Построение системы управления инф. безопасности

[Loo]

Бред какойто. Вам то "технические" вещи надо (исходя из первого поста), то Вы в ITIL залезаете, то агитируете за бюджеты в ИБ ... Может вот тут почитать http://iso27000.ru/chitalnyi-zai/upravleni...i-bezopasnostyu ? Так и не понял я чего Вам все-таки хотелось

[Igor39]

Так и не понял я чего Вам все-таки хотелось

31959[/snapback]

RTF... M and P(osts above) style_emoticons/default/smile3.gif

Пример сферы действия СУИБ:

 

http://rg.foto.radikal.ru/0709/51/6404861ec11ct.jpg

И ни одному из этих подразделений (как и самой СУИБ) не будет нужна ни разведка, ни контрразведка?! style_emoticons/default/smile10.gif И без разницы технически это будет, социально и пр.

Вопрос в том, как вообще это все взаимоувязать? Не строить же мини-спецслужбу style_emoticons/default/smile3.gif

[Loo]

WTF? При чем тут картинка об SLA? И вообще какого уровня SLA Тут нарисован кстати?

Вот структура СУИБ классическая, стандартизованная по ISO27001/17799

http://shop.globaltrust.ru/img/articles/tm_admin3.gif

увязывать что в Вашей (кхм) схеме? СУИБ покрывает информационное поле компании без вмешательства в бизнес-процессы. Система управления инцидентами обеспечивает непрерывность бизнес-процессов, система управления рисками обеспечивает создание и изменение бизнесс-процессов.

Короче теперь я вообще ничего не понимаю.

P.S. Ушел посыпать голову пеплом ...

[Vinni]

Автор темы рассуждает по принципу - лучший способ защиты это нападение (интересно узнать, какая у него модель нарушителя style_emoticons/default/smile1.gif ).

 

На самом деле ему надо будет сделать очень сложную вещь style_emoticons/default/smile17.gif - объединить ISO9000 (ее формализованность бизнес-процессов, которая пригодится на следующих стадиях построения СУИБ) с iso27000 (ее анализ рисков, разбор инцидентов и обучение пользователей) с ITIL security management (конкретизация 27000 в части касающейся ИТ-технологий) и конкурентной разведкой (тут мне вспоминается книга на ozon про опыт больших компаний - "КР:уроки из окопов", где КР пронизывает действительно все подразделения). Плюс он хочет не пассивно, а активно проверять безопасность (тех. контрразведка) - ему нужна литература про penetration testing (которым отчасти и ДиджСек занимается). В этой части можно посмотреть на руководства NIST - csrc.nist.gov (например, как проводить сканирование своих сетей) и книги Айры Винклера на amazon (Ira Winkler) - рекомендую купить все три. Сугубо конкретные технологические требования безопасности для отдельных компонент ИТ-систем я бы посмотрел у DISA (iase.disa.mil) и cisecurity.org

 

 

 

 

 

 

[Vinni]

...

Вопрос в том, как вообще это все взаимоувязать? Не строить же мини-спецслужбу 

 

А придется style_emoticons/default/smile14.gif , если делать в полном объеме то, что вы хотите