ИТ СЕРВИС–МЕНЕДЖМЕНТ. Вводный курс на основе ITIL

ОглавлениеДобавить в закладки К обложке

    Основными видами деятельности являются:

    ? проверка соответствия политике безопасности и реализация Планов по безопасности;

    ? проведение аудита безопасности ИТ-систем;

    ? определение и принятие мер несоответствующего использования ИТ-ресурсов;

    ? проверка аспектов безопасности в других видах ИТ-аудита.

    15.4.5. Поддержка

    В связи с изменением рисков при изменениях в ИТ-инфраструктуре, в компании и в бизнес-процес­сах необходимо обеспечить должную поддержку мер безопасности. Поддержка мер безопасности включает поддержку соответствующих разделов по безопасности соглашений SLA и поддержку под­робных Планов по безопасности (на Уровне Операционных Соглашений об Уровне Услуг).

    Поддержание эффективного функционирования системы безопасности проводится на основе ре­зультатов подпроцесса Оценки и анализа изменений рисков. Предложения могут быть внедрены или в подпроцессе планирования, или в ходе обеспечения поддержки всего соглашения SLA. В лю­бом случае внесенные предложения могут привести ко включению дополнительных инициатив в го­довой План по безопасности. Любые изменения подлежат обработке в рамках обычного Процесса Управления Изменениями.

    15.4.6. Составление отчетов

    Составление отчетов является видом деятельности по предоставлению информации из других под­процессов. Отчеты составляются для предоставления информации о достигнутых характеристиках безопасности и для информирования заказчиков о проблемах безопасности. Вопросы предоставле­ния отчетов обычно согласовываются с заказчиком.

    Составление отчетов является важным как для заказчика, так и для поставщика услуг. Заказчики должны иметь точную информацию об эффективности работы (например, по реализации мер безо­пасности) и о принимаемых мерах безопасности. Заказчик также информируется о любых инциден­тах, связанных с безопасностью. Ниже даются предложения по составлению отчетов.

    Примеры регулярных отчетов и включаемых в них событий:

    Подпроцесс планирования:

    ? отчеты о степени соответствия соглашению SLA и согласованным ключевым показателям качест­ва по вопросам безопасности;

    ? отчеты о внешних договорах и связанных с ними проблемах;

    ? отчеты об Операционных Соглашениях об Уровне Услуг (внутренние Планы по безопасности) и собственных принципах безопасности поставщика (например, по базовому Уровню Безопасности);

    ? отчеты о годовых планах по безопасности и планах действий.

    Подпроцесс внедрения:

    ? отчеты о состоянии дел в информационной безопасности. Сюда входят отчет о выполнении годо­вого плана по безопасности, перечень осуществленных или намеченных мер, информация об обу­чении, результаты дополнительного анализа рисков и т. д.;

    ? перечень инцидентов, связанных с безопасностью и ответных мер, возможно, в сравнении с преды­дущим отчетным периодом;

    ? определение тенденций возникновения инцидентов;

    ? состояние программы оповещения.

    Подпроцесс оценки:

    ? отчеты об эффективности подпроцессов;

    ? результаты аудиторских проверок, анализа и внутренних оценок;

    ? предупреждения, определение новых угроз.

    Специальные отчеты:

    Для сообщений об определенных в соглашении SLA инцидентах, связанных с безопасностью, по­ставщик услуг должен иметь прямой канал связи с представителем заказчика (возможно, инспекто­ром информационной безопасности предприятия) через Руководителей Процессов Управления Уровнем Услуг, Управления Инцидентами или Управления Информационной Безопасностью. Должна быть также определена процедура для связи в особых случаях. За исключением особых обстоятельств, отчеты передаются через Процесс Управления Уровнем Услуг.

    15.5. Контроль процесса

    15.5.1. Критические факторы успеха и ключевые показатели эффективности

    Критическими факторами успеха являются:

    ? полное понимание необходимости процесса со стороны руководства и его привлечение к процессу;

    ? привлечение пользователей к разработке процесса;

    ? точное определение и разделение ответственностей.

    Показатели эффективности Процесса Управления Информационной Безопасностью соответствуют таким же показателям Процесса Управления Уровнем Сервиса в той степени, в которой последние связаны с затрагиваемыми в SLA вопросами безопасности.

    15.5.2. Функции и роли

    В небольших ИТ-организациях один человек может руководить несколькими процессами. В круп­ных же организациях несколько человек работают над одним процессом, например, таким как Упра­вление Информационной Безопасностью. В таких случаях обычно назначается один руководитель Процесса Управления Информационной Безопасностью. Этот руководитель несет ответственность за эффективное функционирование процесса. Его коллегой в организации заказчика является ин­спектор информационной безопасности.


    -= 118 =-
    Регистрация.
    Забыли пароль?
    Логин
    Пароль
    Запомнить меня