Опубликовано 6 сентября, 200718 г Бред какойто. Вам то "технические" вещи надо (исходя из первого поста), то Вы в ITIL залезаете, то агитируете за бюджеты в ИБ ... Может вот тут почитать http://iso27000.ru/chitalnyi-zai/upravleni...i-bezopasnostyu ? Так и не понял я чего Вам все-таки хотелось
Опубликовано 6 сентября, 200718 г Автор Так и не понял я чего Вам все-таки хотелось31959[/snapback] RTF... M and P(osts above) style_emoticons/default/smile3.gif Пример сферы действия СУИБ: http://rg.foto.radikal.ru/0709/51/6404861ec11ct.jpg И ни одному из этих подразделений (как и самой СУИБ) не будет нужна ни разведка, ни контрразведка?! style_emoticons/default/smile10.gif И без разницы технически это будет, социально и пр. Вопрос в том, как вообще это все взаимоувязать? Не строить же мини-спецслужбу style_emoticons/default/smile3.gif
Опубликовано 6 сентября, 200718 г WTF? При чем тут картинка об SLA? И вообще какого уровня SLA Тут нарисован кстати? Вот структура СУИБ классическая, стандартизованная по ISO27001/17799 http://shop.globaltrust.ru/img/articles/tm_admin3.gif увязывать что в Вашей (кхм) схеме? СУИБ покрывает информационное поле компании без вмешательства в бизнес-процессы. Система управления инцидентами обеспечивает непрерывность бизнес-процессов, система управления рисками обеспечивает создание и изменение бизнесс-процессов. Короче теперь я вообще ничего не понимаю. P.S. Ушел посыпать голову пеплом ...
Опубликовано 8 сентября, 200718 г Автор темы рассуждает по принципу - лучший способ защиты это нападение (интересно узнать, какая у него модель нарушителя style_emoticons/default/smile1.gif ). На самом деле ему надо будет сделать очень сложную вещь style_emoticons/default/smile17.gif - объединить ISO9000 (ее формализованность бизнес-процессов, которая пригодится на следующих стадиях построения СУИБ) с iso27000 (ее анализ рисков, разбор инцидентов и обучение пользователей) с ITIL security management (конкретизация 27000 в части касающейся ИТ-технологий) и конкурентной разведкой (тут мне вспоминается книга на ozon про опыт больших компаний - "КР:уроки из окопов", где КР пронизывает действительно все подразделения). Плюс он хочет не пассивно, а активно проверять безопасность (тех. контрразведка) - ему нужна литература про penetration testing (которым отчасти и ДиджСек занимается). В этой части можно посмотреть на руководства NIST - csrc.nist.gov (например, как проводить сканирование своих сетей) и книги Айры Винклера на amazon (Ira Winkler) - рекомендую купить все три. Сугубо конкретные технологические требования безопасности для отдельных компонент ИТ-систем я бы посмотрел у DISA (iase.disa.mil) и cisecurity.org
Опубликовано 8 сентября, 200718 г ... Вопрос в том, как вообще это все взаимоувязать? Не строить же мини-спецслужбу А придется style_emoticons/default/smile14.gif , если делать в полном объеме то, что вы хотите
Для публикации сообщений создайте учётную запись или авторизуйтесь