Зарубежное законодательство в области информационной безопасности кратко

Обновлено: 02.07.2024

Информация была и есть частью жизни общества, как и информационная безопасность. Вопрос защиты информации всегда был актуален, будь то шифрование писем в прошлых столетиях или криптографические средства защиты сейчас – цель всегда будет преследоваться одна. В условиях информационного общества этот вопрос стоит особенно остро, так как современные реалии развития информационных отношений подразумевают широкое использование и высокую ценность информации, а значит огромный поток передаваемой информации всегда будет подвергаться недобросовестной деятельности. В современной России уже сформированы частично методы защиты информации на государственном уровне, а также продолжается гонка за далеко убегающими технологиями и новыми способами защиты права. В сфере права ситуация так же не стоит на месте. Для детального рассмотрения того, как менялась информационная безопасность на законодательном уровне стоит определиться, что затрагивает данное понятие именно в праве и именно в России.

1) Так, если мы откроем Указ Президента РФ от 5 декабря 2016 г. № 646 "Об утверждении Доктрины информационной безопасности Российской Федерации" то увидим, что информационная безопасность – это состояние защищенности общества и государства, отдельного гражданина от информационно-технического воздействия на информационную инфраструктуру. То есть это состояние защищенности общества от недобросовестной информации либо от ее разглашения.

2) Согласно ч. 4 ст. 6 Федерального закона от 27 июля 2006 г. № 149-ФЗ "Об информации, информационных технологиях и о защите информации" (далее – Закон № 149-ФЗ) владелец информации обязан принимать меры по ее защите, из чего следует, что защита информации (как информационная безопасность) – совокупность обязательных действий владельца информации не только по ее защите (защита от уничтожения, распространения, копирования и т.д. (ч. 1 ст. 16 Закон № 149-ФЗ)), но и реализации права на доступ к ней.

3) Также под защитой информации понимается защита интеллектуальной собственности, ограничение доступа к ней и ее законное распространении (касается, например, ноу-хау).
Для рассмотрения основных изменений в российском законодательстве за последнее время стоит понимать, что "информационная безопасность" имеет, скажем так, различную направленность, что мы и видим согласно представленным выше определениям. Соответственно, мы разделим на 3 этапа основные изменения в сфере информационной безопасности.

Этап 1. Основные права и обязанности

1) Данный этап можно назвать формированием правовой защиты информации. А значит, стоит начать с Конституции РФ, которая является основным источником права в области обеспечения информационной безопасности в России:

2) К этому же этапу можно отнести первые редакции Федерального закона от 20 февраля 1995 г. № 24-ФЗ "Об информации, информатизации и защите информации", который, как острог и каркас имел лишь основные понятия: устанавливал обязанности государства в сфере защиты информации, создал пока еще только понятие об информационных ресурсах государства, отнес информационные ресурсы к общероссийскому национальному достоянию (2003 год).

3) Правовой режим государственной тайны установлен первым в истории российского государства Законом "О государственной тайне", который вступил в действие 21 сентября 1993 года (новая редакция Закона Российской Федерации "О государственной тайне" была принята в 1997 году).

4) Указом от 6 марта 1997 года № 188 был закреплен перечень сведений конфиденциального характера, таких как персональные данные, тайна судопроизводства, коммерческая тайна и т.д.
Данный этап подразумевал под собой формирование основных сводов и правил для дальнейшего формирования защищенности интересов в информационной сфере. Основной уровень прав – гарант правового общества, соответственно эти меры были просто необходимы и отражали основные принципы государства. Практическая ценность данных прав – нормальное функционирование судебной системы в России.

Этап 2. Формирование основных направлений и их реализация

Данный этап и перечень всех изменений проще всего будет рассмотреть на примере двух Доктрин информационной безопасности Российской Федерации 2000 и 2015 года. Хоть они и не отражают всех изменений, внесенных за этот период с 2000 по 2016 год, но вполне отражают общую тенденцию выходящих тогда паровых актах и изменениях в праве. Данный анализ основан на статье: Информационная политика России в обеспечении информационной безопасности личности: история и современность (Чеботарева А.А.) ("История государства и права", 2015, № 24)

1) Доктрина информационной безопасности личности Российской Федерации 2000 года (утверждена Президентом РФ 9 сентября 2000 г. № Пр-1895) ставит перед собой основную задачу – это защита личности в информационной сфере. При этом интересы личности в информационной сфере заключаются как в реализации конституционных прав человека и гражданина на доступ к информации, на использование информации в интересах осуществления не запрещенной законом деятельности, физического, духовного и интеллектуального развития, так и в защите информации, обеспечивающей личную безопасность.

2) В Стратегии развития информационного общества в Российской Федерации (утв. Президентом РФ 7 февраля 2008 г. № Пр-212) один из принципов, на которых базируется развитие информационного общества в России, – это обеспечение национальной безопасности в информационной сфере. В качестве одного из направлений реализации Стратегией названо обеспечение неприкосновенности частной жизни, личной и семейной тайны, соблюдение требований к обеспечению безопасности информации ограниченного доступа, что и подтвердила Доктрина 2016 года. Разработка новой Доктрины продиктована изменившимися реалиями, связанными с угрозами информационной безопасности, изменением в стратегическом планировании в сфере обеспечения национальной безопасности.

Из чего можно сделать вывод, что данный этап формирует две основные направленности: внутреннюю (2000 год) и внешнюю (2016 год). Право в сфере информационной безопасности формируется именно по этим двум направления, составляя тандем из состояния защищенности каждой отдельной личности, общества и государства. На деле – направление развития права в сфере информационной безопасности дало точек к конкретизации различных паровых случаев и возможность следовать тенденциям глобальной информатизации. Вопрос же в реализации данных направлений отразился в Этапе 3.

Этап 3. Гонка с технологиями

С формированием информационного общества поток информации в мире непрерывно растет. Это в первую очередь обеспечено технологиями, которые постоянно совершенствуются и дорабатываются, а также внедрением новых возможностей в систему взаимодействия общества. Право во всем мире постоянно старается залатать дыры, образованные новыми возможностями. Защита прав личности, корпоративной тайны, государственной тайны сейчас скорее вопрос не только права, но и физики, математики. А значит, недостаточно выпустить НПА и тем самым закрыть брешь, но и необходимо создать технологическую почву для его реализации. Этим и обусловлены все новые НПА, выходящие приблизительно с 2016 года. Будь то еще не уступивший в силу Федеральный закон от 31 июля 2020 г. № 259-ФЗ "О цифровых финансовых активах, цифровой валюте и о внесении изменений в отдельные законодательные акты Российской Федерации", который направлен на регулирование криптовалют, а значит защиту пользователей криптовалют. Или новая редакция Закона. № 149-ФЗ, о нововведениях которой хотелось бы упомянуть, что бы картинка развития права в сфере информационной безопасности в России была целостной. Итак, на что направлены новые изменения в Закон № 149-ФЗ? На борьбу с "пиратством". Предыдущий опыт показал неэффективность борьбы с пиратством в России. Поэтому, это закономерное изменение. Так, правообладатель теперь сможет блокировать через Роскомнадзор не только ресурс, на котором опубликован материал, но и ограничить доступ также к программам, которые обеспечивают работу "пиратских" сайтов в Интернете. А у провайдеров появятся новые обязательства. В соответствии с новой ч. 3.1 ст. 15.2 Закона № 149-ФЗ владелец информационного ресурса, на котором находится программное приложение, обеспечивающее использование "пиратского" сайта, обязан проинформировать об этом владельца программного приложения и уведомить его о необходимости незамедлительно ограничить доступ к произведениям или иной интеллектуальной собственности, которые распространяются без разрешения правообладателя. То же самое касается и разработчиков программ, на которых публикуются незаконно произведения интеллектуальной собственности.

Рассмотрев поэтапно историю развития информационной безопасности в России, напрашивается ряд вопросов, которые могут задать себе предприниматели. Однако, данная хронография законодательных актов – не более чем направление деятельности государства в сфере защиты информации. Ее непосредственное применение в судах или досудебном порядке неприменимо. Но! Знания и понимание процессов – сила, которая не даст растеряться на практике. Так, понимая, что деятельность законодателей направлена сейчас на ужесточение мер по защите авторских прав, а так же появление новых возможностей кредитования – можно взять кредит под залог интеллектуальной собственности, как это было сделано впервые в России в октябре 2020 года. Так же, например, понимая, что хоть и основные меры по защите предпринимательства и бизнеса идут с 2016 года – многие моменты, связанные с техническим обеспечением являются незащищенными. Поэтому стоит трижды рассмотреть новые капиталовложения, связанные с передачей данных по интернету, но и бояться нового – стагнация для бизнеса. Описать каждый новый элемент технологических достижений невозможно как в нормативно-правовых актах, так и в этой статье. Тем не менее, можно дать простое понимание общей картины. Поэтому ниже будут приведены вопросы. Которые задает каждый предприниматель века информационных технологий.

1) Как предприниматель может защитить свои данные на просторах Интернета?

С развитием технологий способы утечки корпоративной, личной информации, имеющие материальную ценность, являются важным ресурсом для любого бизнеса по всему миру. Минимизация возможности утечки таких данных путем ужесточения мер идентификации и аутентификации – единственный надежный вариант на сегодняшнее время. Если Ваши персональные данные уже находятся в Интернете – изъять их будет куда сложнее, чем постоянно проводить профилактику и соблюдать меры предосторожности. Для этого есть два основных направления: ужесточение мер безопасности на внутреннем уровне или передача на аутсорсинг. Внутреннее ужесточение имеет потолок в виде вашего IT-отдела. Аутсорсинг же пестрит выбором и необходимо тщательно выбирать партнера для передачи ценной информации. Если же ситуация уже вышла из-под контроля, стоит учитывать, что судебная практика имеет смешанные решения по вопросам утечки персональных данных, но шансы получить компенсацию и пресечь утечку данных куда проще при передаче оператору персональных данных на аутсорсинг. Так, после внесения изменений в Федеральный закон от 27 июля 2006 года № 152-ФЗ "О персональных данных" появились компании на аутсорсинге, которые предлагают услугу облачного хранилища, то есть хранение всего объема данных от первичных документов до счетов в защищенном облаке данных на серверах компании, предоставившей услугу. Но все равно по итогу никто не застрахован от утечки данных, вопрос лишь в процентном шансе заиметь проблемы с данными, так как находятся все новые и новые способы украсть персональные данные. Из чего следует вывод, что каждый предприниматель должен быть готов столкнуться с чем-то новым. Как в положительном, так и в отрицательном ключе.

2) И вытекающий вопрос из предыдущего – а что делается для предотвращения таких случаев на законодательном уровне? Как в России решают проблему технологического отставная в защите персональных данных?

Хоть и отставание от технологий чрезмерно велико, процесс все же есть. Помимо упомянутой выше новой редакции Закона № 149-ФЗ, направленной на защиту в Госдуму было внесено порядка 10 проектов, касающихся непосредственно мер по защите персональных данных. Ввели уточнения обязанностей организатора распространения информации в сети, уточнения порядка обработки персональных данных по поручению оператора, а также уточнения требований по обеспечению безопасности обрабатываемых персональных данных, уточнения сведений, передаваемых оператором связи и других данных. В техническом плане постоянно совершенствуются способы шифрования криптографии (например, разрабатываются новые системы токенов для обеспечения информационной безопасности пользователя). Тем не менее, конкретизация в праве и новые методы шифрования в техническом плане рождают новые методы обхода всех средств защиты и эта гонка будет продолжаться бесконечно.

Конечно, излишняя амбициозность заголовка очевидна. Разумеется, мы лишь пунктиром очертим некоторые законы нескольких стран (в первую очередь - США), поскольку только в США таких законодательных актов около 500.

Ключевую роль играет американский "Закон об информационной безопасности" (Computer Security Act of 1987, Public Law 100-235 (H.R. 145), January 8, 1988). Его цель - реализация минимально достаточных действий по обеспечению безопасности информации в федеральных компьютерных системах, без ограничений всего спектра возможных действий.

Характерно, что уже в начале Закона называется конкретный исполнитель - Национальный институт стандартов и технологий (НИСТ), отвечающий за выпуск стандартов и руководств, направленных на защиту от уничтожения и несанкционированного доступа к информации, а также от краж и подлогов, выполняемых с помощью компьютеров. Таким образом, имеется в виду как регламентация действий специалистов, так и повышение информированности всего общества.

Согласно Закону, все операторы федеральных ИС, содержащих конфиденциальную информацию, должны сформировать планы обеспечения ИБ. Обязательным является и периодическое обучение всего персонала таких ИС. НИСТ, в свою очередь, обязан проводить исследования природы и масштаба уязвимых мест, вырабатывать экономически оправданные меры защиты. Результаты исследований рассчитаны на применение не только в государственных системах, но и в частном секторе.

Закон обязывает НИСТ координировать свою деятельность с другими министерствами и ведомствами, включая Министерство обороны, Министерство энергетики, Агентство национальной безопасности (АНБ) и т.д., чтобы избежать дублирования и несовместимости.

Помимо регламентации дополнительных функций НИСТ, Закон предписывает создать при Министерстве торговли комиссию по информационной безопасности, которая должна:

выявлять перспективные управленческие, технические, административные и физические меры, способствующие повышению ИБ;
выдавать рекомендации Национальному институту стандартов и технологий, доводить их до сведения всех заинтересованных ведомств.

С практической точки зрения важен раздел 6 Закона, обязывающий все правительственные ведомства сформировать план обеспечения информационной безопасности, направленный на то, чтобы компенсировать риски и предотвратить возможный ущерб от утери, неправильного использования, несанкционированного доступа или модификации информации в федеральных системах. Копии плана направляются в НИСТ и АНБ.

В 1997 году появилось продолжение описанного закона - законопроект "О совершенствовании информационной безопасности" (Computer Security Enhancement Act of 1997, H.R. 1903), направленный на усиление роли Национального института стандартов и технологий и упрощение операций с криптосредствами.

В законопроекте констатируется, что частный сектор готов предоставить криптосредства для обеспечения конфиденциальности и целостности (в том числе аутентичности) данных, что разработка и использование шифровальных технологий должны происходить на основании требований рынка, а не распоряжений правительства. Кроме того, здесь отмечается, что за пределами США имеются сопоставимые и общедоступные криптографические технологии, и это следует учитывать при выработке экспортных ограничений, чтобы не снижать конкурентоспособность американских производителей аппаратного и программного обеспечения.

Для защиты федеральных ИС рекомендуется более широко применять технологические решения, основанные на разработках частного сектора. Кроме того, предлагается оценить возможности общедоступных зарубежных разработок.

Очень важен раздел 3, в котором от НИСТ требуется по запросам частного сектора готовить добровольные стандарты, руководства, средства и методы для инфраструктуры открытых ключей (см. выше Закон РФ об ЭЦП), позволяющие сформировать негосударственную инфраструктуру, пригодную для взаимодействия с федеральными ИС.

В разделе 4 особое внимание обращается на необходимость анализа средств и методов оценки уязвимых мест других продуктов частного сектора в области ИБ.

Приветствуется разработка правил безопасности, нейтральных по отношению к конкретным техническим решениям, использование в федеральных ИС коммерческих продуктов, участие в реализации шифровальных технологий, позволяющее в конечном итоге сформировать инфраструктуру, которую можно рассматривать как резервную для федеральных ИС.

Важно, что в соответствии с разделами 10 и далее предусматривается выделение конкретных (и немалых) сумм, называются точные сроки реализации программ партнерства и проведения исследований инфраструктуры с открытыми ключами, национальной инфраструктуры цифровых подписей. В частности, предусматривается, что для удостоверяющих центров должны быть разработаны типовые правила и процедуры, порядок лицензирования, стандарты аудита.

В 2001 году был одобрен Палатой представителей и передан в Сенат новый вариант рассмотренного законопроекта - Computer Security Enhancement Act of 2001 (H.R. 1259 RFS). В этом варианте примечательно как то, что, по сравнению с предыдущей редакцией, было убрано, так и то, что добавилось.

За четыре года (1997-2001 гг.) на законодательном и других уровнях информационной безопасности США было сделано многое. Смягчены экспортные ограничения на криптосредства (в январе 2000 г.). Сформирована инфраструктура с открытыми ключами. Разработано большое число стандартов (например, новый стандарт электронной цифровой подписи - FIPS 186-2, январь 2000 г.). Все это позволило не заострять более внимания на криптографии как таковой, а сосредоточиться на одном из ее важнейших приложений - аутентификации, рассматривая ее по отработанной на криптосредствах методике. Очевидно, что, независимо от судьбы законопроекта, в США будет сформирована национальная инфраструктура электронной аутентификации. В данном случае законотворческая деятельность идет в ногу с прогрессом информационных технологий.

Программа безопасности, предусматривающая экономически оправданные защитные меры и синхронизированная с жизненным циклом ИС, упоминается в законодательстве США неоднократно. Согласно пункту 3534 ("Обязанности федеральных ведомств") подглавы II ("Информационная безопасность") главы 35 ("Координация федеральной информационной политики") рубрики 44 ("Общественные издания и документы"), такая программа должна включать:

периодическую оценку рисков с рассмотрением внутренних и внешних угроз целостности, конфиденциальности и доступности систем, а также данных, ассоциированных с критически важными операциями и ресурсами;
правила и процедуры, позволяющие, опираясь на проведенный анализ рисков, экономически оправданным образом уменьшить риски до приемлемого уровня;
обучение персонала с целью информирования о существующих рисках и об обязанностях, выполнение которых необходимо для их (рисков) нейтрализации;
периодическую проверку и (пере)оценку эффективности правил и процедур;
действия при внесении существенных изменений в систему;
процедуры выявления нарушений информационной безопасности и реагирования на них; эти процедуры должны помочь уменьшить риски, избежать крупных потерь; организовать взаимодействие с правоохранительными органами.

Конечно, в законодательстве США имеются в достаточном количестве и положения ограничительной направленности, и директивы, защищающие интересы таких ведомств, как Министерство обороны, АНБ, ФБР, ЦРУ, но мы не будем на них останавливаться. Желающие могут прочитать раздел "Законодательная база в области защиты информации" в превосходной статье О. Беззубцева и А. Ковалева "О лицензировании и сертификации в области защиты информации" (Jet Info, 1997, 4).

В законодательстве ФРГ выделим весьма развернутый (44 раздела) Закон о защите данных (Federal Data Protection Act of December 20, 1990 (BGBl.I 1990 S.2954), amended by law of September 14, 1994 (BGBl. I S. 2325)). Он целиком посвящен защите персональных данных.

Как, вероятно, и во всех других законах аналогичной направленности, в данном случае устанавливается приоритет интересов национальной безопасности над сохранением тайны частной жизни. В остальном права личности защищены весьма тщательно. Например, если сотрудник фирмы обрабатывает персональные данные в интересах частных компаний, он дает подписку о неразглашении, которая действует и после перехода на другую работу.

Государственные учреждения, хранящие и обрабатывающие персональные данные, несут ответственность за нарушение тайны частной жизни "субъекта данных", как говорится в Законе. В материальном выражении ответственность ограничена верхним пределом в 250 тысяч немецких марок.

Из законодательства Великобритании упомянем семейство так называемых добровольных стандартов BS 7799, помогающих организациям на практике сформировать программы безопасности. В последующих лекциях мы еще вернемся к рассмотрению этих стандартов; здесь же отметим, что они действительно работают, несмотря на "добровольность" (или благодаря ей?).

В современном мире глобальных сетей законодательная база должна быть согласована с международной практикой. В этом плане поучителен пример Аргентины. В конце марта 1996 года компетентными органами Аргентины был арестован Хулио Цезар Ардита, 21 года, житель Буэнос-Айреса, системный оператор электронной доски объявлений "Крик", известный в компьютерном подполье под псевдонимом "El Griton". Ему вменялись в вину систематические вторжения в компьютерные системы ВМС США, НАСА, многих крупнейших американских университетов, а также в компьютерные системы Бразилии, Чили, Кореи, Мексики и Тайваня. Однако, несмотря на тесное сотрудничество компетентных органов Аргентины и США, Ардита был отпущен без официального предъявления обвинений, поскольку по аргентинскому законодательству вторжение в компьютерные системы не считается преступлением. Кроме того, в силу принципа "двойной криминальности", действующего в международных правовых отношениях, Аргентина не может выдать хакера американским властям. Дело Ардита показывает, каким может быть будущее международных компьютерных вторжений при отсутствии всеобщих или хотя бы двусторонних соглашений о борьбе с компьютерной преступностью.

Характерно, что уже в начале Закона называется конкретный исполнитель – Национальный институт стандартов и технологий (НИСТ), отвечающий за выпуск стандартов и руководств, направленных на защиту от уничтожения и несанкционированного доступа к информации, а также от краж и подлогов, выполняемых с помощью компьютеров. Таким образом, имеется в виду как регламентация действий специалистов, так и повышение информированности всего общества.

Согласно Закону, все операторы федеральных информационных систем, содержащих конфиденциальную информацию, должны сформировать планы обеспечения информационной безопасности. Обязательным является и периодическое обучение всего персонала таких информационных систем. НИСТ, в свою очередь, обязан проводить исследования природы и масштаба уязвимых мест, вырабатывать экономически оправданные меры защиты. Результаты исследований рассчитаны на применение не только в государственных системах, но и в частном секторе.

- выявлять перспективные управленческие, технические, административные и физические меры, способствующие повышению информационной безопасности;

- выдавать рекомендации Национальному институту стандартов и технологий, доводить их до сведения всех заинтересованных ведомств.

За четыре года (1997–2001 гг.) на законодательном и других уровнях информационной безопасности США было сделано многое. Смягчены экспортные ограничения на криптосредства (в январе 2000 г.). Сформирована инфраструктура с открытыми ключами. Разработано большое число стандартов (например, новый стандарт электронной цифровой подписи — FIPS 186-2, январь 2000 г.). Все это позволило не заострять более внимания на криптографии как таковой, а сосредоточиться на одном из ее важнейших приложений – аутентификации, рассматривая ее по отработанной на криптосредствах методике.

- периодическую оценку рисков с рассмотрением внутренних и внешних угроз целостности, конфиденциальности и доступности систем, а также данных, ассоциированных с критически важными операциями и ресурсами;

- правила и процедуры, позволяющие, опираясь на проведенный анализ рисков, экономически оправданным образом уменьшить риски до приемлемого уровня;

- обучение персонала с целью информирования о существующих рисках и об обязанностях, выполнение которых необходимо для их (рисков) нейтрализации;

- периодическую проверку и (пере)оценку эффективности правил и процедур;

- действия при внесении существенных изменений в систему;

- процедуры выявления нарушений информационной безопасности и реагирования на них; эти процедуры должны помочь уменьшить риски, избежать крупных потерь; организовать взаимодействие с правоохранительными органами.

В законодательстве США имеются в достаточном количестве и положения ограничительной направленности, и директивы, защищающие интересы таких ведомств, как Министерство обороны, АНБ, ФБР, ЦРУ.

В законодательстве ФРГ можно выделить весьма развернутый (44 раздела) закон о защите данных (Federal Data Protection Act of December 20, 1990 (BGB1.I 1990 S.2954), amended by law of September 14, 1994 (BGB1. I S. 2325)). Он целиком посвящен защите персональных данных.

Из законодательства Великобритании можно выделить семейство так называемых добровольных стандартов BS 7799, помогающих организациям на практике сформировать программы безопасности.

В статье приведен краткий обзор наиболее известных и значимых международных стандартов в области информационной безопасности (ИБ), которые служат методологической опорой при повышении защищенности ИТ-активов. Изучение международных практик позволяет почерпнуть лучшие идеи зарубежных организаций, сформировать или модифицировать свою концептуальную модель информационной безопасности, а также изучить и внедрить методы и способы ее достижения.

Содержание:

Введение

В настоящий момент существует большое количество подходов к обеспечению и управлению информационной безопасностью. Наиболее эффективные из них формализованы в стандарты.

Международные стандарты и методологии в области ИБ и управления ИТ являются ориентиром при построении информационной безопасности, а также помогают в решении связанных с этой деятельностью задач всех уровней, как стратегических и тактических, так и операционных. Попробуем разобраться в идеях популярных зарубежных стандартов и в том, как они могут применяться в российской практике.

Зачем нужны ИБ-стандарты

Каждому специалисту, имеющему отношение к информационной безопасности, желательно ознакомиться с наиболее известными методологиями в области ИБ, а также научиться применять их на практике. Изучение лучших практик дает возможность узнать:

терминологию в сфере ИБ;
общие подходы к построению ИБ;
общепринятые процессы ИБ и рекомендации по их выстраиванию;
конкретные меры защиты — контроли ИБ;
роли и зоны ответственности при построении процессов ИБ;
подходы к измерению зрелости процессов ИБ;
и многое другое.

Международные ИБ-стандарты развиваются годами, и за это время успели усовершенствоваться и вобрать в себя лучший опыт практикующих специалистов, в том числе лучшие практики в области развития ИТ.

Еще одним преимуществом изучения стандартов является возможность продуктивного взаимодействия в сообществе ИБ-специалистов — общепризнанные стандарты международного уровня позволяют им общаться между собой и с внутренними подразделениями компании на одном языке с использованием устоявшихся терминов и определений. В том числе это помогает обосновывать руководству необходимость тех или иных ИБ-мер формулировками, понятными бизнесу. Стоит отметить, что ИБ всегда идет бок о бок с ИТ, и для повышения эффективности работы очень важно уметь устанавливать коммуникации с ИТ. В этом ИБ-специалисту помогает изучение таких стандартов, как ITIL и COBIT.

Какие бывают ИБ-стандарты

Существует множество систем взглядов и разных способов группировки стандартов. Методы классификации различаются по целям и задачам применения.

Рассмотрим стандарты с прикладной и процессной точек зрения. Стандарты можно поделить на:

Технические или контрольные (control), регламентирующие различные аспекты реализации мер защиты.
Процессно-ориентированные, описывающие поход к выстраиванию процессов и построению ИБ в целом.

Технические стандарты помогают провести выстраивание технической защиты информации — выбрать необходимый комплекс защитных мер и провести их грамотную настройку.

Процессно-ориентированные стандарты описывают поход к выстраиванию отдельных процессов.

К процессно-ориентированным стандартам относятся: серия ISO/IEC 27XXX, руководство ITIL, методология COBIT и так далее.

В части технических стандартов стоит отметить проект OWASP top 10, CIS Controls, а также CIS Benchmarks, которые содержат детальную информацию по обеспечению безопасности ИТ-элементов инфраструктуры, что помогает противодействовать широкому спектру угроз.

Тем не менее, не всегда стоит однозначно делить стандарты на категории. Один стандарт может агрегировать в себе информацию по нескольким направлениям. Так, например, стандарт PCI DSS (стандарт безопасности данных индустрии платежных карт) отражает комплексный подход к обеспечению ИБ и содержит как требования к управлению безопасностью, правилам и процедурам, так и большой перечень технических требований к критически важным мерам защиты.

Краткий обзор ИБ-стандартов

COBIT

Международная ассоциация ISACA (Information Systems Audit and Control Association), известная разработкой стандартов по управлению ИТ в корпоративной среде и проводимыми сертификациями (например, CISA, CISM, CRISC), и Институт руководства ИТ (IT Governance Institute — ITGI) совместно разработали подход к управлению информационными технологиями. В 1996 году на его основе организация ISACF выпустила первую версию стандарта COBIT. С течением времени и с развитием подходов к управлению ИТ концепция COBIT пересматривалась и расширялась. Сегодня самой новой версией методологии является COBIT 2019, ставшая продуктом эволюции пятой версии стандарта (пересмотр состоялся в декабре 2018 года). COBIT 2019 описывает набор процессов, лучших практик и метрик для выстраивания эффективного управления и контроля, а также достижения максимальной выгоды от использования ИТ.

Основой стандарта являются 40 высокоуровневых целей контроля, сгруппированных в четыре домена, два из которых посвящены информационной безопасности):

Таким образом, стандарт охватывает всю деятельность компании и позволяет широко взглянуть на управление ИТ и ИБ. Стандарт носит высокоуровневый характер, то есть говорит, что должно быть достигнуто, но не объясняет, как. С помощью принципов COBIT 2019 можно минимизировать риски и контролировать возврат инвестиций в ИТ и средства информационной защиты.

ITIL и ITSM

Библиотека инфраструктуры информационных технологий или ITIL (The IT Infrastructure Library) — это набор публикаций (библиотека), описывающий общие принципы эффективного использования ИТ-сервисов. Библиотека ITIL применяется для практического внедрения подходов IT Service Management (ITSM) — проектирования сервисов и ИТ-инфраструктуры компании, а также обеспечения их связности.

ITIL можно рассматривать в том числе с точки зрения информационной безопасности, так как для успешного использования ИТ и поддерживаемых услуг необходимо обеспечивать доступность, целостность и конфиденциальность ИТ-инфраструктуры. Это достигается правильным управлением ИТ-безопасностью. Библиотека содержит раздел, посвященный вопросам безопасности в структуре процессов ITIL. В материалах ITIL не прописаны конкретные требования к средствам защиты, а лишь дается описание общей организации безопасной работы ИТ-сервисов. В библиотеке можно найти как основные принципы выстраивания самого процесса управления ИБ, так и ключевые рекомендации по поддержанию СУИБ — Системы управления информационной безопасностью (Information Security Management System или ISMS). Если COBIT определяет ИТ-цели, то ITIL указывает шаги на уровне процессов. Кроме того, библиотека содержит рекомендации по выстраиванию смежных процессов, например, по управлению инцидентами, что позволяет комплексно взглянуть на выстраивание процессов и их интеграцию в ИТ-среду. Библиотека ITIL полезна специалистам, в задачи которых входит выстраивание процесса управления ИТ-услугами и интеграция ИБ в этот подход. Знание документа позволяет им разговаривать с ИТ-службой на одном языке — языке ИТ-сервисов.

Серия ISO/IEC 27XXX

Наиболее известным и популярным набором стандартов среди как зарубежных, так и российских ИБ-специалистов, к которому обращаются в первую очередь при внедрении СУИБ, являются документы из серии ИБ-стандартов ISO/IEC 27XXX.

Стандарт ISO/IEC 27001:2013 состоит из двух частей:

Описание подхода к созданию СУИБ;
Приложение А (требования ИБ и средства их реализации , структурированные по разделам).

Стандарт ISO/IEC 27001:2013 имеет российский аналог ГОСТ Р ИСО/МЭК 27001.

Также специалисты часто обращаются к стандарту ISO/IEC 27002:2013 (ранее выходил под номером ISO/IEC 17799), более подробно раскрывающему высокоуровневые требования ISO/IEC 27001:2013 к выстраиванию процессов в СУИБ. Документ описывает рекомендуемые практические меры в области управления информационной безопасностью.

ISO/IEC 27000:2013 Information technology. Security techniques. Information security management systems. Overview and vocabulary	Термины и определения.
ISO/IEC 27001:2013 Information technology. Security techniques. Information security management systems. Requirements	Системы обеспечения информационной безопасности. Документ описывает требования к СУИБ и средства их реализации.
ISO/IEC 27002:2013 Information technology. Security techniques. Code of practice for information security management	Методы и средства обеспечения информационной безопасности. Стандарт разъясняет практические аспекты управления ИБ с более детальным описанием средств реализации, приведенных в ISO/IEC 27001:2013.
ISO/IEC 27003:2017 Information technology. Security techniques. Information security management system implementation guidance	Реализация систем менеджмента информационной безопасности. Руководство по реализации СУИБ, описывающее все этапы внедрения.
ISO/IEC 27004:2016 Information technology. Security techniques. Information security management. Measurement	Измерение эффективности информационной безопасности. Описывает подход к использованию метрик для оценки эффективности СУИБ. Стандарт применим к компаниям, достигшим четвертого (управляемого) уровня зрелости процессов ИБ согласно CMMI.
ISO/IEC 27005:2018 Information technology. Security techniques. Information security risk management (также можно обратиться к ISO 31000:2018 — Risk management)	Менеджмент риска информационной безопасности. Стандарт предназначен для определения в компании подхода к менеджменту рисков.
ISO/IEC 27035:2016 Information technology. Security techniques. Information security incident management (Part 1 & Part 2)	Управление инцидентами и событиями ИБ. Стандарт содержит руководящие указания по планированию и подготовке к реагированию на инциденты.

ISO/IEC 15408

Еще одним стандартом, применяемым зарубежными ИБ-специалистами, является ISO 15408, состоящий из трех частей:

Вторая часть приводит требования к функциональности средств защиты, которые могут быть использованы при анализе защищенности для оценки полноты реализованных функций безопасности.

В целом эти стандарты содержат техническую часть, не акцентируя внимание на вопросах управления информационной безопасностью.

На основании данного стандарта в свое время был разработан руководящий документ ФСТЭК (Приказ председателя Гостехкомиссии России от 19 июня 2002 г. № 187).

NIST — National Institute of Standards and Technology — американский национальный институт стандартизации, аналог отечественного Госстандарта. В состав института входит Центр по компьютерной безопасности, который публикует с начала 1990-х годов Стандарты (FIPS), а также детальные разъяснения/рекомендации (Special Publications) в области информационной безопасности.

Для рекомендаций в области ИБ (Special Publications) в NIST выделили специальную серию с кодом 800, состоящую из десятков рекомендаций.

Серия содержит документы, описывающие подходы к управлению информационной безопасностью, и освещает технические вопросы ее обеспечения (обеспечение безопасности мобильных устройств, защита облачных вычислений, требования к аутентификации, удаленному доступу и т. д.).

Ниже приведен краткий перечень наиболее популярных документов:

NIST SP 800-53	Контроль безопасности и конфиденциальности для федеральных информационных систем и организаций
NIST SP 800-50	Создание программы повышения осведомленности в области безопасности ИТ
NIST SP 800-40	Управление уязвимостями
NIST SP 800-53 A	Измерение эффективности информационной безопасности
NIST SP 800-37 / NIST SP 800-39 / NIST SP 800-30	Менеджмент рисков
NIST SP 800-61 / NIST SP 800-86	Управление инцидентами

Еще одним известным у специалистов документом является NIST 800-30, определяющий подходы к организации деятельности по управлению рисками ИБ. Этот документ часто рассматривают в паре с ISO/IEC 27005:2018, который (как и все документы серии) носит более высокоуровневый характер. В отличие от ISO/IEC 27005:2018, документ NIST содержит более развернутые описания и рекомендации по применению.

SANS. CIS 20

SANS — организация по обучению и сертификации в области ИБ, наиболее известна своими руководствами по безопасной настройке различных систем (Benchmarks) и перечнем ключевых мер защиты Top 20 Critical Security Controls (CSC), включающим 20 рекомендаций по защите ИТ-инфраструктуры. ИБ-специалисты могут использовать этот документ как контрольный список при проверке безопасности систем.

Международное ИТ-сообщество CIS (Center for Internet Security) регулярно обновляет рекомендации с лучшими практиками мер защиты от актуальных ИБ-угроз. Меры разделены на три группы реализации в зависимости от особенностей организации. Наиболее удобным является ранжирование CIS Controls — порядок реализации мер, начиная с наиболее важных.

Руководства CIS Benchmarks — очень полезный инструмент при настройке или проверке различных элементов ИТ-инфраструктуры на предмет защищенности. Полный перечень включает около 140 наставлений, сгруппированных по разным темам: .

Desktops & Web Browsers
Mobile Devices
Network Devices
Security Metrics
Servers – Operating Systems
Servers – Other
Virtualization Platforms & Cloud
другие.

Помимо этого, CIS Benchmarks дает рекомендации по настройке конфигураций для систем Linux, Windows, Checkpoint, Cisco, Apache, MySQL, Oracle, VMware, а также содержит инструкции по настройке набирающих популярность Docker и Kubernetes.

O-ISM3

При формировании требований безопасности необходимо учитывать уровень зрелости компании — уровень ее организационного и технологического развития. Для эффективного использования ИБ необходимо применять модель зрелости процессов. Она позволяет оценить уровень зрелости ИБ-процессов и определить приоритетные направления развития безопасности в компании.

Модель О-ISM3 (Open Information Security Management Maturity Model) разработана независимым консорциумом The Open Group и позволяет провести оценку зрелости функционирования существующих процессов СУИБ компании.

Модель О-ISM3 оперирует четырьмя уровнями управления СУИБ: базовый, стратегический, тактический и операционный. Согласно модели О-ISM3, процессы СУИБ классифицируются по пяти уровням зрелости:

Начальный (Initial)
Управляемый (Managed)
Описанный (Defined)
Контролируемый (Controlled)
Оптимизированный (Optimized)

Уровень определяется аудитором на основании предопределенных метрик и документации. Существует большое количество инструментов для оценки зрелости процессов (CMMI, NIST, BPM от Gartner и др.), и каждый определяет свой подход, к которому ИБ-специалисту необходимо обращаться при построении модели зрелости.

Заключение

В статье рассмотрены наиболее популярные международные стандарты в области информационной безопасности. Но количество представляющих интерес стандартов гораздо больше. Для решения нетривиальных задач необходимо обращать внимание не только на самые часто упоминаемые из них. Например, Центр по обеспечению безопасности в киберпространстве (Australian Cyber Security Centre) Австралийского союза разработал Руководство по информационной безопасности (Australian Government Information Security Manual), отражающее как технические рекомендации для обеспечения ИБ (перечень руководств), так и стратегические обоснования, которые ИБ-специалисты могут использовать в диалоге с бизнесом.

Помимо этого, существует много организаций и проектов, чьей целью является практическое обеспечение безопасности и публикации которых помогают ИБ-специалистам проверять свои объекты защиты на уязвимости. Примерами служат проект OWASP, отчеты команды ICS-CERT, база данный MITRE. Другие полезные инструменты —фреймворки OSSTMM, Penetration Testing Framework, ISSAF и др., помогающие проводить техническое обследование на предмет защищенности.

Необходимо понимать, что для качественного построения системы ИБ требуется агрегировать знания и совмещать подходы, полученные из разных источников, так как каждая система взглядов содержит плюсы и минусы и требует адаптации к условиям конкретной компании. Специалистам по информационной безопасности необходимо постоянно совершенствоваться, расширять набор компетенций и профессиональных знаний, и принятые за рубежом стандарты существенно помогают в этом.

Читайте также: