Принципы управления
Интегрируйте информационную безопасность в бизнес-процессы компании
ИБ представляет собой сквозную (интегральную) функцию, которая должна быть введена во все процессы и проекты компании, связанные с обработкой информации. Данное требование обусловлено ключевой ролью информации в современных компаниях и необходимостью обеспечения её надлежащей защиты.
В частности, в рамках управления проектами уже на этапе планирования следует оценивать потребности в защите информации, которая будет создаваться и обрабатываться в ходе реализации проекта. Результаты данной оценки должны служить основой для планирования и внедрения соответствующих мер защиты.
Аналогичным образом, процессы управления инцидентами в ИТ-среде должны быть тесно взаимоувязаны с управлением инцидентами по ИБ. Это позволит обеспечить своевременное выявление, реагирование и устранение сбоев, затрагивающих ИБ в компании.
Таким образом, эффективность СУИБ компании во многом зависит от уровня интеграции данного направления в ключевые управленческие процессы. Отсутствие или недостаточная интегрированность ИБ может значительно снижать её нужность для защиты компании от угроз в области ИБ.
Достижимые цели
Проекты часто терпят неудачу из-за нереалистичных или слишком амбициозных целевых показателей. Это не является исключением и в сфере ИБ. Для достижения адекватной цели ИБ зачастую более эффективными могут быть многочисленные небольшие шаги и долгосрочный, непрерывный процесс улучшения без значительных первоначальных инвестиционных затрат, нежели масштабный проект.
Так, может быть целесообразным в первую очередь внедрять необходимый уровень ОИБВОП только в выбранных блоках требований, применяя основные меры защиты, и сосредотачиваться на достижении уровня зрелости для каждой из них. Такой поэтапный подход позволяет достичь требуемого уровня ОИБВОП без чрезмерных ресурсных затрат на старте, одновременно обеспечивая постепенное наращивание защитных мер и, соответственно, рост уровня ОИБВОП. В отличие от рискованных крупномасштабных проектов, данная тактика является более обоснованной и управляемой.
Экономический эффект
Одной из наиболее сложных задач в сфере управления ИБ является оптимальное распределение ограниченных ресурсов (они ВСЕГДА ограничены) между различными защитными мероприятиями с учётом их эффективности и соотношения с возможными рисками.
Наиболее рациональным подходом является приоритизация выделения ресурсов в реализацию тех требований, которые демонстрируют наибольшую результативность либо предотвращают наиболее критически важные риски. При этом следует отметить, что самые действенные решения не всегда являются и наиболее затратными.
Фундаментальное значение в данном контексте приобретает глубокое понимание зависимости ключевых бизнес-процессов и функциональных задач компании от информационно-технологической инфраструктуры. Это знание позволяет выстраивать сбалансированную систему обеспечения ИБ.
Эффективная реализация требований ИБ предполагает комплексный подход, включающий как технические, так и организационные, режимные меры. Инвестиции в технические средства защиты требуют прямых финансовых затрат, которые могут быть оправданы только при условии максимально эффективного использования данных решений, их интеграции в целостную систему безопасности и обеспечения соответствующего уровня подготовки персонала. В свою очередь, организационные и режимные меры могут выступать в качестве альтернативы или дополнения к техническим решениям, однако их последовательное внедрение сопряжено со значительными управленческими и ресурсными сложностями, и частым отторжением их персоналом без соответствующих разъяснений об их внедрении со стороны руководящего звена компании.
Будьте примером
Высшее руководство компании также должно выполнять функцию эталона в сфере ИБ. Данное требование включает в себя, помимо прочего, соблюдение руководящим звеном всех установленных норм и правил ИБ, участие в образовательных мероприятиях, а также оказание поддержки другим руководителям в осуществлении ими своей эталонной роли. Лишь при таком условии руководство компании сможет эффективно культивировать культуру ИБ во всей своей организационной структуре.
В компании должен работать принцип: делаешь ты, делают другие. Если ты не делаешь, то и с других не можешь спрашивать.
Необходимо осознавать, что руководство компании является маяком и целью в поведении для сотрудников. Если руководство не исполняет требования по ИБ, значит и сотрудники их не будут исполнять. А следовательно сколько бы ресурсов, включая финансовых, в ИБ не было бы вложено, эффекта от них не будет никакого.
Продолжение следует…
Свои комментарии вы можете оставлять в наших социальных сетях. Для соблюдения федерального закона о персональных данных, на данном сайте комментирование закрыто.
Внимание! Материал охраняется авторским правом на основании статьи 1259 ГК РФ.
Третьи лица не вправе использовать с целью создания каких-либо средств обработки представленной информации и размещённых на данной странице результатов интеллектуальной деятельности каким-либо образом без письменного согласия ИП Гордеев С.А. (ОГРНИП: 326527500084187). Распространение настоящей информации возможно только при указании ссылки на данную страницу.
Использование результатов интеллектуальной деятельности, если такое использование осуществляется без письменного согласия ИП Гордеев С.А. (ОГРНИП: 326527500084187), является незаконным и влечёт ответственность, установленную действующим законодательством РФ.
Платная поддержка оказывается через платформу “Спонсор” (https://sponsr.ru/vk_ib_cibez/about/).