Построение системы управления инф. безопасности

[Toparenko]

Но между защитой и безопасностью нельзя ставить знак равенства.

Понятия "защиты информации" и "информационной безопасности" между собой гораздо ближе, чем отношение этих же понятий к "технической системе контрразведки" или "технической системе разведки" (возможно где-то можно притянуть только понятие "технологии контрразведки", но именно притянуть)

Вот и давайте разберем на примере "МТТ" и "ЛукОЙЛ", которые имеют СУИБ и подтверждающие сертификаты  :smile3:

31778[/snapback]

В МТТ сэкономили (видно из их требований к набираемым специалистам), ЛукОйл врядли отдаст на "растерзание" свою систему. Тем более, что в обоих этих системах есть вероятность наличия системы ЗГТ, а ее здесь не обсуждаем (хотя это тоже вопросы ИБ)...

 

Ну а если Вы все-таки хотите сертифицироваться по ИСО 27001 - обращайтесь в PWC, Крок или Джет. Они уже проводили эту сертификацию. Возможно Вам помогут в ОТ или Элвис+ - знаю, что от этих компаний готовились аудиторы. Вполне вероятно, что я знаю не все компании, готовые Вам в этом помочь...

 

Однако наличие сертификата в нашей стране еще ничего не гарантирует. Да и не факт, что это будет именно то, что Вам нужно.

 

[Loo]

Както большие у меня сомнения про прайсов, крок и уж тем более "открыток". Строгое имхо. Я не очень понял, поясните плиз, Вы не хотите пройти курсы сертификацию, не готовы платить консалтерам, но хотите построить СУИБ по стандартам?

 

[Igor39]

В МТТ сэкономили (видно из их требований к набираемым специалистам), ЛукОйл врядли отдаст на "растерзание" свою систему.

Сейчас прошли сертификацию:

1) операторы связи:

- МТТ. Оно и понятно, захотел хороший контракт с буржуями, те - выставили условия, - пришлось смириться;

2) ИТ-компании:

- Компания КРОК. Ну, конечно, "откаты" под госзаказы перестали прокатывать, - пришлось искать новый аргумент;

- CMA Small Systems AB - международная компания, работающая в бывших британских и пр. колониях в Африке, а также в странах СНГ,

- Luxoft, надо же как-то на рынок ИТ пробиться;

3) прочие (для повышения имиджа и повышения котируемости акций):

- ЛукОЙЛ, точнее ее ИТ-аутсорсинговая "дочка" - ООО "ЛукОЙЛ-Информ"

- РОСНО.

 

Если по первым 2 группам понятно - сам бог велел и жизнь заставила. style_emoticons/default/smile3.gif ЛукОЙЛ сэкономил.

А вот как было у РОСНО : сертифицировали все бизнес-процессы или только, например, ИТ-подразделение? style_emoticons/default/smile2.gif

 

Однако наличие сертификата в нашей стране еще ничего не гарантирует. Да и не факт, что это будет именно то, что Вам нужно.

Все верно, вот поэтому и ищу какие-либо решения этих стандартов, но распространяющиеся не только на ИТ, а на все информационные процессы всего бизнеса.

 

Ну а если Вы все-таки хотите сертифицироваться по ИСО 27001 -

Вопрос не стоит в получении "желанной" бумажки, - это лишь вопрос цены (от 50 килобаксов) и времени (от полугода), да и не требуется в ближайшее время, - а в том, чтобы самим строить качественную СУИБ компании. С минимальным привлечением сторонних организаций. Вот и ищу, как это было у других, чтобы перенять лучшее.

 

обращайтесь в PWC, Крок или Джет. Они уже проводили эту сертификацию.

31782[/snapback]

Предсертификационный аудит и оказывали консультационные услуги.

И, если первый сделает это качественно style_emoticons/default/smile20.gif , но дороже всех, то за второй... нет, уж, спасибо, - знаю я их не только качество... style_emoticons/default/smile18.gif

 

ЗЫЖ Меня терзают смутные сомнения, что Банк России где-то как-то сплагиатил разрабатывая свой стандарт СТО БР ИББС1.22007, скрестив "наши" математические методики оценки рисков (см., напр., учебник Малюка) и америкосовские. style_emoticons/default/smile16.gif

[Igor39]

Я не очень понял, поясните плиз, Вы не хотите пройти курсы сертификацию, не готовы платить консалтерам, но хотите построить СУИБ по стандартам?

31800[/snapback]

Уже... Но цель - в другом (см. предыдущий ответ).

Маловато будет, маловато! (с) "Падал прошлогодний снег"

[Loo]

Да не, наверное не "сплагиатил", просто поптыка соответствия международным стандартам имхо. А пока система у вас не сертифицированна по стандарту, значит и ... :о))