Создание бизнес ориентированной стратегии информационной безопасности

1. Создание бизнес ориентированной стратегии информационной безопасности Роман Чаплыгин 22 мая 2014

2. Стратегия информационной безопасности Целью стратегии является отыскание такого пути, который требует наименьшего расхода времени и энергии и дает возможность достичь наибольшего успеха.  Брайан Трейси 22 мая 2014

3. Потребности в стратегии ИБ • Требования ИБ выше уровня риска приемлемого для бизнеса: • недостаточная осведомленность ИБ о бизнес целях и потребностях • затягивание проектов из-за сложности реализации требований ИБ • отказ в большинстве бизнес-инициатив • длительная обработка запросов от бизнеса • ИБ не участвует в бизнес или ИТ проектах • Незнание или непонимание требований ИБ • руководство Банка выражает апатию к вопросам ИБ • высокие затраты ресурсов и усилий на ИБ-инициативы • работники не понимают требований ИБ или не знают как их выполнять • работники не используют методы и средства защиты информации в своей работе • отсутствие прозрачной взаимосвязи деятельности ИБ и потребностей бизнеса • Требования ИБ не выполняются и не контролируются • низкий уровень соответствия фактической обстановки требованиям ИБ • проекты и работы по ИБ носят разовый или узконаправленный характер • отсутствует или неэффективен контроль за соблюдением требований ИБ • отсутствуют или недостаточны механизмы и средства реализации требований ИБ 22 мая 2014

4. Ключевые характеристики стратегии ИБ • Стратегическое планирование ИБ учитывает: • бизнес стратегию и цели • риски и угрозы ИБ • тенденции развития ИБ и лучшие практики • внешние факторы и отраслевые изменения • специфику организации - культуру, технологии, процессы, компетенции и т.п. • Стратегическое планирование ИБ включает: • формирование основы обеспечения ИБ • определение направлений развития ИБ • приоритезация целей и задач • определение необходимых ресурсов • определение показателей реализации стратегии • Стратегия ИБ позволяет обеспечить: • Согласованность действий ИБ и бизнеса • эффективное использование ресурсов и усилий • повышение защиты информации от работ и мер обеспечения ИБ 22 мая 2014

5. Процесс разработки стратегии ИБ • Шаг 1: сбор данных для стратегического планирования • определение текущего состояния ИБ • определение направлений развития ИБ • Шаг 2: корреляция ИБ и бизнес активностей • формирование перечня основных активностей • определение целей, результатов и измерителей • определение необходимых ресурсов для достижения целей • Шаг 3: ввод в действие стратегии • согласование и утверждение стратегии • каскадирование целей и задач стратегии 22 мая 2014

6. Шаг 1 разработки стратегии ИБ Сбор информации для стратегического планирования • Определение текущего состояния ИБ • сбор и консолидация данных об имеющихся мерах и средствах защиты • анализ нормативной базы ИБ • оценка соответствия внутренним и внешним требованиям ИБ • определение «социального статуса ИБ» внутри организации • Определение направлений развития ИБ • анализ угроз и рисков ИБ • определение внешних и внутренних тенденции развития ИБ • определение сторон заинтересованных или оказывающих влияние на ИБ 22 мая 2014

7. Создание основы стратегии ИБ Фактическая ситуация Отраслевые стандарты(СТО БР ИББС) Законодательство(ПДн, НПС и т.п.) Лучшие практики(ISO, Cobit, ITIL и т.п.) 22 мая 2014

8. Создание основы стратегии ИБ • Оценка текущего состояния: • результаты аудитов на соответствие стандартам; • внутренние контроли и проверки; • самооценки соблюдения требований законодательства. • «Социальный статус ИБ»: • информированность об ИБ; • роль ИБ; • отношение к ИБ; • приоритетность ИБ. Получение внешнего взгляда на ИБ Выделение направлений ИБ, требующих популяризации Определение критичных несоответствий 22 мая 2014

9. Тенденции и практики ИБ Отбор актуальных для организации направлений и включение их в базовые элементы обеспечения ИБ 22 мая 2014

10. Заинтересованные стороны Определение интересов внешних и внутренних сторон, затрагивающих информационную безопасность, и их влияния 22 мая 2014

11. Внешние факторы Определение действий, по обработке внешних факторов 22 мая 2014

12. Риски и угрозы ИБ Включить в элементы обеспечения ИБ меры минимизации рисков и угроз ИБ 22 мая 2014

13. Шаг 2 разработки стратегии ИБКорреляция ИБ и бизнес активностей • Формирование перечня основных активностей ИБ • подготовка свода элементов обеспечения ИБ и выбор приоритетных направлений развития ИБ • анализ направлений развития бизнеса • Определение целей, результатов и измерителей • формирование целей по выбранным направлениям развития • определение метрик для целей • определение способов мониторинга и контроля достижения целей • Определение необходимых ресурсов для достижения целей • анализ использования имеющихся ресурсов • определение дополнительных ресурсов и динамики их изменения 22 мая 2014

14. Свод элементов ИБ Создание полного списка возможных мер и средств ИБ, требующих развития 22 мая 2014

15. Направления развития бизнеса Определение мер и технологий, поддерживающих выбранные направления развития бизнеса 22 мая 2014

16. Формирование стратегии ИБ 22 мая 2014

17. Пример корреляции стратегий Бизнес Конкурентные условия ИБ ИТ Фактическая защищенность без ущерба производительности Увеличение скорости обработки информации 22 мая 2014

18. Обеспечение стратегии ИБ ресурсами • Имеющиеся ресурсы: • учет фактического использования ресурсов • эффективное перераспределение ресурсов • Дополнительные ресурсы • ввод и поддержание новых процессов и технологий • выполнение новых процедур, НО и оптимизацияимеющихся • Динамика изменения потребностей в ресурсах • увеличение территориального покрытия • увеличение количества запросов и пользователей • усиление контроля и увеличение точек контроля • улучшение качества и скорости предоставления сервисов 22 мая 2014

19. Шаг 3 разработки стратегии ИБВвод стратегии ИБ в действие • Согласование и утверждение стратегии • встречи и тренинги с руководителями бизнес-подразделений • обсуждение и корректировка направлений развития и целей ИБ • утверждение стратегии ИБ топ-менеджментом • доведение стратегии ИБ до всех работников • Каскадирование целей и задач стратегии 22 мая 2014

20. Стратегия ИБ: заключение Различные подходы к стратегическому планированию ИБ 22 мая 2014

21. Модели стратегий ИБ Существуют различные подходы и модели разработки бизнес-ориентированных стратегий ИБ Главное что бы ВАША стратегия соответствовала ВАШЕМУ бизнесу и ВЫ могли реализовать ее 22 мая 2014

22. Спасибо за внимание! Увидимся онлайн: http://lnkd.in/dPhcF5F Роман Чаплыгин 22