ИТ СЕРВИС–МЕНЕДЖМЕНТ. Вводный курс на основе ITIL

ОглавлениеДобавить в закладки К обложке

    Операционные Соглашения об Уровне Услуг (OLA) в отношении информационной безопасности (конкретные Планы по безопасности) разрабатываются и реализуются с помощью обычных проце­дур. Это означает, что если эти виды деятельности стали необходимы в других процессах, то нужна координация с этими процессами. Все необходимые изменения ИТ-инфраструктуры проводятся Процессом Управления Изменениями с использованием входной информации, предоставляемой Процессом Управления Информационной Безопасностью. Ответственным за Процесс Управления Изменениями является Руководитель этого Процесса.

    Подпроцесс планирования координируется с Процессом Управления Уровнем Сервиса по вопросам определения содержания раздела по безопасности соглашения SLA, его обновления и обеспечения соответствия его положениям. За эту координацию отвечает руководитель Процесса Управления Уровнем Сервиса.

    Требования по безопасности должны определяться в соглашении SLA, по возможности в измеримых показателях. Раздел по безопасности соглашения SLA должен гарантировать, что достижение всех требований и стандартов безопасности заказчика может быть проконтролировано.

    15.4.3. Реализация

    Задачей подпроцесса реализации (внедрения) является выполнение всех мероприятий, определен­ных в планах. Этот подпроцесс может поддерживаться следующим контрольным списком действий.

    Классификация и Управление ИТ-ресурсами:

    ? предоставление входных данных для поддержки Конфигурационных Единиц (CI) в базе CMDB;

    ? классификация ИТ-ресурсов в соответствии с согласованными принципами.

    Безопасность персонала:

    ? задачи и ответственности в описании работ;

    ? отбор персонала;

    ? соглашения о конфиденциальности для персонала;

    ? обучение персонала;

    ? руководства для персонала по разрешению инцидентов, связанных с безопасностью, и устранению обнаруженных дефектов защиты;

    ? дисциплинарные меры;

    ? улучшение осведомленности по вопросам безопасности.

    Управление Безопасностью:

    ? внедрение видов ответственности и распределение обязанностей;

    ? письменные рабочие инструкции;

    ? внутренние правила;

    ? меры безопасности должны охватывать весь жизненный цикл систем; должны существовать руко­водства по безопасности для разработки систем, их тестирования, приемки, операционного ис­пользования, обслуживания и выведения из операционной среды;

    ? отделение среды разработки и тестирования от операционной (рабочей) среды;

    ? процедуры обработки инцидентов (осуществляемые Процессом Управления Инцидентами);

    ? использование средств восстановления;

    ? предоставление входной информации для Процесса Управления Изменениями;

    ? внедрение мер защиты от вирусов;

    ? внедрение методов управления для компьютеров, приложений, сетей и сетевых услуг;

    ? правильное обращение с носителями данных и их защита.

    Контроль доступа:

    ? внедрение политики доступа и контроля доступа;

    ? поддержка привилегий доступа пользователей и приложений к сетям, сетевым услугам, компью­терам и приложениям;

    ? поддержка барьеров сетевой защиты (фаервол, услуги доступа по телефонной линии, мосты и маршрутизаторы);

    ? внедрение методов идентификации и авторизации компьютерных систем, рабочих станций и ПК в сети

    15.4.4. Оценка

    Существенное значение имеет независимая оценка реализации запланированных мероприятий. Та­кая оценка необходима для определения эффективности, ее выполнение также требуют заказчики и третьи стороны. Результаты подпроцесса оценки могут использоваться для корректировки согласо­ванных с заказчиком мер, а также для их реализации. По результатам оценки могут быть предложе­ны изменения, в случае чего формулируется Запрос на изменения (RFC), направляемый в Процесс Управления Изменениями.

    Существует три вида оценки:

    ? самостоятельная оценка: проводится в первую очередь линейными подразделениями организации;

    ? внутренний аудит: проводится внутренними ИТ-аудиторами;

    ? внешний аудит: проводится внешними ИТ-аудиторами.

    В отличие от самостоятельной оценки аудит не проводится тем же персоналом, который участвует в других подпроцессах. Это необходимо для обеспечения разделения ответственностей. Аудит может проводиться отделом внутреннего аудита.

    Оценка также проводится как ответное действие в случае возникновения инцидентов.


    -= 117 =-
    Регистрация.
    Забыли пароль?
    Логин
    Пароль
    Запомнить меня