Организационная предварительная работа

Требуется определенный объем предварительной работы, чтобы обеспечить выполнение целевого сравнения без проблем. В первую очередь это необходимо для проверки всей внутренней документации, которая контролирует процессы, относящиеся к безопасности ИТ, напр., организационные инструкции, рабочие инструкции, инструкции по безопасности, руководства и "неформальные" процедуры. Эти документы могут быть полезными при определении степени выполнения, особенно по вопросам о существующих организационных процедурах. Далее необходимо разъяснить, кто в данный момент ответственный за их содержание, чтобы иметь возможность в дальнейшем правильно определить контактное лицо.

Следует установить, следует ли и в какой мере вовлекать третьи стороны для определения состояния выполнения. Напр., это может быть необходимо, если есть какие-то внешние компьютерные центры, внешние головные организации, компании, к которым часть операций ИТ переданы для выполнения или компетентные строительные органы, ответственные за инфраструктурные меры.

Другой шаг, который необходимо пройти до выполнения целевого сравнения, ‑ определить необходимых для встреч людей. Изначально, главное контактное лицо следует назначить для каждого отдельного модуля, используемого для моделирования существующих ИТ-ресурсов.

• Для модулей на Уровне 1 "Аспекты безопасности ИТ более высокого уровня" подходящее контактное лицо будет искать посредством основного предмета рассмотрения в модуле. Напр., для модуля M 1.2 "Персонал" контактным лицом должен быть сотрудник из отдела персонала. Для модулей проектирования, напр., модуль M 1.4 Политики резервирования данных, лучше всего подошел бы ответственный за обновление соответствующего документа. С другой стороны, человека, в чью компетенцию входит процедуры обновления в рассматриваемой области, следует опросить;

• Для Уровня 2 "Инфраструктура" выбор подходящего контактного лица должен быть согласован с отделами общих служб и/или технического обслуживания участка. В зависимости от размеров исследуемого учреждения/компании разные контактные лица могут быть ответственными, напр., для двух инфраструктурных областей Прокладки кабеля и Защитных шкафов. В маленьких организациях ответственный всегда сможет предоставлять информацию. Следует заметить, что внешние отделы могут вовлекаться в область инфраструктуры. Это особенно применимо к большим компаниям и учреждениям;

• В модулях Уровня 3 "ИТ-системы" и Уровня 4 "Сети" хороший акцент делается на технических аспектах в мерах безопасности, которые следует проверить. Это означает, что главным вопросом встречи будет администратор для компонента или группы компонентов, к которым рассматриваемый модуль был назначен при моделировании;

• Для модулей на Уровне 5 "ИТ-приложения" главным вопросом будет выбрать людей, поддерживающих или отвечающих за отдельные ИТ-приложения.

Во многих случаях главный вопрос встречи не сможет предоставить информацию по каждому аспекту соответствующего модуля. Поэтому полезно включать одного или более дополнительных людей во встречу. Информацию о том, кого следует привлечь, предоставляется в записях об "Ответственности инициации" и "Ответственности выполнения", которые можно найти в начале описания каждой меры безопасности.

Следует подготовить расписание встреч с системными администраторами, администраторами и другими контактными персонами. Особое внимание здесь следует уделить согласованию назначений с людьми из других организационных единиц или других учреждений/компаний. Также желательно согласовать возможные даты встреч.

В зависимости от размера проектной команды, задачи следует распределить на разные команды интервьюеров. Опыт показывает, что использование команды их двух человек очень эффективно. При работе один человек записывает ответы и комментарии к ним, а другой задает необходимые вопросы.

Выполненные действия:

• Анализ внутренних документов на предмет ответственности и правил, а также выяснение, кто несет ответственность за эти документы;

• Определение насколько необходима вешняя помощь;

• Установление главного контактного лица для всех модулей, используемых в моделировании;

• Согласование назначений для опросов;

• Установление команд для опросов.

Дата добавления: 2015-11-14