Управление государственным или частным предприятием невозможно без разработки и внедрения комплексной системы менеджмента. Однако многие предприниматели не осознают масштаб этой задачи. В систему менеджмента входит не только управление персоналом, но и контроль за всеми стратегическими процессами, в том числе – за информационной безопасностью предприятия. Этот элемент системы управления называется системой менеджмента информационной безопасности.  

Понятие и принципы управления информационной безопасностью

Система менеджмента информационной безопасности (СМИБ) – это комплекс мероприятий по планированию, разработке, внедрению и контролю системы информационной безопасности на предприятии. Она является неотъемлемой частью общей системы управления предприятием. Поэтому при ее разработке определяются параметры, которые можно интегрировать в общую систему управления организацией. Проще говоря, управление безопасностью информационных активов предприятия не должно идти вразрез с другими функциями менеджмента. 

Одним из наиболее важных факторов, влияющих на систему информационной безопасности, является ее надежность. Чтобы обеспечить эффективную защиту информационных активов предприятия, менеджеры используют все возможные методы и средства обеспечения информационной безопасности. К ним относятся компьютерные программы, специальное оборудование, охранные комплексы и другие способы защиты информации. 

Разрабатывая систему информационной безопасности, ответственные лица рассчитывают соотношение ее стоимости, эффективности и масштаба возможного ущерба. Если утечка данных приведет к незначительным потерям, то установка дорогостоящих средств защиты будет нецелесообразной. 

Исходя из вышесказанного можно сформулировать три основных принципа создания системы безопасности в сфере защиты информационных активов:

• совместимость;
• эффективность;
• экономичность.

Руководствуясь этими принципами, менеджеры государственных и частных предприятий разрабатывают СМИБ. 

Законодательная база

Создание, внедрение и использование СМИБ определяется государственным стандартом ISO/IEC 27001:2013, IDT. Это международный стандарт, которым руководствуются все крупные корпорации. В нем изложены все нюансы, которые следует учитывать в процессе создания и пользования системами управления защиты информации. 

Кроме международных стандартов менеджмент российских предприятий предусматривает использование национального стандарта ГОСТ Р ИСО/МЭК 27001-2006. Его критерии приближены к международным стандартам, но адаптированы под российские реалии. Отдельным преимуществом ГОСТ Р ИСО/МЭК 27001-2006 является то, что его регулярно пересматривают и переиздают, внося коррективы и делая максимально актуальным. 

Порядок создания СМИБ

Чтобы обеспечить информационную безопасность предприятия, необходимо соблюдать четкий алгоритм действий. Его поэтапное выполнение позволит создать эффективную систему защиты данных. 

Первый этап работы – анализ деятельности предприятия. 

Менеджер должен ответить на вопросы:

• Насколько важными сведениями оперируют сотрудники компании?
• Каким оборудованием и технологиями пользуются работники организации для создания, обработки и передачи данных?
• Чем грозит разглашение информации на электронных и бумажных носителях предприятия?
• Исходя из собранных сведений необходимо определить масштаб и границы защиты конфиденциальной информации.  

Второй этап работы – формирование политики предприятия относительно соблюдения режима конфиденциальности. Для этого менеджмент компании создает внутреннюю документацию, в которой излагает основные положения режима. Это необходимо для того, чтобы обеспечить комплексную защиту данных, которая будет соответствовать требованиям российского законодательства.

В отношении режима конфиденциальности существует важный нюанс. Если политика предприятия не сформулирована в виде определенного пакета документов, то меры противодействия утечкам информации могут быть названы незаконными. 

Это легко объяснить на примере. Представим ситуацию, в которой сотрудник случайно или намеренно разгласил конфиденциальную информацию. Уволить его или привлечь к ответственности будет возможно только в том случае, если сотрудники предприятия в установленном законом порядке были оповещены о введении режима конфиденциальности. 

Поэтому формирование политики предприятия относительно мер и способов защиты информации является важным этапом работы руководства компании.

Третий этап работы – выявление и оценка рисков. На этом этапе менеджер оценивает надежность и лояльность персонала предприятия, используемые технологии и оборудование, степень опасности информации для служебного пользования. Кроме этого он выявляет уязвимые места в существующем комплексе защиты данных. 

Выявив и оценив риски, руководитель определяет их приемлемость. Если риски незначительные, то и изменений в существующей политике предприятия делать не нужно. При выявлении серьезных рисков следует переходить к следующему этапу работы.

Четвертый этап работы – сравнение и выбор возможных способов защиты информации. К ним относятся различные программные, аппаратные и управленческие инструменты работы с рисками. Сравнивая разные способы защиты информации, важно оценить все преимущества и недостатки: эффективность, стоимость, функциональность, удобство. Из них нужно выбрать те, которые лучше всего подойдут для предприятия. Если на предприятии нет специалиста, способного адекватно оценить и сравнить способы защиты информации, следует привлечь посредников. К ним относятся организации, которые разрабатывают индивидуальные комплексы защиты под заказ. 

Пятый и заключительный этап работы – создание эффективного комплекса защиты информации: 

• доработка и утверждение документов, регламентирующих политику предприятия относительно режима конфиденциальности;
• приобретение и установка оборудования, аппаратуры, программного обеспечения, необходимых для защиты информации;
• обучение сотрудников предприятия использованию средств защиты информации;
• назначение лиц, ответственных за соблюдение режима конфиденциальности. 

Выполнив перечисленные этапы работы руководство компании может переходить к внедрению и использованию разработанной СМИБ. 

Как обеспечить эффективное управление комплексом информационной безопасности?

Прежде чем начать разрабатывать и внедрять СМИБ, следует объективно оценить необходимость такой защиты, а главное – реальную возможность ее использования. Данные статистических исследований показывают, что даже самые эффективные меры защиты не помогают, если персонал предприятия не соблюдает режим конфиденциальности. Поэтому для обеспечения эффективности планируемых методик защиты важно правильно подойти к разработке политики кадрового менеджмента. 

Вторым условием успеха внедренной методики защиты является ее постоянное обновление и совершенствование. Информационные технологии постоянно развиваются, а вместе с ними развиваются способы промышленного шпионажа. Уровень киберпреступности тоже растет. В связи с этим методы защиты данных должны быть актуальными. 

Третьим фактором эффективного обеспечения информационной безопасности является постоянный контроль и мониторинг работы комплекса защиты данных. В этом состоит главная задача руководства предприятия – наладить процессы управления и контролировать их. 

20.05.2020