7. Стандарты и спецификации в области информационной безопасности

1. Стандарты и спецификации в области информационной безопасности

СТАНДАРТЫ И СПЕЦИФИКАЦИИ
В ОБЛАСТИ ИНФОРМАЦИОННОЙ
БЕЗОПАСНОСТИ

2. Информационная безопасность

Стандарты и спецификации в области информационной безопасности играют
ключевую роль в обеспечении защиты конфиденциальных данных,
поддержании целостности системы и предотвращении несанкционированного
доступа.
Они представляют собой правила, рекомендации и требования, разработанные
международными организациями, правительствами стран и отраслевыми
ассоциациями, и используются для разработки, внедрения и оценки мер
безопасности.
Информационная безопасность (ИБ) — это комплекс мер, направленных на
защиту информации от несанкционированного доступа, изменения,
распространения или уничтожения. Включает технологии, стандарты,
процессы и практики, направленные на обеспечение безопасности
информации в корпоративных структурах.
Выделяют главные направления ИБ: обеспечение конфиденциальности,
целостности, доступности, обнаружение потенциальных угроз и
предупреждение возможных инцидентов.

3. Международные стандарты. ISO/IEC

Международные организации разрабатывают универсальные стандарты,
применимые в разных странах и отраслях. Наиболее известные
международные стандарты включают:
1) ISO/IEC
Серия стандартов серии ISO/IEC 27000 охватывает управление
информационной безопасностью, включая разработку и внедрение систем
управления информационной безопасностью (Information Security Management
System, ISMS). Среди наиболее известных стандартов этой серии:
• ISO/IEC 27001:
ISO/IEC 27001 — международный стандарт, определяющий требования к
созданию, внедрению, эксплуатации, мониторингу, поддержке и улучшению
систем управления информационной безопасностью (Information Security
Management Systems, ISMS).
Этот стандарт служит основой для построения эффективной системы
управления информационной безопасностью в организациях любого размера и
сферы деятельности.
Основная цель стандарта заключается в минимизации рисков, связанных с
нарушением конфиденциальности, целостности и доступности информации, а
также повышении общего уровня защищенности активов организации.

4. ISO/IEC

Первая версия стандарта была опубликована Международной организацией по
стандартизации (ISO) совместно с Международной электротехнической
комиссией (IEC) в октябре 2005 года.
Стандарт состоит из двух основных частей:
1. Требования к системе управления информационной безопасностью (ISMS):
Этот раздел включает обязательные элементы, необходимые для
проектирования и реализации системы управления информационной
безопасностью. Сюда входят политика информационной безопасности,
процедуры управления рисками, процессы мониторинга и улучшения.
2. Руководящие указания по применению стандарта:
Эта часть помогает организациям эффективно применять требования
стандарта в зависимости от особенностей бизнеса и существующей структуры
управления.

5. ISO/IEC

Ключевые компоненты стандарта:
• Политика информационной безопасности: разработка официальной
политики, отражающей цели и обязательства руководства относительно
обеспечения информационной безопасности.
• Оценка и обработка рисков: проведение систематического анализа рисков,
выявление угроз и уязвимостей, определение соответствующих контрмер.
• Управление активами: идентификация и классификация информационных
ресурсов, обеспечение адекватных уровней защиты.
• Человеческий фактор: обучение сотрудников основам информационной
безопасности, повышение осведомленности персонала.
• Физика и окружающая среда: защита физических помещений и
оборудования от взлома, пожаров, стихийных бедствий и других угроз.
• Коммуникационные сети: обеспечение надежности сетевых соединений,
настройка механизмов фильтрации и межсетевого экранирования.
• Доступ и управление доступом: ограничение доступа к ресурсам на
основании принципа минимальной достаточности.
• Мониторинг, измерение, анализ и улучшение: регулярный аудит и проверка
эффективности реализованных мер безопасности, внесение изменений и
улучшений на основе полученных результатов.

6. ISO/IEC

Организация, сертифицированная по этому стандарту, получает ряд
преимуществ:
• Повышение уровня доверия клиентов и партнеров благодаря
подтвержденному соответствию требованиям международной практики
информационной безопасности.
• Улучшение внутренней дисциплины и культуры информационной
безопасности внутри компании.
• Сокращение числа инцидентов, связанных с нарушениями безопасности, и
снижение финансовых потерь вследствие кражи или повреждения данных.
• Возможность эффективного управления изменениями и обновлениями в
рамках единой системы управления.
• Создание условий для непрерывного совершенствования защитных
мероприятий и адаптация их к новым угрозам.

7. ISO/IEC

Процесс сертификации включает несколько этапов:
• Анализ текущего состояния информационной безопасности и построение
модели желаемого состояния.
• Определение границ сертифицируемой системы (периметра).
• Проведение самооценки и внутреннего аудита.
• Исправление выявленных недостатков и подготовка документации.
• Внешняя сертификация специализированной организацией-аудитором.
• Поддержание сертификата путем регулярных проверок и процедур
повторной сертификации каждые три года.

8. ISO/IEC

• ISO/IEC 27002:
ISO/IEC 27002 — это международный стандарт, представляющий собой
руководство по мерам и процедурам управления информационной
безопасностью. Он разработан Международной организацией по
стандартизации (ISO) совместно с Международной электротехнической
комиссией (IEC) и впервые опубликован в 2005 году, последовавшие редакции
вышли в 2007, 2013 и последней актуальной версией является ISO/IEC
27002:2022.
Целью ISO/IEC 27002 является предоставление подробных инструкций и
практических рекомендаций по выбору, разработке и внедрению эффективных
мер информационной безопасности в организациях различного масштаба и
профиля деятельности. Стандарт дополняет основной стандарт ISO/IEC 27001,
предоставляя конкретные рекомендации по осуществлению требований
последнего.

9. ISO/IEC

Стандарт делится на четыре основные части:
• Введение:
описание общей концепции информационной безопасности и предназначения
документа.
• Контроль информационной безопасности:
представлен список рекомендуемых организационных и технических мер
безопасности, сгруппированных по категориям риска.
• Разделы контрольных действий:
каждый раздел посвящён отдельным аспектам управления информационной
безопасностью, таким как человеческие факторы, физическая безопасность,
коммуникационная безопасность, работа с персоналом и др.
• Приложение A:
дополнительные пояснения и детализация некоторых пунктов основного
текста.
Каждая мера изложена в формате инструкции, включающей наименование,
назначение, преимущества и возможные ограничения.

10. ISO/IEC

Стандарт рекомендует использовать комплексный подход к защите
информации. Некоторые ключевые моменты, рассматриваемые в стандарте:
• Организационное управление информационной безопасностью:
установление политики информационной безопасности, распределение
обязанностей и ответственности, создание компетентных органов управления
и координаторов.
• Безопасность человеческих ресурсов:
привлечение квалифицированного персонала, регулярное обучение
сотрудников принципам информационной безопасности, разработка
дисциплинарных мер за нарушение правил.
• Физическая безопасность:
охрана объектов хранения и обработки данных, размещение серверов и
рабочих станций, контроль физического доступа к помещениям и
оборудованию.
• Защита сетевой инфраструктуры:
применение современных методов шифрования, межсетевое экранирование,
фильтрация пакетов, антивирусная защита и борьба с вредоносным ПО.

11. ISO/IEC

• Аутентификация и авторизация:
введение многофакторной аутентификации, регулирование прав доступа
пользователей к данным и сервисам.
• Процедуры восстановления и резервирования:
реализация планов аварийного восстановления, организация регулярного
резервного копирования данных.
• Юридическое соответствие:
соблюдение нормативных актов и правовых норм в области информационной
безопасности, включая локальное законодательство и международные
соглашения.

12. ISO/IEC

ISO/IEC 27002 может использоваться организациями как самостоятельный
документ для оптимизации собственных процессов информационной
безопасности либо применяться в качестве дополнения к другим стандартам и
рекомендациям. Его содержание носит рекомендательный характер, однако
многие крупные компании применяют его положения в качестве обязательных
элементов своей политики безопасности.
Применение стандарта ISO/IEC 27002 приносит целый ряд выгод:
• Унифицированный подход к решению проблем информационной
безопасности.
• Улучшенная защита корпоративных данных и сокращение вероятности
инцидента.
• Соответствие регуляторным нормам и внутренним правилам компании.
• Оптимизация расходов на поддержание необходимых мер безопасности.
• Формирование положительного имиджа перед инвесторами и бизнеспартнерами.

13. ISO/IEC

• ISO/IEC 27005:
ISO/IEC 27005 — это международный стандарт, посвященный процессу
управления рисками информационной безопасности. Документ входит в
семейство стандартов ISO/IEC 27000, основное внимание уделяя аспектам
идентификации, анализа, оценки и снижения рисков, возникающих в процессе
обработки и защиты информации.
Данный стандарт ориентирован на помощь организациям всех размеров и
отраслей в создании и управлении системами управления информационной
безопасностью (ISMS) в соответствии с требованиями ISO/IEC 27001.
Последняя актуальная версия стандарта ISO/IEC 27005 была выпущена в 2018
году.
ISO/IEC 27005 активно применяется крупными коммерческими
предприятиями, государственными учреждениями и финансовыми
институтами. Например, компания может провести полный цикл анализа
рисков по предложенной схеме, выявить слабые места в своем
информационном пространстве и принять обоснованные управленческие
решения.

14. ISO/IEC

Документ ISO/IEC 27005 состоит из нескольких ключевых разделов:
• Определение понятия риска: разъясняет терминологию, применяемую в
процессах управления рисками, включая понятие риска, события риска,
последствия и воздействие.
• Описание процесса управления рисками: предоставляет пошаговую
инструкцию по проведению анализа рисков, начиная с выявления
возможных угроз и заканчивая принятием решений по снижению риска.
• Методы анализа рисков: предлагает разнообразные инструменты и техники
анализа, позволяющие объективно оценить потенциальные опасности и
разработать соответствующие контрмеры.
• Подходы к обработке рисков: объясняет, каким образом риски могут быть
устранены, уменьшены, переданы третьим лицам или приняты.
• Выбор контрмер: детализирует процесс выбора и внедрения контрольных
мер, позволяющих минимизировать влияние негативных факторов.
• Мониторинг и периодический пересмотр рисков: подчеркивает важность
постоянного наблюдения за состоянием информационной среды и
своевременного внесения корректировок в стратегию управления рисками.

15. ISO/IEC

Использование ISO/IEC 27005 позволяет организациям достигать следующих
преимуществ:
• Снижение уровня неопределенности и предсказуемость ситуации в области
информационной безопасности.
• Эффективное расходование ресурсов на реализацию мер безопасности.
• Укрепление доверия клиентов и партнеров посредством демонстрации
серьезного подхода к вопросам защиты информации.
• Предотвращение крупных потерь, вызванных инцидентами безопасности.
• Выполнение требований регуляторов и законодательных норм.

16. NIST SP 800 Series

2) NIST SP 800 Series:
Национальные институты стандартов и технологий США (National Institute of
Standards and Technology, NIST) публикуют серию руководств и рекомендаций
по вопросам кибербезопасности, среди которых особенно выделяются:
• SP 800-53:
SP 800-53 — это публикация Национального института стандартов и
технологий США (National Institute of Standards and Technology, NIST),
официально известная как "Security and Privacy Controls for Federal Information
Systems and Organizations". Данный документ направлен на формирование
комплексного набора мер безопасности и приватности для федеральных
ведомств и частных организаций, работающих с информацией правительства
США.
Стандарт SP 800-53 действует с момента первой публикации в марте 2005 года
и претерпел несколько значительных переизданий. Актуальной версией на
сегодняшний день является SP 800-53 Rev. 5, выпущенная в декабре 2020 года.

17. NIST SP 800 Series

Основной целью SP 800-53 является предоставление полного перечня
контролируемых мер безопасности и приватности, которые помогают
обеспечить защиту компьютерных систем и данных федерального значения.
Документ организован следующим образом:
1. Классификация и оценка угроз: Определение классов информационных
систем, учет характеристик каждой категории и составление плана
противодействия угрозам.
2. Категории мер безопасности: Подразделяются на физические,
административные, технологические и организационные меры.
3. Перечень стандартных контрольных мер: Включает около сотни базовых
мер, разделенных на группы, каждая из которых фокусируется на
определенном аспекте безопасности (например, идентификация и
аутентификация, контроль доступа, шифрование и резервное копирование).
4. Гибкость и масштабируемость: Предоставляет возможность настройки мер
безопасности в зависимости от важности и уровня риска отдельных
информационных систем.
5. Руководство по внедрению и мониторингу: Подробно описаны шаги по
проектированию, развертыванию и тестированию мер безопасности, а также
система постоянного мониторинга и оценки эффективности используемых
инструментов.

18. NIST SP 800 Series

SP 800-53 выделяет следующие ключевые категории мер безопасности:
• AC (Access Control): Контроль доступа к системам и данным.
• AU (Audit and Accountability): Аудит и ответственность за операции в
системах.
• AT (Awareness and Training): Осведомленность и обучение сотрудников
вопросам безопасности.
• CM (Configuration Management): Управление конфигурацией систем и
приложений.
• CP (Contingency Planning): Планирование действий в чрезвычайных
ситуациях.
• IA (Identification and Authentication): Идентификация и аутентификация
пользователей.

19. NIST SP 800 Series

• IR (Incident Response): Реакция на инциденты безопасности.
• MA (Maintenance): Регулярное техническое обслуживание систем.
• MP (Media Protection): Защита и обращение с материальными носителями
информации.
• PE (Physical and Environmental Protections): Физическая защита
оборудования и окружающей среды.
• PL (Planning): Разработка и реализация планов обеспечения безопасности.
• PS (Personnel Security): Безопасность персонала и управление кадрами.
• RA (Risk Assessment): Оценка рисков и принятие решений по управлению
рисками.
• SA (System and Services Acquisition): Приобретение услуг и продуктов с
учётом вопросов безопасности.
• SC (System and Communications Protection): Защита коммуникаций и
взаимодействия систем.
• SI (System and Information Integrity): Целостность систем и обрабатываемой
информации.

20. NIST SP 800 Series

Для успешной интеграции SP 800-53 в работу организации рекомендуется
соблюдать следующий алгоритм:
1.
2.
3.
4.
5.
Определите класс вашей информационной системы исходя из степени
влияния возможных нарушений безопасности.
Выберите соответствующий базовый набор контрольных мер.
Настройте меры безопасности в соответствии с особенностями вашего
окружения и уровня риска.
Разработайте программу мониторинга и тестирования введенных мер.
Периодически проводите переоценку рисков и обновление плана
безопасности.
При соблюдении положений SP 800-53 достигается высокая степень
уверенности в уровне защищенности информационных систем и данных.
Организация, использующая этот стандарт, демонстрирует серьёзный подход к
защите информации, повышает свою конкурентоспособность и укрепляет
репутацию надёжного партнера.

21. NIST SP 800 Series

• SP 800-30:
SP 800-30 — это специальный отчет Национального института стандартов и
технологий США (National Institute of Standards and Technology, NIST),
известный как "Guide for Conducting Risk Assessments" ("Руководство по
проведению оценки рисков"). Данный документ специально подготовлен для
поддержки оценки рисков в информационных системах и сетях организаций,
работающих с федеральным правительством США, хотя широко используется
и частными компаниями, стремящимися организовать эффективный процесс
управления рисками.
Версия SP 800-30 Revision 1 была опубликована в сентябре 2012 года и
заменила оригинальную версию 2002 года. Она остаётся актуальной и часто
цитируемым источником рекомендаций по практике оценки рисков.
Основная задача SP 800-30 — представить чёткую структуру и пошаговые
рекомендации по выполнению качественного анализа рисков информационной
безопасности. В частности, этот документ призван помочь организациям
понять, как правильно определять, оценивать и приоритизировать риски,
угрожающие их информационной инфраструктуре.

22. NIST SP 800 Series

Основные идеи SP 800-30 сосредоточены вокруг следующего:
• Выявления и описания информационных активов, подлежащих защите.
• Классификации угроз и уязвимостей, влияющих на активы.
• Количественного и качественного анализа воздействий и вероятностей
наступления нежелательных событий.
• Установления приоритетов для разработки контрмер и дальнейшего
планирования мер безопасности.
Отчет предлагает два метода оценки рисков:
1.
2.
Базовая методика оценки рисков, которая предполагает простой подход к
классификации угроз и установлению приоритетов на основе
качественных критериев.
Расширенный метод оценки рисков, направленный на углубленное
изучение угроз и анализ возможного ущерба на основе численных
показателей.

23. NIST SP 800 Series

Процедура оценки рисков должна включать следующие последовательные
шаги:
1.
2.
3.
4.
5.
6.
Подготовка к оценке рисков: формирование команды проекта, сбор
исходных данных и документов, установка границ исследования.
Сбор информации: исследование информационных систем, оценка их
значимости, выделение категорий и видов рисков.
Выявление угроз и уязвимостей: детальное изучение существующих угроз
и слабых сторон системы.
Проведение анализа рисков: расчёт вероятности проявления угроз и
потенциального вреда от их реализации.
Формулировка выводов и рекомендаций: выработка предложений по
устранению выявленных недостатков и подготовке к действиям по
снижению рисков.
Оформление отчета: представление итоговых материалов и рекомендаций
руководству организации.

24. NIST SP 800 Series

Многие организации используют рекомендации SP 800-30 как основу для
разработки собственных методик оценки рисков и выработки стратегий
информационной безопасности. Особенно полезным данный документ
оказывается для крупных корпораций и государственных структур, которым
необходимо учитывать широкий спектр угроз и контролировать большие
объемы информации.
Кроме того, отчёт поддерживает совместимость с другими стандартами и
инициативами, такими как ISO/IEC 27001 и Cybersecurity Framework NIST
CSF, позволяя интегрировать оценку рисков в общую систему управления
информационной безопасностью.

25. COBIT

• COBIT:
COBIT (Control Objectives for Information and Related Technologies) — это
фреймворк для управления и контроля информационных технологий (ИТ),
созданный Институтом внутренних аудиторов (ISACA). Впервые
опубликованный в 1996 году, COBIT стал одним из важнейших инструментов
для руководителей, управляющих проектами, аудиторов и консультантов,
помогающим обеспечивать эффективное управление ИТ-ресурсами и
технологиями в организациях. Последней актуальной версией на сегодняшний
день является COBIT 2019, вышедший в мае 2018 года.
COBIT представляет собой универсальный подход к управлению ИТпроцессами, позволяющий связывать потребности бизнеса с возможностями
информационных технологий. Фреймворк основан на лучших практиках и
предлагает руководство по следующим направлениям:
1. Определение ролей и обязанностей участников ИТ-процесса.
2. Оценка текущих возможностей и перспектив развития ИТинфраструктуры.
3. Управление качеством предоставляемых ИТ-сервисов.
4. Контроль и оптимизация затрат на ИТ.
5. Обеспечение прозрачности и управляемости информационных систем.

26. COBIT

Центральными концептуальными компонентами COBIT являются:
1. Принципы управления ИТ:
Представляют фундаментальные установки, регулирующие поведение и
деятельность участников ИТ-экосистемы.
2. Компоненты управления:
Определяют функциональные блоки, охватывающие всю цепочку управления
ИТ-проектами, от стратегических целей до тактических задач.
3. Набор принципов и практик:
Устанавливают стандартные критерии оценки зрелости ИТ-процессов и
формируют рекомендации по совершенствованию деятельности.
4. Система мониторинга и отчетности:
Обеспечивает обратную связь и постоянный контроль над выполнением
поставленных задач.

27. COBIT

COBIT подразделяет ИТ-функциональность на пять ключевых областей:
▪ Оценка потребностей:
понимание текущих нужд бизнеса и возможности удовлетворения их
средствами ИТ.
▪ Проектирование архитектуры:
выбор оптимального состава и конфигурации ИТ-ресурсов.
▪ Создание и приобретение:
закупка, разработка и интеграция новых ИТ-решений.
▪ Эксплуатация и поддержка:
сопровождение и обслуживание действующих систем.
▪ Мониторинг и оценка:
наблюдение за производительностью и показателями эффективности ИТпроцессов.

28. COBIT

Основное преимущество COBIT заключается в предоставлении всестороннего
инструмента для формирования прозрачной и контролируемой ИТ-стратегии.
Применение COBIT позволяет добиться следующих эффектов:
• Четкое разделение функций и полномочий между участниками процесса.
• Уменьшение издержек на поддержку и эксплуатацию ИТ-инфраструктуры.
• Увеличение удовлетворенности конечных пользователей и повышение
производительности труда.
• Привлечение внимания высшего руководства к проблемам и возможностям
ИТ.
• Снижение рисков неэффективного распределения инвестиций в ИТ.
COBIT успешно интегрируется с другими популярными методами управления
и контроля, такими как ITIL, PRINCE2 и ISO/IEC 27001, дополняя их и
расширяя функциональный потенциал.

29. COBIT

Эффективное внедрение COBIT зависит от соблюдения следующих важных
моментов:
• Руководство организации должно осознавать важность управления ИТпроцессами и оказывать активное содействие проекту.
• Все участники процесса должны пройти подготовку и понимать свое
участие в выполнении установленных требований.
• Необходимо наладить постоянные коммуникации между различными
звеньями цепи управления.
• Следует создать механизм обратной связи и оперативного реагирования на
возникающие проблемы.
Рассмотрим гипотетический пример крупной банковской организации,
внедряющей COBIT для повышения эффективности своего ИТ-подразделения.
Компания проводит предварительный анализ, выделяет главные зоны риска и
устанавливает целевые показатели. Затем создаются рабочие группы,
распределяющие обязанности и инициирующие процессы модернизации.
После завершения первого этапа внедрения выполняется тщательная оценка
достигнутых результатов и принимаются дальнейшие решения по развитию
инициативы.

30. Государственные стандарты

Государства также создают собственные стандарты, адаптированные к
специфическим условиям своей экономики и законодательной базы.
Например, в России действуют государственные стандарты ГОСТ Р
ИСО/МЭК и специальные национальные регламенты:
• ГОСТ Р ИСО/МЭК 27001—2006: соответствует международным
стандартам и используется в российском законодательстве для
сертификации предприятий и систем управления информационной
безопасностью.
• Федеральный закон №152-ФЗ “О персональных данных”: регулирует
порядок обработки персональных данных и требует соблюдения
определённых мер защиты информации.
• Указ Президента РФ №313 “Об утверждении Доктрины информационной
безопасности Российской Федерации”: устанавливает общие направления
развития информационной инфраструктуры государства и меры по её
защите.

31. Отраслевые стандарты

Некоторые отрасли имеют уникальные особенности, связанные с обработкой
чувствительной информации, что потребовало разработки
специализированных стандартов:
• PCI DSS (Payment Card Industry Data Security Standard): применяется
компаниями, занимающимися платежными операциями, такими как банки
и ритейлеры, обеспечивая защиту данных платежных карт клиентов.
• HIPAA (Health Insurance Portability and Accountability Act): регламентирует
использование и передачу медицинских данных в США, устанавливая
строгие требования к обеспечению конфиденциальности и безопасности.
• FIPS (Federal Information Processing Standards): применяются
федеральными органами власти США для стандартизации методов
шифрования и криптографии.

32. Специализированные методики и протоколы

Помимо общих стандартов, существуют специализированные подходы и
протоколы, используемые для конкретных целей информационной
безопасности:
• TLS (Transport Layer Security): протокол защищённого соединения,
используемый в веб-приложениях и электронной почте для
предотвращения перехвата трафика.
• PKI (Public Key Infrastructure): инфраструктура открытых ключей,
обеспечивающая аутентификацию пользователей и целостность
передаваемых сообщений.
• DMARC (Domain-based Message Authentication, Reporting & Conformance):
предназначен для борьбы с мошенническими письмами и фальсификацией
доменов отправителей.

33. Значение стандартов и спецификаций

Стандартизация является ключевым фактором повышения уровня доверия к
организациям и снижает риски утечек данных. Применение стандартов
позволяет предприятиям повысить уровень защищённости своих сетей и
снизить вероятность атак хакеров и инсайдеров.
Кроме того, наличие признанных сертификатов соответствия стандартам
способствует повышению конкурентоспособности компаний на
международном рынке.
Однако соблюдение стандартов не гарантирует абсолютной защиты. Важно
регулярно обновлять систему управления информационной безопасностью,
проводить оценку рисков и внедрять новые технологии и методы защиты.
Таким образом, стандарты и спецификации являются важнейшими
инструментами обеспечения информационной безопасности, помогающими
защитить критически важные активы организаций и поддерживать доверие
потребителей и партнёров.

34. Благодарю за внимание