Прозоров АндрейВедущий эксперт по информационной безопасности

Идеи и модели COBIT5 для специалистов по информационной безопасности

BISA 12-2013

2

Прозоров Андрей

Ведущий эксперт по информационной безопасностиInfoWatch,блог «Жизнь 80 на 20» http://80na20.blogspot.ruТвиттер: @3dwave

3

Содержание

1. Как я пришел к COBIT5? Почему COBIT5?2. COBIT5 Intro3. Библиотека COBIT54. Принципы

5. Факторы влияния (enablers) и ИБ6. Модель внедрения7. Оценка возможностей процессов8. Сертификация специалистов

4

ISO 27001

NIST

Как я пришел к COBIT5?

ITIL

BS 25999

COBIT 4.1

• Управление непрерывностью • Детализированные меры ИБ• Много документов для разных

задач ИБ

COBIT 5

• Модель зрелости процессов• Связь ИТ и бизнеса

• Важные процессы (конфигурация, инцидентыи проблемы, изменения…)

• Комплексная ИБ• PDCA• «Процессный подход»

5

Почему COBIT5?

1. Удачный набор документов, много рекомендаций (статьи и форумы). Удобная модель распространения документов (много бесплатных)

2. Очень много моделей, схем, таблиц и примеров. Много идей из других «лучших практик» (PMBOK, ITIL, ISO, NIST, ISACA…)

3. Ориентир на стейкхолдеров, +каскад целей4. Удобное описание процессов (Purpose, Goals and Metrics,

Inputs / Outputs, Process Practice and Activities, RACI Chart)5. Удачная модель внедрения/совершенствования6. Комплексный подход (факторы влияния – enablers)7. Маппинг (ISO 27001/27002 (2005), NIST 800-53 A rev.1

6

COBIT 5Intro

7

ВведениеИнформация является критически важным ресурсом для всех предприятий. На всех этапах своего жизненного цикла информация критичным образом зависит от специализированных технологий.

Предприятиям и их руководителям следует:• Поддерживать высокое качество информации для принятия

управленческих решений• Создавать ценность для бизнеса, реализуя инвестиции, связанные с ИТ

(достигать стратегических целей и получать выгоду путем эффективного и инновационного использования ИТ)

• Совершенствовать операционную модель, надежно и рационально применяя технологии

• Обеспечивать приемлемый уровень ИТ-рисков• Оптимизировать затраты на ИТ-услуги и технологии• Повышать степень соблюдения законов, норм, договорных обязательств и

политик, связанных с применением ИТ

8

А вот и COBIT5

COBIT 5 предлагает целостную методологию, которая призвана помочь в решении задачи руководства и управления ИТ на предприятии.

COBIT 5 помогает предприятиям добиться оптимальнойценности от ИТ, поддерживая баланс между получением выгоды и оптимизацией рисков и ресурсов.

COBIT 5 Home - www.isaca.org/COBIT/Pages/default.aspx COBIT 5 FAQ - www.isaca.org/COBIT/Pages/FAQs.aspxCOBIT 5 News - www.isaca.org/COBIT/Pages/News.aspx

9

COBIT5 Framework

• COBIT5: A Business Framework for the Governance and Management of Enterprise IT(94 стр. 05-2012)

• Есть перевод на русский язык, COBIT 5: Бизнес-модель по руководству и управлению ИТ на предприятии (09-2013 bit.ly/194ez7O )

Кстати, COBIT - Control Objectives for Information and Related Technology(Задачи информационных и смежных технологий)

10

История развития

2005/720001998

Evo

lutio

n of

sco

pe

1996 2012

Governance of Enterprise IT

COBIT 5

IT Governance

COBIT4.0/4.1

Management

COBIT3

Control

COBIT2

Audit

COBIT1

Val IT 2.0(2008)

Risk IT(2009)

11

COBIT 5Библиотека

12

13

Библиотека COBIT5 (для ИБ)

COBIT 5 Online Collaborative Environment

Enabling Processes Enabling Information

Implementation + for Information Security

for Assurance

for Risk

COBIT 5 Enabler Guides

COBIT 5 Professional Guides

COBIT 5 (Framework)

Assessment Programme +

http://www.isaca.org/COBIT/Pages/Product-Family.aspx

14

Прочие документы с идеями COBIT5

• Securing Mobile Devices:Using COBIT 5 for Information Security

• Vendor Management Using COBIT5 (+toolkit)• Configuration Management: Using COBIT5• Transforming Cybersecurity: Using COBIT 5 • Responding to targeted cyberattacks• APT: How to manage the risk to your business

15

PowerPoint presentations: 01. Readme-With-Copyright-Disclaimer 02. COBIT5-Introduction - ppt03. COBIT5-ExecSummary - ppt04. COBIT5-Compare-With-4.1 - ppt05. COBIT5-for-InfoSec - ppt06. COBIT5-and-InfoSec-Spanish - ppt07. COBIT5-and-GRC - ppt08. COBIT5-for-Assurance - ppt09. IT-BSC-Example - ppt10. COBIT5-Key-Audience-Marketing-Messages - doc

Self-assessment, measurement and diagnostic tools:11. COBIT5-Governance-and-Management-Practices-Activities - xls12. Management-Awareness-Diagnostic – xlsOther:13. Balanced-Scorecard-Case-Study – pdf14. COBIT5-FAQs - pdf15. COBIT5-Laminate - pdf16. Where-Have-All-the-Control-Objectives-Gone - pdf17. Overviews-ISACA-FWs-Gdnc-Intgrtd-in-COBIT5 - pdf

COBIT5-Tool-Kit (Implementation)

bit.ly/1dtRP4k

16

COBIT 5Принципы

17

Принципы COBIT5

18

1.Соответствие потребностям заинтересованных сторон(Meeting Stakeholder Needs)

Предприятия существуют для того, чтобы создавать ценность для заинтересованных сторон (стейкхолдеры), путем поддержания баланса между получением выгоды и оптимизацией рисков и ресурсов.

19

Каскад целей

17 (BSC)

17

• Financial / Финансы• Customer / Заказчик• Internal /

Внутр.управление• Learning and Growth /

Обучение и развитие

Зачем? Для определения приоритетов развития, «выравнивание» целей бизнеса и ИТ/ИБ

20

Примеры таблиц

21

2.Комплексный взгляд на предприятие(Covering the Enterprise End-to-end)

COBIT 5 встраивает руководство ИТ в руководство предприятием в целом, то есть:• Рассматривает все функции и процессы предприятия.

COBIT 5 нацелен не только на реализацию «ИТ-функции», но рассматривает информацию и связанные с ней технологии как активы предприятия, которыми следует управлять, как и любыми другими активами.

• Исходит из того, что факторы влияния руководства и управления, связанные с ИТ, работают на всем предприятии и по всей цепочки создания ценности, и включают в себя все внутренние и внешние аспекты и роли, которые имеют отношение к руководству и управлению ИТ.

22

3.Применение единой интегрированной методологии(Applying a Single Integrated Framework)3.

В COBIT 5 реализовано соответствие основным стандартам и «лучшим практикамISO 27001 / ISO 27002 (2005), ITIL V3, PMBOK и PRINCE2, NIST SP 800-53A Rev. 1, The ISF 2011, «старые» материалы ISACA (VAL IT, RISK IT, BMIS, COBIT 4.1), TOGAF…

23

Методология COBIT 5 является единым и целостным подходом потому что:• Она соответствует новейшим стандартам и подходам, а, следовательно,

предприятия могут использовать COBIT 5 в качестве интеграционной методологии для всех подходов к руководству и к управлению.

• Она описывает предприятие целиком, предоставляя основу для эффективной интеграции других подходов, стандартов и практических приемов. Единый подход служит целостным источником рекомендаций, написанным технологически независимым, простым языком.

• Она обладает простой архитектурой, позволяющей легко структурировать рекомендации в целостный набор публикаций.

• Она объединяет знания, ранее размещенные в различных подходах ISACA. Исследуя различные области управления предприятием на протяжении многих лет, ассоциация ISACA разработала ряд подходов и рекомендаций в помощь предприятиям, таких как COBIT, Val IT, Risk IT, BMIS, Board Briefing on IT Governance и ITAF. Методология COBIT 5 интегрирует все эти знания.

24

25

4.Обеспечение целостного подхода(Enabling a Holistic Approach)

Эффективное и рациональное руководство и управление ИТна предприятии требует целостного подхода, с учетом многих взаимосвязанных компонентов.

В COBIT 5 описан набор факторов влияния, которые обеспечивают внедрение системы руководства и управления ИТ на предприятии. Факторы влияния – это взаимосвязанные сущности, которые способствуют решению задач предприятия.

26

Факторы влияния (enablers)

27

Общая модель факторов влияния

28

5.Разделение Руководства и Управления(Separating Governance From Management)

Governance || Management

29

Руководство обеспечивает уверенность в достижении целей предприятия путём:• сбалансированной оценки потребностей заинтересованных сторон, существующих условий и возможных вариантов;• установления направления развития через приоритизацию и принятие решений;• постоянного мониторинга соответствия фактической продуктивности и степени выполнения требований, установленным направлению и целям предприятия.

Управление заключается в планировании, построении, выполнении и отслеживании деятельности, в соответствии с направлением, заданным органом руководства, для достижения целей предприятия.

30

Ключевые области руководства и управления

Align, Plan and Organise

Build, Acquire and Implement

Deliver, Service and Support

Monitor, Evaluate and Assess

31

Эталонная модель процессов

32

COBIT 5Факторы влияния (enablers) и информационная безопасность

33

Книги про факторы влияния (enablers)

• COBIT5• COBIT5 for Information Security• COBIT5 Enabling Processes• COBIT5 Enabling Information

34

Е1.Принципы, политики и подходыSupport the business // Поддержка бизнеса• Focus on the business // Фокус на бизнес• Deliver quality and value to

stakeholders // Предоставление качества и ценности для заинтересованных лиц

• Comply with relevant legal and regulatory requirements // Соответствие требованиям регуляторов

• Provide timely and accurate information on IS performance // Предоставление своевременнной и точной информации о состоянии ИБ

• Evaluate current and future information threats // Оценка текущих и будущих угроз ИБ

• Promote continuous improvement in IS // Постоянное совершенствование

Defend the business // Защита бизнеса• Adopt a risk-based

approach // Использование риск-ориентированного подхода

• Protect classified information // Защита конфиденциальной информации

• Concentrate on critical business applications // Концентрация на критичных для бизнеса системах

• Develop systems securely // Разработка надежных систем

Promote responsible IS behaviour // Поощрение ответственного поведения (ИБ)• Act in a professional and ethical

manner // Ориентир на профессиональную этику

• Foster an IS-positive culture // Способствование положительной культуры ИБ

35

Примеры политик ИБ• Information security policy• Access control policy• Personnel information security policy• Physical and environmental information security policy • Incident management policy • Business continuity and disaster recovery policy • Asset management policy• Rules of behaviour (acceptable use)• Information systems acquisition, software development and maintenance policy• Vendor management policy• Communications and operation management policy• Compliance policy • Risk management policy

36

E2.Процессы На что обратить внимание ИБ?

37

Что в процессах?

• Назначение и описание процесса• Цели и метрики процесса• Управляемые практики (входы и выходы)

Например, APO13 Manage Security:• APO13.01 Establish and maintain an information security management system (ISMS)• APO13.02 Define and manage an information security risk treatment plan• APO13.03 Monitor and review the ISMS

Например, DSS05 Manage Security Services:• DSS05.01 Protect against malware• DSS05.02 Manage network and connectivity security• DSS05.03 Manage endpoint security• DSS05.04 Manage user identity and logical access• DSS05.05 Manage physical access to IT assets• DSS05.06 Manage sensitive documents and output devices• DSS05.07 Monitor the infrastructure for security-related events

• Активности (Рекомендации)• RACI-Chart

38

R – Responsible A – AccountableC – ConsultedI – Informed

39

40

Е3.Организационные структуры. Роли

• Chief information security officer (CISO)• Information security steering committee (ISSC)• Information security manager (ISM)• Enterprise risk management (ERM) committee• Information custodians/business owners

• Board• Chief Executive Officer• Chief Financial Officer• Chief Operating Officer• Chief Risk Officer• Head Human Resources• Compliance• Audit• Business Continuity Manager• Privacy Officer• …

Культура ИБ1. Сотрудники применяют подходы ИБ в повседневной деятельности2. Сотрудники понимают важность политик и принципов ИБ3. Сотрудники обеспечены необходимыми материалами и "лучшими

практиками" по ИБ и приглашаются к участию при решении вопросов, связанных с ИБ

4. Каждый сотрудник несет ответственность за ИБ в компании 5. Заинтересованные стороны осведомлены о наличии угроз ИБ и

определяют подход к реагированию на них 6. Руководство активно поддерживает развитие ИБ7. Руководители подразделений обеспечивают эффективные

коммуникации между отделами при решении задач ИБ8. Высшее руководство признает ценность ИБ для бизнеса

41

E4.Культура, этика и поведение

Лидерство

Лидеры своим примером и словами показывают приверженность ценностям и принципам.

Лидерами могут быть любые сотрудники, но особо важна поддержка:– Information security professionals– C-level executives: CEO, COO,

CFO, CIO– Head of HR– Risk managers

42

Лидерство может выражаться в следующих направлениях:• Повседневные коммуникации,

определение и контроль правил (норм)

• Использование систем стимулов и вознаграждений

• Повышения осведомленности

43

44

Е5.Информация

45

Примеры типов информации• Information security strategy• Information security budget• Information security plan• Policies• Information security requirements,

which may include:– Information security configuration requirements– SLA/OLA information security requirements

• Awareness material• Information security service

catalogue• Information risk profile, which

includes:– Information risk register– Breaches and loss reports (consolidated incident report)

• Information security review reports, which include:– Information security audit findings– Information security maturity report– Information security-related risk management:• Threat analysis• Vulnerability (information security)

assessment reports• Information security dashboard (or

equivalent), which includes:– Information security incidents – Information security problems– Information security metrics

46

Заинтересованные стороны и информация(ИБ)

A—ApproverO—OriginatorI—Informed of information typeU—User of information type

47

Е6.Услуги, инфраструктура и приложенияSecurity-related services (in a service catalogue):• Provide a security architecture• Provide security awareness• Provide secure development (development in line with security

standards)• Provide security assessments• Provide adequately secured and configured systems, in line with

security requirements and security architecture• Provide user access and access rights in line with usiness

requirements• Provide adequate protection against malware, external attacks

and intrusion attempts• Provide adequate incident response• Provide security testing• Provide monitoring and alert services for security-related events

Компетенции в ИБ1. Руководство ИБ (Governance)2. Разработка стратегии ИБ3. Управление рисками ИБ4. Разработка архитектуры ИБ5. Операционная деятельность в ИБ6. Оценка, проверка и соответствие

требованиям (compliance)

COBIT5 рассматривает Опыт, Квалификацию (сертификаты), Знания и навыки

Е7.Люди, навыки и компетенции

Навыки по COBIT5

• Лидерство • Процессное мышление• Системное мышление• Стратегическое мышление• Ориентация на задачи бизнеса• Абстрактное мышление• Ориентир на решение проблемы• Аналитическое мышление, внимание к деталям• Навыки управления проектами и персоналом• Сильные навыки управления временем• Этичное поведение• Хорошие навыки переговорщика, Сильные коммуникативные

навыки, способность коммуницировать на всех уровнях организации

!!!См.связь с компетенциями

50

COBIT 5Модель внедрения

51

Модель внедрения

52

Фазы жизненного цикла1. What are the drivers? / Что нами движет?Определяются потребности внедрения или инициативы по совершенствованию, выявляются "болевые точки" и события-триггеры, которые запускают процесс.2. Where are we now? / Где мы находимся сейчас? Определяется контекст и охват внедрения (scope), сопоставлются цели ИТ с целями бизнеса, оцениваются риски ИТ и уровень зрелости процессов.3. Where do we want to be? / Где мы хотим оказаться? Определяются цели совершенствования.4. What needs to be done? / Что нужно сделать?Производится планирование практических решений и инициация проектов.5. How do we get there? / Как мы туда попадем?Происходит внедрение выбранных решений в повседневную практику.6. Did we get there? / Удалось ли выполнить задуманное?Отслеживаются полученные выгоды и обеспечивается устойчивая работа новых или измененных факторов влияния.7. How do we keep the momentum going? / Как сохранить импульс/развитие?Оценивается успех инициативы в целом, выявляются дальнейшие требования к руководству и управлению ИТ, а постоянному совершенствованию дается дополнительный импульс.

53

COBIT5 Implementation• Примеры "болевых точек" и событий-триггеров, • Ожидания внутренних и внешних заинтересованных сторон• Детальное рассмотрение этапов/фаз:

• Phase objective / Цель этапа• Phase description / Описание этапа• Continual improvement (CI) tasks / Задачи постоянного улучшения• Change enablement (CE) tasks / Задачи по изменению• Programme management (PM) tasks / Задачи по управлению

программой• Input / Вход• ISACA materials and other frameworks / Дополнительные материалы• Output / Выход

• Таблицы связи "вызовов" (challenges) с причинами и факторами успеха (root causes, success factors)

• Таблицы основные ролей и RACI-chart

54

COBIT 5Оценка возможностей процессов

55

Зрелость vs Возможности процессов

COBIT 4.1 Maturity

Model

COBIT 5 Process

Capability Model

56

COBIT5 Process Capability Model (Книги)

• COBIT5 (Framework)

• COBIT Process Assessment Model (PAM): Using COBIT 5 – 144 стр.• COBIT Assessor Guide: Using COBIT 5 – 52 стр.• COBIT Self-Assessment Guide: Using COBIT 5 - 24 стр

• + 2 exel-файла: "COBIT5-Assessment-Scoping-Tool" и "COBIT5-Self-assessment-Templates"

57

COBIT 5 Process Capability Model 1

• Level 5: Optimising process (Оптимизированный)Предсказуемый процесс предыдущего уровня теперь постоянно совершенствуется, чтобы обеспечивать достижение текущих и будущих целей предприятия.

• Level 4: Predictable process (Предсказуемый)Установленный процесс предыдущего уровня теперь получает результаты в условиях заданных ограничений.

• Level 3: Established process (Установленный)Управляемый процесс предыдущего уровня теперь способен получать ожидаемые результаты.

• Level 2: Managed process (Управляемый)Осуществлённый процесс предыдущего уровня теперь управляем (то есть планируется, отслеживается и корректируется). Создаются, контролируются и поддерживаются рабочие продукты процесса.

• Level 1: Performed process (Осуществленный)Процесс внедрен и соответствует своему назначению.

• Level 0: Incomplete process (Неполный)Такой процесс еще не внедрен или не способен соответствовать своему назначению.На этом уровне отсутствуют свидетельства систематического достижения процессом своих целей, или таких свидетельств мало.

58

COBIT 5 Process Capability Model 2

59

COBIT 5Сертификация специалистов

60

COBIT 5 Foundation Exam

COBIT 5 Implementation Exam

COBIT 5 Assessor Exam

61

COBIT 5 Foundation Exam 1

• On-line экзамен на английском языке• 260$• 50 вопросов, выбор 1 из 4• надо ответить верно 25+ • 40 минут• Без книг

62

Темы:• The COBIT 5 Enablers• The COBIT 5 Principles• Process Capability Assessment Model • Introduction to COBIT 5 Implementation• Overview & Key Features of COBIT 5 (Расположены по кол-ву вопросов по убыванию)

COBIT 5 Foundation Exam 2

63

COBIT 5 Foundation Exam 3

• Примеры вопросов: http://bit.ly/1enwL02

• Все на 1 странице (выучить): https://t.co/50gfmC2hjV

• Мой блог (посты про COBIT):http://80na20.blogspot.ru/search/label/COBIT

COBIT 5 Foundation Exam

COBIT 5 Implementation Exam COBIT 5 Assessor Exam

None • Successful completion of the COBIT 5 Foundation Exam

• Successful completion of the COBIT 5 Implementation Course

• Successful completion of the COBIT 5 Foundation Exam

• Successful completion of the COBIT 5 Assessor Course

• Multiple Choice format

• 50 questions per paper

• 25 mark or more required to pass (out of 50 available) - 50%

• 40 minute duration

• Closed book.

• Objective testing• 4 questions per paper with

20 marks available per question

• 40 marks or more required to pass (out of 80 available) - 50%

• 2 ½ hours duration• Open book (‘COBIT 5

Implementation’ book only).

• Objective testing• 8 questions per paper with 10

marks available per question• 40 marks or more required to

pass (out of 80 available) - 50%• 2 ½ hours duration• Open book (‘COBIT 5 Assessor

Guide: Using COBIT 5’ and ‘COBIT Process Assessment Model (PAM): Using COBIT 5’ books only).

Prer

equi

site

Exam

For

mat

64

Все экзамены COBIT5

65

66

А хотите еще вебинары по COBIT5?

Пример тем:1. Экзамен COBIT5 Foundation2. Модель внедрения COBIT5 (implementation)3. Подробнее про движущие силы (enablers)4. Процессная модель COBIT5 5. Модель зрелости/возможности процессов6. Подробнее про книги COBIT57. COBIT5 и ИБ (чуть «глубже»)8. …

И контакты…

http://80na20.blogspot.ru

@3dwave

http://www.infowatch.ru

@InfoWatchNews

http://bis-expert.ru

@DLP_Expert