Розробка концепції інформаційної безпеки телекомунікаційної компанії в повному обсязі є процедурою, що вимагає значних трудовитрат, а також значного фінансування.
Наведені нижче рекомендації з розробки концепції дозволяють оптимізувати витрати на її створення. Цими рекомендаціями передбачено поетапну розробку концепції з поетапним фінансуванням робіт.
Етап1.Прінятіерешенія, формірованіерабочейгруппи. На даному етапі керівництво компанії має прийняти рішення про необхідність розробки концепції інформаційної безпеки, а також про цілі, переслідуваних даної розробкою.
Цілі розробки можуть бути наступні:
- отримання цілісної системи поглядів на стан ІБ в компанії;
- скорочення втрат внаслідок неналежного стану системи ІБ;
- створення нової (реконструкція існуючої) системи ІБ;
- документування вже існуючої системи ІБ;
- отримання конкурентної переваги перед компаніями, які не мають концепції.
Після визначення цілей розробки на даному етапі формується робоча група. До складу робочої групи необхідно включити представників наступних підрозділів:
- служба безпеки компанії;
- підрозділ, відповідальний за захист інформації;
- IТ-департамент;
- служба експлуатації мережі зв'язку;
- служба розвитку;
- відділ економічної безпеки;
- технічна служба;
- фінансова служба.
Етап2.Составленіепланаразработкіконцепціі. Визначення обсягів фінансування зі збору вихідних даних. На даному етапі формується календарний план заходів з розробки концепції, а також визначаються самі заходи з розробки та вартість їх проведення.
Перелік заходів з розробки включає:
- збір вихідних даних (можливо аж до повного аудиту системи ІБ);
- обробку вихідних даних;
- вибір варіанта концепції ІБ
- формування підгрупи по розробці КІБ;
- формування підгрупи по розробці ПІБ;
- формування групи з проектування системи ІБ.
Найбільш витратним на даному етапі є збір вихідних даних, тому перш ніж перейти безпосередньо до робіт зі збору ВД, необхідно повністю задіяти можливості підрозділів Компанії за самостійним надання вихідних даних, необхідних для концепції. Після визначення обсягу фінансування робіт зі збору вихідних даних необхідно приступати до третього етапу.
Етап3.Сборісходнихданних. На даному етапі силами робочої групи або на основі залучення субпідрядних організацій здійснюється збір вихідних даних для розробки концепції. Як зазначено вище, в разі явного морального старіння системи захисту інформації, її недостатності або недокументірованності на даному етапі необхідно провести повний аудит інформаційної безпеки компанії. Аудит з'явиться джерелом вихідних даних для розробки концепції. Аудит доведеться проводити також і після реалізації заходів по концепції, тому з метою зниження витрат попередній аудит бажано проводити за спрощеними методиками.
Етап4.РазработкаКІБ.Определеніезатратнаразработку ПІБ. На підставі зібраних вихідних даних здійснюється розробка КІБ (нормативна частина). В даному документі вже будуть відображені основні вимоги до системи ІБ і вимоги до її нормативного забезпечення. Вартість розробки ПІБ визначається наступними факторами:
- повнотою зібраних вихідних даних;
- рівнем безпеки, який повинен бути забезпечений відповідно до нормативної частиною концепції;
- вимогами до техніки та нормативного забезпечення;
- складністю інфотелекоммунікаціонной структури мережі зв'язку та інформаційної системи.
Етап5.РазработкаПІБінорматівнихдокументов. На даному етапі розробляється технічна частина концепції - ПІБ. Вимоги до ПІБ сформульовані в нормативної частини, а вихідні дані можуть уточнюватися в міру розробки ПІБ.
Паралельно з розробкою ПІБ проводиться розробка документів, визначених нормативною частиною концепції - положень, інструкцій і т.д. Оскільки ПІБ деталізує технічні характеристики системи захисту інформації, на даному етапі розробляються документи будуть наповнені конкретним матеріалом і оптимізовані під бізнес-процеси компанії.
Етап6.Разработкаекономіческойчастіконцепціі. Після розробки ПІБ, що містить деталізовані вимоги до техніки, приміщень, умов експлуатації, а також інструкції та інші нормативні документи, можна оцінити вартість:
- реалізації КІБ;
- володіння системою інформаційної безпеки;
- інших постійних і змінних витрат в рамках положень концепції.
На підставі запропонованої в даній НДР методики (або іншої методики) необхідно розрахувати окупність вкладень, в разі необхідності провести коригування концепції.
Етап7.Корректіровкаконцепціі (проводітсяпрінеобходімостісніженіязатратнареалізацію). На даному етапі доцільно виділити два рівня забезпечення безпеки - базовий і підвищений.
У базовий рівень необхідно включити ті заходи і вимоги концепції, які мінімально необхідні для компанії і вигода від реалізації яких перевищує витрати.
У підвищений рівень включаються ті заходи і вимоги, які необхідні тільки для обмеженого виду інформаційних ресурсів, а для інших бажані. При цьому необхідно забезпечити порівнянність цінності ресурсів, що захищаються за підвищеними вимогами, до витрат на захист.
Корекція проводиться до тих пір, поки вартість системи інформаційної безпеки не стане нижче принесеної користі. Зауважимо, що в принесену вигоду необхідно включати скорочення втрат від ризиків порушення режиму безпеки і ризиків, ними генеруються.
Етап8.Утвержденіеконцепціііознакомленіесотрудніков компанії. Даний етап є завершальним у розробці концепції. Концепція повинна бути обговорена колегіальним керівним органом компанії, затверджена і введена наказом по компанії.
Співробітники компанії повинні бути ознайомлені з концепцією і документами, розробленими в її рамках (у межах компетентності співробітників).