Управление качеством 2011 №06

Подождите немного. Документ загружается.

УПРАВЛЕНИЕ КАЧЕСТВОМ № 6-2011

КОНКУРЕНТОСПОСОБНОСТЬ

исходит за счет средств государства, а частных – за

счет средств собственника, включая затраты на

строительство, содержание и ремонт зданий и по-

мещений, закупку оборудования, хозрасчет и за-

работную плату.

Руководитель медицинского центра «Столица»,

профессор Вадим Крейнес считает, что в случа-

ях создания и функционирования на рынке мед-

услуг коммерческих структур, созданных на базе

государственных ЛПУ, частные и государственные

медицинские учреждения заведомо поставлены в

неравные условия:

– В действительности государственные лечеб-

ные учреждения активно используют платные

медицинские услуги. Руководители многих госуч-

реждений на базе ЛПУ открывают отдельные ком-

мерческие организации или отделы для легализа-

ции своей коммерческой деятельности, в которых

могут быть заинтересованы и ряд государственных

чиновников от медицины. При этом платные услуги

оказываются в государственных помещениях, на

государственном оборудовании и при помощи со-

трудников государственного учреждения. Учитывая,

что качество обслуживания, зарплата персонала,

содержание помещений и инновационное развитие

во многих случаях оставляют желать лучшего, не-

трудно догадаться, куда идет немалая прибыль от

такой коммерческой деятельности. В то же время

предпринимателю, чтобы открыть частную клинику,

необходимо купить или арендовать помещение,

провести в нем серьезный ремонт без отступления

от СНиПов, оснастить клинику оборудованием, по-

лучить лицензию, привлечь на работу сотрудников

и в дальнейшем поддерживать работоспособность

компании. И все это, в отличие от госучреждений,

осуществляется за счет средств собственника.

Другой немаловажный вопрос касается подго-

товки и переподготовки медицинских кадров. Ге-

неральный директор Лечебного центра «Астрея»

Сергей Мартьянов рассказал, как обстоят дела в этой

области у государственных и частных учреждений

медицины:

– Оплата за обучение врачей и медсестер го-

сударственных медучреждений производится из

государственного бюджета, а их коллеги из частных

медцентров вынуждены платить за образование са-

ми, либо за них платит работодатель. При подобных

расходах частные медицинские учреждения никакой

специальной поддержки со стороны государства

не имеют. Следует устранить такое неравенство в

образовательной сфере.

Сергей Мартьянов призвал городские власти к

максимальному упрощению процедуры привлече-

ния квалифицированных медицинских кадров. В

частности, он предложил отменить квоты ФМС на

привлечение врачей из других государств. «После

подтверждения в установленном порядке своего

медицинского диплома, врач-иностранец должен

иметь возможность устраиваться на работу без по-

лучения дополнительных разрешений, подоходный

УПРАВЛЕНИЕ КАЧЕСТВОМ № 6-2011

КОНКУРЕНТОСПОСОБНОСТЬ

налог для врачей должен быть единым, независимо

от их гражданства».

Самой большой проблемой, сдерживающей

развитие частной медицины, С. Мартьянов назвал

отсутствие необходимых помещений:

– В настоящее время многие частные медицин-

ские центры расположены в жилых домах, где суще-

ствует много ограничений по санитарным нормам, а

также связанных со спецификой работы в большом

жилом доме. Необходимо разрабатывать и осущест-

влять региональные программы по строительству

специальных помещений для размещения частных

медицинских учреждений. В планах застройки жи-

лых массивов предусматривать их строительство

наряду с магазинами, детскими площадками, га-

ражами и т. п. Например, в Германии во многих

крупных и малых городах строят «дома врачей», где

располагаются разные узкопрофильные независи-

мые частные праксисы. Строятся они на государ-

ственные средства и сдаются в аренду под частную

медицинскую практику. Подобные программы надо

развивать и в России, причем целевые договора

аренды нежилых помещений под медицинскую дея-

тельность должны заключаться на срок не менее

10 лет, а лучше бессрочно.

По мнению заместителя директора ЗАО НПЦ

«Огонек» Марины Чулковой, основной причи-

ной, препятствующей развитию взаимодействия

между государственным и частным звеньями рос-

сийского здравоохранения, является отсутствие

реальной возможности участия частных клиник

в предоставлении медицинских услуг населению

в рамках программы госгарантий. Связано это с

тем, что по закону фонды ОМС компенсируют всего

лишь пять статей расходов в структуре затрат на

предоставление медицинской услуги: ФОТ, начис-

ления на ФОТ, затраты на медикаменты, расходные

материалы и питание больных в стационаре. Все

остальные затраты, связанные с арендой и со-

держанием зданий и помещений, расходами на

приобретение и эксплуатацию оборудования, ком-

мунальными платежами и пр., не компенсируются.

Таким образом, частная клиника, предоставляя ме-

дицинскую услугу в рамках ОМС, может возместить

лишь 25–30 % ее стоимости, в то время как для му-

ниципальных учреждений компенсация затрат осу-

ществляется в полном объеме практически в рав-

ных пропорциях из двух бюджетных источников –

Фонда ОМС и регионального бюджета. Новый за-

кон «Об обязательном медицинском страховании

граждан в Российской Федерации», вступивший в

действие в 2011 г., впервые предоставил частным

медучреждениям право оказывать медицинские

услуги населению в рамках Программы государ-

ственных гарантий. Однако в нем не прописан

механизм компенсации затрат на предоставляе-

мые частными клиниками услуги. Вопрос вызывает

и определение тарифов на медицинские услуги

в системе ОМС. «Себестоимость одной и той же

услуги в муниципальном и коммерческом учреж-

дении может значительно отличаться. Как это будет

учитываться при расчете тарифов?» Этот и другие

УПРАВЛЕНИЕ КАЧЕСТВОМ № 6-2011

КОНКУРЕНТОСПОСОБНОСТЬ

вопросы М. Чулкова обратила к Департаменту здра-

воохранения города Москвы.

Обзор ситуации по конкурентоспособности

предприятий, производящих медицинскую техни-

ку и оборудование, представил исполнительный

директор Ассоциации производителей медицинской

техники «Ас-Медика» Марк Темкин. Он сообщил, что

московский рынок медтехники, крупнейший в Рос-

сии, представлен сегодня самым широким спектром

продукции. Его обслуживают порядка 170 москов-

ских предприятий медицинской отрасли из всех

(около 600) малых и средних предприятий России,

занятых производством медицинской техники и

оборудования. При том что производители мед-

техники через Ассоциацию, которую представляет

М. Темкин, при непосредственной поддержке де-

партаментов правительства Москвы: по поддержке

и развитию малого и среднего предпринимательства

города Москвы, науки и промышленной политики

города Москвы, популяризируют свою продукцию

на специализированной выставке медицинской

техники (проводилась в июне прошлого года), ни

специалисты-медики, ни чиновники профильных

министерств толком не знают о том, что производит

отечественная медицинская промышленность. В то

же время на рынке медицинской продукции пред-

ставлена современная высококлассная отечествен-

ная аппаратура, которая не включена в перечни

рекомендованного Минпромторгом оборудования к

использованию по программе модернизации здра-

воохранения. Представитель ассоциации призвал

частный медицинский сектор сплотиться вокруг

МТПП в целях представления и защиты своих инте-

ресов, а также наладить информирование медицин-

ских кругов и соответствующих госструктур о про-

изводимой продукции и технических разработках

в области медицины.

Генеральный директор ФГУП «ЦИТО» Минздрав-

соцразвития России Андрей Вакар на примере ра-

боты собственного предприятия указал на неко-

торые негативные моменты, которые в условиях

обязательных конкурсных закупок значительно

осложняют работу медицинских учреждений. Так,

для заказчиков медицинской продукции в лице ле-

чебных учреждений, органов соцзащиты населения,

департаментов здравоохранения субъектов Феде-

рации и т. п. серьезную сложность представляет

правильное описание потребительских свойств за-

купаемой продукции.

– На уточнение правильных («не жаргонных») наи-

менований изделий, их технических характеристик

порой уходят месяцы. В результате неправильно

сформулированных технических заданий в лечебные

учреждения поступает продукция, которую неже-

лательно, а иногда и невозможно использовать в

лечебном процессе.

Свою лепту в негативное влияние обязательной

системы конкурсных закупок на работу медучреж-

дений вносит такая особенность лечебной практики,

как непредсказуемость лечебного случая, из-за чего

невозможно предусмотреть всего необходимого для

лечения пациентов, в первую очередь экстренных.

В таких условиях поставщики продукции в целях

максимального сокращения сроков выполнения

заявок потребителей вынуждены поддерживать

значительный запас продукции (например, ФГУП

«ЦИТО» постоянно поддерживает запас на сумму

25–30 млн руб.). Еще одну трудность вызывает от-

сутствие реальных механизмов привлечения к от-

ветственности недобросовестных поставщиков,

особенно в случае небольших объемов заказа. В то

же время происходит снижение ответственности

медицинского персонала за качество лечебного

процесса, так как врачи не несут ответственности за

выбор изделий медтехники и за их производителя.

«Клиники не имеют возможности без конкурсов

производить закупки медицинских изделий, а про-

изводители в таких условиях не имеют возможности

планировать производство, инвестировать средства

УПРАВЛЕНИЕ КАЧЕСТВОМ № 6-2011

КОНКУРЕНТОСПОСОБНОСТЬ

в проведение опытно-конструкторских работ по

созданию новой техники. Вновь создаваемые из-

делия, как правило, стоят дороже, и соответственно,

практически не имеют шансов быть выбранными

на конкурсной основе», – заключил Андрей Вакар.

В свою очередь заместитель руководителя де-

партамента по работе с членами МТПП Игорь Милов

сообщил, что разработанные за последние годы

на основе новейших технологий многочисленные

медицинские приборы и изделия так и остаются

невостребованными потребителями медицинской

продукции, включая государство. В условиях новых

государственных приоритетов, одним из которых

является развитие медицины, Игорь Милов пред-

ложил выступить с инициативой создания специ-

ализированной городской программы развития

медицинской отрасли, которая бы, в том числе,

включала использование уже созданных медицин-

ских разработок.

Озабоченные положением частных предприятий

медицинской отрасли в системе здравоохранения

страны, многие участники отмечали недостаточное

внимание государства к развитию частной медицины

и отсутствие с его стороны активности в органи-

зации государственно-частного партнерства. Так,

Сергей Мартьянов обратил внимание на то, что при

обращении к теме здравоохранения первые лица

государства ни словом не упоминают частную ме-

дицину, будто не видят ее. В то же время врачи и

медсестры, независимо от принадлежности кабине-

тов, в которых они работают, выполняют общегосу-

дарственную национальную задачу восстановления

и сохранения самой большой ценности – населения

страны, его здоровья. Поэтому в интересах всего

общества – изменить предубежденное отношение

государственных руководителей к частной меди-

цине, проводить политику равенства подходов в

отношении как медработников частных медицин-

ских центров, так и пациентов, обращающихся к

ним за помощью.

– При издании указов президента РФ, поста-

новлений правительства, касающихся реформы

здравоохранения, необходимо первой строкой

декларировать полное равноправие частной и го-

сударственной медицины во всех сферах деятельно-

сти. Для осуществления реальной реформы здраво-

охранения на всех уровнях государственных органов

управления целесообразно создать подразделения

по развитию частной медицины.

Эту тему поддержал председатель правления НП

«Информационно-правовой центр «ЮрИнфоЗдрав»

Алексей Иванов. По его мнению, чтобы система

здравоохранения в нашей стране полностью вошла

в экономические реалии рыночной экономики, не-

обходимо найти единство в тезаурусе, понятийном

аппарате, обеспечить равные условия для существо-

вания на рынке всех производителей медицинских

товаров и услуг.

Присутствовавшие на заседании представители

городских органов власти также выступили со своим

видением текущего положения развития частного

медицинского сектора и медицинской промышлен-

ности.

Первый заместитель руководителя Департамен-

та по поддержке и развитию малого и среднего

предпринимательства города Москвы Александр

Карпов заявил, что все прозвучавшие вопросы укла-

дываются в общую концепцию реформирования

системы управления здравоохранением в Москве.

Так, общесистемные вопросы, к которым относится

и вопрос включения частного сектора в систему

ФОМС, рассматриваются правительством Москвы, и

профессиональному сообществу следует активнее

лоббировать свои интересы в законодательных и

исполнительных органах власти города. В части

регулирования деятельности медицинских учреж-

дений и предприятий, выпускающих медицинскую

технику, А. Карпов предложил бизнес-сообществу

совместно с МТПП проанализировать технические

требования, которые в настоящее время Росздрав-

надзор предъявляет медицинским предприятиям

и учреждениям, на предмет их обоснованности и

выработки собственных предложений по измене-

нию этих требований с учетом новых технологий,

применяемых в медицинской отрасли.

Александр Карпов подробнее остановился на

вопросе работы системы госзаказа. Он заметил,

что система госзаказа еще не соответствуют пред-

назначенным требованиям в качестве инструмен-

та государственной политики, экономического

планирования и развития. В ее организации есть

много недостатков. Избавление от недостатков

конкурсной системы в медицинской сфере Алек-

сандр Карпов видит в совместном решении ме-

дицинского сообщества и Минздрава России по

организации и оформлению закупок медицинской

продукции в виде отдельной конкурсной процеду-

ры. Представитель ДМСП предложил Московской

УПРАВЛЕНИЕ КАЧЕСТВОМ № 6-2011

КОНКУРЕНТОСПОСОБНОСТЬ

торгово-промышленной палате в сотрудничестве

с другими профессиональными организациями

подготовить соответствующие рекомендации, ко-

торые в дальнейшем могут лечь в основу законо-

дательных актов.

Далее Александр Карпов рассказал о возмож-

ностях финансового стимулирования предприни-

мателей медицинской сферы в рамках деятельности

департамента по поддержке и развитию малого и

среднего предпринимательства города Москвы.

Было предложено пересмотреть лимиты предостав-

ляемых департаментом гарантий для предприятий

здравоохранения, объявлен новый продукт, вне-

дряемый департаментом совместно с банками и

объединяющий субсидии с инвестиционным кре-

дитованием сроком на 5–7 лет на модернизацию

производства и создание новых продуктов, а также

представлен новый совместный проект департамен-

та, Российской венчурной компании и РосБЭР по

инвестированию новых промышленных разработок,

изделий и препаратов. Представитель департамента

заявил, что постановление о запуске проекта выйдет

в мае этого года, в нем будет зафиксировано приори-

тетное преимущество для предприятий медицины

и здравоохранения.

Как сообщил заместитель руководителя Департа-

мента науки и промышленной политики города Мо-

сквы Дмитрий Цыганов, конкурсы по материально-

техническому обеспечению отраслей здравоохра-

нения предполагается проводить не на отдельные

образцы продукции, а на целые партии. При этом

заранее должны быть определены заводы – изго-

товители и получатели данной продукции из числа

медучреждений. Он также сообщил о подготовке

городом пятнадцати новых городских программ по

приоритетным направлениям развития городского

хозяйства, включая программу развития здраво-

охранения. Департамент науки и промышленной

политики будет вести программу развития науки и

инноваций и организует научно-технический совет,

в котором будет работать секция по здравоохране-

нию. Дмитрий Цыганов предложил медицинскому

бизнес-сообществу быть представленным в работе

этой секции.

Выслушав докладчиков, участники круглого стола

активно включились в дискуссию по обсуждению

актуальных вопросов медицинской отрасли, роли

и места частного сектора в общей системе здраво-

охранения. Было высказано довольно много предло-

жений по организации сотрудничества медицинско-

го бизнес-сообщества и органов власти для решения

различных вопросов развития здравоохранения,

которые легли в основу решения круглого стола, в

том числе создание рабочей группы по разработке

предложений и рекомендаций для представления в

профильные департаменты правительства Москвы,

в первую очередь Департамент здравоохранения

города Москвы.

УПРАВЛЕНИЕ КАЧЕСТВОМ № 6-2011

КОНТРОЛЬ КАЧЕСТВА

Система менеджмента информационной безопас-

ности (СМИБ) – одна из нескольких высокотехнологич-

ных систем менеджмента, набирающая популярность в

России в последнее время. Интерес к СМИБ возник не

случайно, т. к. менеджмент современных предприятий

пришел (ценой практики известных инцидентов ИБ)

к пониманию проблемы защиты своих активов через

определенные процедуры.

Интересна статистика рынка сертификации СМИБ

(например, доступная на http://www.iso27000.ru). Так,

по состоянию на конец 2009г., в СНГ было выдано

порядка 25 сертификатов соответствия СМИБ. По-

АУДИТ ИНФОРМАЦИОННОЙ

БЕЗОПАСНОСТИ

СОВРЕМЕННАЯ ПРАКТИКА ОТ ВЕДУЩЕГО ЭКСПЕРТА

Илья Иосифович Лившиц,

старший эксперт,

руководитель программы сертификации ISO/IEC 27001:2005,

ведущий аудитор Ассоциации по сертификации «Русский Регистр»

ISO/IEC 27001:2005, ISO/IEC 20000:2005, ISO 9001:2008, ISO 13485:2003. г. Санкт-Петербург

Аннотация:

В статье рассмотрены некоторые аспекты практики проведения аудитов информационной безопасности (ИБ) в целях

обеспечения функционирования существующих систем менеджмента информационной безопасности (СМИБ) в соот-

ветствии с требованиями международного стандарта ISO/IEC 27001:2005.

Предлагаются к анализу ряд современных проблем, наблюдаемых в последние 3 года при проведении аудитов СМИБ

для различных предприятий, и подходы, применяемые аудиторами при решении задач аудита для различных отрас-

лей.

Ключевые слова:

Информационная безопасность (ИБ), система менеджмента информационной безопасности (СМИБ), менеджмент ри-

сков, идентификация активов, угроз и уязвимостей, аудиты, свидетельства аудита, чек-лист, акт о несоответствии (на-

блюдении), предупреждающие и корректирующие действия, обеспечение непрерывности бизнеса, критичные бизнес-

процессы.

INFORMATION SECURITY AUDIT CURRENT PRACTICES FROM LEADING

EXPERTS

Livshits Ilya I.

Senior Expert,

Head of the certi cation program ISO / IEC 27001:2005,

Lead Auditor Certi cation Association "Russian Register "

ISO / IEC 27001:2005, ISO / IEC 20000:2005, ISO 9001:2008, ISO 13485:2003. St. Petersburg

Abstract:

The article discusses some aspects of the practice of auditing information security (IS) to ensure the functioning of existing

information security management systems (ISMS) in accordance with the international standard ISO / IEC 27001:2005.

O ered to the analysis of several contemporary problems, observed in the last 3 years in auditing ISMS for various companies

and approaches used by auditors in the solving and problem for various industries.

Keywords:

Information security (IS), Information Security Management System (ISMS), risk management, identi cation of assets, threats

and vulnerabilities, audits, audit evidence, the check-list, an act of non-compliance (monitoring), preventive and corrective

actions, ensur and business continuity, critical business processes.

УПРАВЛЕНИЕ КАЧЕСТВОМ № 6-2011

КОНТРОЛЬ КАЧЕСТВА

давляющее большинство компаний – крупнейшие

игроки рынка ИТ-интеграции, далее следуют в поряд-

ке убывания провайдеры услуг («телекомы»), встре-

чаются несколько банков. Количество сертификатов,

выданных в России на соответствие требованиям

стандарта ISO 9001 (системы менеджмента качества)

на тот же срок, превышает 50 тыс., т. е. уровень осо-

знания необходимости и понимания ценности «куль-

туры ИБ» по отношению к более известной «культуре

менеджмента качества» составляет примерно 1 к

двум тысячам.

В то же время динамика роста числа сертификатов

соответствия (данные «ISO survey 2009») дает более

чем позитивную информацию к размышлению – для

стандарта СМИБ ежегодный рост измеряется двуз-

начной цифрой и за 2009г. составил 40% (см. рис.

1). Для «традиционной» СМК в последние 3–5лет

наблюдается более скромная динамика и рост за

2009г. не превышает 8 % (см. рис. 2).

Предметную область СМИБ очень четко формули-

рует стандарт ISO/IEC 27001:2005 (п. 3.7):

– система менеджмента информационной безо-

пасности (СМИБ) [information security management

system] [ISMS] – часть общей системы менеджмен-

та, основанная на управлении бизнес-рисками для

создания внедрения, эксплуатации, мониторинга,

анализа, поддержания и улучшения ИБ.

Дополнительно полезно принять во внимание зна-

чение термина «Информационная безопасность» (п.

2.19 стандарта ISO/IEC 27001:2005):

– информационной безопасности (ИБ) [information

security] – защита конфиденциальности, целостности

и доступности информации.

Примечание. Кроме того, другие свойства, как,

например, аутентичность, ответственность, не-

отказуемость и надежность, могут быть включены

дополнительно.

Необходимо сделать замечание: СМИБ не является

исключительно стандартом «безопасников» или «ИТ-

шников», как иногда можно видеть по докладам на

конференциях (например, отраслевые конференции

CIO-Forum, Центрального Банка Российской Феде-

рации, CNews и пр.). Понимание, что СМИБ – задача

многомерная, требующая участия различных под-

разделений в организации, установления тонкого

баланса затрат «угроза – атака – оценка – защита», в

настоящее время встречается не так часто. СМИБ, как

современный инструмент менеджмента, может быть

исключительно эффективен в ситуациях, когда биз-

нес адекватно понимает и обоснованно принимает

определенные, точно оцененные риски и способен

оперативно управлять своими бизнес-процессами

даже в условиях негативного изменения ситуации.

Далее будут рассмотрены несколько примеров узкого

Рис. 1. Динамика роста числа сертификатов соответствия по стандарту СМИБ

Рис. 2. Динамика роста числа сертификатов соответствия «традиционной» СМК

УПРАВЛЕНИЕ КАЧЕСТВОМ № 6-2011

КОНТРОЛЬ КАЧЕСТВА

понимания СМИБ и некоторые свидетельства аудита

как доказательства того, к чему это может привести.

НОРМАТИВНАЯ БАЗА

(КРИТЕРИИ АУДИТА)

Нормативная база СМИБ будет рассматриваться в

данной публикации в расширительном толковании – и

как критерии аудита (в точном соответствии с терми-

ном «критерии аудита»), и как справочная (дополни-

тельная) информация, необходимая для создания и, в

большей степени, для постоянного улучшения СМИБ.

Аудитор в равной степени должен владеть как требо-

ваниями стандарта ISO/IEC 27001:2005, так и системой

дополнительных нормативных документов (прежде

всего федеральных законов).

– критерии аудита – совокупность политик, про-

цедур или требований.

Примечание. Критерии аудита используются в

качестве ориентира, с которым сравниваются сви-

детельства аудита (3.3).

(ISO 19011:2002 п. 3.2)

– свидетельство аудита – записи, изложение фактов

или другая информация, которая связана с критериями

аудита (3.2) и может быть проверена.

Примечание. Свидетельства аудита могут быть

качественными или количественными.

(ISO 19011:2002 п. 3.3)

Нормативную базу для удобства восприятия раз-

делим на две группы: систему стандартов серии 27000

(по состоянию на март 2011г.) и законодательные

требования. При этом примем во внимание важное

требование: п. А. 15.1. стандарта ISO/IEC 27001:2005

устанавливает «Соответствие требованиям законо-

дательства».

Система стандартов серии 27001

– ISO/IEC 27000:2009 «Информационные техно-

логии. Методы обеспечения безопасности. Системы

управления информационной безопасностью. Общие

положения и словарь».

– ISO/IEC 27001:2005 «Информационные технологии.

Методы обеспечения безопасности. Системы управ-

ления информационной безопасностью. Требования».

– ISO/IEC 27002:2005 «Информационные техно-

логии. Методы обеспечения безопасности. Прак-

тические правила управления информационной

безопасностью».

– ISO/IEC 27003:2010 «Информационные технологии.

Методы обеспечения безопасности. Руководство по

применению систем менеджмента ИБ».

– ISO/IEC 27004:2009 «Информационные техноло-

гии. Методы обеспечения безопасности. Менеджмент

ИБ. Измерение».

– ISO/IEC 27005:2008 «Информационные техноло-

гии. Методы обеспечения безопасности. Управление

рисками информационной безопасности».

– ISO/IEC 27006:2007 «Информационные технологии.

Средства обеспечения безопасности. Требования для

органов, выполняющих аудит и сертификацию систем

менеджмента информационной безопасности».

– ISO/IEC 27011:2008 «Информационные технологии.

Средства обеспечения безопасности. Руководящие

указания по менеджменту информационной безопас-

ности для телекоммуникаций».

– ISO/IEC 27799:2008 «Информатизация здраво-

охранения. Менеджмент информационной безопас-

ности для здравоохранения».

Базовым или сертифицирующим стандартом яв-

ляется только ISO/IEC 27001:2005 «Информационные

технологии. Методы обеспечения безопасности. Си-

стемы управления информационной безопасностью.

Требования». Этот стандарт разработан Joint Technical

Committee ИСО/МЭК JTC 1, «Information technology»,16

Subcommittee SC27, «Security techniques». Как и боль-

шинство стандартов, ISO и ISO/IEC базируются на

цикле PDCA Шухарта-Деминга. Стандарт содержит 8

разделов, 3 приложения, при этом приложения «А»

обязательное. Приложение «А» включает 11 разделов

(А. 5 – А. 15), содержащих перечень целей управления

и соответствующих средств управления.

Для целей данной публикации больший акцент

будет сделан на подробном изучении требований

аудитов ИБ.

Требования аудитов СМИБ четко и однозначно

прописаны в разделе 6 стандарта ISO/IEC 27001:2005,

причем интересным представляются несколько мо-

ментов, на которые необходимо обратить внимание:

1. Требование запланированных интервалов

«The organization shall conduct internal ISMS audits

at planned intervals to determine whether the control

objectives, controls, processes and procedures of its

ISMS» (Организация должна проводить внутренние

аудиты СМИБ через запланированные интервалы для

определения целей и средств управления, процессов

и процедур СМИБ).

В приведенном отрывке явно указано требование

планирования интервалов, но нет требования приме-

нительно к периодичности (раз в год, в квартал, в ме-

сяц, …). На практике аудиторы (в силу возможной узкой

УПРАВЛЕНИЕ КАЧЕСТВОМ № 6-2011

КОНТРОЛЬ КАЧЕСТВА

трактовки требования «интервал») иногда ошибочно

трактуют это требование, не принимая во внимание

специфику стандарта СМИБ. Например, планируемый

интервал может быть увязан с фазами жизненного цик-

ла проекта разработки ПО в защищенном исполнении

(для ИТ-компании), процедурами анализа инцидентов

ИБ (для бизнеса ДБО в финансовой сфере), и пр. Упро-

щенное понимание этого требования может привести

к конфликту внутренних аудиторов и сотрудников

подразделений в организации.

2. Требование планирования с учетом сфер дея-

тельности

«An audit program shall be planned, taking into

consideration the status and importance of the processes

and areas to be audited, as well as the results of previous

audits» (Программа аудита должна планироваться с

учетом статуса, важности процессов и сфер деятель-

ности, подлежащих проверке, а также результатов

предыдущих аудитов).

Явно указано требование составления программы

аудитов (внутренних) с учетом охвата сфер деятель-

ности (логично это требование вытекает из анали-

за области применения (scope) СМИБ – п. 4.2.1.). На

практике специализированные подразделения ор-

ганизации (например, службы ИБ) могут создавать

затруднения доступа (вплоть до полного блокирова-

ния) внутренним аудиторам. Принимая во внимание

известное требование беспристрастности («Аудиторы

не должны проводить аудит своей собственной ра-

боты»), выполнение программы внутренних аудитов

на должном уровне может быть поставлено под со-

мнение.

Вторая часть этой проблемы заключается в том,

что внутренний аудитор не обязательно должен яв-

ляться высококвалифицированным профессионалом

CISSP, CISA, MCP, MSDBA и пр. Пренебрежение предста-

вителей ИТ-подразделений к внутренним аудиторам,

предположим, из юридической службы («как же они

будут проверять User polices в Active Directory…»)

может привести к нежелательным конфликтам. В

качестве рекомендации следует привести практи-

ку одного из крупнейших предприятий энергетики

(Территориальная генерирующая компания, «ТГК»):

группа внутренних аудиторов СМИБ сформирована

из представителей юридического отдела, службы

безопасности, ИТ-службы и отдела управления каче-

ством. Все внутренние аудиторы прошли совместно

корпоративный курс обучения и в процессе занятий

достаточно «пропитались» спецификой различных

требований стандарта ISO/IEC 27001:2005.

3. Требование проведения безотлагательных дей-

ствий

«The management responsible for the area being

audited shall ensure that actions are taken without undue

delay to eliminate detected nonconformities and their

causes» (Руководство, отвечающее за проверяемую

область, должно гарантировать проведение безот-

лагательных действий (действий без неуместной за-

держки) по устранению выявленных несоответствий

и их причин).

Явно указано требование для менеджмента реаги-

ровать с должной оперативностью, что в полной мере

должно распространяться на всю СМИБ в организации.

На практике приходится наблюдать (и фиксировать

как несоответствия при аудитах 3-й стороной) сле-

дующие ситуации:

1. На крупном машиностроительном предприятии

на департамент ИТ возложена функция контроля тра-

фика. В течение длительного периода фиксируется

пользователь внутренней сети, который в рабочее

время скачивает фильмы (лидер листинга по трафику

в течение 2 месяцев). Департамент ИТ докладывает

«по команде» руководству компании, но никаких

действий не предпринимается. В результате «дея-

тельности» этого пользователя компания оплачивает

существенные издержки за перерасход трафика сверх

лимитов.

2. В многопрофильном медицинском учрежде-

нии на службу качества медицинской деятельности

возложены функции инструктажа персонала по за-

щите персональных данных (ПДн) в соответствии с

требованиями ФЗ-152 «О защите персональных дан-

ных». При внутреннем аудите обнаружено, что часть

сотрудников (приемного отделения) не должным

образом заполняла обязательства по неразглаше-

нию ПДн. По выявленным фактам было проинформи-

ровано руководство, но в определенный интервал

изменения не произошло. При совместной проверке

Роскомнадзора и прокуратуры по жалобе одного

из пациентов о разглашении ПДн было составлено

предписание и наложен штраф за нарушения КоАПП

(ст. 13.11).

Стандарт ISO/IEC 27001:2005 устанавливает требо-

вания к СМИБ:

– A. 15.1 Соответствие требованиям законодатель-

ства.

УПРАВЛЕНИЕ КАЧЕСТВОМ № 6-2011

КОНТРОЛЬ КАЧЕСТВА

Цель: Избегать любых нарушений действующего

законодательства или договорных обязательств, а

также любых требований безопасности.

– A. 15.2 Соответствие политикам и стандартам

безопасности, а также техническое соответствие.

Цель: Гарантировать соответствие систем органи-

зационным политикам и стандартам безопасности.

– A. 15.3 Вопросы аудита информационных систем

Цель: Максимизация результативности процесса

аудита информационных систем и минимизация

негативного влияния, связанного с данным про-

цессом.

Очевидно, что инструмент внутреннего аудита

является эффективным и позволяет, что весьма важ-

но, решать вопросы оперативно и не выносить сор

из избы. К сожалению, по этим кратким примерам

видно, что менеджмент не в полной мере понимает

важность создания замкнутой системы управления: не

только выявлять несоответствия, но и предпринимать

оперативные действия, не дожидаясь финансовых и

административных санкций, а также известных репу-

тационных издержек.

ЗАКОНОДАТЕЛЬНЫЕ ТРЕБОВАНИЯ

РОССИЙСКОЙ ФЕДЕРАЦИИ

Невозможно перечислить все применимое к во-

просам ИБ законодательство Российской Федерации

(по известным оценкам, это свыше 60 нормативных

документов), ограничимся для целей данной публи-

кации основными федеральными законами (ФЗ) и по-

становлениями правительства (ПП):

1. ФЗ-1 «Об электронной цифровой подписи»;

2. ФЗ-16 «О транспортной безопасности»;

3. ФЗ-98 «О коммерческой тайне»;

4. ФЗ-128 «О лицензировании отдельных видов

деятельности»;

5. ФЗ-149 «Об информации, информационных тех-

нологиях и о защите информации»;

6. ФЗ-152 «О персональных данных»;

7. ФЗ-184 «О техническом регулировании»;

8. ФЗ-5485–1 «О государственной тайне»;

9. ПП РФ № 957 «Об утверждении положений о

лицензировании отдельных видов деятельности,

связанных с шифровальными (криптографическими)

средствами»;

10. ПП РФ № 781 «Об утверждении положения об

обеспечении безопасности персональных данных при

их обработке в информационных системах персональ-

ных данных».

В перечень включены несколько нормативных до-

кументов, касающихся известной проблемы защиты

ПДн, анализ обязательных требований которых может

быть полезен внутренним аудиторам при планиро-

вании и проведении проверок ИСПДн внутри своих

организаций, как часть СМИБ.

СИТУАЦИИ АУДИТОВ ИБ:

С КЕМ ПРИХОДИТСЯ ИМЕТЬ ДЕЛО

За несколько последних лет в статусе аудитора

и руководителя группы аудиторов автору довелось

принять участие в нескольких десятках аудитов СМИБ.

Нельзя сказать, что в каждой организации нас встре-

чали с распростертыми объятиями, но, как правило,

всегда после завершения аудита отчетные документы

долго и весьма пристрастно изучались. В ряде случаев

результаты аудитов ИБ перепроверялись «своими»

коллегами из компетентных органов. Об особенностях

«добавленной стоимости аудитов» будет подробно

изложено далее, а в этом разделе мы поговорим о

различных типах представителей организаций, с ко-

торыми приходится общаться в процессе аудита.

1. Тип «У нас все абсолютно прекрасно!»

Данный тип личности, как правило, заинтересован в

наилучшем и/или наискорейшем исходе аудита. Весьма

радушен, более чем гостеприимен и стремится все

вопросы решить в «неформальной обстановке». На

одном из предприятий яркий представитель данного

типа уверял более часа в отличном положении дел, но

был весьма огорчен, что аудиторы приступили к фор-

мальному процессу и реальной проверке. В результате

выяснилось желание маскировать «слабые места»

(точнее, полное отсутствие каких-либо утвержденных

документов) и желание обойтись только краткими

отчетами, подготовленными для топ-менеджеров.

Группа аудиторов смогла избежать конфликта только

скрупулезно собрав свидетельства аудита и доказав,

какие негативные последствия (риски ИБ) грозят ор-

ганизации при продолжении подобной «практики».

2. Тип «Приверженец только очевидных и

неопровержимых фактов»

Данный тип личности предоставляет минимум

данных, только те, которые очевидны и неопровер-

жимы; никак не поддерживая диалоговый режим с

аудиторской группой. На одном из аудитов яркий

представитель ИТ подразделения сообщил, (видимо,

не без причин), что считает аудиторов «бумажными

червяками». При общении был весьма высокомерен,

и любую информацию буквально приходилось тянуть