Ақпараттық қауіпсіздік басқару: ITIL және ISO 27001 стандарттары

Кіріспе

ITIL қауіпсіздік менеджменті ұйымға қауіпсіздікті құрылымды түрде енгізуді сипаттайды. ITIL қауіпсіздік менеджменті ISO 27001 стандартына негізделген. "ISO/IEC 27001:2005 барлық типтегі ұйымдарды қамтиды (мысалы, коммерциялық кәсіпорындар, мемлекеттік органдар, коммерциялық емес ұйымдар). ISO/IEC 27001:2005 ұйымның жалпы бизнес тәуекелдері шеңберінде құжатталған Ақпараттық қауіпсіздікті басқару жүйесін құру, іске асыру, қолдану, бақылау, қарастыру, сақтау және жақсарту қажеттіліктерін белгілейді. Ол жеке ұйымдардың немесе олардың бөліктерінің қажеттіліктеріне бейімделген қауіпсіздік бақылауларын іске асыру үшін талаптарды анықтайды. ISO/IEC 27001:2005 ақпараттық активтерді қорғайтын және мүдделі тараптарға сенім беретін тиісті және пропорционалды қауіпсіздік бақылауларын таңдауды қамтамасыз етуге бағытталған". Қауіпсіздік менеджментінің негізгі түсінігі – ақпараттық қауіпсіздік. Ақпараттық қауіпсіздіктің басты мақсаты – ақпаратқа қол жеткізуді бақылау. Қорғалатын нәрсе – ақпараттың құндылығы. Бұл құндылықтар құпиялылық, толықтығы және қолжетімділікті қамтиды. Сонымен қатар, жеке өмірге қатысты құпиялылық, анонимділік және растау сияқты аспектілер де қарастырылады. Қауіпсіздік менеджментінің мақсаты екі бөліктен тұрады:

Қызмет деңгейі туралы келісімдерде (SLA) және басқа да сыртқы талаптарда, қолдау келісімдерінде, заңнамада және ішкі немесе сыртқы саясаттарда белгіленген қауіпсіздік талаптары. Басқару үзілісін қамтамасыз ететін негізгі қауіпсіздік. Бұл ақпараттық қауіпсіздіктің қызмет деңгейін басқаруды жеңілдету үшін қажет. SLA қауіпсіздік талаптарын, сондай-ақ заңнаманы (қолданылған жағдайда) және басқа келісімдерді анықтайды. Бұл талаптар процестерді басқару және қауіпсіздік менеджменті процесінің нәтижелерін түсіндіру үшін пайдаланылатын негізгі өнімділік көрсеткіштері (KPI) ретінде әрекет ете алады. Қауіпсіздік менеджменті процесі басқа ITIL процестерімен байланысты. Алайда, осы бөлімде ең айқын байланыстар қызмет деңгейін басқару, оқиғаларды басқару және өзгерістерді басқару процестерімен байланысты.

Қауіпсіздікті басқару

Қауіпсіздікті басқару – үздіксіз процесс, оны В. Эдвардс Демингтің Сапалық шеңберімен (Жоспарлау, Іске асыру, Тексеру, Әрекет ету) салыстыруға болады. Кіріс деректері – клиенттердің талаптары. Бұл талаптар қауіпсіздік қызметтері мен қауіпсіздік көрсеткіштеріне аударылады. Клиент және жоспарлау процесінің өзі SLA-ға әсер етеді. SLA клиент пен процесс үшін кіріс болып табылады. Провайдер ұйым үшін қауіпсіздік жоспарларын жасайды. Бұл жоспарлар саясаттар мен операциялық деңгейдегі келісімдерді қамтиды. Қауіпсіздік жоспарлары (Жоспарлау) іске асырылады (Іске асыру), содан кейін іске асыру бағаланады (Тексеру). Бағалаудан кейін жоспарлар мен іске асыру сақталып, жаңартылады (Әрекет ету). Іс-әрекеттер, нәтижелер/өнімдер және процесс құжатталады. Сыртқы есептер дайындалып, клиенттерге жіберіледі. Клиенттер есептерден алынған ақпарат негізінде өз талаптарын бейімдей алады. Сонымен қатар, қызмет провайдері өз жоспарын немесе іске асыруын өзгерте алады, бұл SLA-да (жаңа талаптарды қоса алғанда) белгіленген барлық талаптарды қанағаттандыруға мүмкіндік береді.

Бақылау

Қауіпсіздікті басқару процесінің бірінші әрекеті – «Бақылау» кіші процесі. Бақылау кіші процесі қауіпсіздікті басқару процесін ұйымдастырады және басқарады. Бақылау кіші процесі процестерді, саясаттарды жариялауға жауапкершілікті бөлуді және басқару шеңберін анықтайды. Қауіпсіздікті басқару шеңбері іс-қимыл жоспарларын әзірлеу, іске асыру және бағалау үшін кіші процестерді анықтайды. Сонымен қатар, басқару шеңбері клиенттерге нәтижелер туралы қалай хабарлау керектігін анықтайды. 2.1.2 кестесі: Тұжырым және анықтама – бақылау кіші процесі. Қауіпсіздікті басқару іс-әрекеттері. Кіші іс-әрекеттер. Сипаттамалары. Бақылау. Саясатты іске асыру. Бұл процесс қауіпсіздікті басқаруды іске асыру үшін орындалуы тиіс нақты талаптар мен ережелерді сипаттайды. Процесс саясатты жариялаумен аяқталады. Қауіпсіздік ұйымын құру. Бұл процесс ақпараттық қауіпсіздікті қамтамасыз ететін ұйымдарды құрады. Мысалы, осы процесте жауапкершілік құрылымы құрылады. Бұл процесс қауіпсіздікті басқару шеңберімен аяқталады. Есеп беру. Бұл процесте мақсатқа жетудің барлық процесі нақты түрде құжатталады. Бұл процесс есептермен аяқталады. Басқару кіші процесінің мета-процесс моделі UML-дегі қызмет диаграммасына негізделген және Бақылау кіші процесінің қызметтері туралы жалпы түсінік береді. Сұр түсті төртбұрыш Бақылау кіші процесін көрсетеді, ал оның ішіндегі кішірек сәулелер оның ішінде болатын әрекеттерді бейнелейді. Тұжырым. Сипаттама. Бақылау құжаттары. Бақылау – қауіпсіздікті басқарудың қалай ұйымдастырылғаны және қалай басқарылатындығы туралы сипаттама. Саясат мәлімдемелері. Саясат мәлімдемелері орындалуы тиіс нақты талаптарды немесе ережелерді сипаттайды. Ақпараттық қауіпсіздік саласында саясаттар әдетте бір салаға қатысты нақты бағыттар бойынша жасалады. Мысалы, «қабылдауға болатын пайдалану» саясаты есептеу құралдарын дұрыс пайдаланудың ережелері мен регламенттерін қамтиды. Қауіпсіздікті басқару шеңбері. Қауіпсіздікті басқару шеңбері – ұйым ішінде ақпараттық қауіпсіздікті іске асыруды бастау және бақылау және ақпараттық қауіпсіздікті қамтамасыз етуді басқару үшін құрылған басқару жүйесі. Бақылау кіші процесінің метадеректер моделі UML сынып диаграммасына негізделген. 2.1.2 суретте Бақылау кіші процесінің метамоделі көрсетілген. 2.1.2 сурет: Мета-процесс моделі – Бақылау кіші процесі. Ақ көлеңкелі CONTROL тікбұрышы ашық күрделі тұжырымдама болып табылады. Бұл дегеніміз, Бақылау тікбұрышы (кіші) тұжырымдамалардың жиынтығынан тұрады. 2.1.3 суретте Бақылау кіші процесінің процестік деректер моделі көрсетілген. Бұл екі модельдің бірігуін көрсетеді. Нүктелі жебелер тиісті іс-шараларда құрылған немесе түзетілген ұғымдарды көрсетеді. 2.1.3 сурет: Процесс деректері моделі – Бақылау кіші процесі.

The first activity in the security management process is the “Control” sub process. The Control sub process organizes and manages the security management process. The Control sub process defines the processes, the allocation of responsibility for the policy statements and the management framework. The security management framework defines the sub processes for development, implementation and evaluations into action plans. Furthermore, the management framework defines how results should be reported to clients. +Table 2.1.2: Concept and definition control sub process Security management Activities Sub Activities Descriptions Control Implement policies This process outlines the specific requirements and rules that have to be met in order to implement security management. The process ends with policy statement. Set up the security organization This process sets up the organizations for information security. For example, in this process the structure the responsibilities are set up. This process ends with security management framework. Reporting In this process the whole targeting process is documented in a specific way. This process ends with reports. The meta process model of the control sub process is based on a UML activity diagram and gives an overview of the activities of the Control sub process. The grey rectangle represents the control sub process and the smaller beam shapes inside it represent activities that take place inside it. Concept Description Control documents Control is a description of how security management is organized and how it is managed. Policy statements Policy statements outline specific requirements or rules that must be met. In the information security realm, policies are usually point specific, covering a single area. For example, "acceptable use" policies cover the rules and regulations for appropriate use of the computing facilities. Security management framework Security management framework is an established management framework to initiate and control the implementation of information security within an organization and to manage ongoing information security provision. The meta data model of the control sub process is based on a UML class diagram. Figure 2.1.2 shows the metamodel of the control sub process. Figure 2.1.2: Meta process model control sub process

The CONTROL rectangle with a white shadow is an open complex concept. This means that the Control rectangle consists of a collection of (sub) concepts. Figure 2.1.3 is the process data model of the control sub process. It shows the integration of the two models. The dotted arrows indicate the concepts that are created or adjusted in the corresponding activities. Figure 2.1.3: Process data model control sub process

Жоспар

Жоспарлау кіші процесі қызмет деңгейін басқарумен бірлесе отырып, қызмет деңгейі келісімінің (ақпараттық) қауіпсіздік бөліміне әкелетін іс-шараларды қамтиды. Сонымен қатар, жоспарлау кіші процесі (ақпараттық) қауіпсіздікке қатысты нақты келісімшарттармен байланысты іс-шараларды қамтиды. Жоспарлау кіші процесінде қызмет деңгейі келісімінде (SLA) формулировкаланған мақсаттар операциялық деңгейдегі келісімдер (OLA) түрінде нақтыланады. Бұл OLA-ларды қызмет провайдерінің нақты ішкі ұйымдық бірлігі үшін қауіпсіздік жоспарлары ретінде қарастыруға болады. Қызмет деңгейі келісімінің (SLA) кірісімен қатар, жоспарлау кіші процесі қызмет провайдерінің өзінің саясаттарына қатысты мәлімдемелермен де жұмыс істейді. Бұрын айтқанымыздай, бұл саясаттар бақылау кіші процесінде анықталады. Ақпараттық қауіпсіздік үшін операциялық деңгейдегі келісімдер ITIL процесіне сәйкес құрылып, іске асырылады. Бұл үшін ITIL-дің басқа процестерімен ынтымақтастық қажет. Мысалы, егер қауіпсіздік басқару қауіпсіздікті арттыру мақсатында IT инфрақұрылымын өзгертуді қаласа, бұл өзгерістер өзгерістерді басқару процесі арқылы жүзеге асырылады. Қауіпсіздік басқару осы өзгерістерге қатысты кіріс (өзгерту туралы сұрау) ұсынады. Өзгерістерді басқару процесіне Өзгерістер менеджері жауапты. +2.2.1 кестесі: (Кіші) іс-шаралар мен сипаттамалары Жоспарлау кіші процесі ITIL қауіпсіздік басқару Іс-шаралары Кіші іс-шаралары Сипаттамалары Жоспарлау Қызмет деңгейі келісімі үшін қауіпсіздік бөлімін құру Бұл процесс қызмет деңгейі келісіміндегі қауіпсіздікке қатысты келісімдерге әкелетін іс-шараларды қамтиды. Осы процестің соңында қызмет деңгейі келісімінің қауіпсіздік бөлімі құрылады. Нақты келісімшарттарды құру Бұл процесс нақты келісімшарттарды құруға әкелетін іс-шараларды қамтиды. Бұл келісімшарттар қауіпсіздікке қатысты. Операциялық деңгейдегі келісімдерді құру SLA-да формулировкаланған жалпы мақсаттар операциялық деңгейдегі келісімдерде нақтыланады. Бұл келісімдерді нақты ұйымдық бірліктер үшін қауіпсіздік жоспарлары ретінде қарастыруға болады. Есеп беру Бұл процесс жоспарлау процесінің барлық кезеңдерін белгілі бір форматта құжаттауды қамтиды. Бұл процесс есептермен аяқталады. Жоспарлау реттелмеген және реттелген (кіші) іс-шаралардың комбинациясынан тұрады. Кіші процесс үш күрделі және бір стандартты іс-шараны қамтиды, барлық күрделі іс-шаралар аяқталған. +2.2.2 кестесі: Тұжырым және анықтама Жоспарлау кіші процесінің қауіпсіздік басқаруы Тұжырым Сипаттамасы Жоспарлау Қауіпсіздік келісімдеріне арналған жоспарланған схемалар. Қызмет деңгейі келісімінің қауіпсіздік бөлімі Қызмет провайдері мен клиент(тер) арасындағы жазбаша келісімдердегі қауіпсіздікке қатысты келісімдердің тармағы, ол қызмет үшін келісілген қызмет деңгейлерін құжаттайды. Нақты келісімшарттар Сыртқы жеткізушімен жасалған келісімшарт, ол IT ұйымына қызмет көрсетуде қолдау көрсететін қызметтерді қамтамасыз етеді. Операциялық деңгейдегі келісімдер IT ұйымына қызмет көрсетуде қолдау көрсететін қызметтерді ұсынуды қамтитын ішкі келісім. Бақылау кіші процесі сияқты, жоспарлау кіші процесі де метамодельдеу техникасын пайдалана отырып модельдендіріледі. 2.2.1 суретінің сол жағында жоспарлау кіші процесінің метадеректер моделі орналасқан. Жоспарлау тіктөртбұрышы ашық (кешенді) тұжырымдама, ол екі жабық (кешенді) тұжырымдамамен және бір стандартты тұжырымдамамен агрегациялық қатынасқа ие. Бұл екі тұжырымдама осы контексте кеңейтілмейді. Келесі сурет (2.2.1 суреті) жоспарлау кіші процесінің процестік деректер диаграммасы. Бұл сурет екі модельдің интеграциясын көрсетеді. Нүктелі жебелер жоспарлау кіші процесінің тиісті іс-шараларында қандай тұжырымдамалар құрылатынын немесе түзетілетінін көрсетеді. 2.2.1 суреті: Процесс деректерінің моделі Жоспарлау кіші процесі

The Plan sub process contains activities that in cooperation with service level management lead to the (information) Security section in the SLA. Furthermore, the Plan sub process contains activities that are related to the underpinning contracts which are specific for (information) security. In the Plan sub process the goals formulated in the SLA are specified in the form of operational level agreements (OLA). These OLA's can be defined as security plans for a specific internal organization entity of the service provider. Besides the input of the SLA, the Plan sub process also works with the policy statements of the service provider itself. As said earlier these policy statements are defined in the control sub process. The operational level agreements for information security are set up and implemented based on the ITIL process. This requires cooperation with other ITIL processes. For example, if security management wishes to change the IT infrastructure in order to enhance security, these changes will be done through the change management process. Security management delivers the input (Request for change) for this change. The Change Manager is responsible for the change management process. +Table 2.2.1: (Sub) activities and descriptions Plan sub process ITIL Security Management Activities Sub activities Descriptions Plan Create Security section for SLA This process contains activities that lead to the security agreements paragraph in the service level agreements. At the end of this process the Security section of the service level agreement is created. Create underpinning contracts This process contains activities that lead to underpinning contracts. These contracts are specific for security. Create operational level agreements The general formulated goals in the SLA are specified in operational level agreements. These agreements can be seen as security plans for specific organization units. Reporting In this process the whole Create plan process is documented in a specific way. This process ends with reports. Plan consists of a combination of unordered and ordered (sub) activities. The sub process contains three complex activities that are all closed activities and one standard activity. +Table 2.2.2: Concept and definition Plan sub process security management Concept Description Plan Formulated schemes for the security agreements. Security section of the security level agreements The security agreements paragraph in the written agreements between a service provider and the customer(s) that documents agreed service levels for a service. Underpinning contracts A contract with an external supplier covering delivery of services that support the IT organisation in their delivery of services. Operational level agreements An internal agreement covering the delivery of services which support the IT organization in their delivery of services. Just as the Control sub process the Plan sub process is modeled using the meta modeling technique. The left side of figure 2.2.1 is the meta data model of the Plan sub process. The Plan rectangle is an open (complex) concept which has an aggregation type of relationship with two closed (complex) concepts and one standard concept. The two closed concepts are not expanded in this particular context. The following picture (figure 2.2.1) is the process data diagram of the Plan sub process. This picture shows the integration of the two models. The dotted arrows indicate which concepts are created or adjusted in the corresponding activities of the Plan sub process. Figure 2.2.1: Process data model Plan sub process

Іске асыру

Іске асыру кіші процесі жоспарларда белгіленген барлық шаралардың тиісті түрде орындалуын қамтамасыз етеді. Іске асыру кіші процесінде жаңа шаралар анықталмайды немесе өзгертілмейді. Шараларды анықтау немесе өзгерту өзгерістерді басқару процесімен бірлесіп, жоспар кіші процесінде жүзеге асырылады. +2.3.1-кесте: (Кіші) қызметтер мен сипаттамалары ITIL қауіпсіздік басқару қызметтерін іске асыру кіші процесі Кіші қызметтер Сипаттамалары Іске асыру IT-қосымшаларын жіктеу және басқару Конфигурация элементтерін түріне қарай ресми топтастыру процесі, мысалы, бағдарламалық жасақтама, аппараттық құралдар, құжаттама, орта және қолданба. Өзгерістерді түріне қарай ресми түрде анықтау процесі, мысалы, жоба ауқымын өзгерту туралы сұраныс, тексеруді өзгерту туралы сұраныс, инфрақұрылымды өзгерту туралы сұраныс. Бұл процесс активтерді жіктеу және бақылау құжаттарын құруға әкеледі. Қызметкерлердің қауіпсіздігі мен сенімділігін арттыру және қылмыс/алаяқтыққа жол бермеу үшін қауіпсіздік шаралары қабылданады. Процесс қызметкерлердің қауіпсіздігімен аяқталады. Қауіпсіздік басқаруды іске асыру Қауіпсіздік талаптары мен/немесе сақталуы тиіс қауіпсіздік ережелері сипатталады және құжатталады. Процесс қауіпсіздік саясатымен аяқталады. Кіруді бақылауды іске асыру Қорылуы тиіс кіру қауіпсіздігі талаптары мен/немесе кіру қауіпсіздігі ережелері сипатталады және құжатталады. Процесс кіруді бақылаумен аяқталады. Есеп беру Жоспарланғандай барлық іске асыру процесі нақты тәртіппен құжатталады. Бұл процесс есептермен аяқталады. 2.3.1-суреттің сол жағында Іске асыру кезеңінің мета-үдеріс моделі көрсетілген. Қара көлеңкелі төрт белгі осы қызметтердің жабық тұжырымдама екенін және осы контексте кеңейтілмейтінін білдіреді. Осы төрт қызметті байланыстыратын жебелердің болмауы осы қызметтердің ретсіз екенін және есеп берудің төрт қызметтің барлығы аяқталғаннан кейін жүзеге асырылатынын көрсетеді. Іске асыру кезеңінде тұжырымдамалар құрылады және/немесе түзетіледі. +2.3.2-кесте: Тұжырымдама және анықтама Іске асыру кіші процесі Қауіпсіздік басқару Тұжырымдаманың сипаттамасы Іске асыру Қауіпсіздік басқару жоспарына сәйкес орындалған қауіпсіздік басқару. Активтерді жіктеу және бақылау құжаттары Қауіпсіздікті тиімді қорғауды қамтамасыз ету үшін жауапкершілік тағайындалған активтердің толық тізімі. Қызметкерлердің қауіпсіздігі Қауіпсіздікке қатысты міндеттер мен жауапкершіліктерді көрсететін барлық қызметкерлерге арналған нақты лауазымдық сипаттамалар. Қауіпсіздік саясаты Қауіпсіздік талаптары мен ережелерін сипаттайтын құжаттар. Кіруді бақылау Желі басқаруы Желідегі ақпаратқа және оны қолдайтын инфрақұрылымның қорғалуына тек тиісті жауапкершілікке ие адамдардың ғана қолжетімділігін қамтамасыз ету. Құрылған және/немесе түзетілген тұжырымдамалар метамодельдеу әдісін қолдану арқылы модельделеді. 2.3.1-суреттің оң жағында Іске асыру кіші процесінің метадеректер моделі көрсетілген. Іске асыру құжаттары ашық тұжырымдама болып табылады және осы контексте кеңейтіледі. Ол төрт жабық тұжырымдамадан тұрады, олар осы нақты жағдайда маңызды емес болғандықтан кеңейтілмейді. Екі модель арасындағы қатынастарды түсінікті ету үшін екі модельдің интеграциясы 2.3.1-суретте көрсетілген. Қызметтерден тұжырымдамаларға бағытталған нүктелі жебелер тиісті қызметтерде қандай тұжырымдамалар құрылатынын/түзетілетінін көрсетеді. 2.3.1-сурет: Процесс деректерінің моделі Іске асыру кіші процесі

The Implementation sub process makes sure that all measures, as specified in the plans, are properly implemented. During the Implementation sub process no measures are defined nor changed. The definition or change of measures takes place in the Plan sub process in cooperation with the Change Management Process. +Table 2.3.1: (Sub) activities and descriptions Implementation sub process ITIL Security Management Activities Sub activities DescriptionsImplement Classifying and managing of IT applications Process of formally grouping configuration items by type, e. g., software, hardware, documentation, environment and application. Process of formally identifying changes by type e. g., project scope change request, validation change request, infrastructure change request this process leads to asset classification and control documents. Implement personnel security Measures are adopted to give personnel safety and confidence and measures to prevent a crime/fraud. The process ends with personnel security. Implement security management Specific security requirements and/or security rules that must be met are outlined and documented. The process ends with security policies. Implement access control Specific access security requirements and/or access security rules that must be met are outlined and documented. The process ends with access control. Reporting The whole implement as planned process is documented in a specific way. This process ends with reports. The left side of figure 2.3.1 is the meta process model of the Implementation phase. The four labels with a black shadow mean that these activities are closed concepts and they are not expanded in this context. No arrows connect these four activities, meaning that these activities are unordered and the reporting will be carried out after the completion of all four activities. During the implementation phase concepts are created and /or adjusted. +Table 2.3.2: Concept and definition Implementation sub process Security management Concept Description Implementation Accomplished security management according to the security management plan. Asset classification and control documents A comprehensive inventory of assets with responsibility assigned to ensure that effective security protection is maintained. Personnel security Well defined job descriptions for all staff outlining security roles and responsibilities. Security policies Documents that outline specific security requirements or security rules that must be met. Access control Network management to ensure that only those with the appropriate responsibility have access to information in the networks and the protection of the supporting infrastructure. The concepts created and/or adjusted are modeled using the meta modeling technique. The right side of figure 2.3.1 is the meta data model of the implementation sub process. Implementation documents are an open concept and is expanded upon in this context. It consists of four closed concepts that are not expanded because they are irrelevant in this particular context. In order to make the relations between the two models clearer the integration of the two models is illustrated in Figure 2.3.1. The dotted arrows running from the activities to the concepts illustrate which concepts are created/ adjusted in the corresponding activities. Figure 2.3.1: Process data model Implementation sub process

Бағалау

Бағалау іске асыру және қауіпсіздік жоспарларының сәттілігін өлшеу үшін қажет. Бағалау клиенттер үшін (немесе үшінші тараптар үшін) маңызды. Бағалау нәтижелері келісілген шараларды және іске асыруды сақтау үшін пайдаланылады. Бағалау нәтижелері жаңа талаптарға және сәйкес өзгеріс туралы өтінішке әкелуі мүмкін. Өзгеріс туралы өтініш анықталып, өзгеріс басқаруға жіберіледі. Бағалаудың үш түрі бар: өзін-өзі бағалау, ішкі аудит және сыртқы аудит. Өзін-өзі бағалау көбінесе процестерді ұйымдастыруда жүзеге асырылады. Ішкі аудиттерді ішкі IT аудиторлары жүргізеді. Сыртқы аудиттерді сыртқы, тәуелсіз IT аудиторлары жүргізеді. Бұған қоса, қауіпсіздік оқиғалары туралы хабарланған жағдайларға негізделген бағалау жүргізіледі. Осы бағалау үшін ең маңызды іс-шаралар – ақпараттық жүйелердің қауіпсіздігін бақылау, қауіпсіздік заңнамасы мен қауіпсіздік жоспарының іске асырылуын тексеру, ақпараттық технологияларды тиімсіз пайдалануды анықтау және оған қарсы шаралар қолдану. +2.4.1 кестесі: (Кіші) іс-шаралар мен сипаттамалары Бағалау кіші процесі ITIL қауіпсіздік басқару Іс-шаралар Кіші іс-шаралар Сипаттамалары Бағалауды жүргізу Өздігінен бағалау Іске асырылған қауіпсіздік келісімдерін тексеру. Бұл процестің нәтижесі – өзін-өзі бағалау құжаттары. Ішкі аудит Ішкі IT аудиторы іске асырылған қауіпсіздік келісімдерін тексеру. Бұл процестің нәтижесі – ішкі аудит. Сыртқы аудит Сыртқы IT аудиторы іске асырылған қауіпсіздік келісімдерін тексеру. Бұл процестің нәтижесі – сыртқы аудит. Қауіпсіздік оқиғаларына негізделген бағалау Қызметтің стандартты жұмысына жатпайтын және қызмет сапасын нашарлатуға немесе төмендетуге себеп болатын немесе болуы мүмкін қауіпсіздік оқиғаларына негізделген іске асырылған қауіпсіздік келісімдерін тексеру. Бұл процестің нәтижесі – қауіпсіздік оқиғалары. Есеп беру Бағалау процесін жүргізуді құжаттау. Бұл процесс есептермен аяқталады. 2.4.1-сурет: Процесс деректерінің моделі Бағалау кіші процесі 2.4.1-суретте көрсетілген процесс деректерінің диаграммасы метапроцесс моделі мен метадеректер моделінен тұрады. Бағалау кіші процесі метамодельдеу әдісін қолдану арқылы модельделді. Метапроцесс диаграммасынан (сол жақта) метадеректер диаграммасына (оң жақта) бағытталған нүктелі жебелер тиісті іс-шараларда қандай тұжырымдамалар жасалатынын/өзгертілетінін көрсетеді. Бағалау кезеңіндегі барлық іс-шаралар стандартты іс-шаралар болып табылады. Бағалау кезеңіндегі тұжырымдамалардың қысқаша сипаттамасы 2.4.2 кестесінде келтірілген және анықталған. Тұжырымдама Сипаттамасы БАҒАЛАУ Іске асырылғанды бағалау/тексеру. НӘТИЖЕЛЕР Бағаланған іске асырудың нәтижесі. ӨЗДІГІНЕН БАҒАЛАУ ҚҰЖАТТАРЫ Процестің өзі ұйымдастырған қауіпсіздік басқаруын тексеру нәтижесі. ІШКІ АУДИТ Ішкі IT аудиторы жүргізген қауіпсіздік басқаруын тексеру нәтижесі. СЫРТҚЫ АУДИТ Сыртқы IT аудиторы жүргізген қауіпсіздік басқаруын тексеру нәтижесі. ҚАУІПСІЗДІК ОҚИҒАЛАРЫ ҚҰЖАТТАРЫ Қызметтің стандартты жұмысына жатпайтын және қызмет сапасын нашарлатуға немесе төмендетуге себеп болатын немесе болуы мүмкін қауіпсіздік оқиғаларын бағалау нәтижелері. 2.4.2 кестесі: Тұжырымдама және анықтама бағалау кіші процесі Қауіпсіздік басқару.

Evaluation is necessary to measure the success of the implementation and security plans. The evaluation is important for clients (and possibly third parties). The results of the Evaluation sub process are used to maintain the agreed measures and the implementation. Evaluation results can lead to new requirements and a corresponding Request for Change. The request for change is then defined and sent to Change Management. The three sorts of evaluation are self assessment, internal audit and external audit. The self assessment is mainly carried out in the organization of the processes. Internal audits are carried out by internal IT auditors. External audits are carried out by external, independent IT auditors. Besides those already mentioned, an evaluation based on communicated security incidents occurs. The most important activities for this evaluation are the security monitoring of IT systems; verify the security legislation and security plan implementation; trace and react to undesirable use of IT supplies. +Table 2.4.1: (Sub) activities and descriptions Evaluation sub process ITIL Security Management Activities Sub Activities Descriptions Evaluate Self assessment Examine implemented security agreements. The result of this process is self assessment documents. Internal Audit Examine implemented security agreements by an internal EDP auditor. The result of this process is internal audit. External audit Examine implemented security agreements by an external EDP auditor. The result of this process is external audit. Evaluation based on security incidents Examine implemented security agreements based on security events that are not part of the standard operation of a service and which cause, or may cause, an interruption to, or a reduction in, the quality of that service. The result of this process is security incidents. Reporting Document the Evaluate implementation process in a specific way. This process ends with reports. Figure 2.4.1: Process data model Evaluation sub process

The process data diagram illustrated in the figure 2.4.1 consists of a meta process model and a meta data model. The Evaluation sub process was modeled using the meta modeling technique. The dotted arrows running from the meta process diagram (left) to the meta data diagram (right) indicate which concepts are created/ adjusted in the corresponding activities. All of the activities in the evaluation phase are standard activities. For a short description of the Evaluation phase concepts see Table 2.4.2 where the concepts are listed and defined. Concept Description EVALUATION Evaluated/checked implementation. RESULTS The outcome of the evaluated implementation. SELF ASSESSMENT DOCUMENTS Result of the examination of the security management by the organization of the process itself. INTERNAL AUDIT Result of the examination of the security management by the internal EDP auditor. EXTERNAL AUDIT Result of the examination of the security management by the external EDP auditor. SECURITY INCIDENTS DOCUMENTS Results of evaluating security events which is not part of the standard operation of a service and which causes, or may cause, an interruption to, or a reduction in, the quality of that service. Table 2.4.2: Concept and definition evaluation sub process Security management

Сақтау

Ұйымдастырушылық және АТ инфрақұрылымының өзгеруіне байланысты қауіпсіздік тәуекелдері уақыт өте келе өзгеріп отырады, сондықтан қызмет деңгейі туралы келісімдер мен қауіпсіздік жоспарларының қауіпсіздік бөлімін қайта қарау қажет. Техникалық қызмет көрсету бағалау процесінің нәтижелері мен өзгеріп жатқан тәуекелдер туралы түсінікке негізделеді. Осы іс-шаралар ұсыныстарды дайындайды. Ұсыныстар жоспардың ішкі процесіне кіріс ретінде беріледі және цикл бойынша өтеді немесе қызмет деңгейі туралы келісімдерді сақтау шеңберінде қабылдануы мүмкін. Екі жағдайда да ұсыныстар іс-қимыл жоспарындағы шараларға әкелуі мүмкін. Нақты өзгерістерді өзгертуді басқару процесі жүзеге асырады. +2.5.1 кестесі: (кіші) іс-шаралар мен сипаттамалар ITIL қауіпсіздікті басқару іс-шараларының техникалық қызмет көрсетуі кіші іс-шараларының сипаттамалары Қызмет деңгейі туралы келісімдерді сақтау Бұл қызмет деңгейі туралы келісімдерді дұрыс жағдайда ұстайды. Процесс қызмет деңгейі туралы келісімдермен аяқталады. Операциялық деңгейдегі келісімдерді сақтау Бұл операциялық деңгейдегі келісімдерді дұрыс жағдайда ұстауға мүмкіндік береді. Процесс операциялық деңгейдегі келісімдермен аяқталады. SLA және/немесе OLA-ны өзгерту туралы өтініш SLA және/немесе OLA-ны өзгерту туралы өтініш беріледі. Бұл процесс өзгеру туралы өтінішпен аяқталады. Есеп беру Қауіпсіздік саясатын іске асыру процесі арнайы түрде құжатталады. Бұл процесс есептермен аяқталады. 2.5.1-суретте іске асырудың ішкі процесінің процестік диаграммасы көрсетілген. Бұл суретте мета-процесс моделінің (сол жақта) және мета-деректер моделінің (оң жақта) интеграциясы көрсетілген. Нүктелі жебелер іске асыру кезеңіндегі іс-шараларда қандай тұжырымдамалар жасалғанын немесе түзетілгенін көрсетеді. Процесс деректерінің моделі 2.5.1 Субпроцесс техникалық қызмет көрсету Субпроцесс техникалық қызмет көрсету деңгейі келісімдерінің және операциялық деңгей келісімдерінің сақталуынан басталады. Осы әрекеттер орын алғаннан кейін (белгілі бір ретімен емес) және өзгеріс туралы өтініш болғаннан кейін, өзгеріс туралы өтініш іс-шарасы орын алады және өзгеріс туралы өтініш іс-шарасы аяқталғаннан кейін есептілік қызметі басталады. Егер өзгертуге өтініш болмаса, есептілік қызметі алғашқы екі қызметтен кейін басталады. Метадеректер моделіндегі тұжырымдамалар техникалық қызмет көрсету кезеңінде құрылады/ түзетіледі. Тұжырымдамалардың тізімі мен олардың анықтамасы 2.5.2-кестеде көрсетілген. 2.5.2 кестесі: Тұжырымдама және анықтама Қауіпсіздікті басқару тұжырымдамасының сипаттамасы Қызмет деңгейі туралы келісімдер (қауіпсіздік тармағы) дұрыс жағдайда сақталады. ОПЕРАЦИЯЛЫҚ ДЕҢГЕЙ КЕЛІСІМДЕРІ Операциялық деңгей келісімдері дұрыс күйде сақталады. Өзгерістерді сұрау формасы немесе экран, SLA/OLA-ға өзгерістерді сұрау туралы мәліметтерді жазу үшін қолданылады. Кесте 2.5.2: Тұжырымдама және анықтама Қауіпсіздікті басқаруды жоспарлау.

Because of organizational and IT infrastructure changes, security risks change over time, requiring revisions to the security section of service level agreements and security plans. Maintenance is based on the results of the Evaluation sub process and insight in the changing risks. These activities will produce proposals. The proposals either serve as inputs for the plan sub process and travel through the cycle or can be adopted as part of maintaining service level agreements. In both cases the proposals could lead to activities in the action plan. The actual changes are made by the Change Management process. +Table 2.5.1: (Sub) activities and descriptions Maintenance sub process ITIL Security Management Activities Sub Activities Descriptions Maintain Maintenance of Service level agreements This keeps the service level agreements in proper condition. The process ends with maintained service level agreements. Maintenance of operational level agreements This keeps the operational level agreements in proper condition. The process ends with maintained operational level agreements. Request for change to SLA and/or OLA Request for a change to the SLA and/or OLA is formulated. This process ends with a request for change. Reporting The implemented security policies process is documented in a specific way. This process ends with reports. Figure 2.5.1 is the process data diagram of the implementation sub process. This picture shows the integration of the meta process model (left) and the meta data model (right). The dotted arrows indicate which concepts are created or adjusted in the activities of the implementation phase. Figure 2.5.1: Process data model Maintenance sub process

The maintenance sub process starts with the maintenance of the service level agreements and the maintenance of the operational level agreements. After these activities take place (in no particular order) and there is a request for a change the request for change activity will take place and after the request for change activity is concluded the reporting activity starts. If there is no request for a change then the reporting activity will start directly after the first two activities. The concepts in the meta data model are created/ adjusted during the maintenance phase. For a list of the concepts and their definition take a look at table 2.5.2. +Table 2.5.2: Concept and definition Plan sub process Security management Concept Description MAINTENANCE DOCUMENTS Agreements kept in proper condition. MAINTAINED SERVICE LEVEL AGREEMENTS Service Level Agreements(security paragraph) kept in proper condition. MAINTAINED OPERATIONAL LEVEL AGREEMENTS Operational Level Agreements kept in proper condition. REQUEST FOR CHANGE Form, or screen, used to record details of a request for a change to the SLA/OLA. Table 2.5.2: Concept and definition Plan sub process Security management

Толық процес-деректер моделі

2.6.1 сурет: Толық процесс деректері моделі – Қауіпсіздік басқару процесі