1 Новые направления в развитии ИБ в телекоммуникационной отрасли , Москва Дмитрий Костров, Директор по проектам CNEWS Forum 2010
2 Новые направления в развитии ИБ в телекоммуникационной отрасли 1.Тенденции бизнеса в TELCO. Что в России ? 2.Основные проблемы в ИБ. 3.Основные тренды в решении проблем, связанных с ИБ. Вопросы к обсуждению Защита данных – защита бизнеса
3 Convergence Новые направления в развитии ИБ в телекоммуникационной отрасли
4 THREATS Единая Политика информационной безопасности Этап развития компаний на данный момент характеризуется возрастающей ролью информационной сферы, представляющей собой: совокупность информации, информационной инфраструктуры, субъектов, осуществляющих сбор, формирование, распространение и использование информации, системы регулирования возникающих при этом взаимоотношений. Безопасность ведения бизнеса существенным образом зависит от обеспечения информационной безопасности. Новые направления в развитии ИБ в телекоммуникационной отрасли
5 Обеспечение информационной безопасности (ИБ) является непрерывным процессом, осуществляемым системой обеспечения информационной безопасности (СОИБ) и взаимоувязывающим правовую, организационную техническую деятельность, проводимую под непосредственным управляющим воздействием руководства Компании, направленную на поддержание функционирования компании в условиях воздействия угроз безопасности. Обеспечение информационной безопасности Новые направления в развитии ИБ в телекоммуникационной отрасли
6 Успех интегрируемых компаний в защите и управлении собственной информацией как стратегическим активом зависит от инфраструктуры, процесса, людей и корпоративной культуры, в идеале работающих согласовано. Зрелость компаний по каждому из этих измерений может быть четко представлена в модели эволюции информации, охватывающей пять эволюционных этапов: операционный уровень; консолидированный уровень; интеграционный уровень; оптимизационный уровень; инновационный уровень. Эволюционные этапы Новые направления в развитии ИБ в телекоммуникационной отрасли
7 На 4-м уровне модели эволюции информации, который характеризует ее как гибкое и адаптируемое предприятие, оптимизированное для достижения максимальной эффективности и постоянно подстраивается под изменяющиеся рынки. Доступ к актуальной информации воспринимается как нечто данное. Рост потока конфиденциальной и «чувствительной» информации является одновременно и конкурентным преимуществом, и потенциальной уязвимостью (если поток информации по какой-либо причине прервется). ПРИМЕР 4-го уровня Новые направления в развитии ИБ в телекоммуникационной отрасли Распространяя внутрикорпоративную информацию через публичные сети и привлекая партнеров в корпоративную сеть, компании обязаны придавать большее значение мерам по обеспечению безопасности, отказоустойчивости сети и целостности данных
8 Основной целью ИБ является достижение устойчивого функционирования бизнеса и успешного выполнения миссии и ключевых целей интегрируемых компаний, в условиях рисков, способных привести к нарушению конфиденциальности, целостности, доступности или подотчетности. Единая Политика информационной безопасности является высокоуровневым документом в области обеспечения информационной безопасности. Основной целью Политики является определение основных принципов обеспечения информационной безопасности, а также основных направлений защиты информации при работе подразделений, ответственных за ИБ. Дополнительной целью Политики является гармонизация документов в рамках интеграционного процесса. ЦЕЛИ Новые направления в развитии ИБ в телекоммуникационной отрасли
9 Основные задачи Единой Политики информационной безопасности Создание непрерывного процесса обеспечения информационной безопасности в компаниях; Определение основных задач подразделений, отвечающих за обеспечение информационной безопасности; Выделение основных направлений в обеспечении информационной безопасности; Определение роли и места подразделений по защите информации в структурах компаний; Описание роли всех подразделений компаний при обеспечении информационной безопасности; Рекомендации подразделениям по защите информации по взаимодействию с внешними организациями в части развития мер информационной безопасности. ЗАДАЧИ Новые направления в развитии ИБ в телекоммуникационной отрасли
10 Требования Политики распространяется на все процессы деятельности компаний. Политика определяет место процесса обеспечения ИБ в Карте процессов многоуровневой модели бизнес-процессов управления производством (eTOM) в рамках Риск - менеджмента. Необходимо отметить, что любая информация – является активом, а защита информации является важным процессом. ТРЕБОВАНИЯ Новые направления в развитии ИБ в телекоммуникационной отрасли
11 «Приверженность руководства». «Внедрение и поддержка СУИБ собственными руками». Вовлечение в процесс обеспечения ИБ всех сотрудников организации, имеющих дело с информационными ресурсами и системами. Непрерывность обеспечения ИБ. Вся информация должна быть классифицирована: например, коммерческая тайна, служебная информация, персональные данные, открытая информация и т.п., Все ресурсы и информационные системы должны быть классифицированы, «Есть ресурс – должен быть контроль доступа субъектов к нему; нет контроля доступа – не должно быть ресурса». Основные принципы СУИБ (1/3) Новые направления в развитии ИБ в телекоммуникационной отрасли
12 У каждой информационной системы должен быть ответственный владелец ресурса, определяющий уровень доступа к информации, а также администратор системы, управляющий доступом и администратор безопасности, контролирующий доступ. Экономическая эффективность ИБ: технологии по защите информации и обеспечении ИБ ресурсов для каждого из классификации должны быть однотипными; функции владельцев и администраторов на различные информационные системы могут быть объединены для минимизации расходов на обслуживание ИБ. Новые направления в развитии ИБ в телекоммуникационной отрасли Основные принципы СУИБ (2/3)
13 Проверка на соответствие уровню ИБ всех информационных систем и бизнес-процессов Компании. Системы защиты должны управляться (контролироваться) подразделением, отвечающим за ИБ. Все эксплуатируемые, модернизируемые и внедряемые системы должны проходить проверку на соответствие требованиям ИБ. Все бизнес-процессы, услуги и сервисы компании должны проходить оценку с точки зрения реализации рисков ИБ. Ответственность. Новые направления в развитии ИБ в телекоммуникационной отрасли Основные принципы СУИБ (3/3)
14 В целях обеспечения сохранения инвестиций в информационную безопасность, унификации работ по выполнению требований Федеральных законов и подзаконных нормативно-правовых актов, оптимизации затрат на построение системы защиты при интеграции компаний разрабатываются следующие документы: 1.«Программа по выполнению законодательства по ПДн и ИБ». Состав мероприятий может быть скорректирован с учетом особенностей бизнес-процессов, информационных систем и процессов обработки конфиденциальной информации в компаниях. 2.«Системы обеспечения информационной безопасности и защиты, а также функциональные требования к ним». Пример Новые направления в развитии ИБ в телекоммуникационной отрасли
15 Системы обеспечения информационной безопасности и защиты персональных данных Назначение документа Настоящий документ устанавливает перечень и основные требования к системам обеспечения информационной безопасности и защиты персональных данных в, включая рекомендованный выбор технических решений. Документ разработан с учетом результатов проведения первоочередных работ по защите персональных данных в информационных системах персональных данных и с учетом рекомендаций Головной компании по унификации средств защиты информации. Цель документа Данный документ направлен на формирование унифицированного подхода к обеспечению информационной безопасности с компаниями, входящими в Группу компаний, и применяемым в этой области техническим решениям. Новые направления в развитии ИБ в телекоммуникационной отрасли
16 Системы обеспечения информационной безопасности и защиты персональных данных Назначение документа Настоящий документ устанавливает перечень и основные требования к системам обеспечения информационной безопасности и защиты персональных данных в, включая рекомендованный выбор технических решений. Документ разработан с учетом результатов проведения первоочередных работ по защите персональных данных в информационных системах персональных данных и с учетом рекомендаций Головной компании по унификации средств защиты информации. Цель документа Данный документ направлен на формирование унифицированного подхода к обеспечению информационной безопасности с компаниями, входящими в Группу компаний, и применяемым в этой области техническим решениям. Новые направления в развитии ИБ в телекоммуникационной отрасли
17 THREATS Международные стандарты и рекомендации по информационной безопасности для операторов связи Рекомендации Международного союза электросвязи МСЭ-Т Е.408 «Требования к безопасности сетей электросвязи»; МСЭ-Т Х.800 «Архитектура защиты для взаимосвязи открытых систем»; МСЭ-Т X.805 «Архитектура безопасности для систем, обеспечивающих связь между оконечными устройствами»; семейство МСЭ-Т Х.8ХХ; МСЭ X Стандарты международной организации по стандартизации: Стандарт ISO/IEC 27011:2008 Information technology -- Security techniques - Information security management guidelines for telecommunications organizations based on ISO/IEC Национальные стандарты: Британский стандарт NICC ND 1643 V1.1.1 ( ) «Minimum security standards for interconnecting communications providers». Новые направления в развитии ИБ в телекоммуникационной отрасли
18 THREATS Крупнейшие международные операторы связи, сертифицированные по требованиям ISO 27001:2005 Новые направления в развитии ИБ в телекоммуникационной отрасли
19 Федеральные законы РФ: 126 от «О связи»; 152 от «О персональных данных»; Постановление Правительства РФ: 418 от «О Министерстве связи и массовых коммуникаций Российской Федерации». Приказы Министерства связи и массовых коммуникаций РФ: 2 от «Об утверждении Правил применения оборудования автоматизированных систем управления и мониторинга сетей электросвязи»; 1 от «Об утверждении требований по защите сетей связи от несанкционированного доступа к ним и передаваемой посредством их информации»; 73 от «Об утверждении Правил применения автоматизированных систем расчетов». ГОСТ: Р524482005 «Защита информации. Обеспечение безопасности сетей электросвязи. Общие положения»; Р «Система обеспечения информационной безопасности сети связи общего пользования. Часть 1. Общие положения». А как в Отечестве?) Новые направления в развитии ИБ в телекоммуникационной отрасли
20 THREATS Предпосылки для самоорганизации в отрасли и создания стандарта по ИБ Накоплен опыт совместной работы в таких организациях как: Ассоциация документальной электросвязи; Инфокоммуникационный союз; РСПП. Приобретен положительный опыт организации совместно финансируемых работ по тематике обеспечения информационной безопасности: НИР «Тритон»; Разработка ГОСТ Р «Система обеспечения информационной безопасности сети связи общего пользования. Часть 1. Общие положения». Операторы успешно координируют свою деятельность в рамках совершенствования законодательной базы РФ (ФЗ «О связи», ФЗ «О персональных данных»). Накопленный операторами связи опыт по обеспечению информационной безопасности является инновационным капиталом отрасли. Новые направления в развитии ИБ в телекоммуникационной отрасли
21 THREATS Цель и задачи стандартизации в отрасли связи глазами операторов Цель Повышение уровня доверия между операторам связи, государством и потребителями услуг связи. Задачи: установление единых в отношении всех операторов связи подходов для обеспечения информационной безопасности информационных систем и сетей связи операторов связи; разработка и установление «отраслевых» подходов к защите ПДн; предоставление операторам связи доступа к лучшим международным практикам обеспечения ИБ адаптированным в соответствии с требованиями регуляторов и опытом, накопленным операторами связи РФ в области ИБ; предоставление операторам связи единых методик по управлению рисками, инцидентами, по оценке результативности систем менеджмента информационной безопасности Новые направления в развитии ИБ в телекоммуникационной отрасли
22 THREATS Преимущества стандартизации в области информационной безопасности для отрасли связи внедрение стандарта внесет значительный вклад в инновационное развитие отрасли; использование стандарта операторами связи значительно повысит уровень защищенности информационных систем, в том числе информационных систем персональных данных (за исключением информационных систем критически важных объектов), информационно-телекоммуникационных сетей и других сетей связи; позволит операторам оптимизировать затраты на обеспечение информационной безопасности; обеспечит приоритет отечественных требований по информационной безопасности на телекоммуникационном рынке РФ; повысит авторитет российских операторов на международном уровне. Новые направления в развитии ИБ в телекоммуникационной отрасли
23 THREATS Основные принципы разработки стандарта в области информационной безопасности для отрасли связи смещение акцента в области стандартизации от требований наличия механизмов обеспечения информационной безопасности к процессному подходу обеспечения информационной безопасности; обязательность для всех участников рынка услуг связи; баланс интересов операторов связи и потребителей услуг связи; универсальность требований, возможность предъявления идентичных требований к операторам различных услуг связи; многовариантность реализации требований; возможность объективной проверки выполнения требований; экономическая оправданность реализации требований. Новые направления в развитии ИБ в телекоммуникационной отрасли
24 Департамент информационной безопасности