Эта и ещё 2 книги за 399 ₽
По абонементу вы каждый месяц можете взять из каталога одну книгу до 700 ₽ и две книги из персональной подборки. Узнать больше
Оплачивая абонемент, я принимаю условия оплаты и её автоматического продления, указанные в оферте
Описание книги
Данную книгу можно назвать практической энциклопедией. В ней дан максимальный охват проблематики обеспечения информационной безопасности, начиная с современных подходов, обзора нормативного обеспечения в мире и в России и заканчивая рассмотрением конкретных направлений обеспечения информационной безопасности (обеспечение ИБ периметра, противодействие атакам, мониторинг ИБ, виртуальные частные сети и многие другие), конкретных аппаратно-программных решений в данной области. Книга будет полезна бизнес-руководителям компаний и тем, в чью компетенцию входит решение технических вопросов обеспечения информационной безопасности.
2-е издание, переработанное и дополненное
Подробная информация
- Возрастное ограничение:
- 0+
- Дата выхода на ЛитРес:
- 10 мая 2013
- Дата написания:
- 2010
- Объем:
- 450 стр. 182 иллюстрации
- ISBN:
- 978-5-9614-1364-9
- Правообладатель:
- Центр Исследований Платежных Систем и Расчетов
- Оглавление
Книга В. В. Андрианова «Обеспечение информационной безопасности бизнеса» — скачать в fb2, txt, epub, pdf или читать онлайн. Оставляйте комментарии и отзывы, голосуйте за понравившиеся.
Цитаты 12
Когда нет физических угорз, то и физическая защита не нужна, а вот информационная — нужна всегда.
+2BonnoittPyrite_LiveLib
Когда нет физических угорз, то и физическая защита не нужна, а вот информационная — нужна всегда.
Теряются материальные ценности, приобретается знание. Теряется время, приобретается поэтическое состояние души. Уходит забота, приходит радость.
+1BonnoittPyrite_LiveLib
Теряются материальные ценности, приобретается знание. Теряется время, приобретается поэтическое состояние души. Уходит забота, приходит радость.
Любая организация создается и функционирует для реализации каких-либо задач.
0BonnoittPyrite_LiveLib
Любая организация создается и функционирует для реализации каких-либо задач.
В теории нет разницы между теорией и практикой, а на практике есть.
0BonnoittPyrite_LiveLib
В теории нет разницы между теорией и практикой, а на практике есть.
Если организация располагает неограниченным ресурсом, то проблемы управления для обеспечения информацинной безопасности ее бизнеса не существует.
0BonnoittPyrite_LiveLib
Если организация располагает неограниченным ресурсом, то проблемы управления для обеспечения информацинной безопасности ее бизнеса не существует.
Ещё 5 цитат
Оставьте отзыв
Данную книгу можно назвать практической энциклопедией. В ней дан максимальный охват проблематики обеспечения информационной безопасности, начиная с современных подходов, обзора нормативного обеспечения в мире и в России и заканчивая рассмотрением конкретных направлений обеспечения информационной безопасности (обеспечение ИБ периметра, противодействие атакам, мониторинг ИБ, виртуальные частные сети и многие другие), конкретных аппаратно-программных решений в данной области. Книга будет полезна бизнес-руководителям компаний и тем, в чью компетенцию входит решение технических вопросов обеспечения информационной безопасности.
Фрагмент текстового слоя документа размещен для индексирующих роботов.
Для полноценной работы с документом, пожалуйста, перейдите в
ридер.
ОБЕСПЕЧЕНИЕ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ БИЗНЕСА 2-е издание, переработанное и дополненное Москва 2011 П А Б Л И Ш Е Р З
УДК 65.012.8 ББК 65.290.4с51 А65 ISBN 978-5-9614-1364-9 © ООО «Центр исследований платежных систем и расчетов», 2010 © ООО «Альпина», 2010 А65 Андрианов В.В. Обеспечение информационной безопасности бизнеса / В. В. Андрианов, С. Л. Зефиров, В. Б. Голованов, Н. А. Голдуев. — 2-е изд., перераб. и доп. — М.: Альпина Паблишерз, 2011. — 373 с. ISBN 978-5-9614-1364-9 Данную книгу можно назвать практической энциклопедией. В ней дан максимальный охват проблематики обеспечения информационной безопас- ности, начиная с современных подходов, обзора нормативного обеспечения в мире и в России и заканчивая рассмотрением конкретных направлений обеспечения информационной безопасности (обеспечение ИБ периметра, противодействие атакам, мониторинг ИБ, виртуальные частные сети и мно- гие другие), конкретных аппаратно-программных решений в данной области. Книга будет полезна бизнес-руководителям компаний и тем, в чью компетен- цию входит решение технических вопросов обеспечения информационной безопасности. УДК 65.012.8 ББК 65.290.4с51 Все права защищены. Никакая часть этой книги не может быть воспроизведена в какой бы то ни было форме и каки- ми бы то ни было средствами, включая размещение в сети Интернет и в корпоративных сетях, а также запись в па- мять ЭВМ для частного или публичного использования, без письменного разрешения владельца авторских прав. По вопросу организации доступа к электронной библиоте- ке издательства обращайтесь по адресу lib@alpinabook.ru. Под общей редакцией А.П. Курило Руководитель проекта по маркетингу и рекламе М.Г. Ручкина
Содержание Предисловие А. А. Стрельцова ...................................................................................................7 Предисловие С. П. Расторгуева ..............................................................................................11 Введение.................................................................................................................................................17 1. Философия информационной безопасности бизнеса .................................25 1.1. Бизнес и информация .................................................................................................25 1.1.1. Информационная сущность бизнеса ..................................................25 1.1.2. Информационные характеристики бизнеса ..................................27 1.1.3. Уязвимости процессов накопления знаний (самообучения) ...............................................................................................29 1.1.4. Определение информационной безопасности ................................33 1.2. Материальные и нематериальные (информационные) аспекты бизнеса .................................................................................................................................34 1.2.1. Общая структура информационной сферы. Связь с материальным миром ..............................................................34 1.2.2. Правовая среда бизнеса и ее свойства ...............................................40 1.2.3. Учредительная и лицензионная база организации ....................41 1.2.4. Отражение материального мира ........................................................41 1.2.5. Внутренняя нормативная база организации ...............................44 1.2.6. Информационная сфера — главный источник рисков бизнеса ......................................................46 1.3. Модель информационной безопасности бизнеса .......................................49 1.3.1. Мотивация ........................................................................................................49 1.3.2. Риски, рисковые события, ущербы и уязвимости. Полезные для построения моделей свойства .....................................................52 1.3.3. Обобщенная модель распределения ресурсов организации в условиях рисков .............................................................54
ОБЕСПЕЧЕНИЕ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ БИЗНЕСА 1.3.4. Ущербы и негативные последствия ....................................................57 1.3.5. Риск-ориентированный подход к обеспечению ИБ ......................60 1.3.6. Модель с изменением цели ........................................................................65 1.3.7. Об идентификации событий ИБ ..........................................................66 1.3.8. Предварительный анализ .........................................................................71 1.3.9. Накопление знаний .......................................................................................72 1.3.10. Интерпретация характеристик риска для управления ИБ .......................................................................................75 1.3.11. Общая модель обеспечения ИБ бизнеса .............................................78 1.3.12. Проблемы практической реализации модели обеспечения ИБ организации ..................................................................82 2. Существующие модели менеджмента (управления), применимые для обеспечения информационной безопасности бизнеса ..................................................................................................................87 2.1. Модели непрерывного совершенствования ..................................................87 2.1.1. Модели непрерывного совершенствования и корпоративное управление ........................................................................................................87 2.1.2. Вопросы реализации моделей непрерывного совершенствования и процессного подхода в организации ..................................................................................................95 2.1.3. Модели непрерывного совершенствования и международные стандарты ...........................................................102 2.2. Стандартизированные модели менеджмента. Аспекты контроля и совершенствования. Интеграция .......................105 2.2.1. Стандартизированные модели менеджмента в системе корпоративного управления ........................................105 2.2.2. Универсальные требования к стандартам на системы менеджмента ...................................................................115 2.2.3. Шаги реализации стандартной СМИБ организации ....................................................121 2.2.4. Реализация моделей менеджмента в целевых задачах организации («частные менеджменты») .................139 2.3. Модели COSO, COBIT, ITIL .....................................................................................144 2.4. Контроль и аудит (оценки, измерения) в моделях менеджмента (управления) .................................................................................................................159
Содержание 5 3. Оценка информационной безопасности бизнеса. Проблема измерения и оценивания информационной безопасности бизнеса ....................................................................169 3.1. Способы оценки информационной безопасности ..................................169 3.2. Процесс оценки информационной безопасности ...................................173 3.2.1. Основные элементы процесса оценки..............................................173 3.2.2. Контекст оценки информационной безопасности организации ............................174 3.2.3. Мероприятия и выходные данные процесса оценки ................178 3.2.4. Способы измерения атрибутов объекта оценки .....................190 3.3. Применение типовых моделей оценки на основе оценки процессов и уровней зрелости процессов для оценки информационной безопасности .................................................................................................................197 3.3.1. Модель оценки информационной безопасности на основе оценки процессов ...................................................................197 3.3.2. Оценка информационной безопасности на основе модели зрелости процессов ............................................204 3.4. Риск-ориентированная оценка информационной безопасности ........................................................................210 4. Проблема персонала в задачах обеспечения информационной безопасности бизнеса ...............................................................................................................215 4.1. Общие сведения ..........................................................................................................215 4.1.1. Тенденции.........................................................................................................215 4.1.2. Термины и определения ...........................................................................217 4.1.3. Общая характеристика угроз ............................................................220 4.1.4. Примеры инцидентов ...............................................................................223 4.2. Формализованное представление угроз ИБ от персонала .................234 4.2.1. Цели моделирования угроз ....................................................................234 4.2.2. Типология инцидентов ............................................................................235 4.2.3. Факторная модель .....................................................................................240 4.2.4. Некоторые модели угроз ............................................................................273 4.2.5. Внешние сообщники внутреннего злоумышленника ..............275 4.2.6. Типология мотивов ...................................................................................277 4.2.7. Сговор ................................................................................................................278
ОБЕСПЕЧЕНИЕ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ БИЗНЕСА 4.2.8. Деятельность внутреннего злоумышленника с точки зрения формальных полномочий ....................................278 Управление идентификационными данными и доступом (IBM Восточная Европа/Азия) ................................279 4.3. Противодействие угрозам ИБ от персонала .............................................291 4.3.1. Общий подход к противодействию ..................................................291 4.3.2. Обеспечение осведомленности персонала в области ИБ ........ 293 4.3.3. Получение информации от сотрудников организации .........293 4.3.4. Организационные аспекты ...................................................................294 4.3.5. Скрытность противодействия .........................................................294 4.3.6. Управление системой ролей ..................................................................295 4.3.7. Программно-технические средства защиты от утечек информации ..........................................................................310 4.3.8. Расследование инцидентов ....................................................................310 4.3.9. Раскрытие информации об инцидентах .......................................312 1. Приложение ............................................................................................................................315 Архитектура стандартов защиты информации и обеспечения информационной безопасности ........................................................................315 Общие сведения ..............................................................................................................315 2. Приложение ............................................................................................................................331 Подходы к формированию нормативного обеспечения системы информационной безопасности организации ..........................................331 Обзор современных средств управления доступом (ЗАО «Инфосистема Джет») ..................................................................................346 3. Приложение (справочное) .............................................................................................351 Примеры метрик для измерения атрибутов ...............................................351 4. Приложение ............................................................................................................................361 ЗАО «ЕС-лизинг» .....................................................................................................................361 5. Приложение ...........................................................................................................................367 Монитор TopCM ......................................................................................................................367 Список литературы .....................................................................................................................369 Участники проекта «Обеспечение информационной безопасности бизнеса» ...............................372
Предисловие А. А. Стрельцова Среди множества проблем социально-экономического развития России в условиях формирования глобального постиндустриального общества заметное место занимает организация устойчивого функционирования и безопасности использования информационных систем и информацион- но-коммуникационных сетей, обеспечивающих экономическую деятель- ность. По мере усложнения информационной инфраструктуры бизнеса влияние данного фактора на результаты деятельности коммерческих ор- ганизаций будет возрастать. Это наглядно видно на примере развития экономики США, для которых обеспечение компьютерной безопасности стало одним из национальных приоритетов XXI в. Проблема обеспечения информационной безопасности бизнеса имеет много аспектов, но все они так или иначе объединены необходимостью стандартизации принимаемых решений — своеобразной платой за преодо- ление «проклятия размерности», порождаемого сложностью управляемых процессов. Предлагаемая вниманию читателей книга «Обеспечение информацион- ной безопасности бизнеса» посвящена рассмотрению стандартов обеспече- ния информационной безопасности коммерческой организации, представ- ляющей собой основного субъекта экономики общества. В данном случае стандарты — это прежде всего система правил поведения лиц, участвующих в принятии и реализации решений по построению системы обеспечения информационной безопасности организации. С этой точки зрения стандар- ты являются важным элементом культуры постиндустриального общества, оказывающей непосредственное влияние на эффективность экономической деятельности не только организации, но и общества в целом. Установление стандартов поведения и следование им — важный показатель социальной зрелости общества и общей культуры его членов. Стандарты являются той основой культуры массового производства и потребления, без которой рас- ширение специализации в осуществлении производственной деятельности и потребления ее продуктов, на которых наряду с частной инициативой базируется глобальная экономика мира, было бы невозможным.
ОБЕСПЕЧЕНИЕ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ БИЗНЕСА Как показывает опыт, одной из наиболее сложных проблем обеспечения информационной безопасности является объяснение руководителю орга- низации в доходчивой форме, чем именно занимается коллектив специ- алистов по информационной безопасности, почему на эту работу нужно тратить значительные финансовые и иные ресурсы, чего именно можно ожидать в результате этих затрат и как он лично может убедиться в том, что выделенные ресурсы не потрачены впустую. Подобные вопросы воз- никают не только на уровне руководства организации, но и на уровне многих руководителей федерального, регионального и местного масшта- ба. Предлагаемая вниманию читателей книга делает существенный шаг вперед в поиске ответов на эти вопросы. Книга подготовлена авторским коллективом, члены которого обладают большим опытом практической работы по решению сложных проблем обеспечения информационной безопасности в различных сферах эконо- мической деятельности. Авторы предприняли попытку поставить и решить задачу развития стандартов обеспечения информационной безопасности применительно к деятельности коммерческой организации, увязать связанные с этим во- просы с бизнес-процессами, которые для любой коммерческой организа- ции являются приоритетными. Предлагаемый авторами подход к стандар- тизации процессов обеспечения информационной безопасности органи- зации базируется на результатах философского осмысления проблемы, ее сущности, а кроме того, на возможных проявлениях в реальной жизни и на разработке структурированных описаний (схем-моделей) стандарти- зируемых процессов. Структурно работа состоит из четырех разделов основного материала и приложений. В первом разделе на основе изучения роли и места информации в биз- нес-процессах, а также анализа видов информации, в которых данные процессы проявляются (учредительная и лицензионная база организации, правовая сфера бизнеса, внутренняя нормативная база организации, внеш- няя и внутренняя отчетность, материальные и информационные активы и т. п.), разработана обобщенная схема — модель информационной без- опасности бизнеса. Данная модель основана на анализе источников воз- никновения рисков снижения эффективности бизнеса, возникающих в ин- формационной сфере организации. На основе анализа известных схем — моделей осуществления менед- жмента разработана схема — модель управления процессами обеспечения информационной безопасности организации или управления рисками
нарушения ее информационной безопасности. Данная схема представлена во втором разделе. С учетом устоявшегося подхода к унификации описаний процессов менеджмента предложено стандартизованное описание системы менеджмента информационной безопасности организации, а также реа- лизации ее отдельных составляющих (менеджмента рисков, инцидентов, активов, документов и т. п.). Возможные методики оценки уровня информационной безопасности организации и примеры их использования рассмотрены в третьем разделе. В четвертом разделе основное внимание сосредоточено на исследова- нии проблем противодействия «внутренним» угрозам информационной безопасности, исходящим от сотрудников организации. Предложена соот- ветствующая модель угроз и рассмотрены возможные меры по противо- действию этим угрозам. В приложении приведены справочные материалы по архитектуре стан- дартов защиты информации и обеспечения информационной безопасности и др., а также изложены подходы к формированию нормативного обеспе- чения системы информационной безопасности организации. Практическая значимость книги заключается в том, что в ней с единых методологических позиций рассмотрены проблемы формирования систе- мы обеспечения информационной безопасности организации как упоря- доченной совокупности нормативных, организационных и технических решений, позволяющих не только обеспечить противодействие угрозам нарушения информационной безопасности, но и повысить прозрачность процесса построения и функционирования таких систем. Предложенные в книге выводы и рекомендации базируются на анали- зе конкретных нормативных и методических материалов, подкрепляются наглядными иллюстрациями и обладают значительным потенциалом даль- нейшего развития. Материалы книги будут полезны ученым и специалистам, занимаю- щимся вопросами обеспечения информационной безопасности организа- ций, а также студентам, изучающим соответствующие учебные курсы. А. А. Стрельцов, профессор, заслуженный деятель науки Российской Федерации, доктор технических наук, доктор юридических наук Предисловие А. А. Стрельцова 9
Предисловие С. П. Расторгуева Проблема обеспечения информационной безопасности — вечная про- блема, и она будет вечной до тех пор, пока под безопасностью мы будем понимать состояние или ощущение защищенности интересов (целей) организации в условиях угроз. Почему? Потому что состояние защищен- ности — это субъективное понятие. У волка оно одно, а у овцы — со- всем другое. В случае же человека или социума все еще гораздо сложнее, и в общем случае никогда нельзя сказать, чем все это дело закончится, как в известной даосской притче про старика (http://pritchi.castle.by/ ras-14-1.html): «Жил в одной деревне старик. Был он очень беден, но все императоры завидовали ему, потому что у него был прекрасный белый конь. Никто никогда не видел подобного коня, отличавшегося красотой, статью, силой… Ах, что за чудо был этот конь! И императоры предлагали хозяину за коня всё, что только бы он пожелал! Но старик говорил: “Этот конь для меня не конь, он — личность, а как можно продать, скажите на милость, личность? Он — друг мне, а не собственность. Как же можно продать друга?! Невозможно!” И хотя бедность его не знала пределов, а соблазнов продать коня было немыслимое количество, он не делал этого. И вот однажды утром, зайдя в стойло, он не обнаружил там коня. И со- бралась вся деревня, и все сказали хором: “Ты — глупец! Да мы все заранее знали, что в один прекрасный день этого коня украдут! При твоей-то бед- ности хранить такую драгоценность!.. Да лучше бы ты продал его! Да ты бы получил любые деньги, какие бы ни запросил, — на то и императоры, чтобы платить любую цену! А где теперь твой конь? Какое несчастье!” Старик же сказал: “Ну-ну, не увлекайтесь! Скажите просто, что коня нет в стойле. Это — факт, все же остальное — суждения. Счастье, несча- стье… Откуда вам это знать? Как вы можете судить?” Люди сказали: “Не обманывай! Мы, конечно, не философы. Но и не на- столько дураки, чтобы не видеть очевидного. Конь твой украден, что, ко- нечно же, несчастье!” Старик ответил: “Вы — как хотите, а я буду придер- живаться такого факта, что раз стойло пусто, то коня там нет. Другого же
ОБЕСПЕЧЕНИЕ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ БИЗНЕСА я ничего не знаю — счастье это или несчастье, потому что это всего лишь маленький эпизод. А кто знает, что будет потом?” Люди смеялись. Они решили, что старик от несчастья просто рехнулся. Они всегда подозревали, что у него не все дома: другой бы давно продал коня и зажил как царь. А он и в старости оставался дровосеком: ходил в лес, рубил дрова, собирал хворост, продавал его и еле-еле сводил концы с концами, живя в бедности и нищете. Ну а теперь стало очевидным, что он — сумасшедший. Но через пятнадцать дней конь неожиданно вернулся. Он не был укра- ден, он сбежал в лес. И вернулся не один, но привел с собой дюжину диких лошадей. И снова собрались люди и сказали: “Да, старик, ты был прав! Это мы — глупцы! Да он и впрямь счастье! Прости нашу глупость милосердно!” Старик ответил: “Да что вы, ей-богу! Ну вернулся конь. Ну лошадей привел — так что ж? Не судите! Счастье, несчастье — кто знает?! И это лишь маленький эпизод”…» и так далее… Таких маленьких эпизодов бы- ло очень много в жизни этого старика, как их много и у каждого из нас. Поражение — это не всегда поражение. Оно только сейчас поражение, но благодаря ему приобретается мудрость, опыт и сноровка, которые ста- новятся основой будущих побед. А обещанная мудрость — это разве по- ражение? Если мудрость — это плата за поражение, то что же тогда по- ражение? Теряется одно, приобретается совсем другое. Теряются матери- альные ценности, приобретается знание. Теряется время, приобретается поэтическое состояние души. Уходит забота, приходит радость. В свете сказанного думается, что проблема безопасности, и инфор- мационной безопасности в частности, — вечная проблема, которая если и решается, то только на короткое мгновение, пока у субъекта соответ- ствующее состояние души или, проще говоря, определенное состояние защищенности. Но из этого многопараметрического пространства, в ко- тором единственным критерием, благословляющим на деятельность, является состояние субъекта, есть один правильный выход. Этот выход называется «сужение области исследования». Именно этим путем пошли авторы книги, назвав ее «Обеспечение информационной безопасности бизнеса». При таком подходе появляется способ измерить это самое ми- фическое состояние защищенности, которое теперь меряется совсем просто — скоростью изменения активов. В этой ситуации становится понятным, что такое ущерб и какими могут быть риски. Задача приоб- ретает реальные очертания, и появляются вполне материальные крите- рии, которыми можно оперировать, используя классический инструмен- тарий.
Предисловие С. П. Расторгуева 13 Вот только для случая информационной безопасности этот классиче- ский инструментарий уже несколько иной. А иной потому, что использу- ется в других условиях. В условиях, когда человечество погрузилось в ин- формационную эпоху и между человеком и человеком прочно встало техническое средство, способное генерировать, усиливать и блокировать любые информационные потоки. Более того, даже угрозы в этих услови- ях выглядят уже по-другому, их значимость смещается от угроз типа «укра- дут информацию» к угрозам «навяжут информацию». Потому что если информацию навяжут, то тем самым навяжут и внешнее скрытое управ- ление. Понятно, что состояние защищенности у человека, отдыхающего на пляже Сочи, и человека, защищенного броней танка, но который идет в атаку, разные. Хотя во втором случае сверху целый слой брони и под- держка огневой мощи. Когда нет физических угроз, то и физическая защита не нужна, а вот информационная — нужна всегда. Поэтому совершенно правильно авторы акцентируют основное внимание на угрозах информационной безопас- ности. Ибо получение информации и на ее основе изменение знания — постоянный процесс. Если под знанием понимать совокупность сведений, выраженную в структуре системы и функциональных элементах этой структуры, то становится понятным, как определенные структурные мо- дификации могут приводить систему чуть ли не к полному разрушению. И чем значимее информация для принятия решений, тем важнее грамот- но построенная система обеспечения информационной безопасности, га- рантирующая устойчивость развивающегося знания от угроз в информа- ционной сфере. Целью информационной угрозы является активизация действий, от- ветственных за нарушение привычного или запланированного режима функционирования, т. е. за вывод системы за пределы допустимого ре- жима функционирования, либо отказ системы от определенных действий и / или ресурсов, необходимых для достижения собственных целей. Здесь и далее под допустимым режимом функционирования понимается такое функционирование информационной системы, которое обеспечено не- обходимыми материальными ресурсами для достижения поставленной цели. В информационную эпоху реализация угрозы в большинстве слу- чаев осуществляется через искажение адекватности модели миру. Этой проблеме посвящено достаточно материалов данной книги, и это пра- вильно. Система не всегда способна в реальном времени понять, явля- ется ли конкретное сообщение угрозой. Так, например, по сообщениям
ОБЕСПЕЧЕНИЕ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ БИЗНЕСА американской прессы, предупреждения о террористическом акте 11 сен- тября 2001 года были у спецслужб за несколько дней до трагедии, но им не придали нужного значения. Они не соответствовали той модели ми- ра, которая именно в тот момент была доминирующей у аналитиков. В свое время противник, окружив город и устраиваясь на ночлег, раз- жигал костры. В пределах видимости с крепостных стен у каждого костра располагалось по 5–7 воинов. А дальше, за пределами видимости, — по од- ному человеку у костра. Для «умных», умеющих считать и делать выводы, численность армии мгновенно увеличивалась в несколько раз. Получает- ся, что всегда возможны ситуации, когда «умным» быть опасно, ибо во мно- гом факт того, что сообщения нарушают адекватность модели мира, за- висит от самого информационного субъекта, от созданной им модели мира, от его образа мира. Любое живое существо всегда имеет несколько каналов получения информации, которые частично подстраховывают друг друга. Точно так же любая сложная социальная система: фирма, государство, — также имеет несколько независимых каналов сбора информации об окружаю- щем мире и о самой себе. Определенный параллелизм присутствует и при обработке информации аналитическими центрами. И только в том случае, если результаты и рекомендации совпадают, система «может счи- тать», что ее модель мира адекватна миру. Однако в случае серьезного целенаправленного информационного «продавливания» тех или иных идей, событий, сообщений происходит деформация уровня восприятия, и порой на самом деле мало значимый элемент искажает картину мира. В результате этого искажения в социуме активизируются соответствую- щие действия (алгоритмы), необходимые для их обработки. Поэтому во- просам принятия решений и уделяется все больше внимания при решении задач по обеспечению информационной безопасности, тем более в биз- несе. При этом авторы, исследуя данную проблему, специально акцентируют внимание на следующем важном нюансе: не всегда следование норматив- ным требованиям (в частности, ИСО серии 9000) повышает эффективность бизнеса и защиты этого самого бизнеса. Порой эти требования увеличи- вают объемы отчетных формализованных материалов, за которыми может и ничего не стоять. Мне же хотелось добавить к сказанному еще и то опасение, что если конкурент знает, чем вы пользуетесь (каким инструментом), что делаете (какие процессы) и как делаете (в рамках каких регламентов), то для него проще организовать скрытое управление вами.
Данную книгу можно назвать практической энциклопедией. В ней дан максимальный охват проблематики обеспечения информационной безопасности, начиная с современных подходов, обзора нормативного обеспечения в мире и в России и заканчивая рассмотрением конкретных направлений обеспечения информационной безопасности (обеспечение ИБ периметра, противодействие атакам, мониторинг ИБ, виртуальные частные сети и многие другие), конкретных аппаратно-программных решений в данной области. Книга будет полезна бизнес-руководителям компаний и тем, в чью компетенцию входит решение технических вопросов обеспечения информационной безопасности.
2-е издание, переработанное и дополненное
Скачать или читать онлайн книгу Обеспечение информационной безопасности бизнеса
На этой странице свободной электронной библиотеки fb2.top вы можете ознакомиться
с описанием книги «Обеспечение информационной безопасности бизнеса» и другой информацией о ней, а затем начать
читать книгу онлайн с помощью читалок, предлагаемых по ссылкам под постером, или
скачать книгу в формате fb2 на свой смартфон, если вам больше по вкусу сторонние
читалки. Книга написана авторами Владимир Васильевич Андрианов,
Сергей Львович Зефиров,
Владимир Борисович Голованов,
Николай Александрович Голдуев,
относится к жанру Экономика,
добавлена в библиотеку 02.05.2012.
С произведением «Обеспечение информационной безопасности бизнеса» , занимающим объем 266 печатных страниц,
вы наверняка проведете не один увлекательный вечер. В онлайн читалках,
которые мы предлагаем посетителям библиотеки fb2.top, предусмотрен ночной режим
чтения, который отлично подойдет для тёмного времени суток и чтения перед сном.
Помимо этого, конечно же, можно читать «Обеспечение информационной безопасности бизнеса» полностью в
классическом дневном режиме или же скачать книгу на свой смартфон в удобном
формате fb2. Желаем увлекательного чтения!
Обеспечение информационной безопасности бизнеса
Данную книгу можно назвать практической энциклопедией. В ней дан максимальный охват проблематики обеспечения информационной безопасности, начиная с современных подходов, обзора нормативного обеспечения в мире и в России и заканчивая рассмотрением конкретных направлений обеспечения информационной безопасности (обеспечение ИБ периметра, противодействие атакам, мониторинг ИБ, виртуальные частные сети и многие другие), конкретных аппаратно-программных решений в данной области. Книга будет полезна бизнес-руководителям компаний и тем, в чью компетенцию входит решение технических вопросов обеспечения информационной безопасности.
Все права защищены. Никакая часть этой книги не может быть воспроизведена в какой бы то ни было форме и какими бы то ни было средствами, включая размещение в сети Интернет и в корпоративных сетях, а также запись в память ЭВМ для частного или публичного использования, без письменного разрешения владельца авторских прав. По вопросу организации доступа к электронной библиотеке издательства обращайтесь по адресу [email protected].
Отрывок из произведения:
Среди множества проблем социально-экономического развития России в условиях формирования глобального постиндустриального общества заметное место занимает организация устойчивого функционирования и безопасности использования информационных систем и информационно-коммуникационных сетей, обеспечивающих экономическую деятельность. По мере усложнения информационной инфраструктуры бизнеса влияние данного фактора на результаты деятельности коммерческих организаций будет возрастать. Это наглядно видно на примере развития экономики США, для которых обеспечение компьютерной безопасности стало одним из национальных приоритетов XXI в.
Обеспечение информационной безопасности бизнеса скачать fb2, epub, pdf, txt бесплатно
Популярные книги в жанре Околокомпьютерная литература
Оставить отзыв
Еще несколько интересных книг
Данную книгу можно назвать практической энциклопедией. В ней дан максимальный охват проблематики обеспечения информационной безопасности, начиная с современных подходов, обзора нормативного обеспечения в мире и в России и заканчивая рассмотрением конкретных направлений обеспечения информационной безопасности (обеспечение ИБ периметра, противодействие атакам, мониторинг ИБ, виртуальные частные сети и многие другие), конкретных аппаратно-программных решений в данной области. Книга будет полезна бизнес-руководителям компаний и тем, в чью компетенцию входит решение технических вопросов обеспечения информационной безопасности.
Все права защищены. Никакая часть этой книги не может быть воспроизведена в какой бы то ни было форме и какими бы то ни было средствами, включая размещение в сети Интернет и в корпоративных сетях, а также запись в память ЭВМ для частного или публичного использования, без письменного разрешения владельца авторских прав. По вопросу организации доступа к электронной библиотеке издательства обращайтесь по адресу
О книге «Обеспечение информационной безопасности бизнеса»
Данную книгу можно назвать практической энциклопедией. В ней дан максимальный охват проблематики обеспечения информационной безопасности, начиная с современных подходов, обзора нормативного обеспечения в мире и в России и заканчивая рассмотрением конкретных направлений обеспечения информационной безопасности (обеспечение ИБ периметра, противодействие атакам, мониторинг ИБ, виртуальные частные сети и многие другие), конкретных аппаратно-программных решений в данной области. Книга будет полезна бизнес-руководителям компаний и тем, в чью компетенцию входит решение технических вопросов обеспечения информационной безопасности.
2-е издание, переработанное и дополненное
На нашем сайте вы можете скачать книгу «Обеспечение информационной безопасности бизнеса» В. В. Андрианов в формате fb2, rtf, epub, pdf, txt, читать книгу онлайн или купить книгу в интернет-магазине.
Введение
Введение
В течение ряда лет мы наблюдаем, что в нашем обществе среди специалистов, так или иначе имеющих отношение к вопросам безопасности вообще и к вопросам информационной безопасности в частности, не снижается интерес к вопросам обеспечения информационной безопасности бизнеса.
Существует значительное число публикаций по различным аспектам безопасности (охрана, контроль доступа, физические аспекты безопасности, экономическая безопасность, информационная безопасность, охрана секретов, криптография, персональные данные, критические технологии, борьба с терроризмом, непрерывность бизнеса, катастрофоустойчивость, борьба с сетевыми атаками), каждое из которых в большей или меньшей степени претендует на некую точку зрения или интерпретации этого сложного вопроса применительно к бизнесу.
Следует также отметить, что общих подходов к проблеме, как правило, не формулируются, каждый рассматриваемый и анализируемый аспект отражает только профессиональные предпочтения специалистов.
В целом для ситуации характерен узкоспециализированный подход, взгляд на проблему сквозь призму профессиональных приверженностей, что никогда и нигде не способствовало пониманию вопроса и в конечном итоге — делу.
В этом многоголосии практическому специалисту, который реально занимается вопросами обеспечения безопасности собственной организации, достаточно сложно ориентироваться, найти ответы на возникающие вопросы, выработать правильный путь деятельности. Это подтверждают острота и накал дискуссий вспыхивающих практически по любому вопросу, как сейчас, например, по проблеме персональных данных.
Следует сказать, что наша страна в целом ориентируется на экономическую открытость, взаимодействие с западным бизнесом, нужна платформа для такого взаимодействия и в этом направлении сделаны настоящие революционные шаги — высшее руководство государства сформулировало задачу модернизации экономики. Один из практических шагов на этом пути — широкое использование зарубежных стандартов и лучших практик там, где до настоящего времени не удалось создать современных российских регламентов, стандартов и правил. С этой целью приняты соответствующие поправки в Федеральный закон «О техническом регулировании».
Остро встал вопрос трансграничного взаимодействия экономических субъектов, а также институтов государств. Для такого взаимодействия также нужны универсальные правила, понятные, приемлемые и одинаково применимые в странах, где находятся субъекты этих отношений.
На этом фоне безопасность, как специфическая отрасль знаний и еще более специфическая научная дисциплина, переживает исключительно динамичный этап развития.
Коротко напомним этапы ее развития.
На протяжении тысяч лет под обеспечением безопасности информации понималась исключительно задача обеспечения ее конфиденциальности. Были испробованы разные способы обеспечения конфиденциальности — от тайнописи и использования незнакомого иностранного языка для скрытия информации от недруга до отрезания языка носителю информации, что было, видимо, эффективно в условиях, когда письменностью владели единицы людей и онемевший носитель не мог передать никому свое знание секрета. В итоге конкуренции методов обеспечения конфиденциальности развилось и победило новое научное направление — криптография, в котором работали и работают выдающиеся математики как прошлого, так и современности. Это направление получило два толчка в XX веке — радио представило новую возможность передачи информации по «эфиру», и сразу возникла необходимость передавать по открытым «эфирным» каналам большие объемы конфиденциальной информации, а несколько позже появились вычислительные машины, сначала аналоговые, несколько позже электронные, которые сразу были использованы для решения двух задач: создание эффективных шифров и алгоритмов и их «взлом».
Широкое применение во время Второй мировой войны авиацией и флотом фашистской Германии шифровального оборудования — роторных шифровальных машин «Энигма», с одной стороны, и необходимость повышения эффективности боевых действий союзников на суше и операций по борьбе с фашистскими подводными лодками, представлявшими крайне серьезную угрозу, — с другой, породили новые направления в радиоразведке и технической защите информации.
Это была борьба за повышение качественных показателей систем дешифрования, пеленгации и радиоразведки, в том числе и путем использования слабостей (уязвимостей) технического оборудования, как, например, попыток пеленгации германских лодок по излучениям гетеродинов их приемников, а с другой — борьба с побочными излучениями радиоприемников, позднее ЭВМ, паразитными высокочастотными генерациями усилителей, и наводками в цепи питания шифровальных машин. Первые опыты по исследованию побочных электромагнитных излучений электронного оборудования ставились еще в фашистской Германии во время войны. Таким образом, техническая защита информации как классическая техническая отрасль деятельности в составе перечисленных направлений сформировалась около 70 лет назад. Возраст солидный. При этом следует отметить, что в этой парадигме доминирует инженерный, «радиотехнический», строго детерминированный подход. В этой системе взглядов таких понятий, как «риск», «право субъекта на выбор приемлемых защитных мер под возникающую ответственность», «проактивные меры защиты», просто не существовало и не могло существовать.
Следующий толчок в развитии проблемы дало широкое внедрение в практическую жизнь средств вычислительной техники в 1960-1970-е гг. В это время сервисы информатизации, которые ранее были уделом узкого круга специалистов, стали доступны широким слоям обычных людей, в основном работникам фирм и организаций. От основного, военного направления в криптографии возникла боковая ветвь — гражданская криптография, направленная кроме основных традиционных целей на обеспечение целостности несекретной информации.
И наконец, в 1980-е гг. все существенно изменилось в связи с появлением персональных ЭВМ и чуть позже — возникновением сети Интернет.
В середине 1970-х гг. в связи с созданием крупных баз данных и переводом все больших объемов информационных ресурсов в цифровую форму в проблеме защиты информации наметился сдвиг от инженерного подхода к вопросам информатики в область управления доступом к вычислительным и информационным ресурсам, что нашло отражение в итоге в создании в США знаменитой «оранжевой книги», использованной впоследствии для разработки отечественных требований по защите информации в автоматизированных системах Гостехкомиссии СССР (позднее ГТК России, сейчас ФСТЭК).
Но потенциал этой идеи в силу ее статичности был достаточно быстро исчерпан, в середин 1990-х гг. «оранжевая книга» как отжившая идея была публично сожжена, а международными экспертами в области безопасности в примерно в одно время было сформировано два направления развития — создание технических стандартов по обеспечению безопасности продуктов информационных технологий под общим названием «Общие критерии» и создание семейства стандартов качества, а в последнее время — управления, под обобщенным названием «Стандарты аудита безопасности».
Стало очевидно, что «Общие критерии» не получили широкого распространения в силу ряда причин (ограниченность сферы применения, сложность и ограниченность используемых механизмов оценок), поэтому началась их активная доработка в направлении второй группы стандартов, а сама группа стандартов аудита обогатилась концепцией «риск-ориентированного подхода», что означало фундаментальные изменения в концептуальных взглядах на проблему безопасности в целом и сдвиг проблемы защиты информации, а если точнее — информационной безопасности в сферу управления сложными техническими системами и коллективами, как эксплуатационного персонала, так и пользователей.
В последнее время в теории и практике управления возникло еще одно направление — создание стандартов управления организациями, имеющее своей целью оптимизацию внутренней структуры организации для получения максимального результата от их деятельности (реинжинринг). Появились «Стандарты управления деятельностью организаций», которые рассматривают общие вопросы управления сложно организованными коллективами людей.
Но если говорить о безопасности как научной дисциплине, то, пожалуй, впервые за все время она подверглась анализу и глубоким разносторонним исследованиям, что, по-видимому, и послужило толчком для последних разработок на базе риск-ориентированных подходов.
Целесообразно напомнить основные выводы этих исследований.
Объект защиты, т. е. то, к чему прикладываются сервисы безопасности с целью придать этому объекту важное дополнительное, изначально отсутствующее свойство — защищенность (надежность, устойчивость), представляет собой в абсолютном числе случаев сложную систему. При этом в практической жизни мы, как правило, имеем дело со сложными системами, составленными в свою очередь не из простых элементов, а сложных систем. Таким образом, мы имеем дело со «сложными системами сложных систем».
Применительно к вопросам безопасности следует учитывать следующие свойства сложных систем:
— наиболее вероятный отклик сложной системы на единичное воздействие — хаотический;
— сложная система обладает новыми иными свойствами, нежели совокупность свойств элементов, составляющих эту систему;
— отклик сложной системы на воздействие является нелинейным и изменяется в зависимости от силы этого воздействия. Новые свойства системы при слабых воздействиях могут не проявляться, поэтому нельзя с уверенностью сказать, что свойства конкретной сложной системы полностью изучены и ее поведение под воздействием мощного воздействия предсказуемо.
Безопасность как самостоятельный объект исследования также имеет некоторые фундаментальные свойства:
— безопасность никогда не бывает абсолютной — всегда есть некий риск ее нарушения, таким образом, усилия по обеспечению безопасности реально сводятся к задаче понижения уровня риска до приемлемого уровня, не более;
— измерить уровень безопасности невозможно, можно лишь косвенно его оценить, измерив соответствующие показатели, характеризующие состояние безопасности системы; в связи с этим можно говорить только о вероятности наступления того или иного события и степени его последствий, т. е. использовать для оценок уровня безопасности рисковый подход;
— наступление рискового события в общем случае предотвратить невозможно, можно лишь понизить вероятность его наступления, т. е. добиться того, что такие события будут наступать реже;
— можно также понизить степень ущерба от наступления такого события, но при этом чем реже наступает рисковое событие, тем сильнее ущерб от них;
— при любом вмешательстве в систему в первую очередь страдает ее безопасность.
Оказалось, что для анализа свойств безопасности сложных систем, состоящих из технических компонент людей, взаимодействующих друг с другом, в полной мере могут быть применены некоторые социологические и психологические правила, выведенные на основе наблюдения за развитием процессов и событий:
• Закон Парето (универсальный закон неравенства), сформулированный итальянским экономистом и социологом Вильфредо Парето в 1897 г., более известный как шутливое выражение «20 % немцев выпивает 80 % пива», в соответствии с которым первые 20 % усилий дают 80 % результатов или 80 % всех проблем порождаются человеком (персоналом) и лишь 20 % приходится на долю технического оборудования (по оценкам специалистов, эта доля может доходить до соотношения 94:6 %).
• Методологический принцип, получивший название по имени английского монаха-францисканца, философа-номиналиста Уильяма Оккама (Ockham, ок. 1285–1349), гласящий: «То, что можно объяснить посредством меньшего, не следует выражать посредством большего» (лат. Frustra fit per plura quod potest fieri per pauciora). В соответствии с ним при равной вероятности событий с различной степенью тяжести последствий, как правило, первым случается событие, степень тяжести последствий которого меньше. Из этого также следует, что злоумышленник, планируя атаку на ресурс, из всех возможных будет выбирать наиболее простой способ осуществления своих целей, а вирусы будут попадать в систему наиболее простым способом. Этот принцип следует дополнить следующим наблюдением: степень тяжести последствий растет обратно пропорционально частоте их возникновения.
• Правило связиста: связиста замечают только тогда, когда пропадает связь.
• Парадокс «крысиного короля», хорошо знакомый морякам: можно избавиться от крыс на корабле, заведя крысу — «крысоеда», но через некоторое время он даст потомство, бороться с которым будет еще сложнее. Таким образом, налицо эффект транспонирования проблемы в будущее, через точку инверсии.
Как уже отмечалось, аспектов обеспечения информационной безопасности бизнеса достаточно много, но в целом есть и ряд общих моментов, на которых следует коротко остановиться.
Ведение бизнеса всегда предполагает наличие некого первоначального капитала, актива, который вкладывается в некое «дело» с целью получения прибыли. Все остальное, не имеющее актива, к бизнесу не относится и не рассматривается.
Эффективность бизнеса тем выше, чем выше прибыль — это аксиома. На величину прибыли влияет несколько факторов, среди них выделяются наиболее существенные:
— величина внутренних издержек, в том числе на содержание коллектива и затрат на обеспечение безопасности в том числе. В результате задания неправильных требований по безопасности, величина издержек может стать настолько обременительной, что сделает бизнес не эффективным;
— качество управления собственным активом. Если кроме собственника актива или его представителя активом может управлять еще кто-то в собственных интересах, то актив может разворовываться, а бизнес — существенно ухудшаться. Пример перед глазами — хищение средств в карточных платежных системах и в системах дистанционного банковского обслуживания;
— качество работы коллектива, обеспечивающего бизнес;
— скорость реакции коллектива на внешние факторы, влияющие на бизнес, или на управляющие воздействия;
— стратегия и качество ведения самого бизнеса;
— выбранная стратегия управления рисками, в том числе экономическими рисками и рисками информационной безопасности.
Следует также отметить, что бизнес ведется, как правило, во враждебной среде, в условиях конкурентной борьбы, неблагоприятного законодательства, риска рейдерства, часто нескоординированной деятельности различных надзорных органов. Особое место в этом списке занимает криминал, стремящийся отнять или поставить под контроль прибыль от вложения активов. Наиболее в острой форме это появляется в банковском бизнесе, поскольку банки работают с самой сублимированной формой активов — деньгами, а атака на них наиболее результативна, потому что приносит быстрые и ощутимые результаты.
Поэтому все большее значение приобретает прогноз, то есть моделирование возможных рисковых ситуаций и разработка превентивных защитных мер, позволяющих избежать (отразить, уклониться) последствий от атак на бизнес или на среду, обеспечивающую использование активов, составляющих основной элемент бизнеса.
Также следует отметить, что среди всего набора угроз и рисков существует определенная иерархия, по силе воздействия и уровню катастрофичности для бизнеса угрозы серьезно различаются. Так, политические риски или риски несоответствия законодательству являются для бизнеса определяющими, так как способны вне зависимости, насколько качественно осуществляется работа по минимизации рисков информационной безопасности физически уничтожить бизнес (лишение лицензии, налоговые штрафы и т. д.). К сожалению, следует говорить и о рисках, возникавших и при взаимодействии с правоохранительными органами, например, когда в ходе расследования изымались оригиналы документов или сервера с базами данных, что неминуемо ведет к катастрофическим последствиям для организации.
С другой стороны, при абсолютно благоприятном внешнем политическом, законодательном и экономическом фоне, реализация рисков информационной безопасности может нанести субъекту бизнеса ущерб такого размера, от которого оправиться крайне сложно.
Таким образом, существует ряд рисков, включая риски информационной безопасности, ущерб от которых может быть неприемлем для субъекта бизнеса. В то же время некоторые общие риски политического, экономического и правового характера обладают «кумулятивным» эффектом и способны нанести системный ущерб, затрагивающий практически все сферы деятельности организации.
Что касается угроз информационной безопасности бизнеса, то их условно тоже можно разделить на две группы:
— традиционные угрозы безопасности информации, такие как нарушение конфиденциальности или неправомерное использование информации, реализуемые через новые механизмы, возникшие в результате использования информационных систем;
— новые угрозы, порожденные спецификой информационных систем — вирусы, сетевые атаки, нарушения функционирования и отказы разного рода, всевозможные нарушения персоналом установленных регламентов, инструкций и предписаний по эксплуатации и обслуживанию информационных систем.
Эти и другие вопросы авторы постарались рассмотреть в книге, предлагаемой вниманию читателя.
Данный текст является ознакомительным фрагментом.
Читайте также
Введение
Введение
У корпорации IBM действительно существует определенный стиль маркетинга и управления. Как и в названии этой книги, в подходе IBM к бизнесу, технологии и людям нет ничего хитроумного или сногсшибательного. Своим успехом IBM обязана тому, как и почему этот подход
Введение
Введение
«Кто владеет информацией, тот владеет миром». А где найти больше информации, чем во Всемирной информационной паутине под названием Интернет. И почему бы взять, да и не воспользоваться этой информацией нужным образом, чтобы не только приятно было, но и полезно.
Введение
Введение
В настоящий момент человечество переживает решающий, поворотный момент в своей истории. Политическая карта мира, сложившаяся после второй мировой войны, радикально перекраивается. Коммунистические догматы потеряли свою власть над умами людей Советская
ВВЕДЕНИЕ
ВВЕДЕНИЕ
Официальная пропаганда утверждает, что кризис — продукт, сделанный в США и именно просчеты экономической политики американских властей — причина всех наших российских бед. Действительно, родина кризиса — США, однако развитие кризиса в России носит гораздо
Введение
Введение
Кризис современного общества — финансовый, экономический, духовный, цивилизационный — имеет свои причины. На наш взгляд это связано и с циклическим обострением противоречий между «общественниками» — лицами особо успешными в социальной среде, в общении, и
Введение
Введение
Уважаемый читатель!Рады представить вашему вниманию книгу журнала Esquire и Александра Аузана, которая станет одной из первых книг в «Библиотеке БКС». Мир вокруг нас с каждым днем становится все сложнее, и для того, чтобы субъект этого мира, будь то человек, компания
Введение
Введение
В организации своего маленького или большого дистанционного бизнеса заинтересованы многие. Это и студенты, которые хотят получить дополнительный доход к стипендии, и молодые мамы, которые ищут возможность работать не в офисе в течение 8 часов в день, и
Введение
Введение
Практически каждый из нас каждый из нас ходит на работу. Мы проводим в трудах большую часть светового дня.И все прекрасно знают, что трудовой процесс сопровождается целым рядом правил и законов. Если согласится с тем, что человека создал труд, то придется
Введение
Введение
Менеджер – наемный управленец, начальник!
Если у вас нет ни одного подчиненного – вы не менеджер,
а максимум специалист!
Денис Шевчук
Кредитование производства и товарооборота является наиболее важной и отличительной чертой деятельности банков по сравнению с