ГОСТ Р ИСО/МЭК 17799—2005
- различные активы и процессы (процедуры) безопасности, связанные с каждой отдельной систе
мой. должны быть выделены и четко определены;
- необходимо назначить ответственных (администраторов) за каждый актив или процедуру безо
пасности. и детали этой ответственности должны быть документированы;
- уровни полномочий (авторизации) должны быть ясно определены идокументированы.
П р и м е ч а н и е — Под авторизацией понимается определение уровней доступа пользователя к опреде
ленным массивам информации, в более широком смысле — разрешение определенных действий.
4.1.4 Процесс получения разрешения на использование средств обработки информации
Необходимо определить процедуры получения разрешения на использование новых средств
обработки информации.
При этом могут осуществляться следующие мероприятия по управлению информационной безо
пасностью:
- новые средства должны быть соответствующим образом одобрены со стороны руководства
пользователейи администраторовсредствуправления, авторизующихих цель использования. Одобре
ниеследуеттакжеполучатьотменеджера, ответственногоза поддержаниесреды безопасностилокаль
ной информационнойсистемы, чтобы обеспечитьуверенностьвтом.чтовсесоответствующие политики
безопасности и требования соблюдены,
- аппаратные средства ипрограммноеобеспечение следует проверять на совместимость сдруги
ми компонентами системы.
П р и м е ч а н и я
1 Одобрение может потребоваться для соединений некоторых типов.
2 Использование личных средств обработки информации для обработки служебной информации и любых
необходимых мероприятий по управлению информационной безопасностью должно быть авторизовано.
3 Использование личных средств обработки информации на рабочем месте может быть причиной новых уяз
вимостей и. следовательно, должно быть оценено и авторизовано.
Эти мероприятия поуправлениюинформационнойбезопасностьюособенноважнывсетевойсреде.
4.1.5 Консультации специалистов по вопросам информационной безопасности
Консультации специалистов по вопросам безопасности требуются многим организациям. В идеа
ле. их должен обеспечивать опытный консультант по информационной безопасности, являющийся
сотрудником организации. Но не все организации могут иметь в своем штате профессионала-консуль-
танта. Втаких случаяхрекомендуется назначениевыделенногосотрудника (администратора)дляобоб
щения знаний и опыта внутри организации с целью обеспечения согласованности и поддержки в
принятии решений по безопасности. Этот сотрудник должен также иметьдоступ к необходимым внеш
ним консультантам для получения профессиональныхконсультацийповопросам, выходящим за рамки
его собственной компетенции.
Перед консультантами по информационной безопасности или администраторами должна быть
поставлена задача по обеспечению консультаций по всем аспектам информационной безопасности, в
том числе испривлечением внешнихконсультантов. От качества ихоценкиугрозбезопасности и разра
ботки рекомендаций относительно мероприятий по управлению информационной безопасностью
существенным образом зависит ее эффективность в организации. Для обеспечения максимальной
эффективности и результативности деятельности консультантов (администраторов) им должна быть
предоставлена возможность непосредственного доступа к высшему руководству организации.
С консультантом по информационной безопасности или администратором следует советоваться,
повозможности, незамедлительно, в случае подозрения на выявление инцидентанарушения информа
ционной безопасности или уязвимости безопасностидля обеспечения получения квалифицированного
совета или выделенияресурсов. Несмотрянато. чтобольшинство внутреннихрасследованийвотноше
нии безопасности обычно выполняют под контролем руководства, может быть целесообразным обра
щение к консультанту (администратору) по информационной безопасности с целью разработки
рекомендаций, а также его участия в расследовании или в его руководстве.
4.1.6 Сотрудничество между организациями в области информационной безопасности
Соответствующие контакты с органами, отвечающими за соблюдение законов, с регулирующими
органами, поставщиками информационныхуслуг иоператорами связи следует поддерживатьдля того,
чтобы гарантировать, чтои в случаенарушенияинформационной безопасностиможнобыстропредпри
нятьсоответствующие действия и получить правильный совет. С аналогичной целью следует рассмат
ривать участие в профессиональных сообществах и в отраслевых мероприятиях в области
безопасности.
4