Модель системы менеджмента информационной безопасности в организации среднего бизнеса

Шубарев А.Е.
выпускник группы MBA CIO-28В
Школа IT-менеджмента
РАНХиГС при Президенте РФ

В современном мире все большее значение приобретают задачи обеспечения информационной безопасности организации, ведущей коммерческую деятельность.  Данные задачи тесно связаны с задачами управления организацией в целом, а именно с менеджментом информационной безопасности. Для управления информационной безопасностью организации целесообразно использовать лучшие мировые практики, а именно использовать рекомендации, которые описаны в международном стандарте о системы менеджмента информационной безопасности ISO/IEC 27001. ISO 27001 устанавливает требования к системе менеджмента информационной безопасности  (СМИБ) для использования способности организации защищать свои информационные ресурсы. Более того, стандарт ISO 27001 утвержден и введен в действие Приказом Федерального агентства по техническому регулированию и метрологии от 27 декабря 2006 г. на территории Российской Федерации в качестве государственного стандарта.

Проведенный в аттестационной работе анализ задач менеджмента информационной безопасности показал, что применение стандарта ISO 27001 возможно и рекомендовано в организациях, в которых достигнут определенный уровень зрелости. То есть использование стандарта возможно в организациях, где внедрен и используется, так называемый, процессный подход к управлению.

Кроме этого, в стандарте не перечислены основные этапы применения стандарта в организациях, а приведены лишь ключевые требования к использованию стандарта.  С практической точки зрения стандарт ИСО/МЭК 27001:2006 не просто выдвигает требования к разработке, внедрению и совершенствованию системы менеджмента информационной безопасности, но и является сертификационным стандартом, что, несомненно, делает его более привлекательным для коммерческих организаций с процессным подходом.

Поэтому проработка вопросов внедрения, использования и поддержки использования системы менеджмента информационной безопасности в коммерческих организациях среднего бизнеса является актуальной. Внедрение системы менеджмента информационной безопасности направлено на минимизацию реализации угроз информационной безопасности и как следствие – минимизация рисков бизнеса.

В работе разработана методология внедрения система менеджмента информационной безопасности и приведен пример внедрения.