Модель управления информационной безопасностью с учетом историко-генетических аспектов

Модель управления информационной безопасностью представляет собой совокупность внешних и внутренних факторов, их влияние на состояние информационной безопасности предприятия и обеспечение сохранности ресурсов. В рамках модели управления информационной безопасности осуществляется воздействие между такими факторами, как:
угрозы информационной безопасности, которые характеризуются вероятностью возникновения и реализации;
уязвимость системы информационной безопасности, что влияет на вероятность реализации угроз;
риски, которые отражают предполагаемый ущерб в результате реализации угрозы информационной безопасности.
Информацию и материальные ресурсы, которые следует подвергать защите, принято называть объектами защиты в рамках модели управления информационной безопасностью. К их составу принято перечислять следующее:
речевую информацию;
информацию, которая хранится и обрабатывается посредством средств связи в виде разного рода носителей;
документы, представленные на бумажных носителях;
технические средства связи и информатизации;
помещения, которые предназначены для обсуждения, обработки и хранения информации;
информационные системы в целом, включая также системы связи;
документацию на технические и программные средства связи и информатизации.
Исходя из всего вышесказанного, мы можем построить современную модель управления информационной безопасностью на предприятии (рис. 2).
Рисунок 2 – Модель управления информационной безопасностью предприятия
Перечень угроз, с которыми так или иначе может столкнуться в своей деятельности предприятие, принято классифицировать в соответствии с природой их возникновения, то есть речь идет об угрозах случайного или преднамеренного характера и потому, как они относятся к защищаемому объекту, то есть внешние и внутренние угрозы

.
Основными источниками внешних угроз могут быть следующие:
неправомерная и несанкционированная деятельность конкурирующих предприятий по перехвату конфиденциальной информации и секретных данных;
преднамеренные действия, направленные на разрушение, уничтожение или модификацию информации;
определенные непреднамеренные действия, совершаемые работниками других компаний, которые могли привести к отказу в работе отдельных элементов системы;
стихийные бедствия и катастрофы природного характера, а также технические поломки, аварии и экстремальные ситуации.
Группа с источниками внутренних угроз представлена такими угрозами, как:
не налаженность координационной деятельности между подразделениями компании в области защиты информации;
совершение преднамеренных действий работников, направленных на уничтожение или модификацию информации;
допущение непреднамеренных ошибок в действиях работников, случайный отказ технических средств, а также всевозможные сбои в информационных системах;
нарушение и несоблюдение установленного регламента по сбору, накоплению, хранению, обработке, преобразованию, отображению и передачи информации.
С позиции процессного подхода вся система информационной безопасности предприятия может быть представлена, как процесс управления рисками (рис. 3), который включает в себя следующие компоненты:
1) Описание бизнес-процессов. В рамках данного процесса осуществляется корректировка и анализ бизнес-процессов в соответствии с критериями, которые формулируются в процессе формирования политики в сфере рисков, производится идентификация бизнес-процессов.
2) Сбор рисков