9.11.09

Архитектура ИБ - статья в ДИС

Эту статью постигла непростая судьба. Она была отослана в издательство более полугода назад ;-)  Но ввиду ее размера с ней была произведена операция обрезания и она сократилась примерно втрое (изначально было около 30-ти страниц). Посвящена она архитектуре информационной безопасности - теме нечастно возникающей в прессе и на конференциях.

10 коммент.:

Анонимный комментирует...

"Вот некоторые из следствий отсутствия архитектуры ИБ..."
в добавление...

Основное следствие с которым я сталкиваюсь - это заход в тупик и потери временных и финансовых ресурсов из за отсутствия представлений о жизненном цикле ИБ в связке с бизнес процессами.

Компании решают сиюминутные задачи не представляя с чем придется столкнуться на следующем этапе ЖЦ. Из за этого теряют кучу денег и времени на постановку "вагона опять на рельсы"...

Анонимный комментирует...

Доходит до того, что на этапе построения системы в целом включаются элементы, которые не позволяют построить целевую систему на последних этапах...

Ну а свойство "адаптивности ИБ" вообще мало где рассматривается...

Анонимный комментирует...

Ваши слова, да нашему руководству в уши..
В российской действительности для крупных компаний имеет место быть лишь коррупционное "освоение" денег, которые выделяются на ИБ по остаточному принципу.

Алексей Т. комментирует...

Статья в целом неплохая. Но за кучей красивых фраз не разглядеть, что же такое "архитектура". Из википедии "Архитекту́ра — структура, наиболее наглядная форма представления объектов реальности (модулей) для субъекта управления" (на мой взгляд примерно подойдет, хотя и необходимо свое определение архитектуры ИБ). А Вы, вместо объяснения людям, что такое архитектура ИБ и как ее правильно построить и что в нее включить (конечно что-то из этого в статье есть), опять про проблемы и что все рушится, гидротурбины и т.д. Не совсем понятно, чем плоха иерархия политик безопасности (или положений по ЗИ), в которых все это можно отлично отобразить. Интересно, что же там было на 30 страницах??? :-) В общем статья отличная для запугивания некомпетентных специалистов по ИБ.

AndrewZ комментирует...

Думаю, что в России темы архитектуры ИБ (как и стратегии) являются высокими материями, сферическим конем в вакууме. Реальное предприятие имеет уже сложившуюся ИТ-инфраструктуру, которая может быть какой угодно неадекватной с точки зрения безопасности, но превосходной с точки зрения предоставления ИТ-сервисов. Можно поправить кое-какие детали в локальном масштабе (для чего люди заказывают аудит ИБ), как-то условно увязать их с целями бизнеса (защита интересов компании при широком использовании ИТ), но ни на архитектуру ни на стратегию это не тянет. Красивые слова, конструкции - не более. Стратегия и архитектура ИБ могут быть только там, где ожидается создание с нуля или радикальная перетряска ИТ вслед за автоматизацией/оптимизацией бизнес-процессов.

Алексей Лукацкий комментирует...

AndrewZ: А также там, где текущее состояние ИБ не устраивает ни ИТ, ни руководство, ни саму ИБ.

AndrewZ комментирует...

Вот как раз в этих случаях заказывают аудит и выполняют выданные рекомендации в т.ч. по реализации защитных мер. Но это не архитектура (стратегия) ИБ. Последнюю еще могут заказывать в двух случаях:
1) Нужно как то обосновать бюджеты на ИБ в среднесрочной и долгосрочной перспективе, упорядочить работу.
2) Идет перетряска бизнес-процессов/ИТ, нужно не забыть про ИБ, особенно имея горький опыт.

Ни одно руководство не будет заказывать разработку архитектуры (стратегии) ИБ, если огромные деньги вбуханы на реализацию стратегии ИТ. ИБ всегда была в контексте. Если о ней забыли - дальше будут местечковое латание/выполнение отраслевых стандартов. Архитектуры (стратегии)ИБ не потребуется до следующей смены технологий.

Алексей Лукацкий комментирует...

Стоп, стоп, стоп... Как вы реализуете стратегию, если у вас нет архитектуры? Архитектура отвечает на вопрос КУДА, а стратегия - КАК. Если вы не знаете КУДА, то как будете реализовывать КАК?

UzbekRus комментирует...

Стоп, стоп, стоп тоже.
Стратегия это куда
Тактика это как

Архитектура = стратегия
Мероприятия = тактика

Алексей Лукацкий комментирует...

Это ошибочно ;-) Архитектура и стратегия - это понятия одного порядка. В отличие от тактики.