Сравнение директив безопасности

Йоханнес Зауэр

Управление безопасностью в соответствии с ITIL, ISO и BSI.

Современным предприятиям адекватный уровень безопасности нужен сегодня больше, чем когда-либо. Деловые и ИТ-процессы переплетаются все теснее: качество первых сильно зависит от готовности служб ИТ, а недоступность последних часто отрицательно сказывается на конкурентоспособности. В связи с этим вот уже в течение многих лет прослеживается тенденция к стандартизации методов и мероприятий в области безопасности информационных технологий.

В последние годы в области безопасности ИТ появилось множество стандартов. Все они нацелены на реализацию адекватной защиты информационных технологий. Соответствующие своды правил и эталонные модели описывают британская ITIL, британский стандарт BS 7799, опирающийся на него стандарт ISO/IEC 17799 и руководство по базовой защите, изданное германским ведомством по безопасности информационной техники (BSI).

Эталонная модель ITIL

Библиотека инфраструктуры ИТ (Information Technologies Infrastructure Library, ITIL) своим появлением обязана стремлению британских властей разработать стандартизированный метод для улучшения качества, безопасности и экономичности процессов ИТ. Для этого Управление государственной торговли Великобритании вместе с предприятиями и организациями выработало эталонную модель, в рамках которой возможна универсальная реализация процессов ИТ.

Содержащаяся в своде правил ITIL библиотека процессов предлагает практическую методологическую модель для внедрения стандартизированных процессов в управлении службами ИТ (IT Service Management, ITSM). Главные задачи — улучшение качества услуг ИТ для непрерывных процессов и обеспечение их экономической эффективности. Библиотека процессов делится на несколько разделов. Важнейшие базовые процессы описываются в разделах Service Delivery (доставка услуг) и Service Support (поддержка услуг). Теме безопасности ИТ отводится раздел Security Management (управление безопасностью).

Управление безопасностью в соответствии с ITIL преследует две крайне важные цели:

выполнение требований по безопасности, содержащихся в соглашениях об уровне сервиса (Service Level Agreement, SLA), и других внешних требований, следующих из договоров, законов и правил корпоративной безопасности (политики);

создание определенной (не специфицированной более подробно) базовой защиты.

ITIL, как и BS 7799, уходит корнями в 1980-е гг. С тех пор она утвердилась в качестве стандарта де-факто для моделирования, реализации и управления деловыми процессами ИТ. Возможности сертификации предприятия на соответствие требованиям ITIL в данный момент не существует, вместо этого

ответственные лица могут подтвердить свое знание ITIL и стать обладателями сертификата ITIL Foundation Certificate. Его наличие является необходимым условием для получения базирующегося на нем и значительно более всеобъемлющего сертификата ITIL Service Manager Certificate.

BS 7799 И ISO 17799

British Standard 7799, как и ITIL, содержит практический опыт, которым предприятия и организации могут воспользоваться при реализации мер но обеспечению безопасности ИТ. Уже в конце 80-х гг. у британских властей возникла идея введения стандарта в области безопасности информации. Это привело к разработке «Системы правил управления безопасностью информации» под руководством Министерства торговли и промышленности. Первая часть BS 7799 была опубликована в качестве стандарта в 1995 г. Всего же в BS 7799 Две части:

BS 7799, часть 1 (ISO/IEC 17799) - руководство по управлению информационной безопасностью;

BS 7799- часть 2 - спецификация систем управления информационной безопасностью.

Если в первой части предлагаются лишь рекомендации по принятию необходимых мер, то во второй — определяются методы и требования к системе управления информационной безопасностью (Information Security Management System, ISMS). Поскольку BS 7799 привлек к себе внимание специалистов других стран, в январе 2000 г. первая часть была преобразована в стандарт Международной организации по стандартизации (InternationalOrganizationforStandardization, ISO). ISO/IEC 17799:2000 в данный момент находится на доработке и предположительно летом текущего года будет опубликована в версии 17799:2005э Главные цели ISO/IEC 17799 включают в себя следующее:

определение практически полезных минимальных требований в области безопасности ИТ;

создание общей базы для предприятий, заинтересованных в разработке, реализации и измерении эффективной системы безопасности;

предоставление контрольного стандарта для управления безопасностью ИТ в пределах организации.

ISO/IEC 17799:2000 состоит из десяти тематических разделов, где содержится 127 рекомендаций, которые не представляют собой обязательных норм. Потому сертификация возможна лишь в рамках BS 7799-2.

Руководство BSI

Еще один возможный подход опирается на руководство по базовой защите информационных технологий BSI. Каждые полгода но мере накопления и приобретения новых знаний об информационных опасностях и технологиях BSI обновляет руководство. Оно содержит описание стандартных мер по безопасности, указания по реализации, вспомогательные средства для многочисленных наиболее часто используемых конфигураций ИТ и нацелено на решение регулярно возникающих проблем, поддержание повышенного уровня безопасности и упрощение разработки концепции