Введение в дисциплину система

управления информационной
безопасности (СУИБ).

Лекция 1

Преподаватель: Бабаева Арзу

Содержание лекции:
 Основные понятия :
 1. Информационная безопасность
 2. Классификация угроз информационной
безопасности
 3. Управление информационной
безопасностью
 4. Система управления информационной
безопасностью (СУИБ)
1. Информационная безопасность

 Под информационной безопасностью в узком смысле мы будем

понимать защищенность информации и поддерживающей
инфраструктуры от случайных или преднамеренных воздействий
естественного или искусственного характера, которые могут
нанести неприемлемый ущерб субъектам информационных
отношений, в том числе владельцам и пользователям информации
и поддерживающей инфраструктуре.

 Объектом защиты информации является информационная

система (предприятия, коммерческой организации) или
автоматизированная система обработки данных.
3 аспекта составляющие ИБ

 Основными задачами и составляющими ИБ является: обеспечение

доступности, целостности и конфиденциальности
информационных ресурсов и поддерживающей инфраструктуры.
Доступность

 Доступность — это возможность за приемлемое время получить требуемую

информационную услугу.
Целостность

 Под целостностью информации подразумевается, ее

защищенность от разрушения и несанкционированного
изменения.
Конфиденциальность

 Наконец, конфиденциальность — это защита от

несанкционированного доступа к информации.
 Почти для всех, кто реально использует ИС, на первом месте стоит
доступность. Практически не уступает ей по важности целостность
— какой смысл в информационной услуге, если она содержит
искаженные сведения? Наконец, конфиденциальные моменты есть
также у многих организаций (даже упоминавшийся выше учебных
институтах стараются не разглашать сведения о зарплате
сотрудников) и отдельных пользователей (например, пароли).
Инцидент кибербезопасности

 Инцидент кибербезопасности — это ситуация, которая ведет к

нарушению политики информационной безопасности организации
и подвергает риску ее конфиденциальные сведения: личные
данные клиентов, государственные, коммерческие и врачебные
тайны.
Примеры видов инцидентов
кибербезопасности:
 - DoS-атаки, DDoS-атаки,
 - Захват сетевого трафика объекта,
 - Успешная эксплуатация уязвимости в объекте,
 - Несанкционированное разглашение информации,
обрабатываемой в объекте,
 - Несанкционированное изменение информации, обрабатываемой
в объекте,
 - Публикация в объекте мошеннической информации,
 - Социальная инженерия, направленная на компрометацию
объекта и т.д.
2. Классификация угроз
информационной безопасности-1
 Информационные угрозы могут быть обусловлены:
 • естественными факторами (пожар, наводнение, и др.);
 • человеческими факторами.

 Последние, в свою очередь, подразделяются на:

 • угрозы, носящие случайный, неумышленный характер.
 • угрозы, обусловленные умышленными, преднамеренными
действиями людей.
Классификация угроз
информационной безопасности-2
 Умышленные угрозы преследуют цель нанесения ущерба
пользователям АИС (Автоматизированная информационная
система). и, в свою очередь, подразделяются на активные и
пассивные.
 Умышленные угрозы также подразделяются на внутренние,
возникающие внутри управляемой организации, и внешние.
3. Управление информационной
безопасностью
 Управление информационной безопасностью – это управление
людьми, рисками, ресурсами, средствами защиты и т.п. УИБ
является неотъемлемым элементом управления предприятием и
позволяет коллективно использовать конфиденциальную
информацию, обеспечивая при этом ее защиту, а также защиту
вычислительных ресурсов.
Управление информационной безопасностью -
это циклический процесс, включающий:
 • осознание степени необходимости защиты информации;
 • сбор и анализ данных о состоянии информационной безопасности в
организации;
 •оценку информационных рисков;
 •планирование мер по обработке рисков;
 •реализацию и внедрение соответствующих механизмов контроля;
 •распределение ролей и ответственности;
 •обучение и мотивацию персонала;
 •оперативную работу по осуществлению защитных мероприятий;
 •мониторинг функционирования механизмов контроля,
 •оценку их эффективности и соответствующие корректирующие
воздействия.
 Управление информационной безопасностью выходит далеко за
рамки централизованного удаленного управления антивирусами
и другими решениями, обеспечивающими защиту информации.
Менеджмент ИБ – это не просто централизованный контроль
над своевременным обновлением антивирусных баз, регулярным
антивирусным сканированием и выполнением на клиентской
стороне других задач, связанных с информационной
безопасностью. Это важная часть менеджмента всей
организации, обеспечивающая эффективность бизнес-процессов
и решающая не только тактические, но и стратегические
задачи.
 Это важная часть менеджмента всей организации,
обеспечивающая эффективность бизнес-процессов и решающая
не только тактические, но и стратегические задачи.
Процессы
управления
информационной
безопасностью
имеют
иерархичность,
то есть могут
подчиняться друг
другу:
4. Система управления
информационной безопасностью (СУИБ)
 Система управления информационной безопасностью (СУИБ) –
часть общей системы управления предприятия, которая
основывается на аналитике рисков, предназначена для
проектирования, реализации, контроля, сопровождения, улучшения
мер в сфере кибербезопасности. Системы управления
информационной безопасностью (СУИБ) в современном виде
представлены в виде сопоставления всех
взаимосвязанных/взаимодействующих элементов
кибербезопасности компании.
 СУИБ включают в себя и обеспечивают эффективное управление
рисками и стратегии смягчения последствий инцидентов
кибербезопасности.
Основные функции систем управления
информационной безопасностью (СУИБ)-это:

 выявление и анализ рисков информационной безопасности

 планирование и практическая реализация процессов, направленных на
минимизацию рисков ИБ
 контролирование этих процессов
 внесение в процессы минимизации информационных рисков необходимых
корректировок.
Качественное управление информационной
безопасностью базируется на следующих
принципах:
 комплексный подход – управление ИБ должно быть всеобъемлющим,
охватывать все компоненты ИС и учитывать все актуальные риск образующие
факторы, действующие в информационной системе предприятия и за её
пределами
 согласованность с бизнес-задачами и стратегией предприятия
 высокий уровень управляемости
 адекватность используемой и генерируемой информации
 эффективность - оптимальный баланс между возможностями,
производительностью и издержками СУИБ
 непрерывность управления
 процессный подход – связывание процессов управления в замкнутый цикл
планирования, внедрения, проверки, аудита и корректировки, и поддержание
неразрывной связи между этапами цикла, что позволяет сохранять и
постоянно повышать качество СУИБ.
Замкнутый
жизненный цикл
системы
управления
информационной
безопасностью
Внедрение СУИБ -1

 Внедрение СУИБ в деятельность компании добавляет отдельную

структуру к общим процессам планирования безопасности и
усилиям по снижению рисков внутри предприятия. Не имея такой
структуры, организации часто выявляют риск, устраняют его на
текущий момент и переходят к следующему. Это приводит к
неэффективности, дезинформации и множеству невыявленных
уязвимостям.
Внедрение СУИБ -2

 За счет использования систем управления информационной

безопасностью в деятельности компании меньше «пробелов». При
наличии СУИБ руководство организации (или, по крайней мере,
ответственные за ИБ- и IT-работу организации лица) имеет четкое
представление о текущем уровне защиты компании от угроз.
С качественной системой управления
информационной безопасностью компании могут:

 • своевременно выявлять возможные угрозы и уязвимости;

 • анализировать, как избежать этих рисков;
 • реализовывать упреждающие меры для снижения этих
рисков;
 • последовательно пересматривать запланированные
рабочие и организационные мероприятия, чтобы убедиться в их
соответствии стандартам безопасной работы.
Задача СУИБ

 Главная стратегическая задача создания и совершенствования

СУИБ заключается в обеспечении непрерывности бизнеса
посредством поддержания установленных уровней
доступности, целостности и конфиденциальности для ресурсов
Информационной Системы(ИС).
Контрольные вопросы:
 1. Что такое информационная безопасность?
 2. 3 аспекта обеспечивающие информационная безопасность?
 3. Классификация угроз информационной безопасности?
 4. Что такое инцидент кибербезопасности?
 5. Примеры инцидентов кибербезопасности?
 6. Что такое управление информационной безопасностью?
 7. Что такое система управления информационной безопасностью
(СУИБ)?
 8. Преимущества внедрения СУИБ?
Спасибо за внимание.