ГОСТ Р ИСО/МЭК 17799—2005
- использовать программное обеспечение, прошедшее оценку на соответствие требованиям
информационной безопасности;
- осуществлятьпроверкуисходныхтекстовпрограммпередихэксплуатационным применением;
- осуществлять контроль доступа к установленным программам и их модификациям;
- использование проверенных сотрудников для работы с ключевыми системами.
10.5.5 Разработка программного обеспечения с привлечением сторонних организаций
В случаях, когдадля разработкипрограммногообеспечения привлекается сторонняяорганизация,
необходимо применять следующие меры обеспечения информационной безопасности;
- контроль наличия лицензионных соглашений и определенности в вопросах собственности на
программы и соблюдения прав интеллектуальной собственности (12.1.2);
- сертификацию качества и правильности выполненных работ;
- заключение «escrow» соглашения, предусматривающихдепонирование исходного текстанаслу
чай невозможности третьей стороны выполнять свои обязательства:
- обеспечениеправдоступадляаудитас цельюпроверкикачестваиточностивыполненной работы:
- документирование требований к качеству программ в договорной форме;
- тестирование перед установкой программ на предмет обнаружения «Троянского коня».
11 Управление непрерывностью бизнеса
11.1 Вопросы управления непрерывностью бизнеса
Цель: противодействие прерываниям бизнеса и защита критических бизнес-процессов от после
дствий при значительных сбоях или бедствиях.
Необходимо обеспечивать управление непрерывностью бизнеса с целью минимизации отрица
тельных последствий, вызванных бедствиями и нарушениями безопасности (которые могут быть
результатом природных бедствий, несчастных случаев, отказов оборудования и преднамеренных
действий), до приемлемого уровня с помощью комбинирования профилактических и восстановитель
ных мероприятий по управлению информационной безопасностью.
Последствия от бедствий, нарушений безопасности иотказов в обслуживании необходимо анали
зировать. Необходимо разрабатывать и внедрять планы обеспечения непрерывности бизнеса с целью
восстановления бизнес-процессов в течение требуемого времени при их нарушении. Такие планы сле
дует поддерживать и применять на практике, чтобы они стали составной частью всех процессов
управления.
Необходимо, чтобы управление непрерывностью бизнеса включало мероприятия по управлению
информационной безопасностью для идентификации и уменьшения рисков, ограничения последствий
разрушительных инцидентов и обеспечения своевременного возобновления наиболее существенных
бизнес-операций.
11.1.1 Процесс управления непрерывностью бизнеса
Необходимо, чтобы существовал управляемый процесс развития и поддержания непрерывности
бизнеса для всей организации. Этот процесс должен объединять ключевые элементы управления
непрерывностью бизнеса:
- понимание рисков, с которыми сталкивается организация, с точки зрения вероятности возникно
вения ипоследствий, включая идентификацию иопределение приоритетов критическихбизнес-процес
сов;
- понимание возможных последствий нарушения бизнес-процессов в случае незначительных или
существенных инцидентов, потенциально угрожающихжизнедеятельности организации, атакже выбо
ра средств и способов обработки информации, которые соответствовали бы целям бизнеса;
- организацию оптимального страхования результатов обработки информации, которое должно
быть частью процесса обеспечения непрерывности бизнеса;
- формулирование идокументирование стратегии непрерывности бизнеса в соответствии ссогла
сованными бизнес-целями и приоритетами;
- формулирование и документирование планов обеспечения непрерывности бизнеса в соотве
тствии с согласованной стратегией:
- регулярноетестирование иобновлениеплановразвития информационныхтехнологий исущест
вующих процессов:
- обеспечение органичного включения в процессы и структуру организации планов управления
непрерывностью бизнеса. Ответственность за координацию процесса управления непрерывностью
47