Процедура внедрения СУИБ в банке: основные шаги и подводные камни
Download as PPTX, PDF2 likes1,995 views
Документ описывает процесс внедрения системы управления информационной безопасностью (СУИБ) в банках, включая ключевые шаги, подводные камни и необходимость поддержки руководства. Основное внимание уделяется процессному подходу, разделению полномочий между IT и информационной безопасностью, а также важности обучения пользователей и соблюдения стандартов. Также подчеркивается необходимость коммуникации и завоевания поддержки руководства, что является критически важным для успешной реализации СУИБ.
Процедура внедрения СУИБ в банке: основные шаги и подводные камни
- 1. Процедура внедрения СУИБ в Банке: основные шаги и подводные камниВладимир СтыранДепартамент консалтинга в сфере ИБ
- 2. СодержаниеПроцедура внедрения СУИБПланированиеПостроениеПроверкаПодводные камни построения СУИБПоддержка руководстваКак получить поддержку руководства?Процессный подходРазделение полномочий между ИТ и ИББаланс между организационными и техническими средствамиСвязь между Соответствием и Безопасностью
- 8. ПостроениеРазработка нормативных документов5Разработка документовУтверждение документов руководствомПолитика СУИБПолитики и процедуры в составе СУИБ
- 9. ПостроениеПодготовка плана внедрения средств защитыВнедрение средств защиты67Требования к решениями и средствам защитыВыбор решений и средств защиты
- 10. Проверка98
- 11. Подводные камни построения СУИБПоддержка руководстваПроцессный подходРазделение полномочий ИТ и ИББаланс между организационными и техническими средствами защитыСвязь между Соответствием (compliance) и Безопасностью
- 13. Как получить поддержку руководства?Вернее, как завоевать поддержку руководства?Подготовьте проектПроектный план
- 15. Сроки построения
- 16. Необходимые ресурсы Ответы на вопросы«Сколько это стоит?»
- 18. «Почему нам это нужно?»Как получить поддержку руководства?Знайте, чего хочет руководительВидение руководителя = видение компанииПроцветание компанииУспешная компания – успешный руководительЗаручитесь поддержкойВлиятельный руководительпроизводитпродаетконтролируетНаучитесь идеи привлекательной стороной«поворачивать»
- 19. Как получить поддержку руководства?Разговаривайте на языке БизнесаБизнес не владеет техническим языкомВы строите Систему Управления – это бизнес процессУчитесь языку БизнесаТерминологияУправлениеЭкономическая теорияФинансы
- 20. Как получить поддержку руководства?Будьте позитивны Верьте в то, что делаетеИспользуйте позитивные высказыванияВыделите положительныйэффект СУИБПолитика СУИБ упорядочит ИБОценка рисков измерит угрозы и последствияУправление рисками позволит надежно защитить важные ресурсы и сэкономить на защите менее важныхСУИБ = экономия + сокращение последствийзащита стоимость соответствие требованиям безопасностьвложение маркетинговое преимущество
- 21. Как получить поддержку руководства?Понимайте отношение бизнеса к рискуБизнес стремиться идтина риск для получения прибылиЗадача СУИБ – свести информационные риски к приемлемому уровню«Приемлемый уровень риска»– не эфемерное понятие, а ваш вклад в бизнесНе будьте идеалистами – бизнесу не нужна защита на 100%Безопасность должна быть безопасной настолько, насколько это возможно, но не больше
- 22. Как получить поддержку руководства?Используйте творческий подходРассказывайте о безопасностиВо время перерываНа тренингеНа team building упражненияхНе останавливайтесь на формальном подходеБудьте готовы и ищите подходящий моментэлектронные письмаочередь на приемслужебная записка беседы на корпоративах диалог в лифте сжатая презентация
- 23. Процессный подход:сложностиСУИБ воспринимается как проектНечто разовоеИмеет конечные срокиВнедрили и забылиСУИБ – это процессИтеративная практикаСостоит из множества подпроцессовPDCA: Plan – Do – Check – ActПостроение СУИБ – проектПроектный подход к СУИБ снизит эффективность готовой системы управления
- 24. Процессный подход:решенияРазделение понятийПостроение СУИБ и Система управления ИБПостроение (внедрение) СУИБ – проектСУИБ – непрерывный бизнес процессКоммуникация различияРуководствуУчастникам процесса СУИБВсему персоналу
- 25. Разделение полномочий между ИТ и ИБ:сложностиАссоциации и заблужденияИТ ИТ-безопасность ИБВ ИБ превалируют технические средства защитыИБ – задача ИТ специалистовИТ + ИБ = конфликт интересовИТ: доступность сервисовИБ: CIA – конфиденциальность, целостностьи доступность информацииСУИБ – система контроля, в том числе и над ИТСовмещение контролирующей и подконтрольной функцийПсихологический конфликтИТ: технология = возможностьИБ: технология = ограничениеИБ в ведении ИТ снижает эффективность СУИБ
- 26. Разделение полномочий между ИТ и ИБ:решенияИТ и ИБ – равноправные партнеры
- 27. Баланс между организационными и техническими средствами защиты: сложностиЗаблуждение: ИБ = ИТ-безопасностьИТ-безопасность = безопасность ИТ системИБ = безопасность информации вообщеЗаблуждение: пользователь – слабое звеноНевежественный пользователь вообще не звеноЗащита «от дурака» применима не везде Образованный пользователь – сильное звеноСтатистикаВ 70% инцидентов вовлечены инсайдеры50% инцидентов спровоцированы инсайдерамиНе отражается в балансе контрмер
- 28. Баланс между организационными и техническими средствами защиты: решенияУспешная СУИБ80% – люди, следующие правилам20% – технические средства защитыОбучение пользователейВсе уязвимости не исправитьВсе вирусы не вылечитьПридется обучить пользователейДух общности сотрудников перед лицом угроз ИБ – залог успеха системы управления ИБОбразованный пользователь – эффективная составляющая СУИБ
- 29. Связь между соответствием стандарту и безопасностью: сложностиСоответствие стандарту – требование регулятораРегулятор стремится повысить уровень ИБ в отраслиСоответствие стандарту – маркетинговое преимуществоНесомненно, но не толькоЗатраты на «соответствие» грозят превысить затраты на безопасностьSOX, PCI:DSS, HIPPA, GLBA…«Соответствие» на бумаге не гарантирует безопасностьБезопасность гарантирует эффективная СУИБПока не придумали ничего лучшеПодмена понятий «соответствие» и «безопасность» снижает эффективность и превращает СУИБ в «неизбежное зло»
- 30. Связь между соответствием стандарту и безопасностью: решенияКомплексная, продуманная, поддерживаемая и постоянно усовершенствуемая СУИБ гарантирует (насколько это возможно) и безопасность, и соответствие стандартуРуководство компании должно быть (регулярно) проинформировано, что из эффективности СУИБ следует соответствие требованиям, а не наоборот
- 31. Наши возможностиПервичная оценкаРазработка нормативной документацииПостановка процессовУправление рискамиУправление инцидентамиУправление уязвимостямиПрограмма осведомленностиВнутренний аудит на соответствие
- 32. ВопросыСпасибо за внимание!Владимир СтыранРуководитель группы внедрения СУИБДепартамент консалтинга в сфере ИБvladimir_styran@bms-consulting.com+380 (44) 499-6969