ИТ СЕРВИС–МЕНЕДЖМЕНТ. Вводный курс на основе ITIL

ОглавлениеДобавить в закладки К обложке

    Там, где это возможно, требования заказчика к Уровню Сервиса определяются по Каталогу Услуг, а в случае необходимости заключаются дополнительные соглашения. Такие дополнительные меры по­вышают Уровень Безопасности по сравнению со стандартным.

    При составлении соглашения SLA необходимо согласовывать с Управлением Информационной Безопасностью измеряемые Ключевые показатели эффективности (KPI) и критерии. Показатели эффективности должны быть измеряемыми параметрами (метриками), а критерии эффективности должны устанавливаться на достижимом уровне. В некоторых случаях бывает трудно достичь дого­воренности по измеряемым параметрам безопасности. Их легче определить для доступности серви­са, которая может иметь цифровое выражение. Однако для целостности и конфиденциальности сде­лать это значительно труднее. Поэтому в разделе по безопасности в соглашении SLA необходимые меры обычно описываются абстрактным языком. Практические нормы по Управлению Информаци­онной Безопасностью используются как базовый комплекс мер безопасности. В соглашении SLA также описывается метод определения эффективности. ИТ-организация (поставщик услуг) должна регулярно предоставлять отчеты организации пользователя (заказчика).

    15.4. Виды деятельности

    15.4.1. Контроль – политика и организация информационной безопасности

    Контроль информационной безопасности, представленный в центре рисунка 15.1, является первым подпроцессом Управления Информационной Безопасностью, и относится к организации и Управле­нию Процессом. Этот вид деятельности включает в себя структурированный подход Управления Информационной Безопасностью, который описывает следующие подпроцессы: формулирование Планов по безопасности, их реализация, оценка реализации и включение оценки в годовые Планы по безопасности (планы действий). Также описываются отчеты, предоставляемые заказчику через Процесс Управления Уровнем Сервиса.

    Этот вид деятельности определяет подпроцессы, функции безопасности, роли и ответственности. Он также описывает организационную структуру, систему отчетности и потоки управления (кто ко­го инструктирует, кто что делает, как производится доклад о выполнении). Следующие меры из сборника практических рекомендаций по Управлению Информационной Безопасностью реализуют­ся в рамках этого вида деятельности.

    Внутренние правила работы (политика)[250]:

    ? разработка и реализация внутренних правил работы (политики), связи с другими правилами;

    ? цели, общие принципы и значимость;

    ? описание подпроцессов;

    ? распределение функций и ответственностей по подпроцессам;

    ? связи с другими процессами ITIL и их управлением;

    ? общая ответственность персонала;

    ? обработка инцидентов, связанных с безопасностью.

    Организация информационной безопасности:

    ? структурная схема управления[251];

    ? структура управления (организационная структура);

    ? более детальное распределение ответственностей;

    ? учреждение Руководящего комитета по информационной безопасности[252];

    ? координация информационной безопасности;

    ? согласование инструментальных средств (например, для анализа риска и улучшения осведомлен­ности);

    ? описание процесса авторизации средств ИТ в консультации с заказчиком;

    ? консультации специалистов;

    ? сотрудничество между организациями, внутреннее и внешнее взаимодействие;

    ? независимый аудит информационных систем;

    ? принципы безопасности при доступе к информации третьих сторон;

    ? информационная безопасность в договорах с третьими сторонами.

    15.4.2. Планирование

    Подпроцесс планирования сводится к определению содержания раздела соглашений SLA по вопро­сам безопасности при участии Процесса Управления Уровнем Сервиса и описанию деятельности, связанной с вопросами безопасности, проводимой в рамках Внешних Договоров. Задачи, которые в соглашении SLA определяются общими словами, детализируются и конкретизируются в форме Операционного Соглашения об Уровне Услуг (OLA). Соглашение OLA может рассматриваться как План по безопасности для организационной структуры поставщика услуг и как конкретный План по безопасности, например, для каждой ИТ-платформы, приложения и сети.

    Входной информацией для подпроцесса планирования являются не только положения соглашения SLA, но и принципы политики безопасности поставщика услуг (из подпроцесса контроля). Приме­рами этих принципов: "Каждый пользователь должен быть идентифицирован уникальным обра­зом"; "Базовый Уровень Безопасности предоставляется всегда и для всех заказчиков".


    -= 116 =-
    Регистрация.
    Забыли пароль?
    Логин
    Пароль
    Запомнить меня