'

Риски информационной безопасности при передаче систем на аутсорсинг

Понравилась презентация – покажи это...





Слайд 0

Риски информационной безопасности при передаче систем на аутсорсинг Докладчик: Мелехин Иван Начальник отдела консалтинга


Слайд 1

Передача организацией на основании договора определенных бизнес-процессов или производных функций на обслуживание другой компании, специализирующейся в соответствующей области. Аутсорсинг – ИТ аутсорсинг (ITO) – Передача части (всех) функций по поддержке и обслуживанию собственных информационных систем сторонней компании, специализирующейся в этой сфере.


Слайд 2

Модели аутсорсинга Выбранная модель и состав передаваемых функций определяют возникающие риски информационно безопасности


Слайд 3

Какие системы передать на аутсорсинг? Какая информация содержится в системе и какова её ценность? Какие требования по безопасности предъявляются? Какие ИТ функции передать, а какие оставить? Кому? На каких условиях? Какие риски принять, а какие обработать? Определение контекста


Слайд 4

Новые условия окружения Резко сужается круг доверенных лиц Более активное использование внешних каналов связи Неизвестная исходная защищенность инфраструктуры провайдера Неизвестный круг третьих лиц, получающих доступ к инфраструктуре и системе, включая физический уровень Отсутствие контроля над регламентами и их исполнением на стороне провайдера Отсутствие оперативной обратной связи и информирования по инцидентам ИБ на стороне провайдера


Слайд 5

Источники (факторы) риска Готов ли менеджмент Компании-Заказчика к обработке рисков взаимодействия? Готова ли Компания-Аутсорсер обеспечить обработку взятых на себя рисков? Имеет ли она необходимые меры контроля, снижающие риски до приемлемого уровня? 1 2


Слайд 6

Новые риски От выбранной модели и полноты передаваемых функций зависит итоговый перечень актуальных угроз и рисков ИБ, которые следует проанализировать!


Слайд 7

Общий подход к менеджменту рисков * Качественный, количественный или комбинированный подход *


Слайд 8

Применение менеджмента рисков к передаче систем на аутсорс Выделить области изменений в системе в связи с передачей на аутсорс Оценить в выделенных областях текущие риски в с учетом существующих контролей Оценить в выделенных областях будущие риски с учетом известных контролей аутсорсера Принять решение об управлении рисками Оценить стоимость контракта с учетом требований к аутсорсеру по реализации контролей Принять решение о передаче на аутсорс Принять решение о модификации аутсорсингового контракта


Слайд 9

Основные этапы управления рисками Идентификация активов Оценка активов Идентификация угроз и уязвимостей Идентификация имеющихся контролей Оценка рисков


Слайд 10

Факторы влияющие на уровень риска эффективность мер контроля Потенциал нарушителя Степень воздействия Ценность активов Вероятность Последствия УРОВЕНЬ РИСКА Мотивация Возможности


Слайд 11

Результаты работ Перечень новых рисков, возникающих в связи с передаче систем на аутсорсинг Для рисков выше приемлемого уровня – рекомендуемые контроли по снижению рисков Рекомендации по составу требований к аутсорсеру по реализации контролей


Слайд 12

Ключевые моменты работ Согласование шкал и критериев оценки активов и последствий Увязка с существующими в организациями подходами к оценке и управлению рисками Определение уровня приемлемого риска Получение объективной информации о наличии контролей у аутсорсера


Слайд 13

Пример оценки


Слайд 14

Пример контролей по снижению риска


Слайд 15

Пример шкалы оценки активов по свойству конфиденциальности


Слайд 16

Возможные трудности Нечеткая классификация информации на стороне клиента Плохо формализованные требования на стороне клиента Невозможность сформулировать стоимость информации на стороне клиента Отсутствие сведений о контролях на стороне аутсорсера


Слайд 17

«Хороший» провайдер Готов фиксировать в договорных обязательствах свою ответственность за нарушение режима КТ и инциденты ИБ Готов идти на регулярный внешний аудит ИБ по требованиям Заказчика Имеет сертифицированную систему управления ИБ с «правильной» областью деятельности Готов предоставлять журналы регистраций событий ИБ по первому требованию Готов строить интегрированную систему управления инцидентами ИБ и мониторинга состояния защищенности информации Заказчика


Слайд 18

Спасибо за внимание!


×

HTML:





Ссылка: