1.8 Стандарт гост р исо/мэк 17799-2005

Настоящий международный стандарт устанавливает основные руководящие принципы для инициирования, реализации, поддержки и усовершенствования руководства информационной безопасностью в организации. Цели, приведённые в этом международном стандарте, обеспечивают общее руководство по решению общепринятых задач управления информационной безопасностью. Цели и меры контроля настоящего международного стандарта предназначены для реализации с целью соответствия требованиям, идентифицированным оценкой риска. Международный стандарт может служить практическим руководством по разработке организационных стандартов безопасности и эффективных правил управления безопасностью на уровне организации. В стандарте содержатся 11 разделов по мерам контроля безопасности, совместно включающих 39 основных категорий безопасности и один вводный раздел, знакомящий с оценкой и обработкой рисков В каждом разделе содержится некоторое число основных категорий безопасности. В одиннадцати разделах (вместе с основными категориями безопасности, включёнными в каждый раздел) описываются: − политика безопасности (1); − организация информационной безопасности (2); − управление активами (2); − безопасность кадровых ресурсов (3); − физическая и экологическая безопасность (2); − управление средствами связи и операциями (10); − контроль доступа (7); − приобретение, разработка и обслуживание информационных систем (6); − управление инцидентами с информационной безопасностью (2); − управление непрерывностью бизнес-процесса (1) − соответствие (3) Порядок разделов в данном стандарте не подразумевает степень их значимости. В зависимости от обстоятельств все разделы могут быть значимыми, следовательно, каждая организация, применяющая этот стандарт, должна определять применимые ей разделы и степень их важности для отдельных бизнес-процессов. Также, все перечни в этом стандарте не имеют приоритета, если это не отмечено заранее. В каждой основной категории безопасности содержится: цель контроля, формулирующая то, что должно быть достигнуто, и одно или несколько мер контроля, которые можно применить для достижения цели контроля Описания контроля сконструированы следующим образом: Определение - определяет специфический управляющий оператор для достижения цели контроля. Руководство по реализации - обеспечивает более подробную информацию для поддержки реализации контроля и соответствия цели контроля (некоторая часть этого руководства может быть неподходящей для всех случаев и можно найти несколько более пригодных путей реализации контроля). Дополнительная информация - обеспечивает дальнейшую информацию, которая может потребоваться для рассмотрения, например, юридические соображения и ссылки на другие стандарты.

Материалы к курсу «Защита компьютерной информации» Кузнецова Г.В.

56

Основной процедурой, лежащей в основе выбора механизмов защиты, является оценка рисков. Перед рассмотрением проблемы обработки рисков организация должна определить критерии определения принятия или неприятия рисков. Риски могут приниматься, если, например, сделана оценка, что риск незначителен или что стоимость обработки нерентабельна для организации. Подобные решения должны регистрироваться. Для каждого из идентифицированных рисков, следующих за оценкой рисков, необходимо принимать решение по обработке риска. Возможными вариантами для обработки риска включают: − применение подходящих мер контроля для уменьшения рисков; − сознательное и объективное принятие рисков при условии, что они соответствуют политике организации и критериям принятия рисков; − избежание рисков путём недопущения действий, вызывающих возникновение рисков; − передачу ассоциированных рисков другим сторонам, например, страховщикам или поставщикам. Для рисков, где решение по обработке рисков принималось относительно соответствующих мер контроля, эти меры контроля должны выбираться и реализовываться для удовлетворения требований, идентифицированных оценкой рисков. Меры контроля должны обеспечивать снижение рисков до приемлемого уровня, учитывая: − требования и ограничения национальных и международных законодательств и положений; − организационные цели; − эксплуатационные требования и ограничения; − затраты на реализацию и эксплуатацию относительно снижаемых рисков и соответствия оставшихся рисков требованиям и ограничениям организации; − необходимость сопоставления вложений в реализацию и эксплуатацию мер контроля с вероятным ущербом как следствием отказа в обеспечении в обеспечении безопасности. Меры контроля могут выбираться из этого стандарта или других наборов мер контроля, а для удовлетворения специфических потребностей организации могут создаваться новые мер контроля. Надо признать, что некоторые меры контроля могут не подходить к каждой информационной системе или среде и могут быть невыполнимы для всех организаций. Например, способ разделения обязанностей для предотвращения мошенничества или ошибок может оказаться невозможным для небольших организаций. Способ мониторинга использования системы и сбора свидетельств может вступить в конфликт с существующим законодательством относительно защиты частной жизни заказчиков или на рабочем месте. Меры контроля информационной безопасности должны рассматриваться на стадии создания спецификаций и требований для систем и проектов. Неспособность осуществления

Материалы к курсу «Защита компьютерной информации» Кузнецова Г.В.

57

этого может привести к дополнительным расходам, принятию менее эффективных решений, и, в худшем случае, к неспособности обеспечения адекватной безопасности. Необходимо понимать, что ни один набор мер контроля не может обеспечить полную безопасность, и для поддержки целей организации, необходимо реализовать дополнительные действия по управлению.