41
содержание руководства по базовой защите ИТ или к его содержанию, также имеются в продаже.
B.6.9 Сфера действия криптографии
Подобно другим рекомендациям рекомендации по применению криптографических процедур также ориентированы на стандартные требования безопасности. Руководство включает введение в основное понятие о криптографии, общие рекомендации по применению криптографических механизмов и специфические рекомендации по продуктам.
B.6.10 Оценка и сертификация
Недавно разработана классификационная схема, предлагающая администрации и предприятиям возможность документировать факт успешного внедрения ими базовой защиты ИТ в интересах внешнего мира. Были предусмотрены три уровня: самопровозглашенный «начальный уровень», самопровозглашенный «повышенный уровень» и действительный сертификат базовой защиты ИТ. Такой сертификат выдают только независимые сертификационные организации.
В рамках отдельных глав руководства по базовой защите ИТ дается разъяснение о том, какие меры требуются для каждого квалификационного уровня. Завершение разработки классификационной схемы планировалось к концу 2001 г.
B.6.11 Убедительность и признание
Руководство по базовой защите ИТ является национальным стандартом, доступным на немецком и английском языках.
B.7 COBIT
B.7.1 Цель обеспечения доверия
Интенсивное использование ИТ для поддержки и обработки значимых для бизнеса операций делает крайне важным создание соответствующей среды контроля. COBIT (цели контроля информационных и связанными с ними технологий) были разработаны ISACA как метод тестирования полноты и эффективности такой среды контроля при ограничении риска.
B.7.2 Целевая аудитория
Этот метод обеспечения доверия включает в себя доверие к эксплуатации.
COBIT применяется следующими целевыми группами:
- руководством —для оказания поддержки при взвешивании риска в сопоставлении с капиталовложениями, сопряженными с применением мер контроля;
- пользователями —для улучшения оценки надежности и мониторинга услуг ИТ, предоставляемых в рамках организации или третьими сторонами;
- испытателями — для объективного обоснования фактов испытаний и выдачи консультаций в связи с созданием и эксплуатацией внутрифирменных средств контроля;
- владельцами процесса или лицами, ответственными за ИТ — для поддержки своей работы.
COBIT может применяться в качестве ориентированного на процесс метода независимо от внутренней структуры или правовой формы предприятия.
B.7.3 Характеристики
Этот метод обеспечения доверия применяет подход к доверию к среде.
При использовании COBIT пользователь вначале определяет процессы ИТ, значимые для конкретной ситуации. Затем для каждой цели контроля выбранных процессов ИТ ему необходимо взвесить и решить, в какой степени существующие меры контроля соответствуют его требованиям.
COBIT различает семь разных бизнес-требований и группирует их по трем категориям — качества, безопасности и регулярности:
- качество ИТ, определяемое эффективностью и экономичностью выполняемых процессов, выражается критериями эффективности и результативности;
- требования безопасности по конфиденциальности, целостности и доступности —отражены в COBIT;
- критерий надежности — применяется в COBIT для обеспечения надежности финансовой отчетности (требования по финансовой отчетности) наряду с критерием соблюдения правовых требований внутренних и внешних стандартов.
B соответствии с COBIT поддерживаемые ИТ бизнес-процессы основываются на следующих ресурсах:
- данные: элементы данных от внутренних и внешних источников в самом широком смысле;
- совокупность ручных и запрограммированных процедур, называемая «приложениями»;
- технологии, включающие в себя аппаратные средства, операционные системы, системы администрирования базами данных, сети, коммуникационные приложения и т. д.;
- активы: все ресурсы, используемые для обеспечения и поддержки информационных систем;
- персонал: знания, осведомленность и продуктивность, связанные с планированием, организацией, закупкой, обеспечением соответствия, поддержкой и мониторингом информационных систем и услуг.
Ресурсы ИТ следует планировать, разрабатывать, внедрять, эксплуатировать и подвергать мониторингу контролируемым способом. B COBIT дано определение 34 критическим процессам, играющим важную роль в определении успешности управления ИТ. Эти процессы, использующие ресурсы ИТ, можно сгруппировать в четыре основные области, которые образуют следующий замкнутый жизненный цикл:
- планирование и организация;
- закупка и внедрение;
эксплуатация и поддержка;