1.9 Взаимосвязь стандартов
Взаимосвязь стандартов по безопасности показана в стандарте ГОСТ Р ИСО МЭК ТО 19791, который на настоящее время можно рассматривать как «интегратор» существующих стандартов ИБ (рис. 11). С одной стороны, требования ГОСТ Р ИСО МЭК ТО 19791 включают в себя существующие требования и оценки более конкретных (технических) стандартов, к которым относится ИСО/МЭК 15408.
В состав ИСО/МЭК 15408 входят три части. В части 1 ИСО/МЭК 15408 определяется структура задания по безопасности и профиля защиты. Эти понятия служат основой для
Материалы к курсу «Защита компьютерной информации» Кузнецова Г.В.
58
профиля защиты системы (ПЗС) задания по безопасности системы (ЗБС), которые включают эксплуатационные аспекты безопасности. Во второй части ИСО/МЭК 15408 определяются критерии оценки функциональных требований. Эти критерии применимы непосредственно к техническим мерам безопасности, требуемым для автоматизированных систем, и применяются как основа для определения новых дополнительных классов, семейств и компонентов, сосредоточенных на эксплуатационных мерах безопасности. В третьей части ИСО/МЭК 15408 определяются критерии оценки требований доверия. Эти критерии используются как основа для построения новых классов доверия для оценки безопасности автоматизированной системы как единой интегрированной единицы. Новые классы доверия включают в себя требования к свидетельствам политик и процедур, которые будут реализовываться эксплуатационными мерами безопасности в среде эксплуатации. С другой стороны, существует категория стандартов, определяющая требования в более общем виде. В первую очередь, это стандарты ИСО/МЭК 13335, 17799, 27000 и NIST SP 800-53. В ИСО/МЭК 13335 сформулированы требования к безопасности. Эти требования сформулированы на слишком высоком уровне, чтобы применяться в качестве источника конкретных требований к эксплуатационным мерам безопасности. ИСО/МЭК 17799 является сводом правил, рекомендующим меры безопасности, которые должны рассматриваться организацией для управления безопасностью информационных активов. Эти стандарты также сформулированы в общем виде и требуют уточнения. NIST SP 800-53 предназначенных для использования в федеральных системах правительства США. Системы управления штатами и местные самоуправления, а также организации частного сектора, составляющие критически важную инфраструктуру США, стимулируются к применению этих руководств. Меры минимальной безопасности федеральных информационных систем. NIST SP 800-53 использует не только определение мер безопасности из ИСО/МЭК 17799, но также охватывает другие области, не связанные непосредственно с менеджментом информационной безопасности. Следовательно, NIST SP 800-53 использовался как второй основной источник для эксплуатационных мер безопасности, особенно в областях эксплуатационной безопасности, которые находятся вне области применения ИСО/МЭК 17799. Примером подобного ведомственного документа является стандарт Банка России, рассмотренный в настоящем обзоре.