ГОСТ Р ИСО/МЭК 17799—2005
эано фактическое местоположение актива (это важно в случае восстановления активов при потере или
повреждении). Примерами активов, связанных с информационными системами, являются:
- информационные активы: базы данных ифайлы данных, системнаядокументация, руководства
пользователя, учебные материалы, процедуры эксплуатации или поддержки (обслуживания), планы по
обеспечению непрерывностифункционирования информационного обеспечения, процедурыдействий
при сбоях, архивированная информация;
- активы программного обеспечения: прикладное программное обеспечение, системное програм
мное обеспечение, инструментальные средства разработки и утилиты:
- физические активы: компьютерное оборудование (процессоры, мониторы, переносные компью
теры. модемы), оборудование связи (маршрутизаторы, частные автоматические телефонные станциис
выходом в сеть общего пользования, факсы, автоответчики), магнитные носители (ленты и диски), дру гое
техническое оборудование (электропитание, кондиционеры), мебель, помещения:
- услуги: вычислительные услуги и услуги связи, основные коммунальные услуги, например, ото
пление. освещение, электроэнергия, кондиционирование.
5.2 Классификация информации
Цель: обеспечение уверенности в том. что информационные активы защищены на надлежащем
уровне.
Информациюследует классифицировать, чтобы определитьее приоритетность, необходимостьи
степень ее защиты.
Информация имеет различные степени чувствительности и критичности. Некоторые виды инфор
мации могуттребоватьдополнительного уровня защиты или специальных методовобработки. Систему
классификации информации следует использовать для определения соответствующего множества
уровней защиты и потребности в специальных методах обработки.
5.2.1 Основные принципы классификации
При классификации информации исвязанныхснеймероприятийпоуправлению информационной
безопасностью следует учитывать требования бизнеса в совместном использовании или ограничении
доступа к информации, атакже последствиядля бизнеса, связанныестакимитребованиями, например,
неавторизованный доступ или повреждение информации. Классификация информации позволяет
определить, как эта информация должна быть обработана и защищена.
Информацию и выходные отчеты систем, обрабатывающих классифицированные данные, сле
дует отнести к какой-либо категории с точки зрения ее ценности и чувствительности для организации.
Можнотакже оценитьсоответствующую информацию сучетом того, насколькоона критичнадляоргани
зации. например, с точки зрения обеспечения ее целостности и доступности.
Информация обычно перестает быть чувствительной или критичной к компрометации по истече
нии некоторогопериода времени, например, когдаонастановитсяобщедоступной. Этиаспекты следует
принимать во внимание, поскольку присвоение повышенной категории может вести к ненужным допол
нительным расходам. В руководящих принципах классификации следует предвидеть и учитывать, что
категориялюбого вида информациинеобязательнодолжнабытьпостояннойвтечениевсеговремени—
она может изменяться в соответствии с некоторой принятой политикой безопасности в организации
(9.1).
Чрезмерносложныесхемы категорирования информации могут статьобременительнымиинеэко
номичными для использования или оказываются неосуществимыми. Следуетпроявлять осмотритель
ность при интерпретации категорий (грифов) классификации на документах от других организаций,
которыемогутиметь другие определенияили содержаниедлятехжесамыхили подобныхкатегорий.
Ответственность за определение категории информации (например, документа, записи данных
файла или дискеты с данными) и периодичность пересмотра этой категории должны оставаться за
создателем, назначенным владельцем или собственником информации.
5.2.2 Маркировка и обработка информации
Важно, чтобы был определен соответствующий набор процедур для маркировки при обработке
информации в соответствии с системой классификации, принятой организацией. Эти процедурыдолж
ны относиться кинформационнымактивам. представленным каквфизической, таки вэлектроннойфор
ме. Для каждой классификации следует определять процедуры маркировки для того, чтобы учесть
следующие типы обработки информации:
- копирование;
- хранение;
- передачу по почте, факсом и электронной почтой;
- передачу голосом, включая мобильный телефон, голосовую почту, автоответчики:
8