Забезпечення мережевої безпеки

Концепція «авторитетних рекомендацій» являє собою набір вказівок, які забезпечують належний рівень безпеки. Авторитетні рекомендації – це комбінація вказівок, ефективність яких доведена при застосуванні у всіляких організаціях.

Рекомендації з адміністративної безпеки – це ті рішення, які відповідають політикам і процедурам, ресурсам, ступеню відповідальності, потребам у навчанні персоналу й планам по виходу із критичних ситуацій. Ці міри покликані визначити важливість інформації та інформаційних систем для компанії і пояснити персоналу, у чому саме полягає ця важливість.

В 2000 р. ISO видала міжнародний стандарт для методів безпеки інформації, який називається «інформаційні технологій – методи забезпечення інформаційної безпеки». Цей стандарт базується на B5 7799 і призначений для використання як стартовий. Незважаючи на те, що це якісний і корисний документ, кожна організація унікальна і вимагає додаткових заходів контролю або, навпаки, застосування меншої їхньої кількості, ніж зазначено в стандарті.

Ключові концепції стандарту охоплюють десять основних областей:

ü Політика безпеки. У розділі розповідається про необхідність політики безпеки й регулярного перегляду та оцінки цього документу.

ü Організаційна безпека. Описується, як варто забезпечувати безпеку інформації. Міститься інформація про роботу зі сторонніми організаціями та керування безпекою при цих взаєминах.

ü Класифікація і контроль майна. У розділі обговорюється необхідність правильного захисту як фізичних, так й інформаційних ресурсів.

ü Безпека персоналу. У розділі обговорюється необхідність контролю ризиків, пов’язаних х найманням на роботу співробітників, а також обговорюється навчання співробітників організації. Крім того, тут уперше порушено тему обробки інцидентів.

ü Фізична безпека та безпека середовища. Все фізичне майно повинно бути надійно захищене від розкрадання, пожежі й інших впливів. Даний розділ присвячений саме цій темі.

ü Керування комунікаціями та операціями. Розглядається необхідність у документованих процедурах керування комп’ютерами й мережами, та обговорюється питання безпеки інформації при її передачі.

ü Контроль доступу. Обговорюється контроль доступу до інформації, систем, мереж і застосувань, а також говориться про керування користувачами й про необхідність моніторингу.

ü Розробка й підтримка систем. У розділі розглядається питання безпеки, пов’язані з розробкою проектів. Крім того, обговорюються необхідність у шифруванні й керування ключами, а також контроль конфігурації системних файлів.

ü Підтримка безперервності ділових процесів. Розповідається про небезпеку переривання ділових процесів і про різні альтернативні способи підтримки їхньої безперервності.

ü Відповідність політиці. У розділі говориться про те, як в організації слід дотримуватися встановленої політики і як повинна проводитися перевірка на відповідність установленій політиці.