Источник: Proc. 2003 Winter Simulation Conf., New Orleans, LA, 2003.
https://buildsecurityin.us-cert.gov/bsi/articles/best-practices/management/563-BSI.html
В статье рассматривается интересы управления предприятием в сфере безопасности. Описываются способы и особенности осуществления управления на верхних уровнях с помощью индикаторов осознания безопасности и эффективности работы системы.
Времена безопасности как формального аспекта деятельности предприятия прошли. В современном мире проблема безопасности составляет главный интерес для руководителей высших уровней множества организаций и правительств даже за пределами их государства. Клиенты требуют от предприятия защиты персональной информации, в связи с увеличением числа случаев её похищения. Бизнес-партнеры, поставщики и производители запрашивают эту информацию друг у друга, особенно посредством организации общих информационных сетей доступа. Все более распространенными становятся попытки украсть информацию из сети с целью вымогательства. Нарушения безопасности и утечка информации чаще всего мотивированы интересами материальной выгоды. Бывшие и нынешние сотрудники и подрядчики, которые имеют доступ к системе их организации и сети, а также знакомы с внутренними распорядками, процедурами и технологиями, могут вступать использовать эти знания для собственной выгоды и даже вступать в сговор с внешними недоброжелателями. В качестве злоумышленных действий со стороны инсайдеров рассматривают саботаж, мошенничество, кражу конфиденциальной и личной информации, что представляет собой потенциальную угрозу для нвсущной инфраструктуры страны. Недавно CERT (Компьютерная группа реагирования на чрезвычайные ситуации, Computer Emergency Response Team) нашла задокументированные случаи успешного инсайдерства со времен появления программного обеспечения. По данным IT Governance Institute:« … ожидается, что управляющие сделают информационную безопасность неотъемлемой частью управления предприятия и тесно свяжут её с другими процессами, обеспечивающими безопасность интересов и ресурсов организации». В конечном счете, директора и управляющие вводят инструкции, делающие безопасность предприятия (в том числе и информационную) приемлемой, приоритетной, требующей управления и реализации. Так выглядит руководство в действии.
В качестве дополнительного доказательства этой растущей тенденции рассмотрим основные положения Мирового Исследования Безопасности (Делойт 2007). Информационная безопасность больше не является проблемой технологий. Она стала основой для выживания бизнеса также как и другие аспекты. Опросы показывают, что более чем 81% респондентов – что намного больше, чем показывали исследования прошлых лет – считают что проблема безопасности возросла до высшего уровня, как вопрос вызывающий особую озабоченность. Управление информационной безопасностью это фундамент, основанный на нормах, ответственности и условиях, которые поощряют желаемое поведение в области применения и использования технологий. Результаты опроса показали, что 81% респондентов имеют определенную структуру управления информационной безопасностью (например определенные обязанности, нормы, условия), в то время как 18% находятся на стадии её разработки. Согласно Безопасности Зданий в соответствии с Моделью Зрелости: «Руководители и менеджеры среднего звена, включая собственников и продуктовых менеджеров, обязаны понимать как в ближайшее время вливания в разработку безопасности и управление безопасностью повлияют на уровень доверия потребителей к продукции предприятия. Нужды бизнеса должны полностью отвечать требованиям безопаности.» Любой значительный бизнес сегодня зависит от работы программного обеспечения. Безопасность программного обеспечения сейчас является необходимостью бизнеса. Несмотря на то , что руководители уделяют все больше внимания рискам и последствиям бизнеса, связанные с недостатками управления, недавние исследования Университета Калнеги Меллон свидетельствуют о том, что все еще остается много работы. Результаты исследования подтверждают уверенность среди IT–профессионалов в том, что руководители высших звеньев не в полной мере осознают важность сфер обеспечения безопасности предприятия. Из множества опрошенных респондентов всего лишь 36% считают, что правление принимает непосредственное участие в контроле информационной безопасности. Респонденты отметили, что большинство правлений рассматривают проблемы секретности и безопасности не сосредоточены на существенной деятельности, которая могла бы защитить организацию от таких значительных рисков, таких как потеря репутации и финансовый ущерб, вытекающие из нарушения личной информации.
Управление подразумевает установление четких целей для руководства бизнеса, а затем следование им для осуществления и оправдания этих целей. Процесс управления происходит сверху и относится ко всем бизнес подразделениям и проектам. Правильное руководство позволяет предприятию достигать решения практически всех проблем, включая безопасность. Национальные и международные правила, относящиеся как к самим предприятиям, так и к их руководителям, требуют проявления должного внимания к безопасности. Именно здесь нужно управление. Более того, не одни предприятия являются объектом, который получит выгоду от усиления безопасности посредством ясного и содержательного управления. В конечном счете целые нации выиграют на этом. Ключевые информационные инфраструктуры в киберпространстве являются основой многих мероприятий, необходимых для ведения как внутреннего, так и международного бизнеса, работы правительства, и безопасности нации.
Термин «управление» относительно любого предмета может иметь широкий спектр интерпретаций и определений. Для нашей статьи мы используем следующее определение управления безопасностью предприятия: Управление безопасностью предприятия – это руководство и контроль организации с целью установления и закрепления культуры безопасности в поведении предприятия; рассмотрение достаточной безопасности как неотъемлемой составляющей ведения бизнеса. В данной публикации «Руководство по информационной безопасности: Советы для менеджеров» дано более детальное определение управления безопасностью: Процесс установления и закрепления основы и поддержки структуры менеджмента и процессов достижения уверенности в том, что стратегия информационной безопасности:
Что способствует эффективному управлению рисками
В своей статье «Внедрение структуры информационной безопасности» Джон Стивен отмечает, что: «В контексте структуры безопасности программного обеспечения предприятия, управление является компетенцией, заключающейся в безусловном риске программного обеспечения и объективном принятии решений по поводу выпуска и исправления этого программного обеспечения. Эта компетенция также включает в себя создание места в менеджменте проекта для информационных рисков наряду с интересами бюджета и планирования.» В контексте безопасности управление включает в себя концентрацию на риск–менеджменте. Управление–это выражение ответственного риск–менеджмента, а эффективный риск–менеджмент нуждается в рациональном управлении. Одним из способов управления риском является установление основ процедуры принятия решений. Это позволяет определить кто именно уполномочен принимать решения, какова сила принятых решений, и кто несет за них ответственность. Последовательность в принятии решений для предприятия в целом, единицы бизнеса, либо проекта поддерживает конфиденциальность и уменьшает риски.
При отсутствии определенного вида целевой структуры руководства и способов управления и измерения уровня экономической безопасности стают актуальными некоторые вопросы. Организация может включать в себя целое предприятия, единицу бизнеса, или проект.
Арт Ковьелло, соучредитель Корпоративной Группы Целевого Управления отмечает, что: «Ответственность за обеспечение информационной безопасности возложена на высшее руководство организации. Информационная безопасность это не только проблема технологии, но также управления.» Таким образом, руководитель и контролер корпоративной информационной безопасности (включая программное обеспечение) связан обязательством попечения перед акционерами и заинтересованными сторонами. Руководители, занимающие подобные должности в правительстве, некоммерческих и образовательных институтах подобным образом должны пересмотреть свои обязанности.
Проявление должного внимания к безопасности трудная задача, но руководители должны принять вызов. Их поведение и действия по отношению к безопасности должны повлиять на всю организацию. Когда работники видят как команда руководителей уделяют внимание безопасности, он понимают, что безопасность стоит их внимания и времени. Таким способом осознание безопасности растет. Кажется понятным, что совет директоров, высшее руководство, менеджеры единиц бизнеса, или проектов должны играть свою роль в создании и укреплении бизнеса для осуществления эффективного управления безопасностью предприятия. Доверие, репутация, бренд, стоимость бизнеса, удержание потребителя и увеличение операционных затрат, все находится в опасности в случае неудачной политики управления безопасностью. Организации более компетентны в использовании безопасности для уменьшения рисков, если внимание их руководителей к безопасности существенно и они осведомлены о проблемах безопасности.
Одной из лучших мер направления организации в сторону безопасности является установление и укрепление системы взглядов, правил поведения, возможностей и действий, которые согласуются с лучшими стандартами безопасности. Эти меры помогают построить культуру осознания безопасности. Они могут выражаться посредством заявлений о текущей деятельности и состоянии организаций.
Руководители, стремящиеся обеспечивать безопасность на уровне управления могут пользоваться этими стандартами, чтобы установить культуру осознания безопасности в своей организации. Относительная важность каждого правила зависит от культуры организации в контексте бизнеса.
Большинство руководителей и менеджеров понимают управление и свои полномочия по отношению к нему. Цель здесь заключается в том, чтобы помочь руководителям расширить свои возможности внедрения безопасности и обеспечения на всем предприятии осознания решений управления и руководства. Способность предприятия достичь и упрочить соответствующий уровень безопасности начинается с поддержки и признания руководства.