Порівняльний аналіз моделей оцінки зрілості інформаційної безпеки

Автор(и)

  • Михайло Володимирович Коломицев НТУУ «КПІ»
  • Світлана Олександрівна Носок НТУУ «КПІ»
  • Роман Олександрович Тоцький НТУУ «КПІ»

DOI:

https://doi.org/10.18372/2410-7840.21.14337

Ключові слова:

інформаційна безпека, модель зрілості, ISO 27001, СУІБ, порівняльний аналіз, метрики

Анотація

Інформаційна безпека може бути визначена як: захист інформаційних активів за допомогою обробки ризиків, спрямованих на порушення конфіденційності, цілісності та доступності інформації, яка обробляється, зберігається і передається між взаємопов'язаними інформаційними системами; процес, який включає запобігання, виявлення і реакцію на загрози інформаційній безпеці. Мета даної статті - описати і порівняти найбільш використовувані моделі зрілості інформаційної безпеки для аналізу їх відповідності цілям використання спільно з стандартом ISO 27001. У статті показано, що моделі зрілості інформаційної безпеки мають схожі елементи, домени і рівні зрілості. Вони також грунтуються на оцінці ризиків, хоча і на різних рівнях глибини. Було відзначено, що кожна модель в силу своєї специфіки має різні сфери застосування. У світовій практиці для визначення стадії організаційного і технологічного розвитку організації і її процесів застосовується поняття моделі зрілості. Для вимірювання стану процесу використовується набір метрик, які представляють собою певні характеристики. Оцінювання цих метрик за встановленою шкалою показує стан процесів, яке і буде характеризувати рівень їх зрілості. У світовій практиці, на відміну від української, застосування моделі зрілості для управління процесами інформаційної безпеки широко поширене. Прикладом цього може служити серія стандартів ISO27000, яка регулює питання управління інформаційною безпекою, що реалізуються на основі Системи Управління Інформаційною Безпекою. Очевидно, що перед організацією, що здійснює діяльність з управління інформаційною безпекою, рано чи пізно постає питання про те, як виконувати ці вимоги, в якому обсязі і на якому рівні деталізації і т.п. Відповісти на ці та інші питання може допомогти модель зрілості, на основі якої буде проводиться оцінка рівня зрілості процесів інформаційної безпеки. Для визначення основних моделей зрілості інформаційної безпеки було проведено аналіз відкритих джерел і кращих практик, пов'язаних з моделями зрілості інформаційної безпеки. На підставі результатів аналізу джерел були визначені найбільш прийнятні моделі зрілості інформаційної безпеки, а саме: SSE-CMM, C2M2, NICE і O-ISM3.

Біографії авторів

Михайло Володимирович Коломицев, НТУУ «КПІ»

кандидат технічних наук, доцент Фізико-технічного інституту НТУУ «КПІ»

Світлана Олександрівна Носок, НТУУ «КПІ»

кандидат технічних наук, доцент Фізико-технічного інституту НТУУ «КПІ»

Роман Олександрович Тоцький, НТУУ «КПІ»

студент Фізикотехнічного інституту НТУУ «КПІ»

Посилання

Select Business Solutions. [Electronic resource]. Accecc: http://www.selectbs.com/ process-maturity/

what-is-the-capability-maturity-model.

M. Lessing: Best practices show the way to

Information Security Maturity. [Electronic resource].

Accecc: http:// researchspace. csir. co. za/ dspace/

bitstream/handle/10204/3156/Lessing6_2008.pdf?s

equence=1&isAllowed=y.

G. White, "The community cyber security maturity

model". In: IEEE International Conference on Technologies

for Homeland Security, pp. 173-178, 2011.

SSE-CMM. [Electronic resource]. Accecc:

https://pqm-online.com/assets/files/lib/std/gost_

r_iso_mek_21827-2010.pdf.

Department of Energy: Cybersecurity Capability Maturity

Model (C2M2): Version 1.1, Department of Homeland

Security, 2014.

US Department of Homeland Security.: Cybersecurity

Capability Maturity Model: Version1.0. White paper,

Department of Homeland Security, 2014. [Electronic

resource]. Accecc: https://niccs.us-cert.gov/sites/

default/ files/ Capability%20 Maturity% 20Model%

White%20Paper.pdf?trackDocs=Capability%20M

aturity%20Model%20White%20Paper.pdf.

The Open Group.: Open Information Security

Management Maturity Model (O-ISM3). Technical

report, Open Group, 2017.

Н. Милославская, Р. Сагиров, Обзор моделей зрелости процессов управления информационной безопасностью.

##submission.downloads##

Опубліковано

2019-12-27

Номер

Том 21 № 4 (2019)

Розділ

Статті

Ліцензія

Автори, які публікуються у цьому журналі, погоджуються з наступними умовами:

  1. Автори залишають за собою право на авторство своєї роботи та передають журналу право першої публікації цієї роботи на умовах ліцензії Creative Commons Attribution License, котра дозволяє іншим особам вільно розповсюджувати опубліковану роботу з обов'язковим посиланням на авторів оригінальної роботи та першу публікацію роботи у цьому журналі.

  2. Автори мають право укладати самостійні додаткові угоди щодо неексклюзивного розповсюдження роботи у тому вигляді, в якому вона була опублікована цим журналом (наприклад, розміщувати роботу в електронному сховищі установи або публікувати у складі монографії), за умови збереження посилання на першу публікацію роботи у цьому журналі.

  3. Політика журналу дозволяє і заохочує розміщення авторами в мережі Інтернет (наприклад, у сховищах установ або на особистих веб-сайтах) рукопису роботи, як до подання цього рукопису до редакції, так і під час його редакційного опрацювання, оскільки це сприяє виникненню продуктивної наукової дискусії та позитивно позначається на оперативності та динаміці цитування опублікованої роботи (див. The Effect of Open Access).