Создание бизнес ориентированной стратегии информационной безопасности Роман Чаплыгин 22 мая 2014. - презентация

1 Создание бизнес ориентированной стратегии информационной безопасности Роман Чаплыгин 22 мая 2014

2 Стратегия информационной безопасности 2 22 мая 2014 Целью стратегии является отыскание такого пути, который требует наименьшего расхода времени и энергии и дает возможность достичь наибольшего успеха. Брайан Трейси

3 Потребности в стратегии ИБ Требования ИБ выше уровня риска приемлемого для бизнеса: недостаточная осведомленность ИБ о бизнес целях и потребностях затягивание проектов из-за сложности реализации требований ИБ отказ в большинстве бизнес-инициатив длительная обработка запросов от бизнеса ИБ не участвует в бизнес или ИТ проектах Незнание или непонимание требований ИБ руководство Банка выражает апатию к вопросам ИБ высокие затраты ресурсов и усилий на ИБ-инициативы работники не понимают требований ИБ или не знают как их выполнять работники не используют методы и средства защиты информации в своей работе отсутствие прозрачной взаимосвязи деятельности ИБ и потребностей бизнеса Требования ИБ не выполняются и не контролируются низкий уровень соответствия фактической обстановки требованиям ИБ проекты и работы по ИБ носят разовый или узконаправленный характер отсутствует или неэффективен контроль за соблюдением требований ИБ отсутствуют или недостаточны механизмы и средства реализации требований ИБ 3 22 мая 2014

4 Ключевые характеристики стратегии ИБ Стратегическое планирование ИБ учитывает: бизнес стратегию и цели риски и угрозы ИБ тенденции развития ИБ и лучшие практики внешние факторы и отраслевые изменения специфику организации - культуру, технологии, процессы, компетенции и т.п. Стратегическое планирование ИБ включает: формирование основы обеспечения ИБ определение направлений развития ИБ приоритизация целей и задач определение необходимых ресурсов определение показателей реализации стратегии Стратегия ИБ позволяет обеспечить: Согласованность действий ИБ и бизнеса эффективное использование ресурсов и усилий повышение защиты информации от работ и мер обеспечения ИБ 4 22 мая 2014

5 Процесс разработки стратегии ИБ Шаг 1: сбор данных для стратегического планирования определение текущего состояния ИБ определение направлений развития ИБ Шаг 2: корреляция ИБ и бизнес активностей формирование перечня основных активностей определение целей, результатов и измерителей определение необходимых ресурсов для достижения целей Шаг 3: ввод в действие стратегии согласование и утверждение стратегии каскадирование целей и задач стратегии 5 22 мая 2014

6 Определение текущего состояния ИБ сбор и консолидация данных об имеющихся мерах и средствах защиты анализ нормативной базы ИБ оценка соответствия внутренним и внешним требованиям ИБ определение «социального статуса ИБ» внутри организации Определение направлений развития ИБ анализ угроз и рисков ИБ определение внешних и внутренних тенденции развития ИБ определение сторон заинтересованных или оказывающих влияние на ИБ Шаг 1 разработки стратегии ИБ Сбор информации для стратегического планирования 6 22 мая 2014

7 Создание основы стратегии ИБ 7 Фактическая ситуация Отраслевые стандарты (СТО БР ИББС) Законодательство (ПДн, НПС и т.п.) Лучшие практики (ISO, Cobit, ITIL и т.п.) Фактическая ситуация Отраслевые стандарты (СТО БР ИББС) Законодательство (ПДн, НПС и т.п.) Лучшие практики (ISO, Cobit, ITIL и т.п.) 22 мая 2014

8 Создание основы стратегии ИБ 8 Оценка текущего состояния: результаты аудитов на соответствие стандартам; внутренние контроли и проверки; самооценки соблюдения требований законодательства. Определение критичных несоответствий «Социальный статус ИБ»: информированность об ИБ; роль ИБ; отношение к ИБ; приоритетность ИБ. Получение внешнего взгляда на ИБ Выделение направлений ИБ, требующих популяризации Получение внешнего взгляда на ИБ Выделение направлений ИБ, требующих популяризации 22 мая 2014

9 Тенденции и практики ИБ 9 Отбор актуальных для организации направлений и включение их в базовые элементы обеспечения ИБ 22 мая 2014

10 Заинтересованные стороны 10 Определение интересов внешних и внутренних сторон, затрагивающих информационную безопасность, и их влияния 22 мая 2014

11 Внешние факторы 11 Определение действий, по обработке внешних факторов 22 мая 2014

12 Риски и угрозы ИБ 12 Включить в элементы обеспечения ИБ меры минимизации рисков и угроз ИБ 22 мая 2014

13 Шаг 2 разработки стратегии ИБ Корреляция ИБ и бизнес активностей Формирование перечня основных активностей ИБ подготовка свода элементов обеспечения ИБ и выбор приоритетных направлений развития ИБ анализ направлений развития бизнеса Определение целей, результатов и измерителей формирование целей по выбранным направлениям развития определение метрик для целей определение способов мониторинга и контроля достижения целей Определение необходимых ресурсов для достижения целей анализ использования имеющихся ресурсов определение дополнительных ресурсов и динамики их изменения мая 2014

14 Свод элементов ИБ 14 Создание полного списка возможных мер и средств ИБ, требующих развития 22 мая 2014

15 Направления развития бизнеса 15 Определение мер и технологий, поддерживающих выбранные направления развития бизнеса 22 мая 2014

16 Формирование стратегии ИБ мая 2014

17 Пример корреляции стратегий 17 Конкурентные условия Увеличение скорости обработки информации Фактическая защищенность без ущерба производительности Бизнес выгоды Направления развития ИБЦели ИБ Измерители Фактическая защищенность без ущерба производительности. Минимизация воздействия СЗИ на производительность на уровне Пользователя Усиление защиты информации на сетевом уровне (не на уровне пользователя) Применение сетевой антивирусной фильтрации Внедренное антивирусное решение Снижение количества обнаружений вредоносного кода на рабочих станциях Поддержка репутации и непрерывности деятельности Банка Обеспечение непрерывности защиты информации Создание резервных СЗИ и аварийных планов для них Основные СЗИ имею резерв. Аварийные планы разработаны и протестированы Бизнес ИТИБ 22 мая 2014

18 Обеспечение стратегии ИБ ресурсами Имеющиеся ресурсы: учет фактического использования ресурсов эффективное перераспределение ресурсов Дополнительные ресурсы ввод и поддержание новых процессов и технологий выполнение новых процедур, НО и оптимизация имеющихся Динамика изменения потребностей в ресурсах увеличение территориального покрытия увеличение количества запросов и пользователей усиление контроля и увеличение точек контроля улучшение качества и скорости предоставления сервисов мая 2014

19 Шаг 3 разработки стратегии ИБ Ввод стратегии ИБ в действие Согласование и утверждение стратегии встречи и тренинги с руководителями бизнес-подразделений обсуждение и корректировка направлений развития и целей ИБ утверждение стратегии ИБ топ- менеджментом доведение стратегии ИБ до всех работников Каскадирование целей и задач стратегии мая 2014

20 Стратегия ИБ: заключение Различные подходы к стратегическому планированию ИБ мая 2014

21 Модели стратегий ИБ Существуют различные подходы и модели разработки бизнес- ориентированных стратегий ИБ Главное что бы ВАША стратегия соответствовала ВАШЕМУ бизнесу и ВЫ могли реализовать ее мая 2014

22 Спасибо за внимание! Роман Чаплыгин Увидимся онлайн: 22