Система управления информационной безопасностью Зеленин Станислав Сергеевич Начальник отдела ИБ, ПД ИТР и ТЗИ Иркутск 2007

Безопасность - это ответственность2 Цели Адаптация международных подходов в управлении информационной безопасностью; Формирование единого мнения по проблеме управления ИБ; Определение места СУИБ в системе менеджмента организации;

Безопасность - это ответственность3 Характеристика предприятия Иркут –лидер среди российских авиастроительных компаний, дающий 20% отечественного экспорта военной авиации Иркут –это вертикально-интегрированный холдинг, который разрабатывает, производит, продает и осуществляет послепродажное обслуживание военных и гражданских самолетов Основной продукт компании – истребитель Су-30МК, является высоко конкурентным и превосходит другие истребители на рынке по своим техническим характеристикам и цене У Корпорации самый высокий среди российских авиапроизводителей портфель заказов (3,9 млрд долл) и самое высокое соотношение портфеля заказов к выручке Иркут и РСК МиГ стали основой для создания Объединенной авиастроительной корпорации (ОАК)

Безопасность - это ответственность4 Государственная система защиты информации РФ

Безопасность - это ответственность5 Лицензирование в области защиты информации Лицензия - специальное разрешение на осуществление конкретного вида деятельности при обязательном соблюдении лицензионных требований и условий, выданное лицензирующим органом юридическому лицу или индивидуальному предпринимателю.

Безопасность - это ответственность6 Сертификация СЗИ Сертификат соответствия - документ, выданный по правилам системы сертификации для подтверждения соответствия сертифицированной продукции установленным требованиям.

Безопасность - это ответственность7 Системы сертификации СЗИ - ФАПСИ - Система сертификации средств криптографической защиты информации (утверждена генеральным директором ФАПСИ 28 октября 1993 г., зарегистрирована Госстандартом России в Государственном реестре 15 ноября 1993 г. /Свидетельство РОСС RU /) - в соответствии с Указом Президента Российской Федерации от в связи с расформированием ФАПСИ соответствующие функции переданы Федеральной службе безопасности Российской Федерации; - ФСТЭК России - Положение о сертификации средств защиты информации по требованиям безопасности информации (введено в действие приказом Председателя Гостехкомиссии России от , зарегистрировано Госстандартом России в Государственном реестре 20 марта 1995 г. /Свидетельство РОСС RU БИ00/); - ФСБ России - Положение о системах сертификации средств защиты информации по требованиям безопасности для сведений, составляющих государственную тайну (утверждено приказом ФСБ России от 13 ноября 1999 г. 564, зарегистрировано в Минюсте России 27 декабря 1999 г. 2028); - Минобороны России - Система сертификации средств защиты информации по требованиям безопасности информации (введено в действие приказом Министра обороны Российской федерации 1996 г зарегистрировано Госстандартом России в Государственном реестре в 1996 г. /Свидетельство РОСС RU ГШ00/); - СВР России - Положение о системе сертификации средств защиты информации по требованиям безопасности информации (утверждено директором СВР России , зарегистрировано Госстандартом России в Государственном реестре 15 марта 1999 г. /Свидетельство РОСС RU C300/).

Безопасность - это ответственность8 Аттестация Комплекс организационно-технических мероприятий, в результате которых посредством специального документа- «Аттестата соответствия» подтверждается, что объект соответствует требованиям стандартов или иных нормативно- технических документов по безопасности информации, утвержденных уполномоченными федеральными органами исполнительной власти.

Безопасность - это ответственность9 Международные стандарты ISO/IEC Информационные технологии. Практические правила управления информационной безопасностью. ISO/IEC Информационные технологии. Методы обеспечения безопасности. Система управления информационной безопасностью. Требования.

Безопасность - это ответственность10 История стандарта BS7799 Источник

Безопасность - это ответственность11 Проблемы существующей СУИБ Отсутствие нормативных документов по ИБ в части открытой информации; Непонимание роли и места ИТ-службы в СУИБ; Необходимость интеграции в международное сообщество (проекты по международной промышленной кооперации).

Безопасность - это ответственность12 Проект СУИБ ИАЗ Цель разработки Концепции - формирование единого мнения по проблеме управления информационной безопасностью интегрированной информационной системы управления на Предприятии и доведение данного мнения до сотрудников Предприятия. Цель развития СУИБ - организация процесса управления ИБ в соответствие с требованиями стандарта ISO/IEC и как следствие получение маркетинговых преимуществ при выпуске и ремонте авиационной техники. Область охвата проекта – ИИСУ Предприятием.

Безопасность - это ответственность13 Процессный подход в рамках СУИБ

Безопасность - это ответственность14 Результаты В настоящее время утверждена «Концепция развития системы ИБ ИИСУ ИАЗ»; Утверждена «Программа развития системы ИБ ИИСУ ИАЗ» Определено место СУИБ в общей системе менеджмента организации

Безопасность - это ответственность15 Результаты Утверждены: Политика ИБ. Антивирусный контроль. -Политика ИБ. Доступ в Интернет. - Политика ИБ. Электронная почта. - Политика ИБ. Управления паролями доступа; Политика ИБ. Базовый уровень безопасности для рабочих станций. Разарабатываются: Политика ИБ. Портативные средства ВТ. Политика безопасности. Электронные носители информации

Безопасность - это ответственность16 Результаты В бюджете определены статьи: Техническая поддержка. СЗИ. Специальное оборудование. СЗИ от утечки по техническим каналам.

Безопасность - это ответственность17 Место СУИБ в общей системе менеджмента организации

Безопасность - это ответственность18 Взаимосвязь с процессами ITIL Управление инцидентами Управление проблемами Управление конфигурациями Управления изменениями Управление релизами Управление доступностью Управление информационной безопасностью (BS 7799)

Безопасность - это ответственность19 Проблемы новые Отсутствие поддержки руководства на корпоративном уровне Отсутствие средств для привлечения консультантов

Вопросы и ответы Зеленин Станислав Сергеевич – начальник отдела ИБ, ПДИТР и ТЗИ Иркутского авиационного завода