Ответы на билеты по предмету: Информационная безопасность (Пример)
Содержание
1. Защитные меры (понятие).
Виды защитных мер. Общие подходы к обеспечению информационной безопасности (в соответствии с ГОСТ 15408).
2. Система информационной безопасности организации (понятие).
Решаемые задачи.
3. Система управления информационной безопасностью (понятие).
Цель создания, решаемые задачи.
4. Система управления информационной безопасностью (понятие).
Задачи, решаемые при создании, внедрении, анализе и совершенствовании СУИБ.
5. Процессный подход к обеспечению информационной безопасности. Этапы. Привести перечень выполняемых работ по каждому этапу.
6. Международные и национальные стандарты в области управления информационной безопасностью. Перечислить основные стандарты, дать комментарии.
7. ГОСТ Р ИСО/МЭК 27001-2006. Цель стандарта, основные положения стандарта.
8. ГОСТ Р ИСО/МЭК 27002-2012. Цель стандарта, основные положения стандарта.
9. Риск информационной безопасности: понятие, необходимость в оценке и управлении рисками. Задачи, решаемые системой управления рисками информационной безопасности.
10. Работы, выполняемые в рамках построения системы управления рисками информационной безопасности.
11. Оценка рисков информационной безопасности. Основные этапы, входные и выходные данные.
12. Процесс управления рисками информационной безопасности. Основные этапы. Дать комментарии по каждому этапу.
13. Основные методики оценки рисков информационной безопасности. Дать комментарии по каждому направлению.
14. Построение системы управления информационной безопасностью на основе управления рисками. Привести схему, дать пояснения.
15. Методика оценки рисков нарушения информационной безопасности Банка России. Привести процедуры оценки, дать пояснения по каждой процедуре.
16. Допустимы и недопустимые риски информационной безопасности. Основные виды шкал оценки рисков. Переход от одной шкалы к другой.
17. Система менеджмента информационной безопасности. Понятие, решаемые задачи, использование процессного подхода в системе менеджмента.
18. Основные направления деятельности системы менеджмента информационной безопасности. Перечислить. Дать комментарии.
19. Мероприятия, осуществляемые на этапе разработки системы менеджмента информационной безопасности. Дать пояснения по каждому мероприятию.
20. Мероприятия, осуществляемые на этапе внедрения и функционирования системы менеджмента информационной безопасности. Дать пояснения по каждому мероприятию.
21. Мероприятия, осуществляемые на этапе мониторинга и анализа системы менеджмента информационной безопасности. Дать пояснения по каждому мероприятию.
22. Мероприятия, осуществляемые на этапе поддержки и улучшения системы менеджмента информационной безопасности. Дать пояснения по каждому мероприятию.
23. Анализ системы менеджмента информационной безопасности со стороны руководства. Задачи, используемые документы.
24. Ответственность руководства в рамках системы менеджмента информационной безопасности.
25. Требования к организации и функционированию службы информационной безопасности организации.
26. Основные направления деятельности службы информационной безопасности, решаемые задачи.
27. Полномочия службы информационной безопасности. Перечислить. Дать комментарии.
28. Основные требования, определяющие необходимую компетенцию работников службы информационной безопасности.
29. Ресурсное обеспечение деятельности по обеспечению информационной безопасности организации. Виды обеспечения. Дать комментарии, привести примеры.
30. Политика информационной безопасности. Цели, задачи, основное содержание.
31. Виды внутренних документов организации в области информационной безопасности. Привести классификацию. Дать комментарии, привести примеры.
32. Основные процедуры управления информационной безопасностью, в соответствии с ГОСТ Р ИСО/МЭК 27002-2012. Перечислить. Дать комментарии.
33. Организационные аспекты информационной безопасности. Распределение обязанностей по обеспечению информационнойбезопасности
34. Организационные аспекты информационной безопасности. Соглашения о конфиденциальности. Цель, основное содержание.
35. Организационные аспекты информационной безопасности. Организация взаимодействия с различными организациями и клиентами.
36. Менеджмент активов. Виды активов, требования по защите активов.
37. Безопасность, связанная с персоналом. Основные мероприятия на этапе приема на работу.
38. Безопасность, связанная с персоналом. Основные мероприятия на этапе работы и увольнения.
39. Разработка и реализация программ по обучению и повышению осведомленности в области информационной безопасности в организации.
40. Физическая безопасность и защита от воздействий окружающей среды.
41. Менеджмент коммуникаций и работ. Эксплуатационные процедуры и обязанности.
42. Менеджмент коммуникаций и работ. Планирование и приемка систем.
43. Менеджмент коммуникаций и работ. Защита от вредоносной и мобильной программы.
44. Менеджмент коммуникаций и работ. Резервирование.
45. Менеджмент коммуникаций и работ. Менеджмент безопасности сети.
46. Менеджмент коммуникаций и работ. Обращение с носителями информации.
47. Менеджмент коммуникаций и работ. Мониторинг информационной безопасности.
48. Управление доступом. Права доступа, порядок пересмотра. Ролевой доступ.
49. Управление доступом. Парольная политика организации.
50. Приобретение, разработка и эксплуатация информационных систем. Требования безопасности информационных систем.
51. Менеджмент инцидентов информационной безопасности. Обнаружение и реагирование на инциденты информационной безопасности.
52. Менеджмент непрерывности бизнеса. План обеспечения непрерывности бизнеса. Состав плана, условия его активации.
53. Разработка н внедрение планов обеспечения непрерывности бизнеса, учитывающих информационную безопасность.
54. Требования к анализу функционирования системы обеспечения информационной безопасности.
55. Соответствие требованиям информационной безопасности. Аудит безопасности информационных систем.
56. Внутренние аудиты системы менеджмента информационной безопасности.
57. Требования к принятию решений по тактическим и стратегическим улучшениям системы обеспечения информационной безопасности
Выдержка из текста
11. Оценка рисков информационной безопасности. Основные этапы, входные и выходные данные.
Оценка рисков информационной безопасности состоит из трех основных этапов:
• идентификация угроз,
• идентификация уязвимостей,
• идентификация активов
Процесс оценки риска информационной безопасности выглядит следующим образом:
1) Определение информационных активов, установление ценности активов;
2) Анализ угроз, определение вероятности угроз
3) Идентификация уязвимостей информационных активов, определение степени уязвимости
4) Вычисление вероятности наступления события по реализации угроз (использованию уязвимостей)
5) Сочетая важность информационных активов и возможность возникновения инцидентов, выполняется расчет значения риска информационной безопасности для информационного актива.
Входные данные:
• цели и назначение оценки ИБ,
• вид оценки (независимая оценка, самооценка),
• объект и области оценки ИБ,
• ограничения оценки и роли.
Факторы:
• информация украдена, удалена или потеряна;
• сетевые ресурсы уничтожены;
• ложное использование и фальсификация информации;
• прерывания работы и запреты;
• аппаратных дефекты;
• сетевые уязвимости;
• утечка данных;
• вмешательство в связь;
• восстановление обслуживания;
• прерывание обслуживания.
Выходные данные оценки включают:
• дату проведения оценки,
• входные данные оценки,
• собранные свидетельства оценки,
• описание используемого процесса измерения и оценивания.
Зарегистрированные выходные данные оценки могут сохраняться в различной форме — бумажной или электронной — в зависимости от обстоятельств и инструментов, использованных для проведения и поддержки оценки.
Список использованной литературы
57. Требования к принятию решений по тактическим и стратегическим улучшениям системы обеспечения информационной безопасности
8.17. Требования к принятию решений по тактическим улучшениям системы
обеспечения информационной безопасности [1]
8.17.1. Для принятия решений, связанных с тактическими улучшениями СОИБ, необходимо рассмотреть, среди прочего, результаты:
• аудитов ИБ;
• самооценок ИБ;
• мониторинга ИБ и контроля защитных мер;
• анализа функционирования СОИБ;
• обработки инцидентов ИБ;
• выявления новых угроз и уязвимостей ИБ;
• оценки рисков;
• анализа перечня защитных мер, возможных для применения;
• стратегических улучшений СОИБ;
• анализа СОИБ со стороны руководства;
• анализа успешных практик в области ИБ (собственных или других организаций).
8.17.2. Решения по тактическим улучшениям СОИБ должны быть зафиксированы и содержать либо выводы об отсутствии необходимости тактических улучшений СОИБ, либо должны быть указаны направления тактических улучшений СОИБ в виде корректирующих или превентивных действий, например:
• пересмотр процедур выполнения отдельных видов деятельности по обеспечению ИБ;
• пересмотр процедур эксплуатации отдельных видов защитных мер;
• пересмотр процедур обнаружения и обработки инцидентов;
• уточнение описи информационных активов;
• пересмотр программы обучения и повышения осведомленности персонала;
• пересмотр плана обеспечения непрерывности бизнеса и его восстановления после прерывания;
• пересмотр планов обработки рисков;
• вынесение санкций в отношении персонала;
• пересмотр процедур мониторинга ИБ и контроля защитных мер;
• пересмотр программ аудитов;
• корректировка соответствующих внутренних документов, регламентирующих процедуры выполнения деятельности по обеспечению ИБ и эксплуатации защитных мер;
• ввод новых или замена используемых защитных мер.
8.17.3. Деятельность по реализации тактических улучшений должна регистрироваться.
Должны быть установлены планы реализации тактических улучшений СОИБ и документы, в которых фиксируются результаты выполнения указанных планов.
8.17.4. Деятельность, связанная с реализацией тактических улучшений СОИБ, должна
быть санкционирована и контролироваться руководством службы ИБ организации.
8.17.5. Должны быть определены, выполняться, регистрироваться и контролироваться
процедуры согласования и информирования заинтересованных сторон о тактических улучшениях СОИБ, в частности, об изменениях, относящихся к обеспечению ИБ, к ответственности в области ИБ, к требованиям по обеспечению ИБ.
8.17.6. В случаях принятия решений по тактическим улучшениям СОИБ должны быть установлены роли и назначены ответственные за их реализацию.
[1]
К тактическим улучшениям СОИБ следует относить корректирующие или превентивные действия, связанные с пересмотром отдельных процедур выполнения деятельности в рамках СОИБ организации и не требующие пересмотра политики ИБ и частных политик ИБ организации. Как правило, тактические улучшения СОИБ не требуют выполнения деятельности в рамках этапа “планирование” СМИБ.
