Универсальная система управления информационной безопасностью: организационно-правовые принципы

Введение

Информационная безопасность зародилась еще в древние времена, когда египтяне, греки и римляне применяли методы защиты сообщений, например, криптографию. Одним из первых и самых известных людей, защищавших сообщения, был Юлий Цезарь. Он изобрел и использовал шифр Цезаря для защиты своих личных сообщений в военных целях. С тех пор многое было сделано для решения этой проблемы, и теперь ею занимаются организации, в обязанности которых входит обеспечение информационной безопасности. В Средние века было изобретено множество методов защиты данных, например, стеганография, которая основана на сокрытии факта передачи сообщения (Rao & Nayak, 2014; Hadi et al., 2023; Wu et al., 2021).

В 1889 г. британское правительство приняло Закон о государственной тайне, заложив принципы классификации для защиты конфиденциальных данных. Кроме того, в 1919 г. были созданы государственные кодексы безопасности. Они применялись во время Первой мировой войны для обеспечения безопасности передачи секретных данных. К этому времени было изобретено множество методов и алгоритмов защиты, таких как алгоритмы классификации, алгоритмы криптографии, алгоритмы взлома кодов (Ohki et al., 2009).

Во время Второй мировой войны немцы спроектировали и создали одно из самых важных устройств для защиты информации – «Энигма». Это электромеханическое устройство использовалось для шифрования и дешифрования сообщений о военных действиях. Математик и криптоаналитик Алан Тьюринг, работавший в Британской правительственной школе кодов и шифров, разгадал немецкий код и расшифровал его. В эту эпоху было сделано множество технологических достижений в области информационной безопасности, защиты связи, шифрования и компьютерных наук, которые облегчили обмен информацией и конфиденциальными данными (Rastogi & von Solms, 2005).

В период с 1960 по 1990 г. сфера информационной безопасности значительно продвинулась в связи с развитием цифровых электронных и информационных технологий. В этот период были изобретены первые мейнфреймовые компьютеры; системы с разделением времени получили большее значение с развитием механизмов защиты данных. Кроме того, развитие сетевых комплексов ARPANET сопровождалось разработкой стандарта шифрования данных (Data Encryption Standard, DES) на основе симметричного ключа. Затем на сцену вышли локальные сети (Local Area Networks, LAN) и персональные компьютеры (PC), а организации начали внедрять системы обнаружения вторжений (Intrusion Detection Systems, IDS), системы предотвращения вторжений (Intrusion Prevention Systems, IPS) и межсетевые экраны для защиты информации в сетях. К концу 1980-х гг. информационная безопасность стала важным аспектом компьютерных и сетевых операций, что заложило основу для эры кибербезопасности¹ (Bendovschi, 2015; Johnston & Hale, 2009).

С 1990 по 2024 г. информационная безопасность стремительно развивалась благодаря расширению концепций безопасности и средств защиты. Основной причиной этого стало изобретение Интернета в 1990-х гг., которое поставило сложные задачи в сфере информационной безопасности, например, преобразование обычных протоколов в защищенные (HTTP в HTTPS) путем добавления протоколов безопасности (SSL). Кроме того, появились новые технологии, такие как IoT, блокчейн, облачные вычисления, квантовые компьютеры и искусственный интеллект. Это породило множество векторов атак, включая кибератаки, что усложнило достижение информационной безопасности организации. В результате для обеспечения безопасности данных каждая организация должна была разработать и внедрить собственную систему управления информационной безопасностью (далее – УИБ) (Corriss, 2010; Moulton & Coles, 2003; AlGhamdi et al., 2020).

В настоящее время основным направлением деятельности в области информационной безопасности является управление всеми активами, такими как люди, риски, инциденты, уязвимости, а также планирование обеспечения непрерывности бизнеса. С другой стороны, для измерения и оценки с целью достижения эффективности программы УИБ, а также улучшения деятельности организации, используются метрики и другие инструменты мониторинга процессов и процедур. Однако информационную безопасность необходимо рассматривать как важнейшую бизнес-задачу, поскольку отсутствие защиты данных приводит к серьезным проблемам в организациях. Это свидетельствует о недостаточности понимания и знаний у высшего руководства и советов директоров. Кроме того, государственные и частные организации сталкиваются с проблемами обеспечения информационной безопасности на уровне совета директоров из-за недостатка знаний или навыков в области кибербезопасности² (Carcary et al., 2016; Rocha Flores et al., 2014).

В первую очередь сотрудники, руководители и члены совета директоров должны понимать важность наличия УИБ, иначе ее невозможно будет эффективно применять. Во-вторых, для успешного внедрения УИБ должна существовать надежная программа управления сектором ИТ. Адекватная структура УИБ должна быть поддержана адекватной структурой ИТ, и они должны быть интегрированы для достижения целей и задач организации. В стратегическом плане система ИТ помогает деятельности организации, поддерживая операционную эффективность. Архитектура системы УИБ предлагает высокоорганизованный метод контроля за ИТ-процессами и активами. В конечном итоге, проще говоря, сотрудничество в управлении УИБ и IT необходимо для того, чтобы гарантировать, что информационная безопасность государственных и частных организаций не только присутствует, но и согласуется с их общими бизнес-целями (S. H. von Solms & R. von Solms, 2010).

В настоящей статье предлагается эффективная система УИБ (включая кибербезопасность) для государственных и частных организаций, которая поможет им защищать и контролировать свои активы и ИТ-сектор. Поскольку информационная безопасность подразумевает защиту всех форм информации, кибербезопасность – это одно из направлений информационной безопасности, направленное на защиту цифровой информации. Поэтому все, что применяется в рамках УИБ, обязательно включает в себя средства обеспечения кибербезопасности. Более того, предлагаемая ниже структура УИБ должна работать в соответствии с законами и правилами, что делает ее реализацию последовательной (рис.). В конечном счете управление ИТ-сектором и УИБ должно осуществляться в сотрудничестве, что упростит его и сделает более отвечающим потребностям организации.

Данная работа построена следующим образом. В разделе 1 изложен ключевой вопрос о целях и задачах создания системы УИБ и ее подробное описание. В разделе 2 представлены роли и обязанности сотрудников с матрицей распределения ответственности RACI и составляющими элементами организации. В разделе 3 описаны лучшие образцы УИБ в качестве основы для разработки индивидуальной системы УИБ. В разделе 4 представлены предлагаемая структура УИБ, регулирующие законы и нормы, а также действия организации по внедрению системы УИБ.

1. Почему организации должны иметь систему управления информационной безопасностью?

В данном разделе представлены потребности, обязательно присутствующие у организаций, имеющих собственную систему УИБ. В целом УИБ необходима государственным и частным организациям в связи с быстрым развитием технологий и социальных сетей, о чем говорилось во введении. Таким образом, деятельность многих государственных организаций в различных секторах существенно зависит от их информационной и ИТ-инфраструктуры. Эта зависимость может достигнуть уровня, когда для поддержания своей деятельности организация должна будет сосредоточиться на продуктах/услугах, связанных с информацией. Организациям также необходимо будет обеспечить безопасность своих активов и данных, учитывая приоритетность их сферы деятельности и применяя принципы конфиденциальности, целостности и доступности (Confidentiality, Integrity, and Availability, CIA)³.

Цель разработки системы УИБ – удовлетворить потребности бизнеса, включая стратегию обеспечения и эффективного контроля информационной безопасности. Кроме того, при этом устанавливаются формальные средства контроля безопасности, обеспечивающие деятельность и ее желаемые результаты. Программы секторов ИТ и безопасности структурируются и выполняются последовательно, что отвечает приоритетам бизнеса. При этом формальные средства контроля и измерения процессов дают руководству четкое представление о том, как организация управляет безопасностью. Эффективность программы УИБ обеспечивается путем согласования управления безопасностью с процедурами, которые используются в корпоративном и ИТ-управлении. Управление безопасностью должно быть интегрировано в процессы ИТ и корпоративного управления. В конечном итоге благодаря управлению безопасностью и стратегическому планированию предлагаемая система УИБ может обеспечить общее управление как в государственных, так и в частных организациях (Rebollo et al., 2015).

Итак, для эффективного внедрения системы УИБ руководители высшего звена организации должны взять на себя ответственность за защиту данных в своих организациях. Вот некоторые виды деятельности, которые должны быть включены в рамочную программу УИБ организации (Rebollo et al., 2015):

a) управление рисками: необходимо управлять рисками организации, чтобы смягчить существующие и будущие риски. Однако в некоторых случаях руководство должно пойти на компромисс и принять определенный уровень риска для поддержания функциональности организации;

б) соответствие: организация должна действовать в соответствии с законами и нормативными актами, действующими в стране, а также иметь собственные стандарты для защиты своих данных и активов;

в) управление реагированием на чрезвычайные ситуации: руководители организации должны разработать стратегию работы с чрезвычайными ситуациями, чтобы контролировать внезапные события, минимизировать их последствия и поддерживать возможности организации по смягчению последствий;

г) план обеспечения непрерывности бизнеса (далее – ПНБ), гарантирующий, что организация будет продолжать функционировать во время и после любой чрезвычайной ситуации или бедствия. Кроме того, он включает в себя план аварийного восстановления (далее – ПАВ) для поддержания деятельности организации;

д) план аварийного восстановления: это часть ПНБ, которая направлена на восстановление данных, инфраструктуры, ИТ-систем организации после чрезвычайной ситуации или бедствия. В ПАВ должна быть предусмотрена команда экстренной помощи, которая создает резервные копии (зеркала), различные сайты (горячий, холодный) и документацию;

е) осведомленность о безопасности: важно поддерживать определенный уровень осведомленности всех членов организации об информационной безопасности и о том, что дает система УИБ, путем проведения различных обучающих программ в течение всего года, особенно для ИТ-сектора и управленческого персонала.

Благодаря этой деятельности руководители высшего звена занимают активную позицию в управлении и руководстве информационными системами организации, обеспечивая устойчивость к потенциальным угрозам и развивая стратегический подход к управлению безопасностью.

2. Должности, роли и зоны ответственности в организации

Отдел информационной безопасности в любой организации воспринимается как «все запрещающий» и препятствующий ведению бизнеса. Такой образ сложился благодаря тому, что его руководители иногда проявляют чрезмерную осторожность в отношении рисков, ограничивают расширение организации, внедрение инновационных продуктов и услуг. В результате такая репутация порождает у персонала ИТ-сектора и других подразделений нежелание взаимодействовать со специалистами по безопасности; они опасаются, что сотрудничество может помешать их работе. Более того, признаком правильного внедрения системы УИБ служит то, что работники организации понимают свои обязанности, роли и зону ответственности и четко их придерживаются. Поэтому организациям следует установить формальные роли и обязанности, в соответствии с которыми каждый сотрудник должен получить инструкции по сохранению данных и активов организации. Эти роли должны быть связаны с названиями должностей, указывая на место сотрудника в организации. Названия должностей нужны в организациях, чтобы гарантировать, что каждый сотрудник работает в соответствии со своими должностными обязанностями. Как правило, названия должностей связаны с позицией сотрудника, которая отражает уровень его полномочий. Вот некоторые названия должностей, перечисленные в порядке старшинства (Nicho, 2018):

а. Председатель совета директоров.

б. Член совета директоров.

в. Главный исполнительный директор.

г. Президент.

д. Исполнительный вице-президент.

е. Старший вице-президент.

ж. Вице-президент.

з. Исполнительный директор.

и. Старший директор.

к. Директор.

л. Старший менеджер.

м. Менеджер.

н. Супервайзер.

В приведенном списке показаны некоторые ранги иерархии, но в крупных организациях существуют и другие должности, такие как первый вице-президент, генеральный директор или помощник директора. Кроме того, обязанности во многом похожи на роли, определяющие задачи, выполнения которых ожидают от сотрудника. В целях информационной безопасности организации распределяют конкретные роли и обязанности между сотрудниками, что гарантирует выполнение стратегии и целей организации в области ИБ.

2.1. Стандартный метод управления организациями

Многие организации используют собственные методы управления информационной безопасностью, например, проводят различные меры в этой области. Однако существует стандартный метод, который широко используется для определения ролей и обязанностей в организациях, – матрица распределения ответственности RACI (Responsible – Accountable – Consulted – Informed). Она служит для распределения ролей между сотрудниками и командами для выполнения задач и действий. Кроме того, матрица в общих чертах описывает, кто и что должен делать в данной организации. Например, менеджер проекта должен также выполнять обязанности аналитика по безопасности. Кроме того, согласно матрице RACI обязанности каждого сотрудника на любом уровне старшинства распределяются следующим образом (Bettwy et al., 2016):

i. Исполнитель: сотрудник, который отвечает за непосредственное выполнение задания.

ii. Ответственный: сотрудник, который руководит работой исполнителя и отвечает за результат выполнения задания.

iii. Консультант: специалист либо эксперт в предметной области, с которым можно проконсультироваться по какому-либо вопросу.

iv. Наблюдатель, информируемое лицо: сотрудник, которого надлежит уведомлять во время или до начала действия.

В табл. 1 приведен пример распределения ролей и обязанностей в организации. Прежде всего, каждый сотрудник в организации должен иметь должность и принадлежать к тому или иному подразделению. Кроме того, все сотрудники должны пройти специальный курс обучения, который даст им набор навыков для выполнения поставленных задач. Согласно матрице RACI, каждый сотрудник имеет свои собственные задачи, что и называется разделением обязанностей (Separation of Duties, SoD). SoD означает, что ни один сотрудник не имеет полного контроля над критическим процессом деятельности, который может повлиять на функциональность организации. Например, при предоставлении сотруднику учетной записи лицо, предоставляющее, утверждающее и запрашивающее данные, не должно принадлежать к тому же отделу в целях предотвращения конфликта интересов (Von Solms et al., 2011).

2.2. Стандарты и принципы безопасности в организациях

Успешная организация действует в рамках правильно разработанной системы УИБ, основанной на стандартах, которые соответствуют ее видению и стратегии. Однако не так-то просто разработать стратегию, которая включала бы в себя политику компании, стандарты, процессы и матрицы в соответствии с общим видением организации. В данном разделе представлены стандарты, которые применяются в таких организациях мирового масштаба, как Google, Meta⁴, Amazon и т. д. Более того, если специалист по безопасности вместе с руководителями высшего звена решают разработать структуру УИБ для своей организации и ограничиваются только системой контроля, это считается ошибкой. Мы предлагаем использовать данную структуру УИБ в качестве примера и изучить мировые стандарты и средства контроля безопасности, чтобы избежать ошибок и обеспечить хороший старт в управлении организацией. В табл. 2 перечислены стандарты и системы контроля, которые могут быть полезны в качестве отправной точки для разработки системы УИБ для государственных и частных организаций (Tan et al., 2010; Fazlida & Said, 2015; Ula et al., 2017).

3. Лучшие системы управления информационной безопасностью

В данном разделе представлен ряд ведущих систем в области УИБ и кибербезопасности. Такие системы есть и в арабских странах. Например, Объединенные Арабские Эмираты и Саудовская Аравия являются примером для подражания в этой важной области. Ниже перечислены системы УИБ, законы и правила контроля информации ряда стран (Shingarev & Kazakova, 2021; Creemers, 2023; Priyadarshini & Cotton, 2022; Carr & Tanczer, 2018; Singh & Alshammari, 2020; Al Neaimi et al., 2015):

a) Россия: в систему входит Федеральная служба по техническому и экспортному контролю (ФСТЭК), обеспечивающая безопасность продукции; действует Федеральный закон № 149-ФЗ для защиты данных; важную роль в обеспечении кибербезопасности играет Федеральная служба безопасности (ФСБ). Согласно законодательству, информация российских граждан должна храниться внутри страны (Shingarev & Kazakova, 2021);

б) Китай: в систему УИБ входит Министерство общественной безопасности (МОБ), которое следит за информационной безопасностью в Китае. Кроме того, в 2017 г. в Китае приняты Закон о кибербезопасности и Закон о национальной безопасности (NSL), а также Закон об управлении киберпространством Китая (CAC), который регулирует работу Интернета (Creemers, 2023);

в) США: система УИБ включает Федеральный закон об управлении информационной безопасностью (FISMA) и Закон о повышении кибербезопасности (CEA) от 2014 г. Кроме того, действует Национальный институт стандартов и технологий (NIST), который устанавливает стандарты. Агентство по кибербезопасности и инфраструктурной безопасности (CISA) координирует деятельность таких структур, занимающихся вопросами кибербезопасности, как Агентство национальной безопасности (АНБ) (Priyadarshini & Cotton, 2022);

г) Великобритания: система УИБ включает акты и стратегии Национальной стратегии кибербезопасности (NCSC) и Закон о защите данных (DPA) 2018 г. Кроме того, Закон о неправомерном использовании компьютеров (CMA) 1990 г. предусматривает киберпреступления. Правительство Великобритании участвует в международном сотрудничестве в области кибербезопасности (Carr & Tanczer, 2018);

д) Саудовская Аравия: система УИБ включает Закон о кибербезопасности Саудовской Аравии (SACL) от 2019 г., который контролируется Комиссией по коммуникациям, космосу и технологиям (CITC) и Национальным управлением по кибербезопасности (NCA). Центральный банк Саудовской Аравии (SAMA) осуществляет надзор за операциями в финансовом секторе (Singh & Alshammari, 2020);

е) ОАЭ: система УИБ включает Закон о кибербезопасности ОАЭ от 2019 г. и надзор со стороны Национального управления электронной безопасности (NESA) и Управления по регулированию телекоммуникаций и цифрового управления (TRDA). Вопросами надзора за кибербезопасностью в Дубае занимается Дубайский англоязычный колледж (DESC) (Al Neaimi et al., 2015).

4. Предлагаемая система управления информационной безопасностью

Прежде чем предлагать какую-либо новую систему или развивать существующую, необходимо объяснить сущность двух фундаментальных понятий: управления и корпоративного управления. Управление связано с защитой интересов собственников путем руководства, управления и надзора от их имени, при этом совет директоров выступает в качестве их представителей. Корпоративное управление определяется как реакция на различия интересов руководства и собственников в частных и государственных организациях. Кроме того, оно направлено на поддержание этого различия через стимулирование руководства и совета директоров преследовать цели, которые соответствуют интересам компании и ее акционеров.

Предлагаемая структура УИБ должна включать ряд элементов, обеспечивающих эффективную защиту и управление информационными активами организации, обеспечение дисциплины собственников и руководства, а также предоставление собственникам полномочий по контролю за деятельностью организации. Кроме того, создавая безопасную среду для обмена и хранения информации, организации могут не только повысить производительность, потребительские преимущества и эффективность бизнеса, но и обеспечить меры безопасности. И наоборот, любая небезопасная рабочая среда представляет собой значительный риск, который может нанести существенный ущерб корпорациям и правительствам, а также негативно отразиться на гражданах и потребителях. Это особенно важно для предприятий, работающих в таких критически важных сферах, как финансы, электроэнергетика, банковское дело или здравоохранение, где ставки исключительно высоки. В табл. 3 показаны основные вопросы организации эффективной системы УИБ.

Система УИБ служит инструментом реализации стратегии и видения руководителей высшего звена для достижения высокой эффективности бизнес-операций и принятия решений в организациях. В их компетенцию входят управление всей деятельностью организации и защита ее данных и активов путем обеспечения эффективной интеграции информационной безопасности в масштабах всей организации.

Чтобы разработать эффективную систему УИБ, которая может быть утверждена и принята во всем мире, необходимо принять во внимание ряд глобальных законов и норм. Они могут дать большое преимущество благодаря своей структуре и продуманности, если опираться на них как на законодательный опыт других стран. В табл. 4 приведены некоторые ключевые законы и нормы, которые использовались в разных странах мира для регулирования информационной безопасности.

Заключение

В данной работе предлагается новая система УИБ (включая кибербезопасность) для защиты информации и активов государственных и частных организаций, использующая преимущества ряда законов и нормативных актов. Эту систему можно сравнить с существующими системами, которые были внедрены в организациях по всему миру. Она нацелена на достижение баланса между постоянным совершенствованием и управлением рисками и соответствует бизнес-модели организации, основанной на требованиях нормативных актов и законов. Подчеркивается, что любая организация должна иметь свою собственную систему УИБ, внедрение которой является задачей специального комитета (совета директоров). Для последовательного внедрения УИБ в стране комитеты во всех организациях должны быть связаны друг с другом вышестоящим комитетом по УИБ или кибербезопасностью, который должен осуществлять общее управление. Кроме того, данная структура УИБ выступает в качестве инструмента для реализации управления информационной безопасностью, а также обеспечивает эффективность всего процесса в соответствии с целями и задачами бизнеса. Таким образом, предложенная структура УИБ составляет реальную программу безопасности, которая может быть применена к любой частной и государственной организации.