Стандарт BS 7799 был разработан Британским институтом стандартов (British Standards Institution, BSI) при участии ряда крупных коммерческих организаций (Shell UK, National Westminster Group, Unilever, British Telecommunications, British Computer Society, Association of British Insurers, Marks & Spencer, Logica и др.). В 1995 году стандарт BS 7799 в качестве свода установленных норм и правил по отношению к обеспечению ИБ получил в Великобритании статус государственного. 

Стандарт состоит из двух частей. Первая — BS 7799 Part 1 Code of Practice for Information Security Management (Практические правила управления информационной безопасностью). В 1999 году эта часть была переработана и передана в Международную организацию по стандартизации (ISO), а в 2000 году утверждена в качестве международного стандарта ISO/IEC 17799:2000 (BS 7799-1:2000). Последней версией данного стандарта, принятой в 2005 году, является ISO/IEC 17799:2005.

ISO 17799 описывает более 120 механизмов контроля, необходимых для построения системы управления информационной безопасностью организации. Эти механизмы были разработаны на основе лучших примеров мирового опыта в данной области и подходят любой организации независимо от ее размера и направления деятельности. Стоит отметить, что сертификация по ISO 17799 не проводится — документ представляет собой лишь сборник лучших практик и является неким руководством по созданию системы обеспечения информационной безопасности организации. В какой-то мере это аналогично ITIL с поправкой на то, что ITIL претендует на роль стандарта де-факто для ИТ, а BS 7799 — для информационной безопасности.

В сентябре 2002 года в силу вступила вторая часть стандарта BS 7799 Part 2 Information Security management — specification for information security management systems (Спецификация системы управления информационной безопасностью). А в октябре 2005 года Международная организация по стандартизации приняла стандарт BSI BS 7799-2:2002 в качестве международного — ISO/IEC 27001:2005

В стандарте BSI BS 7799-2:2002 определены требования для разработки, реализации, эксплуатации, мониторинга, ревизии, поддержания и совершенствования документированной системы управления информационной безопасностью в контексте общего делового риска организации. Также в нем определены требования для реализации мер по обеспечению безопасности, необходимые отдельным организациям или их подразделениям. В соответствии с этим документом, система управления информационной безопасностью изначально должна проектироваться таким образом, чтобы предоставить выбор адекватных мер по обеспечению безопасности, которые защищают информационные ресурсы и гарантируют конфиденциальность заинтересованным сторонам. Приложением к данному стандарту является созданный на основе ISO/IEC 17799 перечень требований и соответствующих мер, которые могут быть приняты в компании.

Первая часть стандарта, по-русски именуемая "Управление информационной безопасностью. Практические правила", содержит систематический, весьма полный, универсальный перечень регуляторов безопасности, полезный для организации практически любого размера, структуры и сферы деятельности. Она предназначена для использования в качестве справочного документа руководителями и рядовыми сотрудниками, отвечающими за планирование, реализацию и поддержание внутренней системы информационной безопасности.

Согласно стандарту, цель информационной безопасности - обеспечить бесперебойную работу организации, по возможности предотвратить и/или минимизировать ущерб от нарушений безопасности.

Управление информационной безопасностью позволяет коллективно использовать данные, одновременно обеспечивая их защиту и защиту вычислительных ресурсов.

Подчеркивается, что защитные меры оказываются значительно более дешевыми и эффективными, если они заложены в информационные системы и сервисы на стадиях задания требований и проектирования.

Предлагаемые в первой части стандарта регуляторы безопасности разбиты на десять групп:

• политика безопасности;
• общеорганизационные аспекты защиты;
• классификация активов и управление ими;
• безопасность персонала;
• физической безопасности и безопасность окружающей среды;
• администрирование систем и сетей;
• управление доступом к системам и сетям;
• разработка и сопровождение информационных систем;
• управление бесперебойной работой организации;
• контроль соответствия требованиям.

В стандарте выделяется десять ключевых регуляторов, которые либо являются обязательными в соответствии с действующим законодательством, либо считаются основными структурными элементами информационной безопасности. К ним относятся:

• документ о политике информационной безопасности;
• распределение обязанностей по обеспечению информационной безопасности;
• обучение и подготовка персонала к поддержанию режима информационной безопасности;
• уведомление о случаях нарушения защиты;
• антивирусные средства;
• процесс планирования бесперебойной работы организации;
• контроль за копированием программного обеспечения, защищенного законом об авторском праве;
• защита документации;
• защита данных;
• контроль соответствия политике безопасности.

Для обеспечения повышенного уровня защиты особо ценных ресурсов или оказания противодействия злоумышленнику с исключительно высоким потенциалом нападения могут потребоваться другие (более сильные) средства, которые в стандарте не рассматриваются.

Следующие факторы выделены в качестве определяющих для успешной реализации системы информационной безопасности в организации:
цели безопасности и ее обеспечение должны основываться на производственных задачах и требованиях. Функции управления безопасностью должно взять на себя руководство организации;
необходима явная поддержка и приверженность к соблюдению режима безопасности со стороны высшего руководства;
требуется хорошее понимание рисков (как угроз, так и уязвимостей), которым подвергаются активы организации, и адекватное представление о ценности этих активов;
необходимо ознакомление с системой безопасности всех руководителей и рядовых сотрудников организации.

Во второй части стандарта BS 7799-2:2002 "Системы управления информационной безопасностью - спецификация с руководством по использованию" предметом рассмотрения, как следует из названия, является система управления информационной безопасностью.

Под системой управления информационной безопасностью (СУИБ) (Information Security Management System, ISMS) понимается часть общей системы управления, базирующаяся на анализе рисков и предназначенная для проектирования, реализации, контроля, сопровождения и совершенствования мер в области информационной безопасности. Эту систему составляют организационные структуры, политика, действия по планированию, обязанности, процедуры, процессы и ресурсы.

В основу процесса управления положена четырехфазная модель, включающая:

• планирование;
• реализацию;
• оценку;
• корректировку.

По-русски данную модель можно назвать ПРОК (в оригинале - Plan-Do-Check-Act, PDCA). Детальный анализ каждой из выделенных фаз и составляет основное содержание стандарта BS 7799-2:2002.

Скачать BS 7799-1

Продолжение обзора