Презентация_Управление_изменениями_ИБ

1.

Управление изменениями в ИТ-инфраструктуре.
Служба ИБ в структуре современной организации
Реферат по дисциплине «Информационная безопасность»
2025

2.

Содержание
• Введение и актуальность темы
• ИТ-инфраструктура: понятие и компоненты
• Управление изменениями: сущность и значение
• Методологии управления изменениями (ITIL, COBIT, ISO 20000)
• Служба ИБ: роль и функции
• Организационная структура службы ИБ
• Интеграция процессов ИБ и управления изменениями
• Выводы и рекомендации

3.

Актуальность темы исследования
• Рост числа кибератак — увеличение на 15-20% ежегодно
• Средний ущерб от утечки данных в 2024 году — 4,45 млн долларов (IBM)
• Глобальный дефицит специалистов по ИБ — 3,4 млн человек (ISC2)
• Усложнение ИТ-инфраструктуры: облака, гибридные среды, IoT
• Ужесточение требований регуляторов (152-ФЗ, 187-ФЗ)
• Цифровая трансформация и зависимость бизнеса от ИТ

4.

Компоненты ИТ-инфраструктуры организации
Компонент
Описание
Примеры
Серверы
Физические и виртуальные серверы
Dell, HP, VMware
Рабочие станции
ПК и мобильные устройства
Ноутбуки, планшеты
Сетевое оборудование
Маршрутизаторы, коммутаторы
Cisco, Juniper
Системы хранения
SAN, NAS, облачные хранилища
NetApp, AWS S3
Программное обеспечение
ОС, СУБД, приложения
Windows, Linux, Oracle
Средства защиты
Антивирусы, SIEM, DLP
Kaspersky, MaxPatrol

5.

Жизненный цикл управления изменениями
Запрос на
изменение
Оценка и
планирование
Согласование
(CAB)
• RFC (Request for Change) — формальный запрос на изменение
• CAB (Change Advisory Board) — консультативный совет по изменениям
• PIR (Post Implementation Review) — анализ после внедрения
Внедрение
Анализ и
закрытие

6.

Классификация изменений в ИТ-инфраструктуре
Тип изменения
Характеристика
Процедура согласования
Стандартное
Низкий риск, выполняется регулярно
Предварительно одобрено
Нормальное
Средний риск, требует оценки
Полная процедура CAB
Экстренное
Критическая проблема, срочное
Ускоренная (ECAB)

7.

Методологии управления изменениями
ITIL 4
COBIT 2019
• Практика Change Enablement
• Домен BAI06 Управление изменениями
• Система создания ценности (SVS)
• Оценка, направление, мониторинг
• Руководящие принципы
• Согласование с бизнес-целями
• Цепочка создания ценности
• Управление рисками
• Непрерывное улучшение
• Измерение эффективности

8.

Традиционный и Agile/DevOps подходы
Критерий
Традиционный подход
Agile/DevOps
Частота изменений
Редко (месяцы)
Часто (дни, часы)
Размер изменений
Крупные релизы
Небольшие инкременты
Согласование
Формальный CAB
Автоматизированные проверки
Откат
Сложный, длительный
Быстрый, автоматизированный
Документация
Обширная
Минимально необходимая

9.

Основные функции службы информационной безопасности
• Разработка политик и стандартов информационной безопасности
• Оценка и управление рисками ИБ
• Внедрение и эксплуатация средств защиты информации
• Мониторинг событий безопасности и реагирование на инциденты
• Обеспечение соответствия требованиям регуляторов
• Проведение аудитов и тестирования на проникновение
• Обучение и повышение осведомленности персонала

10.

Организационная структура службы ИБ
CISO
Управление
и GRC
Политики
Операционная
безопасность
Риски
Уязвимости
Патчи
Архитектура
ИБ
IAM
Криптография Мониторинг
SOC
Инциденты

11.

Позиционирование службы ИБ в организации
Варианты подчинения CISO:
• Подчинение CIO (ИТ-директору) — традиционная модель
• Подчинение CEO (генеральному директору) — максимальная независимость
• Подчинение CFO (финансовому директору) — фокус на рисках
• Подчинение CRO (директору по рискам) — современная модель
Рекомендация: независимость СИБ от ИТ-подразделения

12.

Участие службы ИБ в процессе управления изменениями
Запрос на
изменение
Оценка
рисков ИБ
Красные блоки — этапы с участием службы ИБ
Ключевые задачи службы ИБ:
• Оценка влияния изменений на уровень безопасности
• Определение требований безопасности для новых систем
• Контроль выполнения требований ИБ при внедрении
• Анализ инцидентов, связанных с изменениями
Согласование
CAB
Проверка
требований ИБ
Внедрение

13.

Матрица оценки рисков изменений
Вероятность / Влияние
Низкое
Среднее
Высокое
Критическое
Высокая
Средний
Высокий
Критический
Критический
Средняя
Низкий
Средний
Высокий
Критический
Низкая
Низкий
Низкий
Средний
Высокий

14.

Инструменты автоматизации контроля безопасности
Категория
Назначение
Примеры
SAST
Статический анализ кода
SonarQube, Checkmarx
DAST
Динамическое тестирование
OWASP ZAP, Burp Suite
SCA
Анализ open-source компонентов
Snyk, WhiteSource
IaC Scanning
Проверка инфраструктуры как кода
Checkov, Terraform Sentinel
Container Security
Безопасность контейнеров
Trivy, Aqua Security

15.

Ключевые показатели эффективности службы ИБ
Показатель
Описание
Целевое значение
MTTD
Среднее время обнаружения инцидента
менее 24 часов
MTTR
Среднее время реагирования
менее 4 часов
Patch Rate
Доля своевременных обновлений
более 95%
Training Rate
Доля обученных сотрудников
более 90%
Compliance Score
Уровень соответствия требованиям
более 85%

16.

Нормативно-правовая база деятельности службы ИБ
Федеральное законодательство:
• ФЗ 149 Об информации, информационных технологиях и защите информации
• ФЗ 152 О персональных данных
• ФЗ 187 О безопасности критической информационной инфраструктуры
Нормативные акты регуляторов:
• Приказы ФСТЭК России (номера 17, 21, 31, 239)
• Приказы ФСБ России по криптографической защите
• Положения Банка России (для финансовых организаций)

17.

Современные вызовы для службы ИБ
• Рост числа и сложности кибератак (ransomware, APT)
• Дефицит квалифицированных кадров в области ИБ
• Усложнение ИТ-инфраструктуры (гибридные и мультиоблачные среды)
• Размытие периметра безопасности (удаленная работа)
• Ужесточение требований регуляторов
• Необходимость баланса между безопасностью и удобством
• Интеграция ИБ в процессы DevOps (DevSecOps)

18.

Рекомендации по организации службы ИБ
1. Обеспечить независимость службы ИБ от ИТ-подразделения
2. Внедрить риск-ориентированный подход к управлению ИБ
3. Автоматизировать рутинные процессы безопасности
4. Интегрировать процессы ИБ в жизненный цикл разработки (DevSecOps)
5. Регулярно проводить обучение персонала
6. Обеспечить участие СИБ во всех проектах изменений
7. Использовать метрики для оценки эффективности

19.

Выводы
1. Управление изменениями — критически важный процесс для стабильности ИТ
2. Служба ИБ занимает стратегически важное место в организации
3. Интеграция процессов ИБ и управления изменениями необходима
4. Автоматизация (DevSecOps) — обязательный элемент современной ИТ
5. Роль службы ИБ будет только возрастать

20.

Спасибо за внимание!
Вопросы?