Разработка стратегии информационной безопасности
Формирование общей стратегии компании подразумевает определение частных стратегических целей для всех областей деятельности, в том числе для процесса обеспечения информационной безопасности.
Правильно разработанная стратегия информационной безопасности позволяет ответить на важные вопросы:
- В каком состоянии находится информационная безопасность сейчас, и в каком направлении необходимо двигаться дальше?
- Какие из задач информационной безопасности наиболее приоритетны?
- Как распределять инвестиции?
- Что именно нужно сделать для решения поставленных задач?
- Как именно должна работать служба информационной безопасности, чтобы достичь поставленных целей?
- Как оценивать эффективность выполнения задач стратегии?
- Как избежать конфликтов между долгосрочными и краткосрочными целями?
- Что нужно сделать, чтобы стратегия реализовывалась, а не была всего лишь еще одним неработающим документом?
Эти вопросы становятся особенно актуальными в период, когда в компании происходят значительные изменения. Пересмотр стратегии информационной безопасности необходим в случае смены стратегического курса компании, при слиянии или поглощении, в случае смены владельцев или высшего руководства.
Разработка стратегии информационной безопасности одновременно со стратегией ИТ позволяет избежать впоследствии значительных затрат на изменение уже построенной ИТ-инфраструктуры в угоду требованиям по информационной безопасности.
Услуга по разработке стратегии информационной безопасности включает следующие работы:
- анализ стратегии бизнеса, кадровой стратегии и стратегии ИТ;
- анализ законодательных требований и требований регулирующих органов, действующих в отношении компании, в области информационной безопасности;
- разработка, оценка и выбор стратегических альтернатив;
- определение основных стратегических целей ИБ;
- определение задач, решение которых необходимо для реализации поставленных целей;
- формирование плана реализации стратегических задач и бюджетная оценка стоимости их выполнения.
Также в рамках проекта по разработке стратегии ИБ может быть создана система сбалансированных показателей (ССП) информационной безопасности, интегрированная в общую ССП компании и позволяющая контролировать выполнение стратегии ИБ в рамках единого процесса стратегического управления.
Работы по созданию стратегии ИБ проводятся экспертами по информационной безопасности с привлечением консультантов в областях стратегического планирования, управления бизнес-процессами, риск-менеджмента и внутреннего контроля.
При выполнении проекта используются современные методики, а также, если требуется, специализированные программные средства, позволяющие автоматизировать этап разработки стратегии, поддержание ее в актуальном состоянии и контроль ее выполнения.
