Порівняльний аналіз моделей оцінки зрілості інформаційної безпеки

Михайло Володимирович Коломицев, Світлана Олександрівна Носок, Роман Олександрович Тоцький

Анотація


Інформаційна безпека може бути визначена як: захист інформаційних активів за допомогою обробки ризиків, спрямованих на порушення конфіденційності, цілісності та доступності інформації, яка обробляється, зберігається і передається між взаємопов'язаними інформаційними системами; процес, який включає запобігання, виявлення і реакцію на загрози інформаційній безпеці. Мета даної статті - описати і порівняти найбільш використовувані моделі зрілості інформаційної безпеки для аналізу їх відповідності цілям використання спільно з стандартом ISO 27001. У статті показано, що моделі зрілості інформаційної безпеки мають схожі елементи, домени і рівні зрілості. Вони також грунтуються на оцінці ризиків, хоча і на різних рівнях глибини. Було відзначено, що кожна модель в силу своєї специфіки має різні сфери застосування. У світовій практиці для визначення стадії організаційного і технологічного розвитку організації і її процесів застосовується поняття моделі зрілості. Для вимірювання стану процесу використовується набір метрик, які представляють собою певні характеристики. Оцінювання цих метрик за встановленою шкалою показує стан процесів, яке і буде характеризувати рівень їх зрілості. У світовій практиці, на відміну від української, застосування моделі зрілості для управління процесами інформаційної безпеки широко поширене. Прикладом цього може служити серія стандартів ISO27000, яка регулює питання управління інформаційною безпекою, що реалізуються на основі Системи Управління Інформаційною Безпекою. Очевидно, що перед організацією, що здійснює діяльність з управління інформаційною безпекою, рано чи пізно постає питання про те, як виконувати ці вимоги, в якому обсязі і на якому рівні деталізації і т.п. Відповісти на ці та інші питання може допомогти модель зрілості, на основі якої буде проводиться оцінка рівня зрілості процесів інформаційної безпеки. Для визначення основних моделей зрілості інформаційної безпеки було проведено аналіз відкритих джерел і кращих практик, пов'язаних з моделями зрілості інформаційної безпеки. На підставі результатів аналізу джерел були визначені найбільш прийнятні моделі зрілості інформаційної безпеки, а саме: SSE-CMM, C2M2, NICE і O-ISM3.


Ключові слова


інформаційна безпека; модель зрілості; ISO 27001; СУІБ; порівняльний аналіз; метрики

Посилання


Select Business Solutions. [Electronic resource]. Accecc: http://www.selectbs.com/ process-maturity/

what-is-the-capability-maturity-model.

M. Lessing: Best practices show the way to

Information Security Maturity. [Electronic resource].

Accecc: http:// researchspace. csir. co. za/ dspace/

bitstream/handle/10204/3156/Lessing6_2008.pdf?s

equence=1&isAllowed=y.

G. White, "The community cyber security maturity

model". In: IEEE International Conference on Technologies

for Homeland Security, pp. 173-178, 2011.

SSE-CMM. [Electronic resource]. Accecc:

https://pqm-online.com/assets/files/lib/std/gost_

r_iso_mek_21827-2010.pdf.

Department of Energy: Cybersecurity Capability Maturity

Model (C2M2): Version 1.1, Department of Homeland

Security, 2014.

US Department of Homeland Security.: Cybersecurity

Capability Maturity Model: Version1.0. White paper,

Department of Homeland Security, 2014. [Electronic

resource]. Accecc: https://niccs.us-cert.gov/sites/

default/ files/ Capability%20 Maturity% 20Model%

White%20Paper.pdf?trackDocs=Capability%20M

aturity%20Model%20White%20Paper.pdf.

The Open Group.: Open Information Security

Management Maturity Model (O-ISM3). Technical

report, Open Group, 2017.

Н. Милославская, Р. Сагиров, Обзор моделей зрелости процессов управления информационной безопасностью.


Повний текст: PDF

Посилання

  • Поки немає зовнішніх посилань.


ISSN 2410-7840 (Online), ISSN 2221-5212 (Print)

Ліцензія Creative Commons
Цей твір ліцензовано за ліцензією Creative Commons Із зазначенням авторства - Некомерційна - Без похідних творів 3.0 Неадаптована

РИНЦ SSM WorldCat BASE Національна бібліотека ім. Вернадського Науково-технічна бібліотека НАУ Ulrich's Periodicals Directory

Ulrich's Periodicals Directory