Инструментарий базового уровня

Вначале рассмотрим инструментарий, соответствующий ISO17799:

Справочные и методические материалы.

ПО анализа рисков и аудита " Cobra".

ПО анализа рисков и аудита " Software Tool".

Справочные и методические материалы

Ряд Британских фирм предлагает следующие продукты:

Information Security Police

SOS — INTERACTIVE 'ONLINE' SECURITY POLICIES AND SUPPORT

Security Professionals Guide

Эти продукты представляют собой справочники, посвященные практическим аспектам реализации политики безопасности в соответствии с ISO17799, вид справочника приводится на Рис. 5. Демонстрационные версии (Evaluation version) можно загрузить с сайта.

Рисунок 5. Справочник 'ONLINE' SECURITY POLICIES AND SUPPORT

Эти методические материалы детализируют требования ISO17799 и выполнены в стиле этого стандарта. Достоинством является гипертекстовая структура, удобная навигация.

Еще один продукт подобного рода — " THE ISO17799 TOOLKIT" — текст стандарта ISO17799 с комплектом методических материалов и презентацией.

COBRA

ПО COBRA [[9]], производитель — C & A Systems Security Ltd., позволяет формализовать и ускорить процесс проверки на соответствие режима информационной безопасности требованиям Британского стандарта BS 7799 (ISO 17799) и провести анализ рисков. Имеется несколько баз знаний: общие требования BS 7799 (ISO 17799) и специализированные базы, ориентированные на различные области применения. Доступна Evaluation version этого ПО.

COBRA позволяет представить требования стандарта в виде тематических " вопросников" по отдельным аспектам деятельности организации, пример приводится на Рис. 6.

Рисунок 6. Анализ рисков с использованием ПО " Cobra"

Анализ рисков, выполняемый данным методом, соответствует базовому уровню безопасности, т.е. уровни рисков не определяются. Достоинством методики является простота. Необходимо ответить на несколько десятков вопросов, затем автоматически формируется отчет.

Этот программный продукт может использоваться при проведении аудита ИБ или для работы специалистов служб, отвечающих за обеспечение информационной безопасности.

Простота, соответствие международному стандарту, сравнительно небольшое число вопросов, позволяют легко адаптировать этот метод для работы в отечественных условиях.