МЕТОД ІНТЕГРАЦІЇ ПОЛІТИК ІНФОРМАЦІЙНОЇ БЕЗПЕКИ, СТАНДАРТІВ ТА ПРОТОКОЛІВ У ПРОЦЕС ПОБУДОВИ КОМПЛЕКСНОЇ СИСТЕМИ ЗАХИСТУ ІНФОРМАЦІЇ В ОРГАНІЗАЦІЇ

Анотація

У статті розглянуто проблему розриву між задекларованими політиками інформаційної безпеки, вимогами стандартів та протоколів, а також фактичним функціонуванням інформаційної інфраструктури в організаціях. На практиці елементи КСЗІ часто створюються формально, без врахування реальних ризиків, характеристик мережевих протоколів та відповідності міжнародним і національним стандартам безпеки. У результаті політики інформаційної безпеки не узгоджуються з параметрами технічних засобів, що призводить до фрагментації системи захисту та зниження її загальної ефективності. Додатковою проблемою є використання застарілих або небезпечних протоколів, які продовжують функціонувати через відсутність системного контролю відповідності вимогам стандартів. Запропоновано метод інтеграції політик інформаційної безпеки, вимог стандартів (ISO/IEC 27001:2022, NIST SP 800-53, НД ТЗІ України) та наборів безпечних протоколів (TLS 1.3, SSHv2, DNSSEC, IPSec) у процес побудови комплексної системи захисту інформації. Метод складається з чотирьох етапів: аналіз активів і протоколів, формування та формалізація політик безпеки, встановлення відповідності стандартам та побудова інтегрованої архітектури КСЗІ на основі отриманих результатів. Для кількісної оцінки узгодженості елементів КСЗІ розроблено алгоритм оцінювання відповідності (compliance scoring), який дозволяє об’єктивно визначати рівень відповідності інформаційної інфраструктури вимогам нормативних документів і політик. Експериментальна перевірка методу у тестовому середовищі показала збільшення відповідності стандартам із 52 % до 92 %, усунення застарілих або небезпечних протоколів (FTP, SMB1, HTTP), а також підвищення ефективності формування параметрів КСЗІ завдяки автоматизованій прив’язці політик до технічних механізмів безпеки. Отримані результати підтверджують доцільність використання методу під час побудови та модернізації КСЗІ організацій різних типів. Метою роботи є розроблення методу інтеграції політик інформаційної безпеки, стандартів та протоколів у процес формування комплексної системи захисту інформації в організації.