Правовые проблемы борьбы с компьютерными преступлениями

В итоге анализ рисков стал инструментом обоснования внедрения СИБ, выгодного компании-подрядчику.
Большая часть отраслевых компаний и ведомств не желают раскрывать вопросы, описывающие архитектуру, схемы и детали построения существующей СИБ: есть ли концепция и политика ИБ, как оценивается защищенность, регулярно ли проводится аудит ИБ и т.д. Исключения составляют лишь отечественные лучшие практики («best practice») реализации СИБ, например, РАО «ЕЭС России», Федеральная таможенная служба и т.д.
В открытой печати России обсуждается модель определения уровня зрелости предприятий. В настоящее время единственный четкий критерий оценки уровня зрелости отечественного предприятия по информационной безопасности – это модель зрелости СИБ компании, описанная в стандарте Банка России.
Основой модели зрелости процессов менеджмента ИБ организации является определенная стандартом CobiT универсальная модель, устанавливающая шесть уровней:
Нулевой − полное отсутствие процессов менеджмента ИБ в рамках деятельности организации. Организация не осознает существования проблем ИБ.
Первый («начальный») − наличие документально зафиксированных свидетельств осознания организацией существования проблем обеспечения ИБ. Однако используемые процессы менеджмента ИБ не стандартизованы, применяются эпизодически и бессистемно. Общий подход к менеджменту ИБ не выработан.
Второй («повторяемый») − проработаны процессы менеджмента ИБ до уровня, когда их выполнение обеспечивается различными людьми, решающими одну и ту же задачу. Однако отсутствуют регулярное обучение и тренировки по стандартным процедурам, а ответственность возложена на исполнителя. Руководство организации в значительной степени полагается на знания исполнителей, что влечет за собой высокую вероятность ошибок.
Третий («определенный») − процессы стандартизованы, документированы и доведены до персонала посредством обучения. Однако порядок использования данных процессов оставлен на усмотрение самого персонала. Это определяет вероятность отклонений от стандартных процедур, которые могут быть не выявлены. Применяемые процедуры неоптимальны и недостаточно современны, но являются отражением практики, используемой в организации.
Четвертый («управляемый») − обеспечиваются мониторинг и оценка соответствия используемых в организации процессов. При выявлении низкой эффективности реализуемых процессов менеджмента ИБ обеспечивается их оптимизация. Процессы менеджмента ИБ находятся в стадии непрерывного совершенствования и основываются на хорошей практике. Средства автоматизации менеджмента ИБ используются частично и в ограниченном объеме.
Пятый («оптимизированный») − процессы менеджмента ИБ проработаны до уровня лучшей практики, основанной на результатах непрерывного совершенствования и сравнения уровня зрелости относительно других организаций. Защитные меры в организации используются комплексно, обеспечивая основу совершенствования процессов менеджмента ИБ. Организация способна к быстрой адаптации при изменениях в окружении и бизнесе.
Наличие концепции и частных политик информационной безопасности в организации свидетельствует о ее выходе на «начальный» уровень ИБ. Однако таких признаков, учитывая стандарт Банка России, намного больше. Концепция как необходимый признак ИБ слабо сказывается на создании завершенных вертикальных решений. В таком случае достаточным условием успешного обеспечения ИБ, на время разработки СИБ, может стать четкая реализация частных политик.
Заключение

На сегодняшний день процесс информатизации большинства областей деятельности в Российской Федерации: правительства, промышленности, социальной сферы, бизнеса, и т.д. развивается бурными темпами. Поэтому встает вопрос о комплексном подходе к защите информации. Политики информационной безопасности (ПИБ) направлены на решение этой серьезной проблемы. Под политикой информационной безопасности понимают «формальное изложение правил поведения лиц, получающих доступ к конфиденциальным данным в корпоративной информационной системе». Корректно разработанные и остающиеся актуальными, они отражают мнение руководства по вопросу информационной безопасности, связывают воедино все методы защиты информации, позволяют разработать единые стандарты в области защиты информации, регламентируют работу сотрудников. Политики информационной безопасности являются основой для дальнейшей разработки документов по обеспечению безопасности: стандартов, процедур, регламентов, должностных инструкций и т.д.
Поэтому актуальность разработки политик информационной безопасности для компаний объясняется необходимостью создания механизма управления и планирования информационной безопасности.
Список литературы

BS 7799 Стандарт управления информационной безопасностью
ISO/IEC 17799 Информационные технологии – Технологии безопасности – Практические правила менеджмента информационной безопасности.
ISO/IEC 27001:2005 - Information technology -- Security techniques -- Information security management systems.
Зиновьев, П.В. К вопросу повышения защищенности существующих и перспективных автоматизированных систем электронного документооборота / П.В. Зиновьев // Вестник Воронежского государственного технического университета. – 2010. Т. 6. – № 12. – С. 173-174.

ISO/IEC 17799 Информационные технологии — Технологии безопасности — Практические правила менеджмента информационной безопасности.
ISO/IEC 27001:2005 - Information technology -- Security techniques -- Information security management systems.
BS 7799 : Стандарт управления информационной безопасностью.
Зиновьев, П.В. К вопросу повышения защищенности существующих и перспективных автоматизированных систем электронного документооборота / П.В. Зиновьев // Вестник Воронежского государственного технического университета. – 2010. Т. 6. – № 12. – С. 173-174.
Зиновьев, П.В. К вопросу повышения защищенности существующих и перспективных автоматизированных систем электронного документооборота / П.В. Зиновьев // Вестник Воронежского государственного технического университета. – 2010. Т. 6. – № 12. – С. 173-174.









6