В коммерческих организациях с точки зрения возможных материальных потерь целостность и доступность данных зачастую более критичны.
от возможных угроз вашей информационной системе – как то:
хакеры;
промышленный шпионаж;
недобросовестные сотрудники;
компьютерное пиратство;
воровство и вандализм;
отключения питания;
сбои в работе оборудования и ПО;
вирусы;
стихийные бедствия и многое другое.
СУИБ, разработанная в соответствии с BS 7799-2:2002 обеспечивает наличие хорошо проверенной структуры, которая инициирует, реализует, поддерживает в рабочем состоянии и управляет информационной безопасностью внутри предприятия.
Основные положения стандарта BS 7799
Приложение «А» к стандарту BS 7799-2:2002 определяет Средства управления информационной безопасностью и включает следующие аспекты, перечень которых может быть дополнен на усмотрение компании:
1. Политика безопасности
Политика нужна для того, чтобы определить задачи организации в области защиты информации, а также служить ориентиром и точкой опоры для менеджмента, призванного эту задачу решать. Политика, помимо прочего, может к тому же служить основой для регулярного контроля и оценки систем безопасности. Это документ, который призван продемонстрировать управляющим приверженность и поддержку внедрению СУИБ.
2. Организационная безопасность
Система управления, позволяющая на организационном уровне инициировать и контролировать внедрение информационной безопасности внутри предприятия и управлять текущими условиями ее обеспечения, создать структуры менеджмента, распределить ответственность за отдельные зоны контроля между группами, и выработать инструкции для действий в чрезвычайных ситуациях.
Управление форумами по информационной безопасности
Координация вопросов, связанных с информационной безопасностью
Распределение ответственности за обеспечение безопасности
3. Классификация и контроль информационных активов
Всеобъемлющий перечень информационных ресурсов / активов с обозначением ответственности в целях обеспечения и поддержания эффективной защиты каждого из них и информации в целом.
Инвентаризация ресурсов
Классификация ресурсов
4. Аспекты Информационной Безопасности, связанные с персоналом
Чёткое определение должностных обязанностей для каждого сотрудника с описанием его роли и ответственности при использовании информации; соответствующее обучение сотрудников; организация системы отчётности о происшествиях.
Безопасность при найме на работу и работе с персоналом
Тренинги персонала по вопросам безопасности
Реагирование на инциденты в области безопасности (человеческий фактор)
5. Физическая безопасность и безопасность окружающей среды
Ясное и сжатое определение требований по безопасности внутренних помещений и находящихся в них сотрудников и оборудования.
6. Управление коммуникациями и операциями
Оптимизация коммуникаций для обеспечения бесперебойной работы СУИБ.
Технологические процедуры и ответственность
Системное планирование
Защита от вредоносного программного обеспечения (вирусов, троянских коней)
Управление внутренними ресурсами
Управление сетями
Безопасность носителей данных
Передача информации и программного обеспечения
7. Контроль доступа
Наблюдение и контроль за доступом в сеть и к приложениям, с целью защитить их как от попыток вторжения извне, так и от внутреннего недобросовестного использования; обеспечение каждому доступа только к той информации, за которую он несет ответственность; обеспечение защиты поддерживающей инфраструктуры.
Бизнес требования для контроля доступа
Управление доступом пользователя
Ответственность пользователей
Контроль и управление удаленного (сетевого) доступа
Контроль доступа в операционную систему
Контроль и управление доступом к приложениям
Мониторинг доступа и использования систем
Мобильные пользователи
8. Разработка и поддержка Систем
Обеспечить, чтобы IT-проекты и обслуживание осуществлялись с соблюдением мер безопасности и с использованием контроля за получением информации, а также при необходимости средств шифрования данных.
Требования по безопасности систем
Безопасность приложений
Криптография
Безопасность системных файлов
Безопасность процессов разработки и поддержки
9. Управление непрерывностью бизнеса
Управляемый процесс составления и совершенствования планов деятельности в условиях внезапного нарушения жизнедеятельности организации и быть готовым защитить наиболее важные с точки зрения бизнеса процессы в случае бедствия или серьезной аварийной ситуации.
Процесс управления непрерывного ведения бизнеса
Непрерывность бизнеса и анализ воздействий
Создание и внедрение плана непрерывного ведения бизнеса
Тестирование, обеспечение и переоценка плана непрерывного ведения бизнеса
10. Соответствие формальным требованиям
Демонстрация клиентам, партнёрам, сотрудникам и представителям властей соответствия Вашей СУИБ другими юридическим нормам; рекомендации о необходимости пересмотра политик безопасности, степени технического соответствия и принципов проверок всей системы, гарантирующих её эффективность.
Соответствие требованиям законодательства
Анализ соответствия политики безопасности
Анализ соответствия требованиям системного аудита
| 
