Спецификация Internet-сообщества "Руководство по информационной безопасности предприятия"

Основные понятия

Мы приступаем к рассмотрению спецификаций Internet-сообщества, относящихся к административному и процедурному уровням информационной безопасности (см. курс "Основы информационной безопасности" [ 91 ] ). Центральное место среди них занимает "Руководство по информационной безопасности предприятия" ( [ 47 ] , [ 45 ] ), причем предшествующая (с формальной точки зрения - устаревшая) версия этой спецификации, [ 47 ] , представляется более информативной. В своем изложении мы опираемся на публикацию [ 29 ] .

Данное Руководство призвано помочь организациям, имеющим выход в Internet, сформировать политику безопасности и разработать соответствующие процедуры. В нем перечисляются вопросы и факторы, которые следует предварительно проанализировать, даются некоторые рекомендации, обсуждается ряд смежных тем. Руководство содержит лишь основные элементы, необходимые для выработки политики и процедур безопасности. Чтобы получить эффективный набор защитных средств, ответственным лицам придется принять немало решений, заключить многочисленные соглашения, и лишь после этого довести политику безопасности до сотрудников и приступить к ее реализации.

Руководство рассчитано на руководителей и системных администраторов. Основной акцент делается на политику и процедуры, необходимые для поддержки технических средств, выбранных организацией.

Слова "организация" и "предприятие" трактуются в нем как синонимы, обозначающие собственника компьютеров и иных сетевых ресурсов. В число последних входят хосты, на которых работают пользователи, а также маршрутизаторы, терминальные серверы, ПК и другие устройства, имеющие связь с Internet.

Организация может выступать в роли конечного пользователя сервисов Internet или поставщиком соответствующих услуг. Тем не менее, Руководство рассчитано в основном на конечных пользователей.

Предполагается, что организация способна создавать собственные политику и процедуры безопасности при согласии и поддержке реальных владельцев ресурсов.

Термин " системный администратор " относится к тем, кто отвечает за повседневную работу ресурсов. Администрирование может выполнять группа людей или независимая компания.

Понятие " руководитель " обозначает сотрудника организации, вырабатывающего или одобряющего политику безопасности. Часто (но не всегда) руководитель одновременно является собственником ресурсов.

Документ отвечает на вопросы о том, что входит в политику безопасности, какие процедуры необходимы для обеспечения безопасности, что нужно делать в ситуациях, угрожающих безопасности. При выработке политики следует помнить не только о защите локальной сети, но также о нуждах и требованиях других подсоединенных сетей.

Системные администраторы и руководители должны располагать сведениями о современных угрозах, связанных с ними рисках, размере возможного ущерба, а также о наборе доступных мер для предотвращения и отражения нападений.