Общее управление безопасностью.

        "Проблема управления безопасностью, думаю, прежде всего в том, что службы, занимающиеся электронной безопасностью и безопасностью физической, между собой никак не связаны. В западных компаниях обычно и тот и другой вид безопасности относится к одному подразделению", - говорит директор департамента автоматизации инвестиционной компании "АТОН" Григорий Васильев.

        Именно поэтому, считает Васильев, бывает так, что служба безопасности компании не позволяет вынести из офиса даже одну дискету, а электронную почту вообще никто не контролирует.

        Несогласованность работы подразделений в области обеспечения информационной безопасности компании - проблема не только российская. Несколько лет назад Британский институт стандартов (BSI) при участии коммерческих организаций, таких как Shell, National Westminster Bank, Midland Bank, Unilever, British Telecommunications, Marks & Spencer, Logica и др. , занялся разработкой стандарта информационной безопасности. И в 1998 г. был принят национальный стандарт BS 7799 управления всей информационной безопасностью организации вне зависимости от сферы деятельности компании. Служба безопасности, IT-отдел, руководство компании начинают работать согласно общему регламенту. Неважно, идет речь о защите бумажного документооборота или электронных данных. Британский стандарт BS 7799 поддерживается в 27 странах мира, в числе которых страны Британского Содружества, а также, например, Швеция и Нидерланды. В конце 2000 г. международный институт стандартов ISO на базе британского BS 7799 разработал и выпустил международный стандарт менеджмента безопасности ISO/IEC 17799 : 2000.

        Что должно быть в системе управления.

        "В результате внедрения стандарта создается система менеджмента, цель которой - сокращение материальных потерь, связанных с нарушением информационной безопасности, - объясняет Евгений Чернов, консультант Det Norske Veritas, международной сертификационной компании, которая была одним из участников разработки стандарта BS 7799. Стандарт не предписывает использование каких-то определенных алгоритмов шифрования, есть лишь указание о том, что особо важная информация должна быть зашифрована. Что считать важной информацией и как производить шифрование, организация решает самостоятельно, основываясь на общих принципах применения стандарта. Например, у компании должна быть выработана политика по информационной безопасности, должно быть распределение ответственности за информационную безопасность. "Во многих компаниях, организациях политика информационной безопасности не выполняется, потому что меры безопасности тормозят бизнес", - говорит Васильев "АТОНа". Стандарт управления безопасностью учитывает и эту проблему - информация должна быть не только защищена, но и легко доступна для работы. В компании должно уделяться внимание образованию и тренингам по информационной безопасности. По всем инцидентам, связанным с безопасностью, ведется отчетность. Соответствующими службами должен быть подготовлен план действий в случае чрезвычайных обстоятельств для обеспечения непрерывности работы организации и т. п. В стандарте содержится около сотни пунктов.

        Цена безопасности.

        После того как система управления безопасностью установлена (обычно это делается с помощью внешних консультантов) , компания может призвать независимого аудитора из сертификационных компаний, который оценит систему по стандарту BS 7799 или ISO 17799.

        "Владельцем британской сертификационной схемы является BSI (от имени департамента по торговле и промышленности Соединенного Королевства) , - рассказывает Евгений Чернов. - В тех странах, где приняты аналоги BS 7799 или ISO/IEC 17799, существуют свои схемы сертификации, в рамках которых и работают местные аудиторы. В тех странах, где аналоги этих стандартов отсутствуют (например, в России) , возможно использование любой внешней схемы". Аккредитованную сертификацию могут предоставить лишь те сертификационные общества (такие, например, как Det Norske Veritas QA, BSI Assessment Services Ltd, LloydХs Register QA Ltd. ) , которые прошли аккредитацию BSI или ISO. Стоимость сертификации составляет несколько тысяч долларов, в зависимости от размера компании.

        Но постановка самой системы управления информационной безопасностью гораздо дороже. Одна лишь разработка и внедрение единой политики безопасности, по оценке руководителя практики информационной безопасности департамента системных решений компании IBS Павла Вороненко, стоит не менее $10 000, внедрение системы управления безопасностью в компании среднего размера может стоить десятки тысяч долларов, а в крупной компании - не менее $100 000. К сожалению, ни одной российской организации, имеющей стандартную систему управления безопасностью, "Ведомостям" обнаружить не удалось.

        "Некоторые звонят, интересуются. Но реального спроса нет. Видимо, компании еще не созрели", - говорит начальник отдела сертификации санкт-петербургского отделения одной из международных компаний-сертификаторов "Бюро Веритас Русь" Александр Никитин.

        По мнению Павла Вороненко из IBS, в России подтолкнуть к принятию такого стандарта могло бы государство. Адаптация у нас стандарта ISO 9000 заметно повысила его популярность среди российских предприятий. Так же может случиться и со стандартом управления безопасностью.

Федор Сваровский
Ведомости