Системное управление рисками информационной безопасности на основе ISO 27001:2005

«Банк24.ру» - первый Банк в России

Принципы
Системные решения
Подходы риск-менеджмента
Интеграция в общую систему управления операционным риском
Корпоративная культура

Интегрированная система менеджмента
ISO 9001:2000 базовый стандарт на систему управления (система управления процессами)(2004)
Система управления проектами (2004 – на основе модели Organizational Project Management Maturity Model)
Система менеджмента информационной безопасности (ISO 27001:2005)
Система управления операционным риском (ISO 9001)
Система корпоративного управления (IFC standards)

Подходы риск-менеджмента
«Молотилка» рисков
Внутренние аудиты
Риски и сбои от сотрудников
Результаты обратной
связи
Риски информационной
безопасности

Обработка рисков

ISO 27001:2005
Международный стандарт на систему менеджмента информационной безопасности
Выпущен ISO в 2005 году
Обеспечение «необходимой и достаточной информационной безопасности»
Подходы риск-менеджмента

Логика системы

Политика системы

Что защищать?
Информационные активы
Конфидецниальность
Целостность
Доступность
Базы данных, серверы, компьютеры и т.д.

Управление информационными активами

Процедура управления информационными рисками

Риски информационной безопасности

Ключевые процедуры
Реестр информационных активов
Профиль рисков информационной безопасности

Стратегии управления рисками

Положение о применимости контролей

Контроли (смягчение рисков)
Information Security Policy
IT support procedure
Software development, implementation and modification requests management
Asset Inventory Management Procedure
Procedures for protection of confidential information (information of limited access)
Use of informational assets and recourses

Контроли (смягчение рисков)
Instruction for personnel employment
Physical Security Procedure
Procedures for back-up
Software development
Procedures for antivirus management
Removable media management procedure
Information Security implementation in the ‘Internet Bank for private clients’ service provision

Концепция применения международных стандартов