Главная мысль
Система управления информационной безопасностью (ISMS) объединяет документы, меры защиты конкретных активов, ответственных, проверку процессов и решения об улучшении.
Определите риски, активы и ответственность
Система управления информационной безопасностью (ISMS) связывает риски, политики, процессы и меры защиты информации и обрабатывающих её систем. Учитывайте оборудование, ПО, облачные аккаунты, базы данных и бумажные записи: укажите ответственного, ценность актива и последствия его утраты или нарушения работы. Оценивайте угрозы и уязвимости с учётом возможного влияния на бизнес; ответственный за риск документирует решение принять, снизить или передать риск либо отказаться от деятельности, которая его создаёт.
Применяйте защиту в нескольких слоях
Один межсетевой экран или средство защиты конечных устройств не перекрывает все пути атаки. Сочетайте сегментацию сети, обновления, безопасную конфигурацию, многофакторную аутентификацию, минимальные привилегии, шифрование данных, обнаружение угроз на устройствах и мониторинг. Для активов, нарушение работы которых приведёт к серьёзным последствиям, усиливайте ограничения доступа, резервное копирование и мониторинг. У каждой меры должны быть ответственный, область применения и записи о результатах проверки.
Наблюдайте за угрозами, проверяйте и реагируйте
К угрозам относятся вредоносное ПО, программы-вымогатели, фишинг, злоупотребление внутренним доступом, отказ в обслуживании, длительные целевые атаки (APT), эксплуатация уязвимостей нулевого дня, компрометация цепочки поставок и атаки через слабо защищённые устройства IoT. Сопоставляйте журналы устройств, систем управления доступом, почты, сети и облака. При оповещении аналитик проверяет обстоятельства и масштаб события, затем по плану выполняет изоляцию, отзыв доступа и восстановление; автоматическую блокировку и откат нужно проверить заранее.
Оценивайте работу ISMS и улучшайте её
Проверяйте работу политик и мер с помощью аудитов, оценки уязвимостей, фишинговых симуляций, аудита доступа и упражнений по восстановлению. В результатах фиксируйте актив, дату, подтверждающие записи, исключения из правил, ответственного и следующий шаг; разбирайте и ложные срабатывания. Сначала определите, какие законы, стандарты и договорные требования применимы к организации, затем проверьте их выполнение. ISO/IEC 27001 и PCI DSS — стандарты, GDPR и HIPAA — законодательные акты; NIST публикует различные стандарты и рекомендации. Общий перечень мер не является сертификатом или доказательством соответствия. Обновляйте программу при изменении рисков и среды.