Видео обсуждает вопрос определения уровня информационной безопасности в компании.
Существуют международные стандарты, отраслевые стандарты, корпоративные требования, законодательные требования, контрактные требования и специфические технические стандарты.
Международные стандарты, такие как ISO 27001, могут быть использованы в качестве основы для построения системы управления информационной безопасностью.
ISO 27001 состоит из двух частей: основной части, которая описывает цикл постоянного улучшения, и приложения, содержащего 14 тематических разделов с 114 мерами управления и контроля.
ISO 27001 рассматривает информационную безопасность максимально широко, включая аспекты управления персоналом, управления поставщиками и непрерывности деятельности.
В видео обсуждаются примеры из практики, связанные с управлением рисками, стратегическим планированием, управлением несоответствиями и другими аспектами системы менеджмента.
Упоминаются проблемы, связанные с недостаточной осведомленностью персонала, разработкой программного обеспечения, управлением внешними поставщиками и непрерывностью деятельности.
Обсуждается проблема безопасной разработки программного обеспечения, включая требования к инфраструктуре, инструментарию, правам доступа и гибким методам разработки.
Упоминается, что безопасная разработка включает в себя не только написание безопасного кода, но и требования к архитектуре, функциональным и регуляторным требованиям, а также тестирование и перенос кода.
Приводятся примеры из практики, где компания использует ряд публичных сервисов, не уделяет достаточного внимания безопасности и не имеет четкого распределения обязанностей и ответственности.
Описывается, как компания внедрила меры управления, такие как единая точка аутентификации, процедуры управления доступом, разграничение доступа внутри репозитория и распределение обязанностей и ответственности.
Примеры систем менеджмента информационной безопасности
В видео обсуждаются примеры систем менеджмента информационной безопасности, которые включают в себя полностью облачную инфраструктуру, водопадную разработку и поддержку инфраструктуры.
В этих примерах, информационная безопасность не является обязательным требованием, но она может быть важным конкурентным преимуществом.
Важно определить цель и мотивацию для работы с системами менеджмента, например, получение международного сертификата или выстраивание процессов до конца определенного года.
Поддержка руководства и начало работы с малого являются ключевыми моментами для успеха.
Сергей благодарит всех за активное участие и приглашает к сотрудничеству в области управления безопасностью, развертывания систем, составления документов и подготовки к сертификации.
Он призывает обращаться за помощью и обещает стараться помочь.
