1 Системное управление рисками информационной безопасности на основе ISO 27001:2005 Валентин Никонов, к.э.н., PMP IPMA, QMS Auditor Советник председателя. - презентация

1 1 Системное управление рисками информационной безопасности на основе ISO 27001:2005 Валентин Никонов, к.э.н., PMP IPMA, QMS Auditor Советник председателя Совета Директоров «Банк24.ру» (ОАО)

2 2 «Банк24.ру» - первый Банк в России

3 3 Принципы Системные решения Подходы риск-менеджмента Интеграция в общую систему управления операционным риском Корпоративная культура

4 4 Интегрированная система менеджмента ISO 9001:2000 базовый стандарт на систему управления (система управления процессами)(2004) Система управления проектами (2004 – на основе модели Organizational Project Management Maturity Model) Система менеджмента информационной безопасности (ISO 27001:2005) Система управления операционным риском (ISO 9001) Система корпоративного управления (IFC standards)

5 5 Подходы риск-менеджмента «Молотилка» рисков Внутренние аудиты Риски и сбои от сотрудников Результаты обратной связи Риски информационной безопасности

6 6 Обработка рисков

7 7 ISO 27001:2005 Международный стандарт на систему менеджмента информационной безопасности Выпущен ISO в 2005 году Обеспечение «необходимой и достаточной информационной безопасности» Подходы риск-менеджмента

8 8 Логика системы

9 9 Политика системы

10 10 Что защищать? Информационные активы –Конфидецниальность –Целостность –Доступность Базы данных, серверы, компьютеры и т.д.

11 11 Управление информационными активами

12 12 Процедура управления информационными рисками

13 13 Риски информационной безопасности

14 14 Ключевые процедуры Реестр информационных активов Профиль рисков информационной безопасности

15 15 Стратегии управления рисками

16 16 Положение о применимости контролей

17 17 Контроли (смягчение рисков) Information Security Policy IT support procedure Software development, implementation and modification requests management Asset Inventory Management Procedure Procedures for protection of confidential information (information of limited access) Use of informational assets and recourses

18 18 Контроли (смягчение рисков) Instruction for personnel employment Physical Security Procedure Procedures for back-up Software development Procedures for antivirus management Removable media management procedure Information Security implementation in the Internet Bank for private clients service provision

19 19 Концепция применения международных стандартов

20 20 Результат Система процессов Систематическое управление рисками информационной безопасности (есть перечень стандартных мер) Устойчивый, бесперебойный, развивающийся бизнес