Статья: Стандартизация в области ИБ: зарубежный опыт
Текст комплекта документации на продукт автоматизации оценочных задач обеспечения ИБ "Методологические инструментальные средства достижения безопасности информационных систем EBIOS (определение потребностей и идентификация целей безопасности)" был опубликован на официальном сайте правительства Франции, посвященном вопросам обеспечения информационной безопасности автоматизированных систем в 2004 г. Метод EBIOS, предложенный Генеральным секретариатом министерства национальной обороны Франции и названный "Определение потребностей и идентификация целей безопасности" (EBIOS), был разработан с учетом международных стандартов, направленных на обеспечение ИБ. Он формализует подход к осуществлению оценки и обработки рисков в области безопасности информационных систем и применяется для оценки уровня ИБ в разрабатываемых и существующих системах.
Цель метода – позволить любой организации, находящейся под управлением государства, определить перечень действий по обеспечению безопасности, которые необходимо предпринять в первую очередь. Метод может быть реализован администраторами подразделения безопасности организации и может применяться на всех уровнях структуры разрабатываемой или существующей информационной системы (подсистемы, прикладные программы). Подход EBIOS учитывает три основных свойства ИБ: конфиденциальность, целостность и доступность как информации, так и систем, а также среды, в которой они находятся. В определенных случаях предлагается позаботиться об обеспечении потребностей неотказуемости, авторизации и аутентификации. Методология EBIOS напрямую связана с оценкой и обработкой рисков. Эти риски квалифицируются как операционные, поскольку они оказывают непосредственное влияние на бизнес-деятельность организации и управление организацией. Данный метод не так неизвестен, как представленные ранее международные стандарты, но все же его можно с уверенностью назвать международным стандартом. На территории Европейского союза применение методологии EBIOS достаточно востребовано. Ряд компаний специализируются на проведении консалтинговых работ в части приведения системы ИБ организации в соответствие требованиям подхода EBIOS.
В качестве справочного материала для знакомства с практикой международных стандартов в области защиты информации рекомендую использовать Интернет-ресурс http://www.iso27000.ru
Георгий Гарбузов, CISSP, MCSE:Security, дирекция информационной безопасности Страховой Группы "УРАЛСИБ"
Список литературы
Information Security №1, февраль-март 2009