В фокусе – информационная безопасность

Как известно, деятельность любой современной компании напрямую зависит от эффективности функционирования ее информационной системы. Проникновение передовых технологий практически во все сферы бизнеса дает ряд очевидных преимуществ, однако влечет за собой также и определенные риски. С увеличением сложности и разветвленности компьютерных сетей развиваются и связанные с этим угрозы безопасности.

Особенно критична подобная ситуация в сфере оказания информационных услуг – когда ключевыми активами компании являются персональные данные клиентов, а потеря информации ставит под угрозу существование организации как таковой.

Как свидетельствует мировая статистика, преступления в области IT растут стремительно. Зачастую злоумышленник способен получить контроль над компьютерной сетью организации, например из-за задержки в установке обновлений ПО или простой оплошности пользователей. Еще одним источником угроз являются внутренние проблемы компаний – низкая лояльность сотрудников, невыполнение требований по обслуживанию оборудования или контроля доступа.

Решение проблем информационной безопасности возможно лишь на базе комплексного и системного подхода. Реализация данного принципа на практике привела к появлению международного стандарта ISO/IEC 27001:2005, регулирующего вопросы управления информационной безопасностью. В Казахстане данный документ был принят в качестве национального в 2008 году в соответствии с государственной программой по гармонизации национального законодательства с международным.

Казахстанский бизнес постепенно приходит к пониманию необходимости внедрения системы менеджмента для управления рисками. Это объясняется не столько популярностью стандартов ISO, сколько насущной потребностью в защите активов и создании должного уровня безопасности оказываемых услуг. Первой телекоммуникационной компанией в Казахстане, внедрившей систему управления информационной безопасностью стало АО «KazTransCom», успешно прошедшее сертификацию у крупнейшего классификационного общества Lloyd's Register Quality Assurance.

О подробностях внедрения мы беседуем с руководителем проекта Карлыгаш Султанбековой, Управляющим директором – координатором деятельности филиалов АО «KazTransCom».

Чем было вызвано решение о старте проекта и приведении системы информационной безопасности компании в соответствие международным стандартам?

Решение назрело давно, однако основным фактором, повлиявшим на его принятие, стало пожелание корпоративных клиентов компании. Организация надежной защиты информации и непрерывности бизнеса – это необходимое условие, влияющие на степень доверия клиентов и партнеров.

Будучи высокотехнологичной компанией, имея разветвленную сеть филиалов по всему Казахстану и осознавая свою ответственность перед клиентами, мы понимаем важность наличия системы, которая позволила бы управлять всеми аспектами информационной безопасности. Международный стандарт ISO 27001 охватывает не только IT-составляющую, но и работу с персоналом, физическую безопасность, оценку и управление рисками во всех бизнес-процессах. Это позволяет обеспечивать конфиденциальность, целостность и доступность ресурсов информационной системы для конечных пользователей.

Расскажите подробнее об этапах разработки. С чего начиналось внедрение?

Построение системы требует участия подготовленных специалистов. Для работы над проектом была создана рабочая группа из числа работников структурных подразделений и филиалов АО «KazTransCom». Они прошли специальное обучение по системе информационной безопасности, после чего, собственно, и началась работа по внедрению.

Наличие Интегрированной системы управления на базе ранее сертифицированных систем – менеджмента качества (ISO 9001:2008), управления профессиональной безопасностью (OHSAS 18001:2007), экологического менеджмента (ISO 14001:2004) – положительно повлияло на внедрение нового стандарта. Создав ранее интегрированную систему менеджмента, наша компания получила дополнительные преимущества. Наличие сертифицированных систем управления, наряду с практикой оказания качественных услуг связи, помогло росту доверия клиентов и повлияло на результативность деятельности компании.

В ходе работы с новым стандартом были разработаны политики в области информационной безопасности, интеллектуальной собственности, категорирования информации, а также утвержден метод оценки информационных активов и оценены риски информационной безопасности. Все эти шаги были необходимы для создания безопасных условий передачи информации и сохранения конфиденциальности потребителям телекоммуникационных услуг.

Сертификационный аудит является внешним, и в процессе его прохождения привлекаются независимые специализированные органы, которые оценивают документацию разработанной системы, а также ее фактическую работу, построенные бизнес-процессы и соблюдение требований стандарта ISO/IEC 27001:2005.

Для сертификации системы управления информационной безопасностью было принято решение работать именно с Lloyd's Register Quality Assurance, являющейся одной из самых авторитетных и компетентных организаций в этой сфере. Сотрудничество с LRQA позволило сделать работу системы более совершенной и устранить некоторые недочеты. Решение о соответствии системы было принято 18 ноября, а 5 декабря нам был вручен сертификат международного образца.

Каковы результаты проекта? Какие преимущества получат конечные потребители услуг?

Результатом, конечно, является наличие действующей системы управления информационной безопасностью. Наша компания взяла высокую планку – область применения ISO 27001 касается всех подразделений и всех видов оказываемых услуг. В результате анализа и оценки бизнес-процессов и структуры компании была разработана система, позволяющая обеспечить режим информационной безопасности с учетом характерных особенностей АО «KazTransCom». Созданы и работают все обязательные элементы, предписанные стандартом.

Необходимо, однако, понимать, что система требует постоянной доработки и улучшения, над чем мы и продолжаем работать. Преимущества системы очевидны: клиенты получают уверенность в качестве наших услуг с точки зрения информационной защищенности и обеспечения непрерывности бизнеса.

Пройдя весь путь внедрения и сертификации, что Вы могли бы посоветовать отечественным компаниям, решившим его повторить?

Внедрение такого проекта, конечно, сложно, как и все новое. Важно учитывать человеческий фактор – у персонала могут возникать сомнения или сопротивление происходящим изменениям. Необходимо быть последовательными и действовать согласно утвержденным этапам проекта. Обязательными условиями являются заинтересованность и поддержка высшего руководства, участие всего персонала компании и его постоянное обучение. Сертификация не является разовым процессом, она нуждается в ежегодном подтверждении. Это серьезная ответственность перед клиентами, партнерами и сертификационными органами. АО «KazTransCom» намерено постоянно поддерживать эффективность созданной системы, улучшать и развивать ее.

www.kaztranscom.kz