Моя презентация, которую читал на VIII Международной научно-практической конференции студентов, аспирантов и молодых ученых "Информационные технологии в науке"
Моя презентация, которую читал на VIII Международной научно-практической конференции студентов, аспирантов и молодых ученых "Информационные технологии в науке"
Solar inView - Security Intelligence, инструмент визуализации разноуровневой аналитики по ИБ, мониторинг результативности и эффективности ИБ, система поддержки принятия решений.
В данной своей лекции я рассказываю об основе основ: базовых принципах защиты информации, которые нужно соблюдать всем, а именно принципы:
* Минимальных привиллегий.
* Прозрачности решений.
* Превентивности защиты.
* Системного подхода.
* Непрерывности защиты.
* Доказательности.
* Унификации решений.
Все описанные принципы подробно разбираются на примерах, и мы постепенно приходим к понятию оптимальной защиты. Также в презентации описываются различные уровни зрелости информационной безопасности на предприятии.
Конечно же, в конце, как и следует из названия, приведено описание так называемых метрик информационной безопасности: их виды, способы измерения и примеры.
Подробнее читайте на моём блоке inforsec.ru
Cистемная инженерия безопасности объектов недвижимости и бизнес-процессов.Yuri Bubnov
Структура метода системной инженерии безопасности объектов недвижимости и бизнес-процессов, основанного на международных стандартах ISO 24744, ISO 31000, ISO 22301, Archimate, OMG Essence и работах видных зарубежных учёных Nancy Leveson (MIT), Donald Firesmith (SEI).
Презентация на CyberCrimeCon про некоторые важные моменты построения SOC, включая вопросы ценообразования, оргштатной структуры, технологического стека, сервисной стратегии, Threat Intelligence и т.п.
Как сэкономить, вложив в информационную безопасность? Ivan Piskunov
Презентация к семинару "Как сэкономить, вложив в информационную безопасность?".
На семинаре мы расскажем как аудит безопасности для небольшого и среднего бизнеса поможет снизить операционные затраты, увеличить оборотные средства и в целом увеличь общую капитализацию (прибыль).
Ссылка на подробное описание https://ipiskunov.blogspot.ru/2017/12/blog-post.html
Every CISO should know how to create and implement information security policies. The best approach is defined in the ISO 27001 standard and presented in the attached presentation, "ISMS Documented Information"
1. Несколько слайдов про
измерение ИБ
Прозоров Андрей, CISM
Руководитель экспертного направления
Компания Solar Security
Мой блог: 80na20.blogspot.com
Мой твиттер: twitter.com/3dwave
2015-11
2. solarsecurity.ru +7 (499) 755-07-70
Почему мы редко измеряем ИБ?
2
А зачем?
Нас этому не учили
Нет примеров, мало рекомендаций
Слишком сложно
Нет универсального решения
Нет времени / ресурсов, другие приоритеты
Мы к этому пока не готовы
Руководители не просили
Пробовали, слишком трудозатратно
…
3. solarsecurity.ru +7 (499) 755-07-70
Почему все же измеряем ИБ?
3
• Необходимо обосновывать
бюджеты на ИБ
• Хотим выявлять "проблемные"
области в системе ИБ для
дальнейшего совершенствования
• Есть формальные требования
• …
Главное не скатиться в «измерения ради измерений»
5. solarsecurity.ru +7 (499) 755-07-70
Варианты измерения ИБ. А кто Заказчик?
5
№ Измерение ИБ Глобальная цель Потребитель
1 Уровень рисков ИБ Определить приоритеты ИБ CISO
2 Метрики контролей
(доменов ИБ)
Выявить отклонения в нормальной работе ИБ,
определить области ИБ для совершенствования
CISO
3 Метрики процессов ИБ Выявить отклонения в нормальной работе
процессов ИБ, определить приоритеты по их
совершенствованию
CISO, CIO
4 Процент выполненных мер
(compliance)
Комплексно оценить состояние ИБ, отчитаться о
выполнении требований
CISO, Legal, Internal
Auditor, Compliance
officer, Regulators
5 Уровень ИБ (самооценка) Понять текущее состояние ИБ CISO, Compliance
officer, Regulators
6 Уровень зрелости
процессов ИБ
Оценить текущий уровень процессов ИБ,
определить приоритеты по их совершенствованию
CISO, CIO, CEO
7 Уровень возможностей
процессов ИБ
Оценить текущий уровень процессов ИБ,
определить приоритеты по их совершенствованию
CISO, CIO, CEO
8 Количество инцидентов ИБ Понять актуальность угроз ИБ и отчитаться об
инцидентах
CISO, Compliance
officer, Regulators
9 Ущерб от инцидентов Количественно оценить ущерб от произошедших
инцидентов
CISO, CFO, CEO
10 Экономика проектов ИБ Выбрать оптимальное решение CISO, CIO, CFO, CEO
11 Показатели проектов ИБ Контролировать реализацию проектов ИБ CISO, CIO, PM
12 Выгоды для бизнеса
(оптимизация операционных
рисков, оптимизация ресурсов,
прочие выгоды)
Обосновать бюджеты ИБ CISO, CFO, CEO,
CTO, COO
6. solarsecurity.ru +7 (499) 755-07-70
CISO - основной потребитель
результатов измерений
6
ИТ/ИБ
специалисты
CISO
«Бизнес»
7. solarsecurity.ru +7 (499) 755-07-70 7
Есть ощущение, что использование
сбалансированной системы метрик
контролей (доменов) ИБ / процессов ИБ
является наиболее эффективным, хотя и не
самым простым, вариантом…
8. solarsecurity.ru +7 (499) 755-07-70
Интегральные показатели
8
Степень эффективности
управления инцидентами
Степень
защищенности
ресурсов
…
Степень уязвимости
ресурсов
Степень защищенности
активов от вредоносного
ПО
% хостов с активным
антивирусным ПО
% устраненного
вредоносного ПО
…
% хостов с критичными
уязвимостями
Среднее время
устранения критичных
уязвимостей
…
% критичных
инцидентов в единицу
времени
% инцидентов, не
разрешенных вовремя
…
«Сырые»данныеотисточников
Показатели
1 уровня
Показатели 2 уровня Показатели 3 уровня
Степень
соответствия
бизнес целям
Эффективность
внедренных мер
Solar InView
9. solarsecurity.ru +7 (499) 755-07-70
Шаги по построению системы измерения
9
1. Решить, что готовы к измерению ИБ
2. Определить заинтересованных лиц
и их ожидания
3. Определить перечень внутренних и
внешних требований
4. Определить цели измерений ИБ
5. Определить перечень возможных
источников данных
6. Определить группы (домены)
метрик и показателей
7. Определить перечень метрик и
показателей
8. Определить перечень интегральных
показателей
9. Определитель средние значения
метрик и показателей для вашей
отрасли
10. Определить граничные значения
показателей
11. Попробовать собрать результаты
измерений
12. Пересмотреть систему метрик и
показателей
13. Еще раз попробовать собрать результаты
измерений
14. Провести анализ представленных данных
15. Пересмотреть граничные значения
показателей
16. Представить результаты заинтересованным
лицам
17. Принять управленческое решение по
результатам анализа (при необходимости)
18. Окончательно утвердить перечень метрик
и показателей, граничные и целевые
значения
19. Утвердить периодичность оценки и формат
представления данных
20. Регулярно пересматривать и
совершенствовать систему измерения ИБ
10. solarsecurity.ru +7 (499) 755-07-70
Гипотеза про уровень зрелости
10
Если не достигли стабильного «3» уровня
зрелости процессов ИТ и ИБ, то для
измерения лучше использовать не
систему метрик, а КЕЙСЫ
11. solarsecurity.ru +7 (499) 755-07-70
ИБ для бизнеса. Считаем кейсы
Оптимизация рисков
Оптимизация ресурсов
Получение выгод (benefits)
11
Важно: доверие к CISO и прозрачность методологии