Система менеджмента информационной безопасности¶

Система менеджмента информационной безопасности (СМИБ, англ. Information Security Management System, ISMS) — это совокупность политик, процедур, процессов, организационных структур и технических мер, направленных на планирование, реализацию, мониторинг, анализ и постоянное улучшение управления информационной безопасностью в организации. СМИБ представляет собой системный подход к защите конфиденциальности, целостности и доступности информации, а также других свойств, таких как аутентичность, неотказуемость и подотчётность. Основной целью СМИБ является минимизация рисков, связанных с информационными активами, и обеспечение соответствия требованиям законодательства, нормативных документов и бизнес-целей.

¶История и развитие

Концепция СМИБ возникла в конце XX века как ответ на рост информационных технологий и увеличение числа угроз для данных. Первые стандарты в области управления информационной безопасностью были разработаны в Великобритании: в 1995 году вышел стандарт BS 7799, который впоследствии стал основой для международного стандарта ISO/IEC 27001. В 2000 году ISO/IEC 27001 был принят Международной организацией по стандартизации (ISO) и Международной электротехнической комиссией (IEC). С тех пор стандарт неоднократно пересматривался; актуальная версия — ISO/IEC 27001:2022.

В России развитие СМИБ регулируется национальными стандартами, в частности ГОСТ Р ИСО/МЭК 27001-2021, который является аутентичным переводом международного стандарта. Также действуют методические документы Федеральной службы по техническому и экспортному контролю (ФСТЭК России) и других регуляторов, например, требования к защите информации в государственных информационных системах.

¶Основные принципы

СМИБ базируется на нескольких ключевых принципах, которые обеспечивают её эффективность:

Непрерывность: управление информационной безопасностью — это не разовое мероприятие, а постоянный цикл (модель PDCA: Plan — Do — Check — Act).
Риск-ориентированный подход: решения принимаются на основе оценки рисков, что позволяет расставлять приоритеты и оптимизировать затраты.
Системность: все элементы СМИБ (политики, процедуры, технические средства) взаимосвязаны и образуют единое целое.
Соответствие требованиям: СМИБ должна учитывать законодательные, нормативные и контрактные обязательства организации.
Участие руководства: высшее руководство несёт ответственность за внедрение и функционирование СМИБ, обеспечивая ресурсы и поддержку.

¶Структура и компоненты

СМИБ включает несколько взаимосвязанных компонентов, которые можно разделить на организационные, процедурные и технические.

¶Организационные компоненты

Политика информационной безопасности: документ, определяющий цели, задачи и общие принципы обеспечения безопасности в организации.
Роли и ответственность: назначение ответственных лиц (например, руководитель СМИБ, администраторы безопасности).
Комитет по безопасности: коллегиальный орган для принятия стратегических решений.

¶Процедурные компоненты

Управление рисками: идентификация, оценка и обработка рисков (например, с помощью методологии OCTAVE или NIST SP 800-30).
Управление инцидентами: выявление, регистрация, анализ и реагирование на инциденты безопасности.
Аудит и мониторинг: регулярные проверки соответствия, внутренние и внешние аудиты.
Обучение и повышение осведомлённости: программа обучения сотрудников основам информационной безопасности.

¶Технические компоненты

Средства защиты: межсетевые экраны, системы обнаружения вторжений (IDS/IPS), антивирусное ПО, средства шифрования.
Управление доступом: системы аутентификации, авторизации и учёта действий пользователей.
Резервное копирование и восстановление: процедуры и средства для обеспечения непрерывности бизнеса.

¶Цикл PDCA в СМИБ

Модель PDCA является основой для функционирования СМИБ. Она включает четыре этапа:

Планирование (Plan): определение политики, целей, процессов и процедур, связанных с управлением рисками и обеспечением безопасности. На этом этапе проводится оценка рисков и разрабатывается план обработки рисков.
Выполнение (Do): внедрение и эксплуатация политик, процедур и средств защиты. Сюда входит обучение персонала, настройка технических средств и выполнение запланированных мероприятий.
Проверка (Check): мониторинг и измерение эффективности СМИБ. Проводятся внутренние аудиты, анализ инцидентов и оценка достижения целей.
Действие (Act): корректирующие и предупреждающие действия на основе результатов проверки. Вносятся изменения в политики и процедуры для постоянного улучшения.

¶Стандарты и нормативные документы

Основным международным стандартом для СМИБ является ISO/IEC 27001. Он устанавливает требования к созданию, внедрению, поддержанию и улучшению СМИБ. Стандарт включает приложение A, содержащее перечень мер контроля (контролей), сгруппированных по 14 доменам, например:

Политика безопасности
Организация информационной безопасности
Управление активами
Безопасность персонала
Физическая и экологическая безопасность
Управление доступом
Криптография
Безопасность операций
Безопасность сетей
Управление инцидентами
Непрерывность бизнеса

В России действует ГОСТ Р ИСО/МЭК 27001-2021, который полностью соответствует международному стандарту. Дополнительно применяются нормативные акты ФСТЭК России, например, «Требования к системам защиты информации государственных информационных систем» (приказ ФСТЭК № 17) и «Методика оценки угроз безопасности информации» (приказ ФСТЭК № 31).

¶Внедрение СМИБ

Процесс внедрения СМИБ в организации включает несколько этапов:

Инициация: принятие решения руководством, назначение ответственных, определение области действия СМИБ.
Оценка текущего состояния: анализ существующих мер безопасности, выявление пробелов.
Оценка рисков: идентификация активов, угроз и уязвимостей, оценка вероятности и последствий.
Разработка политик и процедур: создание документов, регламентирующих управление безопасностью.
Внедрение мер контроля: установка технических средств, обучение персонала, реализация организационных мер.
Мониторинг и аудит: регулярные проверки, сбор метрик, анализ эффективности.
Сертификация: при необходимости — прохождение независимого аудита для получения сертификата соответствия ISO/IEC 27001.

¶Преимущества и критика

¶Преимущества

Системный подход к управлению безопасностью, снижающий вероятность серьёзных инцидентов.
Повышение доверия со стороны клиентов, партнёров и регуляторов.
Соответствие законодательным требованиям (например, Федеральному закону № 152-ФЗ «О персональных данных» в России).
Оптимизация затрат за счёт приоритизации рисков.

¶Критика

Высокая стоимость внедрения и поддержания СМИБ, особенно для малых и средних предприятий.
Бюрократизация процессов: избыточная документация может замедлять работу.
Сложность адаптации стандарта под специфику конкретной организации.
Риск формального подхода, когда сертификация проводится без реального улучшения безопасности.

¶Примеры применения

СМИБ широко используется в различных отраслях. В банковском секторе России внедрение СМИБ обязательно для кредитных организаций в соответствии с требованиями Банка России (стандарт СТО БР ИББС). В государственных информационных системах СМИБ строится на основе требований ФСТЭК России. В международных компаниях сертификация по ISO/IEC 27001 часто является обязательным условием для участия в тендерах и заключения контрактов.

¶Источники

ISO/IEC 27001:2022. Information security, cybersecurity and privacy protection — Information security management systems — Requirements.
ГОСТ Р ИСО/МЭК 27001-2021. Информационная технология. Методы и средства обеспечения безопасности. Системы менеджмента информационной безопасности. Требования.
Приказ ФСТЭК России от 11 февраля 2013 г. № 17 «Об утверждении Требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах».
Федеральный закон от 27 июля 2006 г. № 152-ФЗ «О персональных данных».
СТО БР ИББС-1.0-2014. Обеспечение информационной безопасности организаций банковской системы Российской Федерации.

BFOmetr — база данных и аналитика по компаниям России.

На главную BFOmetr →