longreed про ISO

Материал подготовлен студентом Kraken Academy D1ng0. Статья публикуется в авторской редакции и отражает личный опыт и мнение автора.

Посмотреть профиль

Введение

Международные стандарты серии ISO/IEC 27000 представляют собой глобальную систему управления информационной безопасностью, разработанную для организаций всех размеров и отраслей. Основу этой системы составляют три ключевых стандарта: ISO 27001 (управление информационной безопасностью), ISO 27004 (измерение эффективности) и ISO 27005 (управление рисками). Вместе они создают комплексный подход к защите информационных активов и управлению рисками в современной цифровой среде.

1. ISO 27001: Система менеджмента информационной безопасности

1.1 Назначение и область применения

ISO 27001 (также известен как ГОСТ Р ИСО/МЭК 27001-2021 в Российской Федерации) является единственным международным стандартом, определяющим требования к системе менеджмента информационной безопасности (СМИБ). Стандарт разработан для обеспечения конфиденциальности, целостности и доступности информации путём применения процесса управления рисками

Основная цель ISO 27001 состоит в:

Создании систематического подхода к защите информационных активов от угроз, включая кражу, мошенничество, несанкционированный доступ и повреждение данных
Защите данных, финансовой информации, интеллектуальной собственности и сведений о сотрудниках
Демонстрации организацией своих возможностей по защите информационных ресурсов перед заинтересованными сторонами

Стандарт применяется ко всем организациям, независимо от формы собственности, рода деятельности и размера, особенно для компаний, работающих с конфиденциальной информацией (банки, государственные учреждения, IT-компании).

1.2 Структура и принципы ISO 27001

Современная версия стандарта (ISO 27001:2022, официально вступившая в силу в 2022 году) основана на цикле PDCA (Plan-Do-Check-Act), также известном как цикл Деминга:

План (Plan) - Определение:

Целей создания СМИБ
Требований к СМИБ от внешних и внутренних сторон
Границ системы менеджмента
Процессов и их взаимодействий в рамках СМИБ

Выполнение (Do) - Реализация:

Разработки и внедрения политик и процедур безопасности
Выделения ресурсов, компетенций и информирования персонала
Управления мерами безопасности и контроля

Проверка (Check) - Оценка:

Мониторинга и анализа эффективности СМИБ
Проведения внутренних аудитов
Управленческого анализа и контроля

Корректировка (Act) - Улучшение:

Устранения выявленных несоответствий
Внедрения корректирующих действий
Постоянного совершенствования системы

1.3 Основные требования ISO 27001

Стандарт состоит из основного текста и Приложения А, организованных следующим образом:

Разделы основного текста:

Раздел 4 - Контекст организации
Раздел 5 - Лидерство и политика
Раздел 6 - Планирование
Раздел 7 - Поддержка (ресурсы и компетенции)
Раздел 8 - Операционная деятельность
Раздел 9 - Оценка эффективности
Раздел 10 - Улучшение

Приложение А содержит структурированный перечень мер безопасности, организованных по доменам и категориям. Исключение какой-либо меры безопасности должно быть обосновано; в противном случае организация не может получить сертификат.

1.4 Управление рисками в ISO 27001

Управление рисками является центральным элементом ISO 27001 и включает следующие этапы:

Идентификацию активов - данные, сервисы, инфраструктура, персонал, бизнес-процессы
Определение угроз и уязвимостей - утечка данных, ошибки сотрудников, сбои систем, недоступность сервисов
Оценку рисков - анализ вероятности и влияния выявленных рисков
Обработку рисков - выбор способов управления рисками (избежание, снижение, принятие, распределение)
Мониторинг и анализ - постоянный контроль эффективности мер управления

1.5 Сертификация по ISO 27001

Процесс сертификации включает:

Этап 1 - Проверка документации и готовности системы
Этап 2 - Проверка функционирования процессов и применения политики персоналом
Принятие решения - Выдача сертификата сроком на 3 года (при отсутствии серьёзных нарушений)
Надзорные аудиты - Ежегодные проверки для подтверждения эффективности системы

2. ISO 27004: Измерение и мониторинг СМИБ

2.1 Назначение и роль ISO 27004

ISO 27004 (ГОСТ Р ИСО/МЭК 27004-2011) содержит рекомендации по разработке и использованию измерений и мер измерения для проведения оценки эффективности СМИБ. Стандарт работает в тесной взаимосвязи с ISO 27001, обеспечивая организации инструментами для объективной оценки результативности системы управления информационной безопасностью.

Основные функции ISO 27004:

Определение критериев мониторинга для организаций, следующих рекомендациям ISO 27001
Предоставление достоверной информации соответствующим заинтересованным сторонам о состоянии СМИБ
Оценка правильности реализации элементов управления и их соответствия требованиям

2.2 Две категории мер оценки

ISO 27004 определяет два основных подхода к измерению эффективности:

1. Показатели эффективности реализации (Process Effectiveness)

Используются для демонстрации прогресса в реализации процесса СМИБ. Эти показатели измеряют:

Как были реализованы элементы управления
Соответствие реализации требованиям политик и процедур
Выполнение установленных нормативных требований

Примеры: процент подготовленного персонала, наличие документации, своевременность проведения аудитов.

2. Показатели эффективности результатов (Operational Effectiveness)

Определяют, работают ли процессы СМИБ и средства контроля так, как задумано, и достигают ли желаемых результатов:

Количество выявленных уязвимостей
Время обнаружения и реагирования на инциденты
Уровень соответствия политикам безопасности
Снижение количества инцидентов информационной безопасности

2.3 Программа измерений

Программа измерений в ISO 27004 основана на:

Глубоком понимании рисков информационной безопасности, с которыми сталкивается организация
Правильном выполнении оценки риска в соответствии с требованиями ISO 27001 на основе ISO 27005
Регулярном сборе данных для отслеживания динамики показателей
Представлении результатов в доступном формате для принятия управленческих решений

3. ISO 27005: Управление рисками информационной безопасности

3.1 Введение в ISO 27005

ISO 27005:2018 (Информационные технологии. Методы и средства обеспечения безопасности. Менеджмент рисков информационной безопасности) обеспечивает руководство по управлению рисками информационной безопасности и является вспомогательным стандартом, описывающим, как организация может наилучшим образом внедрить СМИБ ISO 27001, используя управление рисками.

ISO 27005 соответствует общим принципам, изложенным в ISO 31000 (Менеджмент риска) и фокусируется на том, как организации могут использовать управление рисками посредством методологического процесса для защиты информационных активов.

3.2 Компоненты управления рисками

Управление рисками в ISO 27005 начинается с определения и оценки активов организации:

Установление контекста:

Определение политик и процедур для устранения риска
Внедрение контроля на основе оценки риска
Рассмотрение ценности информации и систем обработки информации
Учёт правовых и нормативных требований
Выравнивание с бизнес-целями

Установление критериев принятия риска:

Определение, как бизнес-цели соотносятся с выявленными рисками
Установка пороговых значений риска на основе обязательств и желаемой прибыли
Категоризация рисков по типам

3.3 Процесс оценки и обработки рисков

Стандарт ISO 27005 описывает итеративный процесс управления рисками:

1. Идентификация рисков

Определение активов (данные, оборудование, программное обеспечение, персонал)
Выявление угроз (кибератаки, стихийные бедствия, ошибки человека)
Определение уязвимостей, которые могут быть использованы
Оценка потенциального воздействия (финансовые потери, ущерб репутации)

2. Анализ рисков

Оценка вероятности возникновения выявленных рисков
Определение влияния рисков
Использование качественных (высокий/средний/низкий) или количественных методов

3. Оценка рисков

Сравнение проанализированных рисков с критериями риска
Определение значимости каждого риска
Приоритизация рисков по степени серьёзности

4. Обработка рисков

ISO 27005 предусматривает несколько стратегий обработки рисков:

Избежание (Avoidance) - отказ от определённых технологий или практик при непомерно высокой стоимости снижения риска
Снижение (Mitigation) - внедрение мер контроля для уменьшения вероятности или влияния риска
Принятие (Acceptance) - формальное согласие на уровень риска
Распределение (Sharing) - передача или распределение управления и последствий риска (аутсорсинг, страхование)

5. Мониторинг и анализ рисков

Постоянное отслеживание рисков и средств контроля
Мониторинг изменений в среде риска (новые угрозы, уязвимости)
Периодическая проверка эффективности процесса управления рисками
Обновление оценок риска при необходимости

3.4 Жизненный цикл рисков в ISO 27005

Процесс управления рисками в ISO 27005 является циклическим и непрерывным, что позволяет организациям адаптироваться к изменяющейся угрозам и уязвимостям в течение всего периода функционирования информационных систем.

4. Интеграция ISO 27001, ISO 27004 и ISO 27005

4.1 Взаимосвязь между стандартами

Три стандарта работают в едином экосистеме:

4.2 Цикл взаимодействия

ISO 27005 - идентифицирует и оценивает риски, определяет потребность в мерах контроля
ISO 27001 - внедряет выявленные меры контроля и устанавливает СМИБ в соответствии с требованиями
ISO 27004 - измеряет эффективность реализованных мер и СМИБ
Обратная связь - результаты ISO 27004 используются для уточнения оценки рисков в ISO 27005

5. Ключевые инструменты и концепции

5.1 Цикл PDCA в контексте СМИБ

Цикл PDCA применяется во всех трёх стандартах:

План (P) - определение рисков (ISO 27005), постановка целей (ISO 27001), выбор показателей (ISO 27004)
Выполнение (D) - внедрение мер контроля, обучение персонала
Проверка (C) - измерение показателей эффективности, анализ результатов
Действие (A) - корректировка процессов, улучшение системы

5.2 Ключевые индикаторы рисков (KRI)

Ключевые индикаторы риска (KRI) являются инструментом мониторинга и контроля риска, используемыми для отслеживания и прогнозирования опасных событий:

Используются для контроля текущего уровня подверженности организации рискам
Отражают реальную опасность возникновения опасных событий
Служат сигналом для руководства о необходимости принятия мер
Применяются в соответствии с ISO 27005 для мониторинга рисков
Могут дополняться ежемесячными сводками при отсутствии серьёзных изменений

5.3 Три принципа информационной безопасности

Все три стандарта основаны на классическом триумвирате безопасности:

Конфиденциальность - защита секретных данных от несанкционированного доступа:

Шифрование с использованием цифровых сертификатов
Защищённое соединение SSL/TLS
Доступ через VPN

Целостность - обеспечение соответствия переданной и полученной информации:

Защита от несанкционированного изменения
Защита от перехвата данных
Применение алгоритмов шифрования

Доступность - обеспечение своевременного доступа к информации авторизованными пользователями:

Резервное копирование
Управление непрерывностью бизнеса
Восстановление после сбоев

6. Измеряемые домены и меры безопасности

6.1 Структура мер в ISO 27001

Приложение А стандарта ISO 27001 содержит описания мер обеспечения информационной безопасности, организованных по основным категориям:

Каждая категория содержит:

Цель применения меры - описание того, что должно быть достигнуто
Одна или несколько мер безопасности - которые могут быть применены для достижения цели
Руководство по применению - рекомендации по внедрению меры
Практические примеры - иллюстрация применения в контексте организации

6.2 Основные домены мер безопасности

Меры безопасности в ISO 27001 охватывают различные аспекты защиты информации:

Организационное управление - политики, роли, ответственность, разделение обязанностей
Управление активами - инвентаризация и классификация информационных активов
Управление персоналом - отбор, обучение, осведомлённость, дисциплина
Физическая безопасность - контроль доступа, защита периметра, зоны погрузки
Коммуникационная безопасность - политики передачи информации, соглашения о конфиденциальности
Криптография - управление ключами и алгоритмами шифрования
Управление инцидентами - выявление, обработка и анализ инцидентов
Непрерывность бизнеса - планирование и тестирование восстановления

7. Переход на ISO 27001:2022

7.1 Ключевые изменения в версии 2022

Новая версия стандарта (ISO 27001:2022, официально ГОСТ Р ИСО/МЭК 27001-2021) внесла существенные изменения:

Гармонизация высокоуровневой структуры с другими системами управления (ISO 9001, ISO 14001)
Требование к идентификации процессов - организация должна определить необходимые процессы и их взаимодействия в рамках СМИБ (пункт 4.4)
Явное выравнивание с передовыми практиками управления системами согласно высокоуровневой структуре (HLS)

7.2 Переходный период

С 31 октября 2022 года установлен трёхлетний переходный период:

Действие старых сертификатов - Сертификаты ISO 27001:2013 действительны до 31 октября 2025 года
Необходимость миграции - организации должны перейти на новый стандарт к установленной дате
Плановое внедрение - переход рекомендуется рассматривать как изменение в СМИБ со всеми его последствиями и взаимодействиями

8. Практическое внедрение и рекомендации

8.1 Этапы внедрения СМИБ

Организация, внедряющая ISO 27001, должна следовать следующему подходу:

Определение контекста - выявление заинтересованных сторон, требований, границ СМИБ
Лидерство - обеспечение участия высшего руководства, разработка политики, определение ролей
Планирование - постановка целей, оценка рисков (на основе ISO 27005), планирование мероприятий
Обеспечение ресурсами - выделение средств, развитие компетенций, информирование персонала
Эксплуатация - внедрение мер безопасности, управление процессами
Оценка результатов - проведение внутренних аудитов, анализ метрик, управленческий анализ
Непрерывное улучшение - устранение несоответствий, внедрение корректирующих действий

8.2 Интеграция с другими стандартами

Организации, работающие с конфиденциальной информацией, часто должны соответствовать нескольким стандартам одновременно:

ISO 27031 - Готовность информационно-коммуникационных технологий к обеспечению непрерывности бизнеса
ISO 27035 - Управление инцидентами информационной безопасности
ISO 27002 - Руководство по применению мер безопасности
ГОСТ Р 53647 - Менеджмент непрерывности бизнеса
ISO/TS 22331, 22332 - Системы управления непрерывностью бизнеса

Эта статья - только начало. Настоящие навыки появляются тогда, когда знания превращаются в практику. В Kraken Academy мы собрали полноценные курсы по информационной безопасности с лабораториями, практическими заданиями и пошаговыми образовательными треками - от первых шагов до уровня специалиста.

Начать обучение