Record Details

Comparative analysis ofmaturity models to evaluate information security

Наукові журнали Національного Авіаційного Університету

View Archive Info
 
 
Field Value
 
Title Comparative analysis ofmaturity models to evaluate information security
Сравнительный анализ моделей оценки зрелости информационной безопасности
Порівняльний аналіз моделей оцінки зрілості інформаційної безпеки
 
Creator Коломицев, Михайло Володимирович; НТУУ «КПІ»
Носок, Світлана Олександрівна; НТУУ «КПІ»
Тоцький, Роман Олександрович; НТУУ «КПІ»
 
Subject Information sequrity
information security; maturity model; ISO 27001; ISMS; comparative analysis; metrics
UDC 004.056
Информационная безопасность
информационная безопасность; модель зрелости;ISO 27001; СУИБ; сравнительный анализ; метрики
УДК 004.056
Інформаційна безпека
інформаційна безпека; модель зрілості; ISO 27001; СУІБ; порівняльний аналіз; метрики
УДК 004.056
 
Description Information security can be defined as: the protection of information assets by processing risks of violating the confidentiality, integrity and availability of information that is processed, stored and transmitted between interconnected information systems; and a process that includes preventing, detecting and responding to information security threats. In world practice, the concept of maturity model is used to determine the stage of organizational and technological development of an organization and its processes. To measure the state of the process, a set of metrics is used that represent certain characteristics. Evaluation of these metrics according to the established scale shows the state of the processes, which will characterize the level of their maturity. In world practice, in contrast to Ukrainian practice, the application of the maturity model for managing information security processes is widespread. An example of this is the ISO27000 series of standards that governs information security management issues implemented on the basis of the Information Security Management System. Obviously, before an organization engaged in information security management, sooner or later the question arises of how to fulfill these requirements, to what extent and at what level of detail, etc. Maturity model can help to answer these and other questions, on the basis of which the level of maturity of information security processes will be evaluated. To identify the main models of information security maturity, an analysis of open sources and best practices related to information security maturity models was carried out. Based on the results of the analysis of the sources, the most applicable models of information security maturity were determined, namely: SSE-CMM, C2M2, NICE and OISM3.
Информационная безопасность может быть определена как: защита информационных активов посредством обработки рисков, направленных на нарушение конфиденциальности, целостности и доступности информации, которая обрабатывается, хранится и передается между взаимосвязанными информационными системами; и процесс, который включает предотвращение, обнаружение и реакцию на угрозы информационной безопасности. В мировой практике для определения стадии организационного и технологического развития организации и её процессов применяется понятие модели зрелости. Для измерения состояния процесса используется набор метрик, которые представляют собой определенные характеристики. Оценивание этих метрик по установленной шкале показывает состояние процессов, которое и будет характеризовать уровень их зрелости. В мировой практике, в отличие от украинской, применение модели зрелости для управления процессами информационной безопасности широко распространено. Примером этого может служить серия стандартов ISO27000, которая регулирует вопросы управления информационной безопасностью, реализуемых на основе Системы Управления Информационной Безопасностью. Очевидно, что перед организацией, осуществляющей деятельность по управлению информационной безопасности, рано или поздно встает вопрос о том, как выполнять эти требования, в каком объеме и на каком уровне детализации и т.п. Ответить на эти и другие вопросы может помочь модель зрелости, на основе которой будет проводится оценка уровня зрелости процессов информационной безопасности. Для определения основных моделей зрелости информационной безопасности был проведен анализ открытых источников и лучших практик, связанных с моделями зрелости информационной безопасности. На основании результатов анализа источников были определены наиболее применимые модели зрелости информационной безопасности, а именно: SSE-CMM, C2M2, NICE и OISM3.
Інформаційна безпека може бути визначена як: захист інформаційних активів за допомогою обробки ризиків, спрямованих на порушення конфіденційності, цілісності та доступності інформації, яка обробляється, зберігається і передається між взаємопов'язаними інформаційними системами; процес, який включає запобігання, виявлення і реакцію на загрози інформаційній безпеці. Мета даної статті - описати і порівняти найбільш використовувані моделі зрілості інформаційної безпеки для аналізу їх відповідності цілям використання спільно з стандартом ISO 27001. У статті показано, що моделі зрілості інформаційної безпеки мають схожі елементи, домени і рівні зрілості. Вони також грунтуються на оцінці ризиків, хоча і на різних рівнях глибини. Було відзначено, що кожна модель в силу своєї специфіки має різні сфери застосування. У світовій практиці для визначення стадії організаційного і технологічного розвитку організації і її процесів застосовується поняття моделі зрілості. Для вимірювання стану процесу використовується набір метрик, які представляють собою певні характеристики. Оцінювання цих метрик за встановленою шкалою показує стан процесів, яке і буде характеризувати рівень їх зрілості. У світовій практиці, на відміну від української, застосування моделі зрілості для управління процесами інформаційної безпеки широко поширене. Прикладом цього може служити серія стандартів ISO27000, яка регулює питання управління інформаційною безпекою, що реалізуються на основі Системи Управління Інформаційною Безпекою. Очевидно, що перед організацією, що здійснює діяльність з управління інформаційною безпекою, рано чи пізно постає питання про те, як виконувати ці вимоги, в якому обсязі і на якому рівні деталізації і т.п. Відповісти на ці та інші питання може допомогти модель зрілості, на основі якої буде проводиться оцінка рівня зрілості процесів інформаційної безпеки. Для визначення основних моделей зрілості інформаційної безпеки було проведено аналіз відкритих джерел і кращих практик, пов'язаних з моделями зрілості інформаційної безпеки. На підставі результатів аналізу джерел були визначені найбільш прийнятні моделі зрілості інформаційної безпеки, а саме: SSE-CMM, C2M2, NICE і O-ISM3.
 
Publisher National Aviation University
 
Contributor —
—
—
 
Date 2019-12-27
 
Type —
—
—
 
Format application/pdf
application/pdf
application/pdf
 
Identifier http://jrnl.nau.edu.ua/index.php/ZI/article/view/14337
10.18372/2410-7840.21.14337
 
Source Ukrainian Information Security Research Journal; Том 21, № 4 (2019); 224-232
Защита информации; Том 21, № 4 (2019); 224-232
Захист інформації; Том 21, № 4 (2019); 224-232
 
Language uk
 
Rights Authors who publish with this journal agree to the following terms: Authors retain copyright and grant the journal right of first publication with the work simultaneously licensed under a Creative Commons Attribution License that allows others to share the work with an acknowledgement of the work's authorship and initial publication in this journal.Authors are able to enter into separate, additional contractual arrangements for the non-exclusive distribution of the journal's published version of the work (e.g., post it to an institutional repository or publish it in a book), with an acknowledgement of its initial publication in this journal.Authors are permitted and encouraged to post their work online (e.g., in institutional repositories or on their website) prior to and during the submission process, as it can lead to productive exchanges, as well as earlier and greater citation of published work (See The Effect of Open Access).
Авторы, публикующие в данном журнале, соглашаются со следующим: Авторы сохраняют за собой авторские права на работу и предоставляют журналу право первой публикации работы на условиях лицензии Creative Commons Attribution License, которая позволяет другим распространять данную работу с обязательным сохранением ссылок на авторов оригинальной работы и оригинальную публикацию в этом журнале.Авторы сохраняют право заключать отдельные контрактные договоронности, касающиеся не-эксклюзивного распространения версии работы в опубликованном здесь виде (например, размещение ее в институтском хранилище, публикацию в книге), со ссылкой на ее оригинальную публикацию в этом журнале.Авторы имеют право размещать их работу в сети Интернет (например в институтском хранилище или персональном сайте) до и во время процесса рассмотрения ее данным журналом, так как это может привести к продуктивному обсуждению и большему количеству ссылок на данную работу (См. The Effect of Open Access).
Автори, які публікуються у цьому журналі, погоджуються з наступними умовами: Автори залишають за собою право на авторство своєї роботи та передають журналу право першої публікації цієї роботи на умовах ліцензії Creative Commons Attribution License, котра дозволяє іншим особам вільно розповсюджувати опубліковану роботу з обов'язковим посиланням на авторів оригінальної роботи та першу публікацію роботи у цьому журналі.Автори мають право укладати самостійні додаткові угоди щодо неексклюзивного розповсюдження роботи у тому вигляді, в якому вона була опублікована цим журналом (наприклад, розміщувати роботу в електронному сховищі установи або публікувати у складі монографії), за умови збереження посилання на першу публікацію роботи у цьому журналі.Політика журналу дозволяє і заохочує розміщення авторами в мережі Інтернет (наприклад, у сховищах установ або на особистих веб-сайтах) рукопису роботи, як до подання цього рукопису до редакції, так і під час його редакційного опрацювання, оскільки це сприяє виникненню продуктивної наукової дискусії та позитивно позначається на оперативності та динаміці цитування опублікованої роботи (див. The Effect of Open Access).
 

Технічна підтримка: НДІІТТ НАУ